绿盟科技技术博客

大话“天池”圣水洗礼，自动化用例设计

2016-10-03江茂上下文弱关联型, 全局测试数据局部测试数据, 功能接口实现, 手工用例转自动化, 数据接口与流程接口剥离, 自动化性能, 自动化用例设计, 自动化用例设计思路

近期趁着项目间隙，咱们团队开始着手审计产品接收功能自动化。基于堡垒机审计团队“天池”自动化框架，本宝宝在“天池”自动化平台舀了一瓢“圣水”，以为可以过把“圣女”瘾，没想到宝宝中毒太深……接下来受天池”圣水洗礼，浅谈下自动化用例设计。

MySQL Remote Code Execution/Privilege Escalation Vulnerability Technical Analysis and Solution

2016-10-03绿盟科技EnglishVersion, Execution Privilege, MySQL Remote Code Execution, NSFOCUS Technologies, Technical Analysis and Solution, Vulnerability Analysis

On September 12, 2016, legalhackers.com released a security advisory concerning a 0-day vulnerability that is assigned CVE-2016-6662. This vulnerability allows attackers to remotely inject malicious settings into a MySQL configuration file (my.cnf), leading to critical consequences. It affects MySQL servers in default configuration in all version branches (5.7, 5.6, and 5.5), including the latest versions. MySQL clones like MariaDB and PerconaDB are also affected.

按合约设计

2016-10-02陈博Fileserver 设计, WVSS, 合约设计成标准化, 按合约设计, 按合约设计的实例, 设计合约

最近看了很多设计文档，产生了一个疑惑：很多参数和变量都是协商式的，这样不会给后面的产品迭代留下很多坑吗？带着这个问题，最终还是在《程序员修炼之道》中找到了答案：按合约设计

OpenSSL Patches Introducing New Vulnerabilities Technical Analysis and Solution

2016-10-02绿盟科技1.CVE-2016-6309, 1.CVE-2016-7052, Affected Versions, EnglishVersion, NSFOCUS, OpenSSL Patches Introducing New Vulnerabilities

On September 22, 2016, OpenSSL released an update advisory for three branch products to fix multiple vulnerabilities. The versions after update are 1.1.0a, 1.0.2i, and 1.0.1u. However, the security update introduced new vulnerabilities: 1.1.0a introduced CVE-2016-6309, and 1.0.2i introduced CVE-2016-7052.

OpenSSL补丁引入新漏洞技术分析与防护方案

2016-09-28绿盟科技CVE-2016-6309, CVE-2016-7052, OpenSSL 漏洞威胁, Secure Sockets Layer, 绿盟科技, 绿盟科技威胁事件定级标准

近日，OpenSSL官方发布了版本更新，修复了多个OpenSSL漏洞，这次更新所修复的漏洞中，有两个危害等级较高的为CVE-2016-6304和CVE-2016-6305。目前绿盟已发布相关检测和防护方案。

【预警通告】OpenSSL补丁引入新漏洞威胁

2016-09-27绿盟科技CVE-2016-6309, CVE-2016-7052, OpenSSL 漏洞威胁, Secure Sockets Layer, 绿盟科技, 绿盟科技威胁事件定级标准

2016年9月22日，OpenSSL官方发布了三个分支产品的版本更新，修复了多个漏洞。9月22日更新后的版本号分别是：1.1.0a，1.0.2i和1.0.1u。其中两个版本的更新又引入了新的漏洞：1.1.0a版本引入了编号为CVE-2016-6309的漏洞，1.0.2i的更新引入了编号为CVE-2016-7052的漏洞。

【公益译文】采取纵深防御策略提升工控系统网络安全

2016-09-25绿盟科技DMZ, IDS, SCADA, 入侵检测, 加密, 安全区, 工控系统, 指导方案与规程, 纵深防御, 网络安全, 补丁管理, 过程控制, 防火墙, 隔离区

工控系统作为关键基础设施不可分割的一部分，可简化电力、石油天然气、供水、交通及化工等重要行业部门的运营。日益增长的网络安全问题及其对工控系统的影响愈发凸显了关键基础设施所面临的重大风险。解决工控系统的网络安全问题，须对安全挑战与特定防护措施有清晰认识。全局法使用特定措施逐步增强安全，助力防护工控系统中的网络安全威胁与漏洞。这种方法一般被称为“纵深防御”，适用于工控系统，为优化网络安全防护提供了灵活、可用的框架。

【公益译文】网络威胁信息共享指南

2016-09-25绿盟科技信息共享, 信息安全, 指标, 网络威胁, 网络威胁信息共享, 网络威胁信息贡献

网络威胁信息指可帮助组织识别、评估、监控及响应网络威胁的任何信息。此类信息包括攻陷指标（indicator of compromise，亦有译为“攻击指示器”、“入侵指示器”的）、威胁源起方（threat actor）使用的策略、技术与过程（TTP）、检测、控制或防护攻击的建议方法以及安全事件分析结果。网络威胁信息的共享可同时提高分享组织与其他组织的安全状况。本文为建立、参与网络威胁信息共享关系提供了指导，帮助组织设定信息共享目标、识别网络威胁信息源、确定信息共享活动范围、制定威胁信息发布与分发规则、加入现有共享社团、有效利用威胁信息，以支持其总体网络安全实践。

OpenSSL多个漏洞技术分析与防护方案

2016-09-25苏少博CVE-2016-6304, CVE-2016-6305, OpenSSL 技术分析, openssl漏洞, Secure Sockets Layer, 绿盟科技, 绿盟科技威胁事件定级标准

2016年9月22日，OpenSSL官方发布了版本更新，修复了多个漏洞，这次更新所修复的漏洞中，有两个危害等级较高的为CVE-2016-6304和CVE-2016-6305。绿盟科技对此漏洞进行了技术分析并提出了防护方案。