信息安全最新文章

网络空间测绘资产数据价值评估模型的建立及应用

现有网络空间测绘系统具备端口响应信息获取、网络资产暴露面梳理、资产关联分析以及聚合统计等功能，并且积累了几十亿计规模的网络资产数据，但尚缺乏对于网络空间测绘资产数据价值的评估，无法定量地确定网络资产数据价值。提出了网络空间测绘资产数据价值评估模型，可以评估每条网络资产数据的价值，并依据价值评分确定数据价值重要度等级。网络空间测绘资产数据价值评估模型可在某组织机构的网络资产暴露面程度梳理、网络资产属性变化跟踪监控以及不同平台网络资产数据价值对比等方面进行应用，同时，能为安全研究人员和资产管理人员对掌握其所关注的网络目标资产安全状况变化趋势提供便利。

发表于：2023/8/24

一种新的基于形式概念分析的漏洞分析预处理方法

漏洞分析技术已经成为企业应对安全问题的一个研究重点，通过对系统中已有漏洞进行分析，可以帮助企业和相关工作人员熟悉漏洞的特点与产生原因，甚至可以快速、高效地发现未知漏洞，避免资产损失。针对漏洞分析技术中漏洞预处理过程展开研究，提出一种新的基于形式概念分析的漏洞分析预处理方法，实现了对已有漏洞根据其特征快速进行聚类，并以图形化界面直观展示给用户的功能。实验表明新的漏洞分析预处理方法可以快速、准确地获得漏洞之间的所有关联，为用户进一步分析漏洞提供基础，符合企业及相关人员使用需求。

发表于：2023/8/24

有奖看直播|“谛听”工控网络安全：实践与思考

为了增强工业互联网安全产业的研讨氛围，聚焦理论前沿和实践热点，凝聚产学研智库资源，培育工业互联网产业发展的学术环境，兹决定开展“网津大讲堂”之工业互联网安全系列讲座，邀请产业界专家学者依托平台开展技术交流。

发表于：2023/8/8

英飞凌Edge Protect嵌入式安全解决方案

【2023年7月26日，德国慕尼黑讯】英飞凌科技股份公司（FSE代码：IFX / OTCQX代码：IFNNY）于日前宣布推出Edge Protect™嵌入式安全解决方案。这款全新的软件解决方案有四类安全配置，能够以不断增强的安全功能满足客户对物联网应用的要求。

发表于：2023/8/2

专注网络空间地图的盛邦安全今日科创板上市

2023年7月26日，国内领先的网络安全厂商、被誉为“网络空间地图第一股”的远江盛邦（北京）网络安全科技股份有限公司（股票简称：盛邦安全，股票代码：688651.SH）正式登陆上交所科创板，共发行股份为1,888.00万股，每股发行价格为39.90元。上市首日，盛邦安全开盘价为56.66元/股，涨超42%。

发表于：2023/7/26

命令行接口模糊测试漏洞挖掘研究及应用

5G数据网络设备是现代通信的基础设施，其安全可靠性直接影响整个网络的安全可靠程度。命令行接口作为网络设备的基本操作接口，研究其存在的漏洞对提升整个网络安全具有至关重要的意义。基于模糊测试提出一种命令行接口漏洞挖掘方法，并对注入点分析及界定、模糊测试漏洞挖掘数据模型处理、模糊测试算法优化及模糊测试漏洞挖掘流程等关键技术及过程进行深入研究。研究成果直接运用到命令行接口模糊测试漏洞挖掘系统中，实现包含网络设备信息收集、模糊测试漏洞挖掘数据建模、网络设备响应信息分析、模糊测试漏洞挖掘执行、漏洞挖掘后分析及生成漏洞报告等关键功能。最后对未来提升命令行接口模糊测试漏洞挖掘系统的效率和有效性进行了讨论和展望。

发表于：2023/7/24

面向多维数据的异常点检测模型设计*

为了在大数据环境下快速、精准地挖掘异常点，保障网络安全，提出了一种面向多维数据的异常点检测模型设计方案。该方案利用长短期记忆网络（LSTM）存储任意时间段的多维数据，并使用图卷积网络提取完整数据结构，同时加入惩罚参数和均方误差来缩小异常点出现范围。此外，还利用编码器和解码器构建变分自编码器函数模型，使其能够解读正常数据子特征，并通过编码重建损失函数来计算数据异常度量，从而实现异常点检测。经过实验验证，该方法表现出较高的检测正确率和运行效率，具有极高的应用价值。

发表于：2023/7/24

基于元学习的多头注意力时序卷积的入侵检测

为解决现有入侵检测方法在高阶依赖关系挖掘，处理时序特征和应对新型攻击手段检测等方面性能不足的问题，提出了一种基于元学习的多头注意力时序卷积的入侵检测方法。该方法引入了多头注意力机制，使模型能在不同尺度上捕捉网络数据的时序特征和高阶依赖关系。其次，结合多任务学习改进元学习算法对网络未知攻击进行识别，提升网络未知攻击的检测性能，此外，设计了一种自适应特征提取策略，动态调整特征提取粒度，以适应不同类型的网络攻击。在公开数据集实验对比表明，本文算法与主流算法相比，具有更高的准确率和F值。

发表于：2023/7/24

基于国密算法SM2和CP-ABE的医疗访问控制系统的设计与实现*

针对现有的医疗数据共享方案存在运算开销大和权限控制问题，提出了一种基于可撤销的多属性机构授权方案和国密算法SM2的医疗数据访问控制系统。与传统的CPABE撤销算法相比，本文改进的CPABE算法不需要重新加密所有的加密文件以及不需要更新全部合法用户的密钥，只需更新与已撤销属性关联的密文。试验表明本文设计的系统在加解密性能上比传统的方案快出10%左右。此外，本文将多属性授权机构、灵活的可撤销机制、国密算法SM2和全球可信的证书颁发机构（CA）集成到CPABE中，能很好地保证系统的前向、后向、多属性授权机构之间通信的安全性并且能有效地抵抗伪造攻击和合谋攻击。

发表于：2023/7/24

面向隐私保护机器学习的同态加密转换器设计与实现

传统机器学习技术可以充分挖掘数据价值但是无法保护数据隐私。基于同态加密的隐私保护机器学习是对于该问题的有效解决方案。当前将同态加密应用于隐私保护机器学习任务中的主要挑战在于缺少高层次的编程工具，尤其是缺少对于矩阵运算的抽象。采用CKKS同态加密方案，针对隐私保护场景设计了一种易于使用的同态加密转换器，其可将机器学习算法的明文程序转换为同态加密程序，同时保证矩阵的编码、加密和计算过程对用户透明。在五种医疗数据集上的实验结果表明，该转换器可在保证密态矩阵运算的安全性、正确性和高效性的同时，兼顾易用性。

发表于：2023/7/24

基于随机森林的命令混淆绕过检测研究

运维安全管理设备中的“命令过滤”功能只能过滤黑名单中的恶意代码，而无法有效识别并阻止使用特殊方法绕过该功能的行为。针对这一问题，提出了一种基于随机森林的算法，可以准确识别含有恶意代码的命令执行语句。首先，介绍了四种命令混淆绕过方法，它们用来规避黑名单中的关键词并进行命令执行。然后，为了解决这些风险，在模型的特征选择阶段将命令混淆代码纳入考虑范围，利用多种特征对模型进行训练并调整特征权重，以提高模型检测中对使用命令混淆攻击的识别率和准确度。实验结果表明，该方法能够及时识别并应对命令混淆攻击，从而更好地保证服务器安全运行。

发表于：2023/6/28

IAST在金融业DevOps中的融合应用探索

DevOps模式的应用强化了金融行业数字化转型中支撑业务高速发展的能力，解决该模式下引申出的各类安全风险问题已成为行业共识。针对传统安全模式工具及能力和DevOps割裂使得安全赋能受限无法发挥其最大效力的问题，提出从模式架构和流程出发，以IAST为契机探索将整体安全能力运用其中的方式，构建安全能力一体化的解决思路，试验结果表明新的融合模式能够帮助提升开发安全能力，达到安全左移目标，体现安全整体能力价值，实现通过融入DevOps贴近业务的目标。

发表于：2023/6/21

轻量级安全隔离的虚实互联平台设计与实现

通过对虚实互联平台的现状研究，针对现有平台在安全性、实用性、灵活性等方面的不足，提出了一种轻量级安全隔离的虚实互联平台设计方法。首先对轻量级安全隔离的虚实互联平台进行理论性的实现研究，提出实现方法；然后在现有实验环境基础上，结合理论实现途径给出实际的平台搭建及部署设计，进行了平台的实现；最后针对搭建完成的平台进行了能力验证与应用。实验结果表明所提出的轻量级安全隔离的虚实互联平台具有良好的实用性，与现有方法相比具有一定的优势。

发表于：2023/6/21

《个人信息保护法》背景下告知同意规则的检视与改进

告知同意规则虽然是国际通行的个人信息保护规则，但在实践中面临着多重困境。《个人信息保护法》在坚持采纳告知同意规则的同时也对其采取了一系列修正措施。但从《个人信息保护法》的适用现状来看，告知同意规则面临的实践困境并没有得到改善，信息处理者与信息主体之间仍然处于利益失衡的状态。检视《个人信息保护法》所采取的扩张合法性基础、实施信息分类与差异化保护、细化完善同意规则等修正措施，虽然一定程度上纾解了同意规则难以落地的窘况，但仍存在诸多疏漏。应采取引入合法利益豁免机制、构建行政监管机制、发扬个人信息保护设计理念等手段作为告知同意规则改进完善的对症之策。

发表于：2023/6/21

联邦学习框架下的数据安全与利用合规路径

日趋严格的个人信息保护相关法律法规，在保护个人隐私的同时，增加了企业数据流通合规的难度和成本。在联邦学习框架中，数据不动模型动的隐私保护设计以技术促进法律的遵守，是打破数据孤岛壁垒、促进隐私保护前提下数据融合协作创新的可能解。将合法原则、数据最小化原则与目的限制原则嵌入到系统开发的技术中，联邦学习分布式协作框架以局部模型更新参数代替本地原始个人数据上传，实现数据本地训练存储，达到可用不可见的个人信息保护效果。由于潜在的网络安全攻击以及机器学习算法黑箱的固有缺陷，联邦学习仍然面临着质量原则、公正原则与透明原则的挑战。联邦学习不是规避合规义务的手段，而是减少个人信息合规风险的可行技术措施，使用时仍然存在需要履行的个人信息保护义务，数据权属与责任分配的确定需要综合考量各参与方角色和个人信息处理者类型。

发表于：2023/6/21