记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华Recorded Future 发布《 2021 年上半年：恶意软件和漏洞趋势报告》
阅读：4本报告分析了2021年1月1日至6月30日期间软硬件厂商披露的恶意软件的使用、分发和开发趋势以及高危漏洞。数据来源为：Recorded Future®平台、开源网络情报和NVD数据的公开报告。本报告基于我们所做研究和上述数据，提出了重点搜索技术和检测方法，帮助威胁狩猎团队和安全运营中心（SOC）提升安全状况；同时，对于关注漏洞修复优先级确定及漏洞攻击趋势判断方法的漏洞团队，也不无裨益。执行摘要漏洞利用和恶意软件攻击的趋势通常存在交叉，因为威胁组织会利用存在漏洞的系统交付、分发、执行恶意代码。2021年上半年，有几起网络事件因影响广泛而受到主流关注，其中使用的新型技术就存在这种交叉。
【公益译文】“关键软件”定义
阅读：15引言2021年5月12日颁布的14028号行政命令《改善国家网络安全》要求国家标准技术研究院（NIST）发布“关键软件”一词的定义。（g）在本命令颁布45天内，商务部长（通过NIST院长）须在与国防部长（通过NSA局长）、国土安全部部长（通过CISA局长）、OMB局长以及国家情报总监讨论后发布“关键软件”一词的定义，并将其纳入根据本条（e）款制定的指南中。该定义应说明运行所需的权限或访问级别、与其他软件的集成和依赖性、是否需要直接访问网络和计算资源、影响信任的关键功能的性能以及受到入侵时可能导致的潜在损害。
小数据人工智能的巨大潜力
阅读：31一、执行摘要本文简要介绍了“小数据”人工智能方法。这些方法可用于无标记数据或几乎无标记数据可用的情况，降低我们对大数据（从现实世界收集的海量数据集）的依赖。根据人们对人工智能的传统认识，数据是一种重要的战略资源，尖端人工智能技术的任何重大进步都需要大量数据。这一认识过分强调了“大数据”的作用，忽略了小数据方法。实际上，这些方法因为不需要对海量数据集进行培训而大有潜力。本文分为两部分。第一部分介绍了主要的小数据方法，将其分为五大类：迁移学习、数据标记、人工数据、贝叶斯方法和强化学习，阐述了它们的重要性。
【公益译文】2040年全球趋势（一）
阅读：12一、摘要本文为国家情报委员会提供的第七版《全球趋势》报告。《全球趋势》自1997年以来每四年出版一次，旨在评估未来二十年影响美国战略环境的关键趋势和不确定性。《全球趋势》旨在为每届政府的决策者制定国家安全战略和应对不确定未来的早期阶段提供分析框架。我们并非意在对2040年全球趋势作出具体预测，而是立足长远，展望未来，帮助政策制定者和人民为应对一系列可能性做好准备。本文从三个方面进行分析。首先，探讨四个核心领域的结构性力量：人口统计、环境、经济和技术。我们之所以选择这些领域，是因为它们是构建未来动态的基础，范围相对普遍，而且我们可根据现有数据和凭据提供具有合理置信度的预测。
【公益译文】5G供应市场趋势
阅读：3执行摘要背景与目标欧盟委员会（EC）出台了各种计划和战略，包括通信“欧洲5G行动计划”和“欧盟安全5G部署：实施欧盟工具箱”，其中均强调了5G基础设施的重要性，认识到了5G的快速部署和技术能力，阐述了5G基础设施供应侧的发展。然而，尽管三大设备供应商中有两家位于欧洲，并且欧洲在5G试验投资方面处于世界领先地位，但欧洲的整体基础设施投资落后于其他地区，垂直行业才刚刚开始挖掘有价值的5G商业案例。在这一背景下，本研究深入分析并展望了2030年5G设备和服务供应市场的发展趋势，基于演进技术、标准准备度和无线接入网（RAN）分解计划等因素确定了4种场景。
【公益译文】国家技术战略制定、实施与监控评估流程（六）
阅读：6战略实施（下）外部涉众参与和激励协调任何国家技术战略都会挑战政府权力和影响力的极限：私营部门在塑造当前和未来的技术竞争动态方面同样重要，而且往往更为重要。在某些领域，政府能采取措施（例如建设监管环境、注入研发资金或实施出口管控），管理技术部门的行动，强制产出成果，但技术战略的成功主要还是依赖于与私营部门保持一致的愿景和激励措施。项目参与者常常抱怨政府不了解私营部门的激励措施，在国家安全问题上缺乏共同的愿景或词汇。如果不做好协调，政府会发现自己与意欲维护、发展和保护的行业存在分歧。
【公益译文】国家技术战略制定、实施与监控评估流程（五）
阅读：6战略实施（上）除了上述战略制定要素，本节还假设国家技术战略围绕《掌舵》一文中提出的四大支柱制定：提升美国的竞争能力、保护美国的关键技术优势、与美国盟友和伙伴合作以取得最大成功、按计划定期更新战略。这一战略提供的策略能鼓励美国的创新环境；确定关键技术的优先次序，以安排资源分配、政策干预、市场激励、保护措施和合作机会；为实施提供资源规划指导；并引入子战略，如包括教育、提高技能和移民政策举措在内的人力资本战略。上一节讨论的战略制定步骤有助于确保国家技术新战略的妥善实施，尤其是可以在流程各阶段支持、协调各机构主管和人员的活动。
【公益译文】国家技术战略制定、实施与监控评估流程（四）
阅读：6战略制定（下）人才制定国家技术战略的人员资历不同，需要具有跨职能专业知识。国家战略通常由高级行政官员定下方向，由总统行政办公室（EOP）的工作人员编写。在此过程中，他们会吸收各机构专家的意见，同时听取外部专家的建议和咨询。在任何战略制定流程中，都需要有能力的跨职能人员提供帮助，对于国家技术战略来说尤其如此，因为国家技术战略不仅需要新兴技术和市场的高端专业知识，还需要“将技术和通常为非传统的软技能结合。”有大量证据表明，政府（尤其是国家安全领域）在招聘、培养或留住此类人才方面面临挑战，原因包括政府职业模式死板、私营部门薪酬较高、高等教育项目调整缓慢以及高级领导职位招聘范围狭窄。
【公益译文】国家技术战略制定、实施与监控评估流程（三）
阅读：13优先级确定流程案例若美国政府决心集思广益，制定战略，以保持美国作为技术强国的地位，就需要迈出重要一步，提出明确愿景，让所有的关键涉众有据可依，有路可循。但是，政策规划和实施流程可能会影响高层（甚至是最高层）决策者的判断，做出不当决策和政策排序。如果不制定针对性的流程，国家技术战略只会沦为纸上谈兵，不会具有实际影响力，这也是大多数现有国家战略的常见状况。高层领导喜欢为政策创造内容，但要实现他们的目标，还需要决策、人员、工具、受众、信息等各方面进行联动。决策者可以而且应该根据事情的轻重缓急和设计，牵头优化政策制定和实施流程，最大限度地发挥潜在影响。
【公益译文】国家技术战略制定、实施与监控评估流程（二）
阅读：4引言在新的大国竞争模式背后，美国两党在国家安全方面有着强烈的共识，即这种竞争不会以军事为主导；要在竞争中立于不败之地，需要将技术、创新和经济力量结合起来。现在的竞争环境迥异于过去的几十年。当前，理论工作取得了突出成果，提出了一些构想和框架，为美国维护其准则、价值观、制度和先天优势奠定了坚实基础。但是，实现这些新构想的政府机构联动机制—政府内外的人民、流程、人才和关系—仍然是各行其是，且资源不足，也未得到足够重视。美国要想与能力强大、足智多谋的对手展开战略竞争，这种态势必须改变。
【公益译文】国家技术战略制定、实施、监控评估（一）
阅读：11执行摘要美国正在探索新的竞争模式，这种竞争模式不仅注重传统的军事力量措施，还注重技术创新以及技术创新对综合国力的贡献。技术和创新是美国军事、政治和经济实力的关键推动因素。为了有效执行国家技术战略，美国政府需要开发新流程来制定、实施和监测评估该战略。此外，还需要创新性地优化现有流程，因为这一领域的官僚基础迄今为止一直没有得到协调，且资源不足，重视程度也不够。国家安全委员会、国家经济委员会（NEC）和科技政策办公室（OSTP）等机构目前的结构和组织划分没有充分的能力统一行动，应对这一挑战。
【公益译文】行业调查：企业API安全
阅读：12一、API安全介绍与关键研究成果1、介绍 对于现代企业来说，API不再只是一个技术基础架构。API迅速成为新的应用层，将组织和用户连接起来，以全新方式提供价值，成为业务本身一个不可或缺的组成部分。虽然更多API会带来更大价值，但也导致了更大攻击面和新型漏洞。
【公益译文】NASA网络安全准备度（一）
阅读：13一、结果简报NASA网络安全准备情况审计事由美国国家宇航局（NASA）负有特殊使命，与公众、教育机构和外部研究机构有着广泛联系，因而令人瞩目。与大多数其他政府机构相比，更可能被网络不法分子盯上。NASA拥有约3000个网站和42,000多个可公开访问的数据集，在线业务庞大，极易受到入侵。近年来，NASA的首席信息官办公室（OCIO）牵头相关工作，着力提升该局的网络安全准备度。尽管如此，仅在过去4年间，NASA就遭受了6000多起网络攻击，包括网络钓鱼欺诈和在NASA系统植入恶意软件。因此，NASA应制定强有力的网络安全措施，防护当前和未来的威胁，这一点至关重要。
【公益译文】五角大楼高级领导备忘录
阅读：9五角大楼高级领导备忘录作战司令部的指挥官国防机构和国防部外勤活动主管数据是一项战略资产。美国国防部（DoD）转型为以数据为中心的组织，对于提升从作战空间到理事会会议室的所有层级的作战能力和创造决策优势至关重要，有助于确保美国的竞争优势。为了加快推进国防部的工作，领导人必须确保国防部的所有数据的可见性、可访问性、可理解性、关联性、可信性、互操作性和安全性。美国国防部提出了5条“国防部数据法令”（DoD Data Decrees），在《国防部数据战略》聚焦的联合全域作战行动、高级领导者决策支持和执行分析三个方面实现变革性的效益和效率提升。
【公益译文】5G基础设施的潜在威胁向量
阅读： 6执行摘要第五代（5G）无线技术彻底改变了电信网络，引入了大量新的连接、能力和服务。这些进步将为数十亿台设备提供连接，为应用铺平道路，从而在世界各地实现新创新、新市场和经济增长。然而，这些发展也带来了重大风险，威胁国家安全和经济安全，影响其他国家和全球利益。鉴于这些威胁，5G网络将成为诱人目标，成为犯罪分子和国外攻击者获取宝贵信息和情报的渠道。为了解决这些问题，美国国家电信和信息管理局（NTIA）制定了《美国5G安全国家战略》，这是一份战略文件，详细阐述了美国政府将如何确保国内外5G基础设施的安全。
【公益译文】网络安全框架制造篇-低影响性示例实施指南第2卷：流程型制造系统用例（四）
文章目录1. Open-AudIT2. GRASSMARLIN3. Wireshark4. Veeam备份与复制5. 安全洋葱6. 思科AnyConnect VPN阅读： 2NIST《网络安全框架制造篇》与制造业的目标和行业最佳实践保持一致，为制造商管理网络安全风险提供了思路，用于管理与制造系统相关的网络安全活动及网络风险。该指南第2卷详述了适用于流程型制造系统用例的政策和程序文件，并详细介绍了适用于流程型制造系统用例的技术能力实现和相关性能测量方法。
【公益译文】网络安全框架制造篇-低影响性示例实施指南第2卷：流程型制造系统用例（三）
文章目录三、网络安全操作文件示例3.1 概述3.2 目的3.3 范围3.4 资产盘点3.5 网络3.6 制造系统安全3.6.1 变更控制3.6.2 人员操作3.6.3 监控制造系统3.6.4 备份3.
【公益译文】NIST制造业网络安全实施指南第2卷：流程型制造系统用例（二）
文章目录一、网络安全计划文件示例1.1 目的1.2 读者对象1.3 管理层承诺1.4 公司概况1.5 信息安全政策1.6 适用法律法规1.7 安全组织和治理1.8 个人信息隐私
【公益译文】NIST评估信息安全持续监控项目指南：评估方法（三）
文章目录ISCM项目评估流程概述1. ISCM项目评估计划2. ISCM项目评估流程阶段2.1 规划阶段2.2 实施阶段2.2.1 证据收集2.2.2 证据分析2.3 报告阶段3.1 评估后响应
【公益译文】NIST评估信息安全持续监控项目指南：评估方法（二）
文章目录ISCM项目评估的基础1.1 ISCM项目评估标准1.2 ISCM项目评估要素来源1.3 ISCM项目评估要素属性1.4 ISCM项目评估要素追溯
【公益译文】欧盟数字服务新动向（四）: 行动建议
文章目录一、行动建议1.1 欧洲云/欧洲互联网1.2 电子政务风险和融资计划1.3 愿景传播计划1.4 行动计划时间线—立即行动二、结论阅读： 12020年5月，欧洲议会经济、科学和生活质量政策政策司发布报告《数字服务新动向：短期（2021年）、中期（2025年）和长期（2030年）展望以及对〈数字服务法案〉的影响》，目的是通过对未来10年的前瞻性展望，帮助欧洲议会议员在《数字服务法案》的立法过程中做出深思熟虑、突破性和成熟的决定。一、行动建议这份报告展望了可预见未来的动态变化，以及可以预测的具体趋势。即将到来的数字服务将由数据和人工智能驱动，深入欧洲社会的方方面面。
【公益译文】NIST评估信息安全持续监控项目指南（一）：评估方法
文章目录一、ISCM项目评估的基本原则1. ISCM管理1.1 ISCM背景1.2 ISCM流程各阶段1.3 组织的风险管理级别1.4 NIST风险管理框架与ISCM1.5 治理与ISCM1.6 ISCM指标1.7 持续授权阅读： 1为了有效地管理网络安全风险，组织需要持续了解自己的信息安全状况、漏洞和威胁。要获取这种信息以及更有效地管理风险，组织可以信息安全持续监控（ISCM）项目为指导，实现信息安全持续监控能力。ISCM项目对ISCM进行定义，组建相关团队，全面实施并运营ISCM，为组织提供必要信息，促使组织各风险管理级别（组织级、任务/业务流程级和系统级）就安全状况做出基于风险的决策。
欧盟数字服务新动向（三）：长期展望
文章目录长期预测一、6G1.1 行业中的6G1.2 6G研究1.3 欧盟的6G研究二、自主交通2.1 自主人员运输2.2 自主送货2.3 自主物流三、基于DNA的个性化3.1 个性化服
「公益译文」欧盟数字服务新动向（二）：中期预测
文章目录1. 个性化医疗保健2. 无缝商务3. 数字化劳动力4. 可持续供应链5. 结论阅读： 12020年5月，欧洲议会经济、科学和生活质量政策政策司发布报告《数字服务新动向：短期（2021年）、中期（2025年）和长期（2030年）展望以及对〈数字服务法案〉的影响》，目的是通过对未来10年的前瞻性展望，帮助欧洲议会议员在《数字服务法案》的立法过程中做出深思熟虑、突破性和成熟的决定。本期连载内容是着眼于未来五年发展的中期预测。关键研究成果：中期趋势（到2025年）是由机构、组织和企业的创新推动的。
网络钓鱼大讲堂 Part1 | 网络钓鱼攻击定义及历史
阅读： 59如果您是首次接触网络钓鱼攻击，最好从文章开头阅读。在本文中，我们将介绍网络钓鱼攻击历史、攻击原理以及一些常见攻击实例。文章目录何为网络钓鱼攻击？网络钓鱼攻击历史利用邮件网络钓鱼实例网络钓鱼攻击的其他类型语音钓鱼和短信钓鱼何为网络钓鱼攻击？首先，我们看一下网络钓鱼攻击的定义：网络钓鱼攻击（phishing与fishing发音相近）是最初通过发送消息或邮件，意图引诱计算机用户提供个人敏感信息如密码、生日、信用卡卡号以及社保账号的一种攻击方式。
网络钓鱼大讲堂 Part3 | 网络钓鱼攻击向量介绍
阅读： 42网络钓鱼攻击的目的包括：窃取数据及金融诈骗高级持续性威胁（APT）恶意软件传播网络钓鱼这种攻击方式早就存在，但至今仍受攻击者青睐。在搭建了合适的钓鱼网络、收集了信息以及放置诱饵之后，攻击者可入侵任何公司、组织甚或政府机构，造成极大破坏。实际上，时至今日，网络钓鱼仍是最有效、最受攻击者欢迎的攻击向量。文章目录数据窃取与金融诈骗网络钓鱼APT恶意软件传播免责声明免责声明免责声明免责声明数据窃取与金融诈骗根据PhishLabs于2016年所作研究，2015年22%的鱼叉式钓鱼攻击的动机均为金融诈骗或其他相关犯罪。通过这种攻击方式，攻击者获利颇丰，所以该类事件不胜枚举。
网络钓鱼大讲堂 Part4 | 网络钓鱼攻击战术
阅读： 123要防护网络钓鱼攻击并制定相应计划，深入了解攻击者很关键，需要更多地了解此类攻击过程，包括从初始计划及准备阶段到钓鱼网络如何协助攻击发生，再到提交诱饵并收集数据 这些信息不仅可以帮助企业和组织对不可避免的攻击做到有备无患，在他们制定对抗攻击的关键步骤时还能提供重要的参考，有时甚至可以预防攻击。尽管无法保证攻击者不攻击您或您的企业，但请记住“凡事预则立”。文章目录计划与准备收集信息 — 第一步钓鱼网络下饵与信息搜集上钩免责声明计划与准备像任何军事活动一样，网络钓鱼攻击都是从很多琐碎的工作开始的。发起攻击前，需要进行大量的研究和细致的计划与准备。很多情况下，这些都不是一蹴而就的。
网络钓鱼大讲堂 Part5 | 网络钓鱼对策（反钓鱼）
阅读： 27对抗网络钓鱼的方法有技术性的，也有非技术性的。本文着重介绍了四种反钓鱼技术：反钓鱼技术手段非技术对策模拟钓鱼攻击反钓鱼小贴士文章目录反钓鱼技术手段使用HTTPS正确配置Web浏览器监控钓鱼网站正确配置邮件客户端垃圾邮件过滤器非技术对策模拟钓鱼攻击反钓鱼小贴士结论反钓鱼技术手段最有效、最常用的技术手段包括：使用HTTPS正确配置Web浏览器监控钓鱼网站正确配置邮件客户端使用垃圾邮件过滤器使用HTTPS一般的HTTP网站使用80端口，而安全版本的HTTP即HTTPS使用443端口。使用HTTPS意味着浏览器与目标服务器之间的所有信息均加密传输。
【公益译文】网络钓鱼风险（攻击带来的损失）
阅读： 11网络钓鱼攻击可窃取身份信息，摧毁生活。这种攻击会波及到每个人，上至高级银行经理下至从未听说过网络诈骗的未成年人均有可能被感染。不过，令人遗憾的是，网络钓鱼攻击已有10多年的历史，但很多人仍因不了解该攻击的基本原理而沦为此类网络诈骗的受害者。首先让我们了解一下成功的网络钓鱼攻击所采取的攻击方式：利用数据访问受害者的账户，然后提款或进行在线交易，如购买产品或服务。利用数据以受害者名义开设虚假银行账户或信用卡，然后利用非法支票套现。在受害者的计算机系统中安装病毒和蠕虫，向受害者的联系人传播钓鱼邮件。利用某些系统存储的数据获取高价值的组织数据，如银行信息、员工凭证及社保号等。
发布时间:2017-08-16 04:25 |
阅读:205411 | 评论:0 |
标签:公益译文
【公益译文】入侵检测消息交换格式（IDMEF）
阅读： 131《入侵检测消息交换格式（IDMEF）》规定了数据格式与交换过程，规范用于共享信息给入侵检测与响应系统，以及可能与这些系统进行交互的管理系统。本文描述了表示入侵检测系统输出信息的数据模型，并解释了使用此模型的基本原理。本文介绍了可扩展标记语言（XML）中的数据模型实现，进行了XML文档类型定义，并提供示例。文章目录入侵检测消息交换格式（IDMEF）XML文档的IDMEF实现原理特别注意事项免责声明附件下载入侵检测消息交换格式（IDMEF）旨在定义标准的数据格式，自动化入侵检测系统使用该格式对可疑事件发出告警。
公告
❤永久免费、持续更新、精选优质黑客技术文章的Hackdig，帮你成为掌握黑客技术的英雄❤