兰德公司基于对美国国防工业的研究考察，提出了关于国防工业网络安全保护的鲜明观点，比如：安全预算比例：国防工业公司应该将其IT预算的22%用于网络安全；而对于易遭受网络攻击的公司，则…

美国国防部把隔离技术用到了极致：1）在涉密网和非密网之间使用网闸隔离；2）在非密网和互联网之间使用互联网隔离；3）在上云过程中使用云隔离；4）在数据中心使用微隔离。总体来看，云是未…

2020年7月15日，TOG（国际开放组织，The Open Group）联合SABSA研究院，正式发布中文版指南《安全架构实践的公理》（其英文版《Axioms for the P…

笔者认为，DISA是美军网络安全的保护神，这就是要单独讲它的原因。 而要讲它的更重要的原因是，我们也需要这样一个保护神。如果缺少这样一个专司J网防护的强力机构，我们的网络安全保护组…

安全自动化是安全从业者的梦想。安全主要解决两方面问题：时间问题（速度越来越快）和空间问题（规模越来越大）。安全归根结底是要在时间和空间这两个维度上，提高自动化防御的有效性。安全自动…

提到MITRE，安全人员最先想到的可能是引领全球网络安全攻防潮流的对手战术和技术知识库框架ATT&CK。ATT&CK知识库被用作私营部门、政府、网络安全产品和服务社…

2022年2月23日，总统国家安全电信咨询委员会（NSTAC）投票通过了一份致拜登总统的零信任报告《零信任和可信身份管理》。CISA（网络安全和基础设施安全局）在其官网上发布了该报…

SANS研究院于2020年9月发布了白皮书《How to Create a Comprehensive Zero Trust Strategy》，该白皮书的赞助者为CISCO（思科…

本文标题和正文中的“网络安全框架（CSF）”特指NIST发布的“改善关键基础设施网络安全框架”（最新版是v1.1版）。CSF由NIST与私营和公共部门密切合作开发，是美国各组织自愿…

2020年10月，美国国土安全部（DHS）的网络安全与基础设施安全局（CISA）发布了一份《CISA 2019财年风险脆弱性评估信息图》。本文旨在对这张信息图，进行分析说明。该信息…

CrowdStrike是端点保护平台（EPP）的最强者，是云交付的下一代端点保护的领导者。由于CrowdStrike邮件推送了“无文件攻击白皮书”《谁需要恶意软件？对手如何使用无文…

NIST（美国国家标准与技术研究院）与其下属单位NCCoE（国家网络安全卓越中心）一唱一和：NIST推零信任标准，NCCoE搞零信任实践。而他们背后的推动者，都是联邦首席信息官（C…

数据访问控制是零信任的最后环节和终极目标。基于零信任的数据访问控制，已经成为数据安全保护和治理的新方法。但是，对于数据访问控制的实施问题，企业客户却不得不面对几种选择：1）基于数据…

在2020年9月16日举行的“TechNet网络研讨会”上，DISA（国防信息系统局）新成立的新兴技术局局长Stephen Wallace，以《零信任和身份：DISA如何继续保护网…