君哥的体历 https://wechat2rss.xlab.app/feed/947b46dba9754e10360d267a5ee9a87597e0bafe.xml 闲暇时间，逼迫自己，记录分享体验与经历，不求正确统一，但求真、善、美。 (wechat feed made by @ttttmr https://wechat2rss.xlab.app) (君哥的体历) https://wx.qlogo.cn/mmhead/Q3auHgzwzM78UibibMDMNicISyibajWnxmFgQ6ICZB5D7SB8C1YuB599PQ/0 君哥的体历 https://wechat2rss.xlab.app/feed/947b46dba9754e10360d267a5ee9a87597e0bafe.xml OpenClaw的风险隔离与管控应对，以及渗透测试的报备合规探讨｜总第312周 https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492390&idx=1&sn=c2e0f46d6e4ef0f02c37cc0a1798af43 本期周报简介： 1、OpenClaw办公场景如何在不影响效率下实现有效隔离？统一部署加内部Skill管控是否可行？ 2、面对业务方主动推广，安全部门是禁止还是引导？管控依据与责任如何划分？ 3、运营者已授权开展的漏洞扫描与渗透测试，是否仍需向公安报备？ 原创 群秘 2026-03-25 08:01 北京

本期周报简介：

1、OpenClaw办公场景如何在不影响效率下实现有效隔离？统一部署加内部Skill管控是否可行？

2、面对业务方主动推广，安全部门是禁止还是引导？管控依据与责任如何划分？

3、运营者已授权开展的漏洞扫描与渗透测试，是否仍需向公安报备？

0x1本周话题

话题一：近期openclaw挺火，各个公司甚至鼓励员工使用，大家对这个的态度是怎样的？因openclaw导致的安全问题如何保障呢？

A1:我们正在拟风险提示和安全要求。办公电脑或存有公司业务数据的电脑不允许安装。这个数据泄露风险太大了。

A2:做一个服务器，大家在上面操作，不能本地电脑用。

A3:还在调研中，从技术策略和安全管理要求两方面入手吧。

A4:这个你给他在对应服务器中操作，但是你要给他数据呀。有点像，都是授权。

A5:隔离的话你也可以上传数据撒，需要联网的吧。

A6:内部自己搭建ai算力中心可以发管理制度禁止使用外部api我觉得可以做一些限制。如果你所有东西都是内网，还能试试，但也不能保证准确性。你只是搞了一个没法考核，没有质量保证的所谓助手。

A7:终端禁用配合终端检查措施，内网收束避免员工自己终端部署了接入内网配合检查措施。公司层面统一部署，云资源人手一个独立隔离的openclaw。

内部服务改造全部接入统一认证，由企业统一逐步开放接入到openclaw。底层大模型由统一网关控制，所有openclaw由企业统一限定接入的大模型。

关闭所有openclaw的官方skills源，建立企业内部skills管理中心，只允许内部使用经过信息安全审核的skills。要做的事情很多，我列的这些都只是基础，还有很多场景化的动心得边学边控了。

A8:但是公司搭建统一环境，也需要联网还是说用内网自建模型？如果联网的话对应数据也会出去吧。

A9:细分下，可发现、可审计、可管控，方案不一样：

  • 页面访问（含客户端）

  • api访问（IDE类） 

  • 网关类访问（claw类）

A10:根据场景选择，接入的底层大模型，有大模型网关兜底。

A11:大模型网关？是买的那个安全网关么还是？

A12:公司内部统一接入大模型的配置网关，不允许其它途径接入大模型。

A13:配置网关是怎么来的？

A14:自研，激进做法，业务同学已经等不及要对C端了，头都大了。

《一句话，让你的OpenClaw变身“全栈AI投顾”｜且慢MCP🦞接入指南》

A15:你们Apikey直接填url?

A16:没影响，这APIKEY我们自己配置的，只是用来确认你能不能访问我们的服务。不做任何的身份绑定和鉴别。当然各位大佬要是能够给它拍个砖，打击一下业务欢迎利用这个APIkey搞事情。

话题二：openclaw越来越火了，上午收到了腾讯企业微信支持openclaw的通知，但是安全问题不容小觑，工信部已经发风险提示。大家有没有一刀切的啊？

A1:我们暂时没有一刀切，但已经面向单位内部先做了风险提示。

A2:风险提示还是很有必要的。有没有通过防火墙把域名封禁的呢？这种新技术直接应用在办公环境，对风险偏好比较低的企业而言是不是可以直接禁掉。

A3:我们上网行为有白名单限制。

A4:那什么情况下才允许个人使用呢？

A5:说清楚工作用途。AC的话，如果笔记本连接外部网络，还是会绕过的。但是桌管的确识别不了，除非把常用的大模型连接也禁掉。

A6:内外网隔离的话，内网办公机也装不了龙虾。

A7:这是封禁哪个域名？

A8:内网养虾（私有算力），用微信接入，这种模式太危险了，有人准备这样干吗？

A9:龙虾也不是非要im接入的，命令行也可以，web交互也可以。内网私有算力就无所谓。

A10:token消耗量特别大。

A11:不会在线装，可以安装了弄进来，在使用的时候是不需要访问这些域名的吧？

A12:不需要，这东西本质就是连接llm agent反复跑一个循环，至于接入通道是命令行还是社交媒体，不重要，如果这东西需要临时下载安装软件，内网会失败，除非内网模型告诉他去内网某处下载。

这种东西，大家自己花自己的钱乐就可以了，单位出钱还增加不安全因素，这就是人傻钱多，我自己已经卸载，还是opencode这些靠谱。

A13:官方通告也只是提示已有的漏洞风险，我很难基于这个去做一刀切，而且现在感觉也很难拦住了。

现在到处是业务在要求部署openclaw，还有各种变体，比如网易的lobsterai之类的，现在着急的就是安全和合规，给不出管控方案。

A14:我们控住的，不能随便安装，白名单制，要玩自己家里养。发展太快，skill投毒等等很难防，执行权限又太大。

A15:这么多年数据安全管控的魄力呢? 把agent当做一个人，谁用这个agent做出了傻逼的事情就罚谁。估计两只龙虾就够吃一年了。

A16:如果只是个人用倒简单了，已经是有组织的在推进使用了，遍地开花。估计又要事件驱动了，目前的形势，安全是拦不住的。

业务侧接入肯定会出事，只能等出事了，来点社会大新闻。老板们天天在管理群里面转发各种AI趋势和文章和短视频 贩卖焦虑 然后我在群里面也是天天转发各种AI导致的安全事件。

A17:看媒体报道风向，还是在谈利。零零散散的有一些风险提示。老板也一样的，有什么业务问老板能不能用小龙虾接入，老板说你找安全备案，他们也知道风险，也在甩锅。

好似一波波的改革浪潮，就安全在这老生常谈格格不入。去年大模型出来，行业也轰动了一把，后来大模型服务器的价格把老板们吓退了。英国的红旗法案，限制汽车和火车的速度。

A18:这个球踢过来，怎么接？

A19:我们现在是限制办公终端不允许接这类工具，还有公司的内网和生产网络等不允许部署，只允许研究学习使用，要单独找运维申请完全隔离的环境部署。

然后发了一个安全的使用规范，类似工信部发的那种，提示风险和责任自担，业务侧现在让他们找研发团队那边排期，内部在开发自己的openclaw。

Q：有什么途径限制？终端管控？还是网络安全？

A20:你们有AI团队吗？可以让AI团队出方案，安全负责收口。

A21:终端。其实主要是skill插件的安全性，以及大模型的数据安全隐患，可以从这两方面下手。

A22:小龙虾这种，在处理任务的时候，会不断通过网上搜索解决方案，然后本地安装工具脚本或改变系统变量环境啥的。这种不只是skills和数据安全。

A23:所谓的自学习自进化，从安全来说，就完全是隐患，因为行为不可控不可预测：

  • 一是可能被恶意构造的指令诱导执行非授权操作；

  • 二是信任边界模糊，缺乏有效权限控制与审计机制；

  • 三是可能越权访问企业敏感数据并外传；

  • 四是可能被恶意接管，成为攻击内网的跳板。

A24:老板估计不会同意，不能撇清安全的职责。摊开来说清楚安全责任，权利。问题又回到，有没有安全的用法，安全能不能保障好。

A25:没有，给他看meta删邮件那个事情，管理预期。老板看着钱，给一个沙箱，只能访问im llm，顶多这种。

A26:个人观点，这些在open claw广阔的前景面前，并非不能接受的风险。老板可能希望的是安全来控制风险，而不是一了百了的拒绝。

A27:问一句，老板怎么看待合规要求。可以先公网上那种，有一个练习环境，出去处理的文件，需要部门领导签字审批，有些工作秘密不应该上互联网。这样企业内网至少安全，你卡住数据安全，就可以，这东西效果没有那么惊艳的，网上炒作成分居多。

A28:没有权限和数据，这个没什么大效果。

A29:我已经卸载了龙虾，发现opencode这些做事情才稳，才是像样的干活工具。沙箱区，否则企业数据被人扒光光 老板也赚不了钱。体制内，汇报清楚利弊，决策留痕，体制外不晓得。

A30:看公司类型，体制内肯定是不背锅为主，体制外是发展为主。体制外的公司拦着大家奔赴ai，就是跟老板对着干的。

A31:其实都可以，支持skill，可以做很多事情，能力应该是OK的。

A32:我们就是这样，开发挡不住，开发不能拿生产代码出去。

A33:生产你敢不清楚代码运行逻辑就上？

A34:而且代码一次对了不等于真的稳了，玩了几天开发，没有写代码做了想做的，但还是需要指导，我们可以想到的坑，一问就发现真的ai没有想到。

还是有门槛的，业务人员习惯了含含糊糊的需求表述，那么结果必然也是薛定谔的成功。适合用过就丢的代码，个例可以跑出来就可以。

大模型最危险的地方，从来就不在高手身上，而在那些没有能力验证结果的人身上。如果你本来就懂，你会拿它当加速器。你知道什么叫对，知道关键路径在哪里，知道哪些地方必须自己把关。它能帮你搭框架、补样板、快速试验，确实很有价值。上面是从代码逻辑正确与否等等角度说的。

我只是想说，业务部门用这个，没有想象中那么简单。幻觉等等的问题，等着他们掉坑吧，这次IT不背了。

话题三：运营者授权了，还需要报备吗？自己委托的也要向公告报告吗？大家平常自己找厂商做也要去报备吗？

“ 第二十五条：未经省级以上网信部门、公安机关批准或者行业主管部门、运营者授权，任何个人、组织不得对网络安全等级保护第三级（含）以上的网络开展网络安全漏洞探测、渗透性测试等可能影响网络安全的活动。未经设区的市级以上网信部门、公安机关批准或者行业主管部门、运营者授权，任何个人、组织不得对网络安全等级保护第二级（含）以下的网络开展网络安全漏洞探测、渗透性测试等可能影响网络安全的活动。依法或者经批准、授权开展的，应当在活动实施五个工作日前向县级以上公安机关报告。法律、行政法规另有规定的，从其规定。”

A1:可以写个长时间，几号到几号。

A2:他说的是在开始前的5个工作日。

A3:如果网警监控到有啥攻击你，然后就会发信息给你了。每个月都要搞漏洞扫描。你不报备，那就是消耗GA的力量，每个月都要做渗透测试。

A4:咱们内部搞漏洞扫描、渗透测试还向公安机关报告？

A5:和当地公安沟通吧，你们现实有报备吗？网警能力这么强？

A6:有，可能是因为我们是关基单位。

A7:应该都要报的，就和飞无人机一样，实际不申请也能飞，但是抓到就可以处罚。

A8:没错，就是有没有一些豁免条款。不然一年下来，几十次的报备。是不是应该过滤掉一些呢。

A9:你报的多，当地GA就会告诉你哪些要报，哪些不报的了。比如无人机，在家里一定高度，随便飞。好吧。报都没报过，怎么和监管沟通呢？

A10:现在没正式要求啊，还在发文征求意见。

A11:之前一直要报的，人家又不是新规定，只是重申一次而已。

A12:你是关基单位，可能要求严有点。以前是乙方向公安报备的，我们不是关基没有这个要求。

A13:还有这个“溯源链条”怎么实施？

“ 第四十三条：规定网络运营者、数据处理者应当履行网络和数据安全保护义务，建立健全网络和数据安全管理制度，采取技术措施及其他必要措施。重要数据处理者还应建立数据标签标识等技术措施，以监测和识别重要数据的传递溯源链条”

A14:以前我们收文去问过当时说是我们自己组织大规模的攻防演练才报，不知道现在有没有新要求。这是DLP吗？

A15:不仅仅是吧，有很多通过API出去的呀。有的厂商说有一种应用DLP，就是针对API。

A16:文件类的可以做暗水印，API的不知道要怎么弄。做渗透都要报的，之前没报被监管警告了。

A17:之前说是比如通过这个API下载数据的时候要过DLP检测一轮，详细的没有测过不知道效率如何，之前他们是根据我们OA给的建议。金融监管局吗？他们怎么发现的，监管评级的时候看到有报告没有提前报备？

A18:从提交给他们的渗透测试报告反推的，让我们提供对应的报公安的材料，拿不出来。之前问过他们说不确认要不要报，后来换了领导。

0x2 群友分享

【安全管理】

《数据安全任务要多久见效？银行保险机构建设周期详解》

《指南发布 | 智能体应用程序安全指南：AI智能体—威胁与缓解措施》

《深入浅出银狐系列之一》

《深度揭秘：OpenClaw Skill市场的火爆、风险与防御》

【安全资讯】

《OpenClaw没发明任何新技术，但它为什么火了？》

【网警提醒】公共场所提供WIFI上网服务须知

《嘿，那个天天被说‘卷’的字节，这次真的干了件大事！》

《当理发师都在教性能优化大神用 AI：Brendan Gregg 离开 Intel 去 OpenAI 背后的真实故事》

《如何评价？｜全网超100万阅读的互联网已死，Agent永生短文》

《英文区浏览量超千万的 2028 年全球智能危机预言爆文｜不过这场末日叙事真的准吗？》

《别再说“AI吞噬软件开发”了，这只是第 N 次“抽象层大迁移”》

【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的精华话题会同步在本公众号推送（每周）。根据话题整理的群周报完整版——每个话题甲方朋友们的展开讨论内容——每周会上传知识星球，方便大家查阅。

往期群周报：

从终端沙箱到AI Agent：安全隔离的演进与安全角色的重塑｜总第311周

大模型业务隔离与公共WiFi安全合规挑战｜总第310周

AI管控的两难困境，与业务隔离下极小带宽防DDOS的现实挑战｜总第309周

如何进群？

如何下载群周报完整版？

请见下图：

‍

‍

‍

‍

‍

‍

阅读原文

跳转微信打开

]]> Wed, 25 Mar 2026 08:01:00 +0800 从终端沙箱到AI Agent：安全隔离的演进与安全角色的重塑｜总第311周 https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492382&idx=1&sn=e2ad6d4d44080d8e172692b8f8230d9b 本期周报简介： 终端沙箱在常态化办公中效果与成本如何？面对OpenClaw这类高权限AI Agent，安全团队应如何平衡业务效率与风险管控？ 从技术隔离到责任划分，有哪些可行路径？ 安全团队应如何定位自身角色？ 原创 群秘 2026-03-23 08:01 北京

本期周报简介：

终端沙箱在常态化办公中效果与成本如何？面对OpenClaw这类高权限AI Agent，安全团队应如何平衡业务效率与风险管控？ 从技术隔离到责任划分，有哪些可行路径？ 安全团队应如何定位自身角色？

0x1本周话题

话题一：PC客户端沙箱功能，号称可以虚拟一个独立的办公空间，大家用的多吗？

A1:终端沙箱一般比较重，安装驱动相关，兼容性好像不太行，资源占用也比较多。临时应急还行，常态化办公好像不太行。运维复杂，关键隔离的也不彻底，各种逃逸。

A2:差不多5年前有用过，主要是解决数据泄露的问题，特别是在苹果上。如果有采用苹果做开发需求的话，应该是一个方向。

A3:后来不管了，不过还在一直用，其实也有一些问题。但看重的是内部数据不外泄这个点。这些年这种产品也多了，可以再听听大家建议。当时的目标是取代云桌面。现在实际上也没有完全取代，各用各的。

A4:互联网侧远程临时用用可行。我觉得终端沙箱就是个虚拟桌面，虚拟机，个人研究大模型，放在沙箱里屏蔽影响，或者做安全分析，都很正常，作为企业，仍然是有管理诉求的。

所以我们是云端推的虚拟桌面，pc终端不存办公数据，定期回滚，办公数据在虚拟桌面里 另一种用法是上网在沙箱里，pc本体不能上网。

A5:本质还是双桌面，物理分开最简单靠谱，非要逻辑层炫技，效果差成本也不一定低，维护还复杂，过于影响效率。AI时代，效率可能是最关键的。

openclaw最开始设计的时候基本就是裸奔，我想安全行业没人想到还能有人敢把agent直接接进高权限系统里做成产品，但就是爆火了。

A6:其实heige的ai.py一直都是这种思路，砍掉章鱼的手，再安装假肢，heige很早就是这个观点。大大多数人（感觉大于99%）没有受到网络安全教训，所以就不会在意这个。之前的各种开源中间件默认无授权访问就证明这点。

A7:有这种需求的场景都是因为安全更优先，然后在这里纠结满足安全的前提下提效率，没出事就是效率也要保障，出信安事件时候就没人提效率了。

A8:就跟汽车刚被发明的时候，非常不安全，但变革了交通行业。现在老去说ai的安全问题，感觉像汽车刚出来的时候，做那个碍事的。

做安全有时候最好的策略就是静静等着，等出事。因为一定会出事的，没出事的时候跳出来说安全吃力不讨好。

A9:守住不出底线安全事件，前期先揭示风险，不能犯原则性错误，不能人为过失。需要安全同仁有些牺牲精神，安全圈要认可“伤疤”是荣誉勋章，没扛过事的不是合格的安全专业人士。

A10:OpenClaw稍微有点特别，因为已经因为“不安全”上新闻了，这时候老板来问，不好装不知道，到底让不让用？

A11:后期批评业务不安全，做AI安全再吃红利，两头吃。安全有时说多了，会给扣别的帽子。没看到解决方案的时候，提问题的人有时就是问题本身。

A12:挡不住。早上刚发了禁止用OpenClaw 老板就来找我，老板的意思是：安全你想办法，但是不要阻拦。

A13:办法有的，exception approval，请他签个字。现在环境很卷，安全和其他业务部门一样都要年年证明自己的价值，有事要搞大，没事也得作秀。

A14:思路也没错，让AI参与自主业务决策，最重要的就是：谁为AI的决策负责？所以既然老板要用，他要背责吧。

自己不下水告诉别人溺水风险，说了也不信。在AI大潮中安全团队要比业务团队更积极拥抱AI，再跟业务团队讲原则、讲案例，守好底线。

A15:除非你做游泳圈，不然你比别人先下水了，然后告诉别人风险，别人咋想。

A16:问题安全想先用很难得到预算支持，业务先行安全还得保障。现在算力是紧缺资源，得抢。可以和业务一起抱怨公司不让用openclaw，不就是个特批吗，怎么老板就不批呢？

A17:那当然要有能力做游泳圈或买游泳圈，只能发现安全问题不能解决的安全团队，那就容易达不到老板预期了。

A18:说白了，做让业务找安全的事儿，少做安全管业务的事儿。做事情和为人靠谱，承诺算数，自己努力和业务一起发展，平时在大家看不到的地方努力做安全，老板和业务才会认可安全团队。

A19:那现在业务想用openclaw，但是看到新闻觉得不安全，找安全出个安全方案，怎么办？

A20:那就出呗，这不是好事吗？业务都主动找安全来支持了。

A21:哪有这么容易出？主要是这个东西本来就不安全。

A22:看用在什么场景吧，网络和设备隔离，在外网机上随便折腾。

A23:我在想和这种情况是否类似：汽车刚出来的时候，是不是因为工艺、材料等基础技术的限制，没办法做的很安全。但后面随着金属加工、油料冶炼技术的进步，发动机马力和材料才可以支撑做的更安全。

A24:这个我自己试了试，感觉很难管控。除了把它隔离起来，我想不出有什么别的安全方案，但他们又想对接办公工具提效，请教下各位有什么方案。

Q1：研究过吗？装了openclaw吗？真有很不安全吗？真的很难搞方案吗？自媒体的文章不可信，自己深度体验下最好。

A1:管好暴露端口、管好skill、管好model用自己的，应该就行了。说的应该都是一些极端场景，我前几天搞了一套试了下，自动化执行任务的时候，很多还是要手工去操作确认的，自媒体有点夸大。

A2:毕竟让出了root权限来获取定制化的服务，而这又是安全最重要的，AI安全的一个原则是确保人类掌握最高权限。终端管理把管理员权限限制住，不能执行高权命令和高危端口，应该还好。

A3:这个逻辑我认为是不对的，root权限本来用户也有，用户手上有root权限的东西多了去了。ai他不会自己主动去利用root干啥，都是用户指使的。

A4:新兴事物领导更多的看重的是快速变成生产力，为什么那么在意安全呢，其实可以评估下风险，如果能接受就先搞呗。

A5:哪怕skill被投毒，那也是指使他去装了skill 这和python 投毒有啥本质上的区别吗？我认为没有。

A6:现在AI 的工具和架构发展太快，本身 openclaw 这东西还不知道能走多远。openclaw只是个缩影，最近一堆xxxclaw。真要说点区别，就是ai的那套逻辑不是那么透明化。

A7:这个可以参考下呢：

（github.com/slowmist/openclaw-security-practice-guide/ ）

A8:攻防本质没啥变化，感觉本质还是管好安全基线，控制好权限。

A9:我也是让openclaw自己检查安全状态，检查啥玩意儿她自己想，我会补充下，我在让我应急团队依据他们经验出一个本地排查的skill。寻思高频crontab运行，是不是就能在本地实现入侵检测的效果？

A10:算是输入吧，整合一下弄成内部治理的东西，然后进一步细化。模型层公司统一提供服务，我不管的，这些都写进openclaw的初始化配置里面，不需要用户考虑，当然也允许用户调整。

A11:理论可行，但服务器性能低的一般不会这么搞。

A12:应该还好，取数据肯定不会比HIDS这类频繁和量大主要是token消耗吧，可能检查一天花了几千块…

A13:这和纯HIDS有什么区别？

A14:端侧处理。那就是把引擎下放了，也不能说下放，因为其实还是走token，引擎云端了。

A15:数据量低，Ai能做深，而且是交付给用户。Ai能解决专业性问题，指导小白用户，相当于弄个ai时代的360。

A16:小参数的端侧模型，感觉可以解决你这个需求。不过我觉得，高频读取、影响pc稳定性的部分，现在ai好像替代不了。

A17:可以把检测内容固定成脚本，检测异常再调ai。

A18:啥时候ai跟cpu集成，可能就行了。那就是以后ai调用一堆本地的agent干活，可能也行。

A19:openclaw的交互是ai为入口的，先过ai 再干别的，不用那么高频啊，半小时跑一次也够了吧，个人电脑这个频率够够的了。

A20:如果用多openclaw可能会有不一样的看法。考虑过token大量被烧的痛感吗？考虑过模型不够聪明，出现幻觉的痛感吗？

A21:hids内容内核hook拿信息的。执行层面还是得用工具吧，指挥可以用openclaw。不过我怀疑ai可能会实现一个比现有内核hook更好的、效率更高的工具，但是opus好贵。

A22:我们昨天发布的喂给openclaw的指南，要求模型一定要给力，否则理解不好，执行更不好，还浪费一堆token。难以真的当啥正经事儿，不够成熟，各种问题不断调不断优化。

A23:我自己codex写了个轻量级hids，在openclaw之外运行，效果很好，能不烧token的就尽量避开。

A24:openclaw compact压缩历史可以节省很多token，记忆方式用好也可以省很多。

A25:现在还是给他配置已有的skill，或者自己写一些简单的skill、工具。现在可担心后面模型能力升级之后，你一个需求，它就开始自己写更好用的工具了。从opus的能力演变，产生的担心。

A26:openclaw离生产级应用还很有距离，这玩意出来才一个多月。不过之后可能会越来越不错。

A27:我上周教她看下属周报，一步步教的，教完测试了好几次，都没问题，然后让她做定时任务。这周我看她还是没跑成功，又在js上遇到困难了。自己一顿调。调不出来就给我胡说八道了。

A28:昨天看了一个新闻。已经有ai绕过写高级语言，直接用硬件的指令集写程序。你把openclaw里面的agent角色分开，写代码的给配上opus你再试试。

A29:我没有用代码，走的cdp 浏览器，截图-识别-点击，这么干的。

A30:我让ai写了个浏览器扩展，控制浏览器。一些动态的dom也还是处理不好。。

A31:不过我感觉是时间问题，我试了不同的模型，识别dom理解页面的能力也不一样。

A32:用cursor，纯纯汉字描述写出来的，现在写点啥代码，不用cursor都难受了。

A33:我去年给部门总结会说：不积极学习会很快跟不上时代，因为openclaw两周换了三次名字，不积极学习你可能连名字都叫不对了。

A34:试了cc吗？目前双持感觉cursor比cc用起来舒服些。

A35:cursor体验好，好歹国内还能买买，cc封了我，放弃他了。

A36:（https://openclaw.allegro.earth）这检查读的什么数据？服务端还是个人电脑？

A37:有时候很难讲安全风险，直到痛过之后。不然他第一反应就是，什么是痛。

A38:确实很少见把专业写得这么清楚的，不过限定45岁是个好迹象。

A39:分享一下，现在用的skill都不太行，只是能压缩对memory .md的读取。cusor是部分程序员喜欢，绝大部分人都是喜欢cc。

A40:Anthropic 之前发布 AI 安全产品的时候就把美股安全企业打了个遍。这次宣布使用其 Claude Opus 4.6 模型在短短两周内发现了 Firefox 中的 22 个漏洞，14 个高危，占到了 2025 年全年修复的高危漏洞总数的近五分之一。

目前 Mozilla 给这些漏洞发了 22 个 CVE 编号。前几天公告出来的时候就在研究员社区产生一些骚动，纷纷讨论是不是 llm 做的。总算官宣了。 

OpenAI 的 Codex Security 则以巨量的开源项目作为实验对象，30 天内扫描了 120 万个提交，精准锁定 792 个严重级别漏洞。

OpenClaw 的作者也说自己深度参与了这个项目。Codex Security 面向企业版、团队版及教育版用户开放。开源项目维护者可申请免费额度，预览版首月免费。

A41:（https://openai.com/index/codex-security-now-in-research-preview/）你对AI代码审计怎么看？首先我认可AI做代码审计的能力。但我拍脑袋乱想了2个问题：

  • 除了开源项目，谁又愿意把自己的代码，特别是公司的项目的代码全部都传到云上去给AI审计？ 

  • 一个软件的代码动不动十万行，百万行的，这tmd怎么算token啊？

A42:这不是私有化算力的事，这是模型私有化的事，目前这肯定不是AI做代码审计的主流方式。还没有哪个做得不错的代码安全审计模型允许私有化部署吧？都是云服务。

A43:我们内部也存在这种争议，借鉴思路用cc做代码审计，效果很好，而且它还主动做poc验证，把白盒检出与黑盒验证给闭环了，但是这个模型比互联网的差距多少是算力导致的，多少是智能体导致的，还难以衡量，更难以抉择的是要不要加大投入，可能投入2个月后就有开源产品碾压全部白费了。

A44:目前在中国有多少公司能给把算力偷给安全的？极少极少吧。

Q2：现在代码可以由AI快速生成，代码是不是还应该圈在内网来保护？

A1:AI生成功能是没问题的，git上大把，但高并发，异常处理，竞争逻辑，还没人能用AI生成的直接搞定，生产故障他还处理得少。

A2:作为安全人，我认为要，屁股决定脑袋。

A3:我遇到几个解决方案确实都是私有化蒸馏模型，来解决隐私问题，效果吧，目测肯定比这些公开商业化的弱。

理解安全人的屁股，但圈在里面算力不够、能力不够、迭代跟不上啊。未来是不是大量的代码都可以算胶水代码，只有极少量的核心才值得特别对待？

A4:网上说就算把淘宝的代码给你，你也搭不出一个淘宝，这个道理从市场角度来说是对的。但一来电商不会把自己监控运行的代码给你，二来为了防止你挖漏洞也不会给实际运行代码。

A5:这里的“淘宝”本质就是被替换成了git上已有的胶水代码。产品=代码+运营+品牌。

A6:淘宝代码给我，至少我不会是想着去重建一个淘宝。我能做的事可多了。如果全面推行AI自动补全代码、AI代码审计云服务，那么监控运行的代码一样有可能泄露。

A7:这里的本质是说，即使代码是胶水代码，怎么粘的逻辑、算法也是隐秘的。现代我相信功能和前端已经完全可替代了。

A8:分类分级分层对待也许是一个方向，但只是也许吧？私有化模型可能才是目前的主流。至少我们是安全人，屁股在安全，说句那啥的话，开发效率低，代码质量差会间接打我们板子，但代码泄露可能会直接打我们板子。

A9:不用打了，直接要求开发用cc生成安全的、质量高的代码，从一句话需求，丰富确认完整需求，编写代码，安全检查，编写自测，AI不是都能做吗，那你就直接搞定一步到位，QA和安全的检测标准不变，AI要帮助研发提高覆盖率、通过率，解放人力。在这里，AI成了安全的助力。

A10:去年我们搞了个劳动技能大赛，很多部门都在吹大模型的功绩，当时总裁就点评了一句，那你们的HC是不是可以按一按了，令人笑容消失。现在看，当时吹的东西，还真能实现了，这个趋势大家都感受得到。

Q3：不妨讨论一下这个话题呢……有一种说法是，AI提高了员工效率的同时，不一定为企业创造了财务收益，只是员工更快交付工作了。如果不裁员，企业的财务收益不好体现。

A1:我认为有两方面：

  • 不减员，但原来原本受限于人力无法开展的精细化安全治理或一些技术预研（比如AI自身安全）

  • 精简，ai驱动组织改进： 更少的人，干同样的产出，利润率肯定上去了

A2:增益其所不能，安全leader可以人，但是ceo和cfo不一定care。非安全线主管还是本能希望看到公司的分母减小。

A3:听到一种说法，说是Gartner的一个调研报告提到AI在提升员工工作效率的时候，只是提高了员工的个人效率，但没有为企业提升财务收益，关于这个观点你怎么看？

A4:如果企业都裁员，也没有了消费，企业的效益也不一定好。AI短期发展的效果是先采用的组织有效率优势，长期发展的效果就是挤出劳动力，全社会企业的平均财务效益不会增加。

 以后劳动不再是社会生产的需要，而是个人兴趣、成就的需要。趋势大潮面前，所有人只能往前跑。AI再发展，看样子只能是共产主义分配机制才能解决问题。

A5:比如客服，安全运营，业务bp这些就是对象，安全的价值往往体现在没发生，财务价值是少了什么成本。

A6:像我们这种企业，原来有很多需求是做不了的，现在可以做了。还有的企业，是需求跟不上研发了……那样一定会触发裁员的。

如果员工变快了，但公司没变富，那只能说明原本做的就是无效需求。它不该如此。要知道用AI是很贵的，如果成本增加了百分之几十(不管是买卡还是买电)，公司没变富，这是不可接受的。

A7:感觉大模型带来的劳动转移（现有岗位减员）是必然，技术进步必然伴生的春秋战国时期，铁制农具的出现和广泛使用，大量农民释放出来成为军人，促使了大一统。

欧洲工业科技突破，大量劳动力释放出来，进行全球殖民。现在AI带来的生产力全面提升，感觉释放的人力只能通过星际探索和移民去消化。

A8:对社会下来这一段的发展情况，有点悲观，先进的生产力都挡不住的（你不发展、你的对手也会大力发展，到时候会被降维打击）那么多人被释放出来，很长的一段时间内是不是社会还能稳定发展不。

A9:这个我没想明白，生产力提升后，物价应该降？广大人民工资提高不了，但购买力要提升？

A10:我会觉得，难道业务平时是干得完的么……按理说搞得更快了，但是活其实是做不完的才对。以前干不完，也就过来了，没啥大事，说明不都是必须要干的。除非能带来财务价值。

A11:像安全类的工作，太多本应该做，因为资源不够妥协了只做了一丢丢，大家都是知道很多安全问题一直在。

A12:就拿最近的龙虾焦虑，本地化部署的龙虾，因为所有的权限都给龙虾，龙虾才强大，要正儿八经的加固，非常费力，还不一定能干得好，现在火爆的大规模安装应用，都在等看啥时候再出大事……

A13:不会真有人往生产上搞吧，搞搞个人环境了不得了。

A14:真有，我们公司，挡都挡不住那种。

A15:做好备份吧，其它也说不了啥了。

A16:公网暴露6万多个，已收录漏洞245个。

《当 AI Agent 拥有系统权限：OpenClaw 安全风险全景分析》

A17:个人电脑，无公网IP，也一样危险呀。那么多skill里面暗藏玄机，随便下载安装一个组件的供应链风险也大概率存在。提示词注入，数据外发到什么大模型……

A18:问题是龙虾这种生产模式一定会慢慢进入业务环境的。

A19:两个团队是竞争关系，A团队大力鼓励使用各种AI新工具、B团队因为担心安全问题不鼓励使用各。按照当前的情况，大概率A团队会把B团队卷死，类推到两个公司竞争、两个国家竞争，应该都一样。

A20:以及授权后的凭证混用，被别人调戏。龙虾们现在还有自己的学校，去学校以后，也不知道会不会学坏了回来。反正大木马，继承自己的权限，又快又危险……

A21:挡不住，春节后都是这种业务需求，比如数据分析团队希望，用龙虾接数据库，一句话龙虾自己给出数据分析结果，但我给了一大堆权限怎么设计，你不需要龙虾啥的。最后业务说我本来不用开发，你这么搞要开发这么多东西，还让不让用。

A22:没法不让用，只能说你用工具不能绕过公司原本的变更控制，不审核让龙虾控制生产造成损失了你负责，你把数据离线复制一份，龙虾爱咋分析咋分析，你让龙虾直接接管生产数据，破坏了你恢复呗。

A23:AI有个方面不能代替人，就是承担责任。

A24:哈哈，人类的背锅属性无可替代。

A25:法院认为，人工智能不具有民事主体资格，不能作出意思表示。

《“如果生成内容有误，我将赔偿您10万元”，全国首例因“AI幻觉”引发侵权案宣判》

A26:AI技术实现的是脑力解放。上一次工业革命实现人类体力解放，机器/电器，可以让你坐汽车/用洗衣机，人的生命不再需要浪费在重复体力了，一台机器干你10个人的活。

而AI，让知识本身变得容易获取了，你出生，苦学26年，大学毕业，学到的xx论，思维训练，对AI来说，只是多一点点参数的罢了。

它有点像"电"这种的技术和科技重构，你环顾一圈，今天人严重依赖于电力，没电根本活不了。 但我认为至少眼下，它远远比不上"电"。

A27:以后出个AI电子签，授权AI可以承诺担责。

0x2 群友分享

【安全管理】

《OpenClaw智能体系统安全风险揭示及治理建议（一）》

《OpenClaw智能体系统安全风险揭示及治理建议（二）》

《企业级部署“龙虾”OpenClaw安全防护和基线配置》

【漏洞管理】

《人工智能重要安全漏洞的通报-openclaw多个安全漏洞》

【安全资讯】

《一只能安装龙虾的龙虾，才是好龙虾！》

《腾讯全系“龙虾”产品矩阵来了，个人可直接调用》

《Proton  邮箱再次出卖了用户》

《券商内部，紧急提示“龙虾”风险》

《关于OpenClaw安全应用的风险提示》

《我一直在等的那场AI事故终于来了》

《胡  图 | 网络黑灰产犯罪阶层式证明》

【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的精华话题会同步在本公众号推送（每周）。根据话题整理的群周报完整版——每个话题甲方朋友们的展开讨论内容——每周会上传知识星球，方便大家查阅。

往期群周报：

大模型业务隔离与公共WiFi安全合规挑战｜总第310周

AI管控的两难困境，与业务隔离下极小带宽防DDOS的现实挑战｜总第309周

《企业网络安全实务：业务防护、合规落地与供应链风险管控》｜总第308周

如何进群？

如何下载群周报完整版？

请见下图：

‍

‍

‍

‍

‍

‍

阅读原文

跳转微信打开

]]> Mon, 23 Mar 2026 08:01:00 +0800 大模型业务隔离与公共WiFi安全合规挑战｜总第310周 https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492376&idx=1&sn=75d00976f9887f6fa24eff950c559c0b 本期周报简介： 1、大模型应用中，不同安全等级业务（如办公、研发）共用算力时，如何实现数据隔离与网络风险管控，同时控制部署成本？ 2、公共WiFi已实施实名认证和日志留存，但仍被通报未采取安全技术措施，可能原因及整改方向是什么？ 原创 群秘 2026-03-18 08:03 北京

本期周报简介：

1、大模型应用中，不同安全等级业务（如办公、研发）共用算力时，如何实现数据隔离与网络风险管控，同时控制部署成本？

2、公共WiFi已实施实名认证和日志留存，但仍被通报未采取安全技术措施，可能原因及整改方向是什么？

0x1本周话题

话题一：对于目前大模型应用，如果模型应用分别涉及办公业务、代码研发等不同安全等级的业务，大家怎么做风险隔离？如果仅是在模型上做应用隔离，安全性仍然不足，但如果依据业务所在网段在不同的网段单独部署ai服务器，成本又很高。这个安全与成本的问题如何解决？

A1:可以把LLM当作一个API服务，你思考下，你对这个API及其应用风险会怎么管控？如果是我，我会在这个API外面包一层（网关、墙），在这层上面做区分、隔离、检测、审计。

A2:关键风险是怎么给llm喂不同环境下的数据。这个场景算开发和生产未隔离吗？你们开发和生产用的模型是同一个吗？

A3:大模型的数据调用安全我们也在找理解方案，AI团队希望能有个数据安全网关来解决，感觉网关承担的责任很重大了。

A4:不同环境的数据都喂给了大模型，至少实时处理时，这些数据肯定在大模型服务的内存里，api调用的时候，大模型得自己进行隔离数据吧。

A5:网关都是外置的，能有好的拦截效果吗？

A6:这好比要做数据分类分级啊，输入的东西很乱，区分难度不是一般大，感觉可行性不高。

A7:在当前大模型安全解决方案不是很成熟的前提下，这种应用层面的隔离我感觉风险比较大，出了问题安全团队要承担很大的责任。

比如上面我说的公文写作和代码研发都部署在一台ai服务器上，那这台ai服务器一是要联通办公网和研发网，打通了原本隔离的两个网络区域。

二是办公数据和研发数据等不同安全等级的数据混杂在一台服务器上，这个风险隔离难度很大。

A8:那怎么确定那是个公文写作，而不是孩子的作业，又或者是个外部的报告？

A9:这个不符合环境隔离要求的，是不是建议架构上调整。

A10:我们之前考虑是不同安全等级的业务必须部署在不同的ai服务器上，比如办公业务使用一台ai服务器，研发业务使用另外一台ai服务器，但这样搞成本又很高。

不知道大家有没有合适的解决方案，这个问题和云计算业务面临的风险感觉是类似的。

A11:可以把llm部署在生产按照生产管理，并且有应用代理进行应用隔离，数据出去做审计。

A12:如果部署在一起，难道共用几张卡就够？不现实啊，实际算力还是分开的。

A13:像公文写作和代码研发业务共用算力是够的。先搞一套出来试试，给大家趟一些经验，先只接一个环境，说不定搞了一套之后不好用，业务就不推了，现阶段只让接一个环境数据。

A14:需要同步搞，不能一个个来。我觉得可以参考大模型多租户数据隔离的方案，看你需要隔离到什么程度，底层其实是SaaS用户的隔离。

A15:我就是对通过应用层面来做安全隔离的可靠性存疑，如果共用算力底座等于该ai服务器打通了各业务网络区域，同时融合了不同安全等级的业务数据，这个和单一应用api安全面临的风险程度是完全不一样的，当前这块成熟度我感觉还是有问题。

A16:从底层来看是这样的，而且llm的应用在这块可能风险更严重。不过我觉得思路上是可以借鉴云租户或者SaaS租户隔离。这块的思路是成熟的。我有看到一些技术方案，但是不知道实际效果。

A17:是的，我也觉得他和云计算业务面临的风险是类似的，可以考虑参考云计算的管理思路，但这个要求安全团队具备云计算安全的管理能力，这个对于甲方来说，大部分应该都不具备这方面的能力项。

A18:这块确实对技术和管理能力要求挺高的。要自研实施后端的隔离，需要的软硬件研发力量也不是一般单位能搞定的。或者从风险角度来看，这块的风险到底有多大，值不值得分开单独部署。

比如调研下输入输出数据一般都有哪些，各级各类占比多少，如果大部分数据没那么敏感，是否也可以考虑以管理的方式要求不得处理某些数据或业务。未来有了成熟的技术方案再随时调整。

A19:我们当前的应用方案风险挺大的，一是打通了原本严格隔离的网络区域，二是不同等级的数据混杂在一起。

A20:风险足够大，我觉得还是值得单独部署的。相比数据，我觉得打通网络隔离更严重。要隔离这种方案我们咨询过专家建议上网闸。

A21:网闸只能解决网络攻击通道的问题，解决不了数据非授权扩散，ai 融合了了这么多不同业务属性，不同密级的数据，靠前端做输出过滤很难有效隔离数据权限。

A22:按理说，喂给大模型的数据，大模型学习后肯定是无所不知了，怎么让大模型对调用大模型api的人，将自己所知道的信息守口如瓶。

A23:会有隐私模式，开启后会在请求头加一个标签，这样就不会留存学习了。骗子人都防不住，怎么指望大模型能搞清楚。

所以安全域划分，数据分类分级，都不留存学习，效果又上不去。太阳底下没有新鲜事，大家认为高价值的新数据，在给大模型前，大概率都被消费过了。

话题二：最近遇到一个问题，公共场合的wifi安全被查了，也做了上网行为管控，流量管理，但是还是被通报，通报内容比较模糊，就说没有采取安全技术措施。大家有没有好的建议？

A1:有没有做实名认证？

A2:做了，日志也有60天保存。

A3:关掉。60天不够，需要180天。

A4:可不敢，现在患者满意度，就有这一项，患者不满意投诉到12345。

A5:后台接公安了吗？

A6:黑白名单关键词拦截？

A7:上网行为有这个功能，找和监管通报合作的具体厂商技术指导一下。

A8:UOS 弹了。

A9:什么通报形式，发官微了？

A10:是的，但是给到了卫健委，没有到医院，领导们开会回来就说，我们面面相觑，我不知道错在哪里？领导也生气呢，过年了，我就给它关了，还有彩屏，降本。

A11:不建议自己建，让运营商提供，当作公共基础设施。深圳这边之前政府办事大厅的wifi就是运营商统一提供的。

A12:没找你们调取日志，说明不是日志存储问题吧。

A13:运营商不来，说不划算。有一年his厂商直接说我们医院规模小，战略性放弃，政协来医院调研，我直接说，his厂商（医疗的HIS系统，即医院的收费系统厂商）说了，战略性放弃。

A14:这个不用纠结，不是技术层面的事情。有认证吗？

A15:那就换一家运营商，要能溯源。

A16:有，手机验证码。不能超过7天。

A17:下次换宽带的的时候，跟运营商说：你做这个，我就给你续宽带续专线，你不做，那我换个能做的进来。

A18:现在运营商也竞争激烈，都抢着做项目呢，会有运营商肯做的，有些厂商是这样的。

A19:一下子换不了，医院收费比较复杂。his按地区蛋糕分的差不多的，这玩意因为要接入医保，卫健委能认证的也就那几家。

A20:公共wifi 单独领出来吧，跟 his 没关系吧？

A21:其实可以一样的套路的。三大么，存量客户竞争，建议你可以先和另一家谈一下，说我明年打算专线和宽带都换你的，但是需要你部署一套公共WiFi类似cmcc这种，你评估一下能不能做，能做，我就和你签。

A22:上网行为策略是不是设置太简单。如果他说能做，你去找现在的那家，跟他说，我的公共WiFi你做不做，不做我就换掉你了。

和这个没关系，本质上是关系的问题。这个只能扯出去，网安认证的公共WiFi有几家产品的。本质上追你的责，你是过不去的。

A23:因为不说细了都不知道怎么整改，所以最优解就是抛出去给运营商做。至于怎么做，和领导商量。

A24:运营商做这个比较省事，很多机构都是这样。运营商的公共WiFi是有公安部的认证的

A25:他们有标准的产品，运营商很卷的。所以谁也不能挑刺，谁挑刺，谁就是和公安部过不去。

A26:标准的就是cmcc那一套是过了认证的。除非给你做定制化的。share个刚看到的东西，信创的朋友们要注意了。

A27:信创随着用户量的增大，漏洞会非常大。很多产品漏洞少，是因为使用量少，使用量上来了，关注度跟上了，cyber security也就随之而来了。

A28:信创的漏洞都发M文，很不友好，明明有编号。除了可能侵犯肖像权，其它真的很有想象力。

0x2 群友分享

【法规解读】

工信部、网信办、公安部联合印发《网络产品安全漏洞管理规定》

《网络犯罪防治法（征求意见稿）》公开征求意见的公告

【安全管理】

《锐安全架构全景图5.0版重磅出炉！10大框架让你看懂AI安全》

《当 AI Agent 拥有系统权限：OpenClaw 安全风险全景分析》

《OpenClaw安全使用：从漏洞分析到安全落地的实践指南》

《“养龙虾”之余，企业需警惕AI Agent落地的5个安全管控大坑》

【漏洞管理】

《Claude Code遭入侵，RCE漏洞可窃取组织API密钥》

《黑客组织宣称攻陷以色列迪莫纳核设施，公布控制界面截图》

【安全资讯】

《Claude新模型4.6来了！更多饭碗没了：华尔街财务、编译器、安全白帽、PPT…通通失守》

《OpenClaw删光Meta安全总监邮箱！连喊3次停手都没用，她狂奔去拔网线》

《2028年全球智能危机——一份来自未来的金融历史思想实验（中文版）》

《知识产权与AI新动态——Bartz v. Anthropic PBC 案件：非法使用其受版权保护的书籍来训练其AI模型是否侵权》

《“满200减200”，豆瓣市集几乎全部商品被薅空，官方发文致歉：无法承受巨额损失，将自动退款》

《AI“养龙虾”走红，官方提示→》

《你的 LLM 并不会写“正确的代码”，它更擅长写“看起来像对的代码”》

《凌晨3点，阿里云防火墙疯狂报警：AI智能体在训练中「自主演化」出挖矿和网络隧道！》

【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的精华话题会同步在本公众号推送（每周）。根据话题整理的群周报完整版——每个话题甲方朋友们的展开讨论内容——每周会上传知识星球，方便大家查阅。

往期群周报：

AI管控的两难困境，与业务隔离下极小带宽防DDOS的现实挑战｜总第309周

《企业网络安全实务：业务防护、合规落地与供应链风险管控》｜总第308周

信息安全实践：等保系统管理员职责落地、DMZ代理架构解析与敏感文档防泄追踪｜总第307周

如何进群？

如何下载群周报完整版？

请见下图：

‍

‍

‍

‍

‍

‍

阅读原文

跳转微信打开

]]> Wed, 18 Mar 2026 08:03:00 +0800 AI管控的两难困境，与业务隔离下极小带宽防DDOS的现实挑战｜总第309周 https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492369&idx=1&sn=3542fd2e2ad736a87f0fe12b4dca87bf 本期周报简介： 1、员工用AI提效与数据安全矛盾，自建跟不上，网关审计可行吗？有哪些坑？ 2、10M带宽业务受到大流量攻击，清洗后残余容易打满专线，最优的解决办法是什么？ 原创 群秘 2026-03-16 08:02 北京

本期周报简介：

1、员工用AI提效与数据安全矛盾，自建跟不上，网关审计可行吗？有哪些坑？

2、10M带宽业务受到大流量攻击，清洗后残余容易打满专线，最优的解决办法是什么？

0x1本周话题

话题一：属于是新的挑战了，禁了不行，不禁又会出现各种非常规操作，自建又不好用，大家怎么看？

《你的 AI，可能已经被“夺舍”了？》

A1:AI治理新挑战。这跟一开始安全封禁一样，禁止完了还要给大家一个可以解决问题的路径。软件、数据都是这样。

A2:不太好解决，领导一边说：这个不行，让AI给你润一下。一边说：你这个用AI？数据安全如何保证？感觉自建就得跟上，不然就靠自觉。

A3:按照现在的发展速度，自建根本不可能跟得上，更何况在目前的算力设施受限的情况下。

Q：开源模型私有化部署呢，是否可以跟得上？

A4:跟不上，别的不说，就说claude code，效果很好，要满足它的算力需求，成本可能高于招聘开发。花钱订阅其实是最省钱的，巨头们都是亏本在做。

A5:要自建就会衍生出很多各种需求，要能对接公司这个那个，易用性等等的，这个需求会无穷无尽。然后结论就是你这玩意不好用。

A6:CC这种，如果私有化，一定要做到7*24跑，晚上不跑满，那就亏死了。

A7:比如我有500个开发，满足200人的畅爽使用需求，成本可能是5000万，开掉300名开发，极大优化了效率，然后等做到，说claude code过时了，而且企业图啥呢。这东西我也不知道怎么办才好，很难，只能告诉大家脱敏去做，内部标识化信息不能出，进的内容做检查。

A8:做个网关咯，像现在很多人做的那个CC中转站生意。做网关，就是收敛啊，能探测进出的。

A9:堵不如疏是吧，不错。没想好怎么落地，要对内容做监测，上网行为代理做不到吧。除非智能体自己部署，模型用外部的。这样就能管内容了。

A10:做网关我理解就算做好了解决的也是大模型API的场景，解决不了toC的场景。

A11:现在很多人做CC模型中转生意，就是搞个中转网关啊。

A12:就是类似这种（https://c.tokhub.ai/），你只要有了API，逻辑上你就可以做，一个壳封装所有大模型的API应用。然后把那些大模型网址给全封了。

A13:至于8小时外的问题，就只能靠教育了，然后你如果用了要拷进来吧，就可以上一些管理手段

A14:搞中转站点生意的很大一部分不在于订阅的费用。

Q：他这种商业模式是什么，我还确实没理解。为什么不直接向大模型去买token呢？是便宜？

A15:需求来源是国内支付不方便，经常被封，切账号不容易。

A16:多合一，还有海外有些AI限制国内IP用之类的，使用比较麻烦。

A17:“解决支付”、“能开发票”、“所谓合规”、“通道稳定”。一部分是利差（模型不一定是你指定那个），还有很大一部分是数据挖宝。反正你默认自己裸奔。

A18:token是便宜了，有一些成本在卖你的数据上了。

A19:用的时候就要有心理准备。比如内部代码上下文肯定还是不许用的，还得琢磨琢磨。类似这种平台，统一采购，也能拿更好的折扣吧？所以可以用比原厂低的零售价。

A20:好像没解决核心痛点，有内部信息的只能用内部模型，脱敏后，我还何必给个网关。其实就算做网关DLP，在目前金融的监管下风险还是很大，文字材料具体数据输出可以脱敏，总不能连战略方向都改吧？那代码呢，这咋改？

A21:如果真的量大，和MINIMAX，智谱，或者阿里那些，聊个专区，也不是不可能。国内只是解决了一小部分，应该说用境内的是底线。

A22:一年之后，国内模型虽然可能还是比不上国外模型，但已经比你用外包开发靠谱了。

A23:国安部都通报案例了，还敢用境外的。除非以后模型基建新发展，出现算力云计算Paas，应用层能分区扩展，数据全部是专区存储，那还行。

A24:其实验证很简单的，目前大模型没有长记忆。反正我觉得字节的能满足需求，然后claude code改智谱也挺好，都能满足做个原型、新项目、工具的需求。大项目也没机会验。只有大模型厂商能向国内监管和安全部门证明每个上下文的CLEAR都会清空，不会任何存留，那么就可以了。

A25:有句话特别对，AI说了很多年，但2025年证明了它的应用场景，未来一定是蓬勃发展，算力设施这些都会跟上。现在算力贵，说不定也会把价格打下来。

A26:程序员努力的把自己给淘汰掉了。

A27:然后也会有消耗token不那么多的智能体，真的，太完善了。

A28:等保，模型报备，如果大家跑过一遍就知道，技术细节不可能真的能管到。伟大的互联网精神实践。

A29:其实我觉得还好，因为大模型的API输入输出都是明文的。反过来就是容易被监管。

A30:生产力提升后，理论上应该提高生活水平。现在貌似是生产工具提升了，生产力和需求并没提升。那就只能少招点人了。

A31:那不是，当智能起来，研究就会起来，新技术就会起来，比如蛋白质不需要种了，电加水就能生成，不用养殖了，解决饥饿。

A32:同样的事情，MINIMAX会准确一点，GLM会错的多一点，但MINIMAX实在贵。就是一个客户端啊，配个glm4.7一样跑起来，问题不大。效果没那么好，但满足开发需求没啥问题。

minimax就是比较贵，比GLM4.7好，不过GLM5年前也准备出来了。DS M1也出来，群魔乱舞了。我个人用glm4.7够用且负担的起，不知道新的出来会不会涨价。

A33:买个卡，自己部署minimax。

A34:感觉过不了多久，算力会和电力一样成为公共基础设施，以后算力就是钱。现在家家户户交电费，以后没准都得每个月交点算力费。生产力提升，是靠机器替代青壮年，提高生产率。

替代的结果，是少数青壮年做更收入更高的任务；更多的低端的青壮年滑向收入更低的工作。科技向善，更多是一种祈祷。逆水行舟不进则退才是社会规律。

A35:你以后没有算力，就等于你自己少了一个脑，那你做任何事就像个少一个小脑的人，思维缓慢，动作缓慢，而且还要睡觉。没算力，可能成为一个斩杀线。

话题二：想调研/请教个场景，某业务要和其它业务分离，自己的需求带宽不超过10M，互联网接入一般通过公有云防DDOS，但公有云和私有云之间的专线拉多大带宽？如果是10M，正常业务能满足，但不用分布式就能打死了。

A1:都专线了，ddos打不进来。

A2:公有云那层能全防住，专线只用考虑正常业务大小是么。

A3:是啊，抗d清洗的情况。要是流量的话，不影响。要是cc攻击的话，看清洗后透过去的有多少。cc要是清洗后还有剩余，剩余request 或 response也有可能超过10Mbps。

A4:那很有可能超过10M啊，太小了。mpls类的专线都可以扩，那肯定要留一些buf。

A5:大家一般怎么做的，一直扩到撑住为止么？

A6:看业务需求，做好双活，活着，冗灾。一般主备2根专线，看业务sla，要是别人能接受断一会，那就不需要那么高资源。

A7:比如做了三活，每地2根线，主站点被打死了，切备节点，那也是跟着死罢了，毕竟都是10M。要是业务可用性sla，要求高，那就加钱加资源。按99.9%算吧，全年能接受断8小时。

A8:抗d能力，清洗策略和宽带资源都一起考虑合适。抗d清洗能力被d的时候扛不住的策略。比如国外IP全部拉黑？频率超过多少，拉黑。

A9:现在有个畸形，可能抗d这里要考虑百G的防护，但业务需求只有10M。

A10:无损方案和有损方案都得做，做完演练。百G都是流量ddos那个不影响。要是cc 攻击，来了1000wqps 。你的压制策略不好，照样挂。现在cc攻击只要不是模仿业务 进行cc，一般特征都好自动化找。不过现在很少有按照业务逻辑的cc，都是暴力cc。

A11:我是有鉴权认证的，类似于所有请求我都会拿到微信小程序检验身份那样，但他暴力cc也用我的带宽。

A12:你云入口宽带多少呢。不会也是10m吧。

A13:云入口是弹性的，专线带宽容易被打满。业务怎么想的呢？业务肯定会问，要多大合适。业务想知道要花多少钱能解决。

A14:所以还是要有方案以及数据。一般现在免费cc 都是50-100万 qps吧。100w qps 清洗后 还有多少流量 可以测试一下。

A15:不同的cc 还有抗d 策略不一样。有数据了，告诉业务抗d我们的能力，超过多少能力我们无能力。ddos 就是拼资源的活。比如，业务预期是防护100gbps流量攻击500万cc。超过安全肯定尽力，不保证sla，在里面范围，安全得防护住，给sla保障。预期多少，看业务出多少钱。

A16:一个只要10m带宽就能满足的业务，需要买抗d吗？

A17:架不住有一些行业，恶意攻击多。同行打死你，他就是唯一供应商。支付行业一般宽带没多少。他们是网联，央行爸爸的亲儿子，估计也没多少同行敢动他们。

A18:大家近期有遭受特定省份的ddos攻击吗？

A19:按10m带宽评估，应该也不是大批量推广的一个系统吧，还是独立线路，被d了不就被d了吧，平常业务下载一个大文件都可能达到10m。

A20:我们持续了挺久时间的，虽然都拦了，但被D得很不爽。都是cc，各种请求静态资源。百 G 攻击过来云 ISP 先把你丢黑洞了，谁给你清洗啊，扛住百 G 攻击流量做清洗成本太高了。

A21:所以你给了我思路，我就讲通用能力和SLA，简化对抗，让他选套餐，让我兜是个无底洞，是有不妥吗。

A22:10m 的业务没必要考虑100G 攻击怎么清洗，性价比感觉不划算，100G 高防一年保底费就得25w 左右，100G 攻击每清洗一天还得1-2万，啥业务有这必要么。而且高防清洗的效果都比较粗颗粒，主要目的是降带宽占用，要么洗不干净，要么误杀一片。

A23:首先安全别特么天天想着兜底…也别天天想着SLA，但凡真给业务兜一次底，业务就会觉得你是能兜的，然后啥改进都不会认真做。有些文化不是很好的公司里边，别人就等着你某天兜不住呢。如果有天有人跟你说一个公司里安全有兜底的责任而不给任何指挥的实权，赶紧撤。你看，即便是烂尾楼，也都会配个保安看着不是？

A24:要能动的了抗D抗C, 你需要能控得住能动架构和网络的人，抗C上，你在业务层需要能指挥得动业务，听你做防范未然的改动，涉及业务架构或者有时候还要深入业务逻辑。

抗D这块，需要十分熟悉网络层面，你需要能指挥做的出快速对抗和快速逃脱的决策和动作，要去思考以小博大而不是我今儿投入了多少谁给我保证了什么SLA。 

如果光说谁清洗了，买哪个设备，最后总归都会陷入成本的纠结中去。老板一问起来你对于拒绝服务攻击做了啥啊？答: 我买了服务……… 这回答确实还不如我甩了锅来的耐听。

A25:所有业务都喜欢说我要办这个事，技术怎么办成。所以来调研来了。我感觉事前问总比不告诉你直接上线强，大家达成一致预期。10M这个场景看来真的有点特别。

A26:虽然ddos这种东西在最后确实是资源比拼的事情，但是实际上，大部分的ddos都是有固有弱点的，大部分场景下是可以做到损失十分微小的以小博大的对抗的。 就10M带宽的场景来说，就连清洗方都懒得赚这个钱。

A27:不光是赚钱的问题，是怎么识别的问题。我感觉有点为难，1G能做，100M小了点，这10M。

A28:就这么讲，某个云运营商的一个机房出口可能是1个T, 有一个1G的流量过来……如果是扫段的DDOS...都不会在告警线上。考虑攻击目标是100G的，流量的有云CDN挡着，云WAF可以再配置API防护，不会全到业务专线，业务专线就会比较小，实际需求是10M。

A29:云清洗就行了。这玩意一般就打一下试试。发现你没咋地就不打了。实在扛不住就换换ip。

A30:洗的很不干净的，10G 攻击洗完剩个200M，你这10m 小水管也爆了。

A31:自己水管也得大，值不值得投入要看是啥的业务了。跟水管大小没关系。

A32:我们云服务商倒是已经招采到了，抗D服务弹性IP边缘服务什么下单就行，倒是不缺工具，就是没能解决这个10M的场景。不过我现在心里有数了。

A33:我记得十几年前有个游戏公司新上线的游戏总是被竞争对手D, 然后来找我。我给出了一堆主意， 让他们抗过了几次，但是都很吃力。后来想想不对，这家公司的主营游戏那么大流量为什么没事，新游戏就被竞争对手压着打………后来一看他们的拓扑架构，大带宽机房里挂了个TPLink....

A34:抗D 服务不等于能抗得住，本地出口清洗看带宽，云清洗就得引流到清洗中心再回源，各种坑等着你踩。

A35:水管小也有水管小的玩法，比如阿里云非常不喜欢你频繁换ip, 说污染了ip信誉………实际上历史上有很多人不买他们的抗D服务，而是通过频繁申请IP变更DNS来逃避攻击。

A36:哪个云都怕污染ip，经常有租户莫名其妙被发流量攻击，最后一查 ip 之前给游戏公司用过。所以其实方法是很多的，能硬抗的都比较硬，也怪不得他。几年前就有人用公有云服务搭抗D 服务，借鸡下蛋。

A37:云服务商不会那么轻易让你下蛋的。他是业务宽带10m，入口宽带不限制，可以弹性的。之前亚马逊收费一个bug 按照对外流量收费。在抗d这一块用的很舒服。流量类型的ddos 一般对外流量几乎没有。

A38:很多D的目的不是把你D死，而是把你的IP D进黑洞……实际上利用的是ISP的防御策略。所以不用思考什么技巧，你10m，他会打100G流量过来，你20G带宽，他打的也是100G。

所以，10m的核心对抗问题是，如何快速逃脱攻击，而不是怎么扛。这种自行设定的策略和手段，就需要你根据业务和架构好好设计了，你买设备什么的，是买不到的。

0x2 群友分享

【法规解读】

《关于报送未成年人个人信息保护合规审计情况的公告》

通知 | 国家网信办发布《互联网应用程序个人信息收集使用规定（征求意见稿）》

【安全管理】

《前沿 | 智能体安全风险评估与防御技术综述》

【安全资讯】

《基于大模型技术提升医院网络安全运营能力的研究和探索》

《多院区医院网络安全及边界防护体系建设与实践》

《全网首发！银狐团伙2026年开年最新黑科技深度拆解！》

【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的精华话题会同步在本公众号推送（每周）。根据话题整理的群周报完整版——每个话题甲方朋友们的展开讨论内容——每周会上传知识星球，方便大家查阅。

往期群周报：

《企业网络安全实务：业务防护、合规落地与供应链风险管控》｜总第308周

信息安全实践：等保系统管理员职责落地、DMZ代理架构解析与敏感文档防泄追踪｜总第307周

安全考核跨部门落地与编码规范执行：机制设计与技术实践｜总第306周

如何进群？

如何下载群周报完整版？

请见下图：

‍

‍

‍

‍

‍

‍

阅读原文

跳转微信打开

]]> Mon, 16 Mar 2026 08:02:00 +0800 Offer已就位｜知其安春季校招来啦！ https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492363&idx=1&sn=e245b34e89aff547f584a03b0d82e06f ​1. 九类岗位齐发，面向毕业 2 年内毕业生。 2. 北京，上海，深圳，广州四地都有 3. 从事 AI 智能体方向，业务需求和实战机会多，让你快速具备 AI 时代的能力和经验。 欢迎转给有需要的毕业生，让大学生和企业更好的适配。 专注安全运营的 2026-03-13 13:07 北京

​1. 九类岗位齐发，面向毕业 2 年内毕业生。

2. 北京，上海，深圳，广州四地都有

3. 从事 AI 智能体方向，业务需求和实战机会多，让你快速具备 AI 时代的能力和经验。

欢迎转给有需要的毕业生，让大学生和企业更好的适配。

一、九类岗位齐发，面向毕业 2 年内毕业生。

二、 北京，上海，深圳，广州四地都有。

三、从事 AI 智能体方向，业务需求和实战机会多，让你快速具备 AI 时代的能力和经验。

欢迎转给有需要的毕业生，让大学生和企业更好的适配~

跳转微信打开

]]> Fri, 13 Mar 2026 13:07:00 +0800 《企业网络安全实务：业务防护、合规落地与供应链风险管控》｜总第308周 https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492354&idx=1&sn=137c9fed9a86ad7c0716361d677ba33b 本期周报简介：1. 针对业务系统的账号爆破和API滥用防护，应该优先在安全设备还是系统层面实施？ 2. 通知要求替换VMware等产品，如何应对替代难题并满足合规时限？ 3. 开发商未经授权使用我方logo宣传，怎样权衡法律风险与供应链安全？ 原创 群秘 2026-02-10 08:01 甘肃

本期周报简介：1. 针对业务系统的账号爆破和API滥用防护，应该优先在安全设备还是系统层面实施？

2. 通知要求替换VMware等产品，如何应对替代难题并满足合规时限？

3. 开发商未经授权使用我方logo宣传，怎样权衡法律风险与供应链安全？

0x1本周话题

话题一：业务系统层面的账号接口爆破、敏感api频繁调用的防护应该在哪个层面处置比较好？

A1:双因子，就是端要适配。coremail自带支持双因子登录，新设备加短信，老设备用设备可信标识，这样对于普通情况基本够用。

A2:imap、pop接口。

A3:这个是封IP或Session吧，如果在账户级别，就很容易基于暴力破解，构成DoS了。现在这类都是特殊生成的 token 来代替密码。

Q：这些防护措施是在业务系统上做？还是在安全团队的安全设备上做？

A4:个人觉得从安全尽量少打扰业务的原则出发，那么就是尽量在安全设备上做，安全设备上做不到的，再在业务系统上做改造。

A5:找了一个账号的登录失败样本，源ip地址基本上都是不同的。

A6:coremail，建议不要把web对互联网。他们api太多了，研发自己都搞不清楚哪些是特权api，哪些不该对外。如果非要做，做白名单。

A7:一般都是历史沉疴，动了就影响用户体验。动是找死，不动等死，动哪一项都会影响用户体验。

A8:方法都知道，关键是不敢推。

A9:使用token 代替密码，增加暴力破解难度。然后 token 位数不对就可以直接阻断了。

A10:拿了用户密码，偷了邮件数据，以及其它用密码就能互联网登录的系统数据，是谁负责呢？

如果是用户负责，接受风险，那你提示就行了。如果是你负责，那就必须双因素。

A11:他imap，没法 MFA。imap天然有这个缺陷，我经历过随便哪个邮件客户端都能配置接收，被爆破关了imap只留http协议双因素，web被打关了互联网的过程。

要么就是用户对自己密码负责，别被访问成功，这个都知道是靠不住的，要么就是提供靠谱的客户端和接入方式。

A12:token 化吧，都是业内成熟的安全方案。

A13:coremail有客户端专用密码，但用coremail客户端的时候，要用白名单方式管它的互联网api，它api太多了。

A14:这种ip地址更换这么快的扫描，一般怎么申请这类ip地址。

A15:PCDN、移动网关 或 ADSL重播。

话题二：关于证监局下发的《关于加强网络安全产品和服务风险防范的通知》的探讨

A1:VMware怎么平替？替代的难啊。

A2:完不成的还要向地方网信办写说明情况，组织专家论证。VM的替代太难了，国内的那些厂商太流氓了，一点没有支持国内发展的意思。

A3:如果真能实现，国内安全公司赶紧把那些裁掉的人找回来。

A4:真的，来源zywxb。证监局也是落实上面的要求。

A5:都在说这个可以替代，具体怎样，有没有免费版本可以先测试测试？

A6:可以迁移。数据库迁移与他们沟通好，可能有些有点小问题，大部分可以无缝迁移

A7:这个接收范围是什么？在我的理解中，要做的早就做了，不要做的也不受影响。虚拟化所有的云厂商都能做，不是事。

A8:应该是关基，之前只是不让买，现在是这些存量都要替换，难度还是有一些的。而且时间还挺紧的，26年六月。

A9:个人理解这些单位早就有替代计划了，只是这波比较突然，比如原型测试都做好了，原计划2027年换，现在来个通知，就算现采购都来不及啊。

A10:这种事啊，做不到就是做不到，重点还是给监管咋汇报。有计划有措施，已经有进度了，按照之前的要求没有滞后，大概率不会为难。如果外围系统，各种准备都做了，只剩采购的话还真能冲一冲。

A11:但如果200家做得到，20家做不到，那这20家就有麻烦了，我理解原型测试得做好了，不应该现在还没做，说不过去，前提是这个范围。

A13:现在技术已经比较成熟了，能尽早就尽早吧，到时候一起还也来不及。

话题三：开发商把logo挂在他们合作列表中，大家遇到这种情况怎么办？不让挂有点不合情，让挂又担心供应链。

A1:这个要管，没沟通获取授权是不能挂的。和公司法务团队对齐。

A2:如果你担心供应链的话，那就不要担心了，口口相传早传开了，而且真想攻击，不靠看这个。

A3:银行好像法务比较关注这个…不挂最好。

A4:难道不担心吗？比如把这个公司搞了，拿到了一些产品的源码，或者污染这个公司的源码？

A5:口口相传，和放在厂商官网、印在宣传材料、发给客户ppt 里是两个不同的概念。

A6:如果有能力污染这个源码，宣传材料、官网有没有差别不大。

A7:安全风险是其次，有法律和合规问题的，容易出纠纷。有这个考虑的，一般合同都有约定。严格的就不让，但很多公司都无所谓，甚至还觉得不错。

A8:更多应该是市场品牌和法务关心这个，供应链攻击不必担心。

A9:看什么行业了，我们这个行业就供应链供给风险很高，厂商挨个签保密协议。

A10:这几年攻防演练很多都是搞供应链了，如果是软件系统，供应链的识别没这么复杂…杜绝不了太多。

A11:攻击队玩这个可溜了，都是手里有代码，帮你挖0day。

A12:可以考虑这三个方面：

  • 第一评估下招投标公示的风险是否接受，是否接受供应商挂合作伙伴。

  • 第二如果不接受，通过供应商管理、舆情风险、供应链安全(尤其是软件开发)的角度要求其下架。

  • 第三如果谈不拢，那就诉诸法律，这次通过信誉背书、虚假宣传等纬度据理力争，也可以停止合作，并把后续要求加进合同模板，未经你们同意使用你们logo是侵权的。

A13:不让挂是正常的，可以要求下架，不会不合情理，需要你们同意。

0x2 群友分享

【法规解读】

一图读懂 | 《中华人民共和国网络安全法》修改后有哪些变化？

《【网络安全】首个网络安全等级保护第五级信息系统备案证明今日隆重颁发》

《网络犯罪防治法（征求意见稿）》公开征求意见的公告

【安全管理】

《恶意VS Code扩展“ClawdBot Agent”伪装AI助手传播木马》

【安全资讯】

《“如果生成内容有误，我将赔偿您10万元”，全国首例因“AI幻觉”引发侵权案宣判，法院：AI“承诺”不构成平台的意思表示》

《ClawdBot，正在引爆全球灾难！各大CEO预警：不要安装，不要安装》

《全国首家！阿里云飞天企业版通过等保五级安全评估认证》

《黄牛购买3400多条个人信息，用AI合成动态人脸视频，抢购60余瓶茅台再转卖，非法获利1.2万》

【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的精华话题会同步在本公众号推送（每周）。根据话题整理的群周报完整版——每个话题甲方朋友们的展开讨论内容——每周会上传知识星球，方便大家查阅。

往期群周报：

信息安全实践：等保系统管理员职责落地、DMZ代理架构解析与敏感文档防泄追踪｜总第307周

安全考核跨部门落地与编码规范执行：机制设计与技术实践｜总第306周

安全运营实践与DNS应急容灾策略探讨｜总第305周

如何进群？

如何下载群周报完整版？

请见下图：

‍

‍

‍

‍

‍

‍

阅读原文

跳转微信打开

]]> Tue, 10 Feb 2026 08:01:00 +0800 信息安全实践：等保系统管理员职责落地、DMZ代理架构解析与敏感文档防泄追踪｜总第307周 https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492346&idx=1&sn=00b7e263add6fa8eb6f45e184f0f33ed 本期周报简介：1、等保中的系统安全管理员角色，安全策略配置与监督职责在实际中应如何界定？ 2、应用系统对外暴露时，DMZ区代理是否为必须架构？如何定义dmz区代理的功能和用途？ 3、如何结合隐形水印、终端控制与管理追责，进行有效的保护和溯源？ 原创 群秘 2026-02-04 08:00 甘肃

本期周报简介：1、等保中的系统安全管理员角色，安全策略配置与监督职责在实际中应如何界定？

2、应用系统对外暴露时，DMZ区代理是否为必须架构？如何定义dmz区代理的功能和用途？

3、如何结合隐形水印、终端控制与管理追责，进行有效的保护和溯源？

0x1本周话题

话题一：等保中要求的系统安全管理员在系统中具体做哪些配置和操作？在系统中设置这种账号由谁进行配置，是安全部门吗？

A1:是负责管理操作系统的人，不仅管操作系统，也管基线配置，修复漏洞等，没见过是安全部门的。我们这边除了管操作系统的能建账号，业务系统运维的也能建账号，是基线、漏洞修复还是业务系统运维的负责。

A2:应用系统运维。如果由业务运营管账号，估计应用系统至少能分出三级账号，一个it的超级管理员、一个业务管理员，剩下是普通用户。要不然大概率那个超级管理员账号在it应用系统运维手里。

A3:应用账号肯定谁运营谁负责，这也没什么，权责分清楚就行。

A4:实际是这样，那这样与等保中要求的需要设置安全管理员进行安全策略配置等是不是不符了，等保只是这一写，实际不知道让系统中的安全管理员做什么了。

A5:自研系统多的单位，应用运维是不是只管应用发布、中间件、运行监控等维护，业务账号还有单独的业务运维管。

应用启动账号是操作系统的一个用户，系统安全管理员的职责可以管应用账号的权限等。应用内的用户，那就是用户，可以进一步分角色管理员、操作员、审计员。

A6:我的理解等保中安全管理员是虚职，不一定非要一个特定岗位的人，而是需要用这么一个管理安全职能的人。

等保里的系统管理员这个概念可以锚定到操作系统上去，让安全管理账号权限，那安全要懂业务了。那这样也不是安全部门负责，是操作系统管理员负责配置了。

A7:具体哪条？可以单独分析，因为等保现在本来就分计算、边界这些。

A8:都归安全管，其他运维人员负责什么，安全招人把系统账号都管起来，把其他运维都开了吗？

A9:系统管理员负责日常运维和系统配置，安全管理员负责安全策略的制定与监督。安全出策略就好，让系统管理员执行，出安全基线，如果你有hids这些，安全管理员就还可以强化监督责任，就是扫出情况和问题，让系统管理员，应用运维人员进行整改。

A10:道理和落地是这样，但是现在拿等保合规中的要求，要落地到系统里去实现安全管理员的工作。还是建议去看等保文件，比如0071.3里。既然要依据，那就按照去分解。

A11:就是落地了啊，安全指定规则并监督执行。权限肯定不是安全配置，看这个文件安全就是制定规则并监督落实。所以不是自己落实，而是监督落实。

A12:所以一开始的问题是因为有扯皮吗？感觉各位讨论下来挺明显啊。

A13:扯皮问题挺好解决的，找测评机构，商量好，然后留下聊天记录，就可以发给别的部门了。你们有利益冲突，你说的就算是对的他们也不信。合规问题就用合规办法解决。

A14:上面说的安全管理员管理应用帐号权限指什么了？

A15:如果按这个，那就不是。我说的是主机管理员，运维才是系统管理员，但这个词在我们公司内部制度会“转义”，安全管理员管漏扫、入侵检测什么的。因为我们有个岗就叫系统管理员，就是管主机的。

A16:我们主机的是单独的管理员，所以别管岗位名称叫啥，按工作本质来。所以可以像钱总说的，要依据那就结合等保文件要求，获得第三方背书，上升找支持。要不然就交换点啥，运维那边要多做事，一开始肯定不愿意。

A17:漏扫要认证扫描，用这个安全管理员账号是不是也能搭上了？

A18:那不行吧，漏扫的账号应该是非交互式的，安全管理员用的是交互式单位的。

话题二：应用系统做映射出互联网一定要配置dmz区代理吗？如何定义dmz区代理的功能和用途？

A1:不一定，看你想不想尽力做好一点，如果出事能尽快找出来，也是一个好处。严格一点是出网白名单+代理，宽松一点也可以。

A2:dmz区代理这种东西在什么条件下需要什么条件下不需要呢？网上似乎没有明确讨论这个。

A3:dmz的出现还是来自于分级分域的要求，如果宽松一些，所有系统一个大区里，那肯定也行。由于不同系统重要程度、复杂度上去了，访问路径清晰度也有要求了，dmz的需求也就出现了。

dmz是非军事缓冲区，属于你控制，但你不信任，外部不信任输入都应该在dmz完成解析——包括你主动出访下载文件，也是不信任的，如果有web漏洞有反序列化漏洞，就在这里被利用，在dmz区内做被入侵准备，做更严格的访问控制和监控，dmz对外提供http服务，dmz和内部是rpc调用，请求都被处理转换了，而不是纯代理。

dmz代理纯粹是个自欺欺人的东西，仿佛分区了，实际一竿子插到底，这个情况很常见，但是杜绝不掉，一杆子到底其实还不如别要代理。

在评审安全访问链路，威胁建模的时候，都不许这种代理穿透方式，该有的控制没了，需要把实际第一层处理的应用给挪上来。

A4:一项措施并不是仅限于安全，还有统一限流，报文头部统一管理，api级统一鉴权，还有路由分流，应用层acl等，统一入口L7网关都是符合当下应用架构的，L7网关一般都是在DMZ区域。

A5:这个相当于dmz区域的应用已经是一个完整的应用系统，区域的应用处理完处理再与后端完整的系统再进行交互。

A6:所谓的应用暴露，通过统一入口暴露出去。对dmz区域的资源要求也不低。

A7:有L7网关就比较成熟了，通过统一服务解决，都按标准api规范走。其他方面应用层观测，日志，安全措施，你都可以施加在dmz的应用网关上。

A8:那不可能，既然已经有了，很多这做了，规范也定了，现在说我们直接不要了，那肯定不行，合规那层没人能通过。

A9:是在考虑宿主机吗，一般确实是独占的，但如果就3台虚机的情况，就一事一议吧，用一个云底座也不是不行。所以说是骗骗合规掩盖问题嘛，没其它作用，反而不利于解决问题。

Q：这种http到rpc的协议转换通过哪个设备完成呢？

A10:那是google的零信任方案。这个得开发实现了比如web门户网站这种，典型的，web应用在dmz，对外提供http，内部用rpc交互，后面是db。

A11:从工作落地说，偶尔有些特殊情况或者没发现，实质上的一竿子到底，那就后续找机会整改（虽然很难改了）；新增还得继续控制，不然就真的破窗效应了。

A12:也不一定，传统dubbo等都是此类。

A13:我是开发，我也不理你这个需求。业务需求都忙不完。

A14:这个要求不该安全来提，是架构师的要求。那没问题呀。理不理看内部怎么控，怕就怕所有人布个4层ng完事了，安全跟我没关系。

A15:比如很多跟清算机构的，中间业务的，基本都有前置做转换。

A16:安全不能掀桌子，只是说桌子要4条腿才稳，把控制点加在开发流程里，很多事要架构师、质量测试来做。开发不理安全，理不理命名规范理不理缺陷呢。如果理命名规范，就理标准安全方法，如果理缺陷，就理安全漏洞。

A17:如果都不理，那就出事再说吧，抓主要矛盾，说明在现阶段确实不重要。金融一般不会的。比如区块链企业也不会，因为你不理就是资损。

A18:话说，纯粹对防守方溯源来说，也不希望各种转发、调用，就希望进来就是单机系统结束。

A19:创业期的互联网企业真不一定是优先级高的事，但又话说回来，只要他招了专职安全，说明老板还是有诉求了，不会特别小。

A20:这不是个考试，不好直接说提升多少比例。但是很多度量工具。老板们招安全得角度也挺多，开发、架构安全往往都是很高层次的了。

A21:得从攻击视角看有多恶心多难下手多么有阻碍，结合暴露面，横向突破，监测发现等，也不是说分区了就完了，要去发现绕过行为。大的方向我没数据，只听演习组织方讲，做了的比不做的肯定是难搞。

这里面还有一个大的背景，那就是内网app区是信任区，不做监测，甚至不做鉴权。那么dmz就尤为重要，不代理绕过尤为重要，因为信任区你不做了。

如果全网零信任了，都持续验证监测处置了，dmz不dmz的，在实际效用上也就过时了(不过网络访问控制就是比应用访问控制更难突破，不能说没用)。

A22:全网零信任不现实，toC的系统就无法做零信任。总不能要求访问我系统的人都要装一个app吧。

A23:因为没有资源监测整个内网，所以把资源投入dmz，dmz守住了，老板你可以放心睡觉，这么个逻辑。但如果进来是代理，出去是直接出也没监测，换我我睡不着

Q：数据中心出网有什么比较好的解决安全解决方案吗？

A24:那真是有没有一个漏洞远控了在拿着数据也不知道。出访白名单能做的吧，毕竟是业务，是固定的。如果是一个大的数据中心，感觉还是需要微隔离这种东西，把每个系统都隔开。

A25:国内说的零信任装个app那是vpn，前面钱老师说http转rpc我说是google的零信任，因为是在rpc层封装身份检验逻辑，但国内零信任路子走歪了，还有零信任里加入web无端模式，就是一种在http协议里加入认证的一种方式。

A26:银行会分很多dmz，比如银行卡dmz，银联合作伙伴dmz，自己业务线之间也互相不信任，怕你被攻击影响我。对，beyondcorp，其实零信任不是干远程访问的。

A27:如果有企业大量用零信任无端模式暴露应用出去的，他本质都是一种代理模式暴露，印象中何艺总家产品落地挺多。这就是很典型的一种在入口施加额外验证逻辑的案例

A28:国内的零信任现在就是vpn+应用代理，销售吹嘘把产品概念都吹歪了。

A29:一般用法，但用的好的也有的，不是仅仅vpn。因为这有助于厂商卖标准产品，甲方自己都很难推动业务系统做适配，这让厂商很难办。

话题三：对于分发一些敏感文件，打上显性水印后遭到恶意截图或拍照去除水印，类似这种情况有办法可以保护文档并追踪吗？

A1:水印只是一种威慑，根本是要做好可见范围控制。

A2:可以参考这几个方面：

  • 视觉隐形水印（也就是“盲水印”） 这是目前的行业标准。把员工 ID 藏在图像的频域数据里，肉眼完全看不见，不影响阅读。 就算截图被裁剪、涂改、旋转、甚至压缩发微信，只要核心像素还在，后台跑一下算法就能提取出是谁泄露的。

  • 抗屏摄矩阵（专门治“手机拍照”） 针对“掏手机拍屏幕”这种物理泄密。技术原理是在屏幕显示层加一层极淡的、人眼会自动忽略的噪点或纹理。 人眼看不出，但手机摄像头的感光原理和屏幕刷新率配合后，拍出来的照片里会有特定的纹路（类似摩尔纹）或者隐藏信息，直接暴露拍摄者 ID。

  • 文本结构指纹（治“OCR 转文字”） 如果对方把文件转成纯文字发出去怎么办？用这个。 给每个人分发的文件，字间距、行距都有极微小的差别（比如 A 的版本第一行宽 0.01mm，B 的宽 0.02mm）。这种微调肉眼不可见，但只要排版还在，就能反推是谁的那一份。

A3:没有用，转拍，模糊化处理，降低分辨率等一系列操作，隐性水印就失灵了。只要人能看到明文，就永远能手机拍屏。目标是提高成本+ 降低可用性 + 提高溯源概率。做给老板看的。

A4:毕竟还有人脑记录口述的方式，还是优先控制敏感可见范围。

A5:如果手抄，然后再重新打出来，就没手印了，所以这个水印有什么作用？

A6:还是要加大惩罚追责力度是治本的疗效，技术手段只是辅助。违规成本高了，违规行为违规心理都会指数级下降。

A7:技术辅助，法务追责，技术不可能100%解决的。防君子不防小人，技术没办法100%兜底，还得上些管理手段。

A8:明暗水印都挺有用的，只是不能认为是银弹，如果加强下终端产品的例外和审批设计功能，就更好了。不能因为有人闯红灯没有被拍罚款，就说红绿灯和探头没用嘛。

A9:其实已经有技术手段了，该以儆效尤了。抓到这个人杀鸡儆猴比升级技术手段来的成本低，效果好。建议双管齐下，人的事情比技术复杂多了，不可能天天杀鸡…杀鸡成本可不低，特别针对人员流动性高的岗位…

A10:太麻烦了，直接ocr识别提取文字输出就行了。如果是拍摄图片，内容只有文字的话更简单直接对图片二值化，然后降噪也可以。

A11:不用写出来了，口述内容也可以，关键是内容，而不是形式。二值化之后水印非黑即白，很容易看出来。

A12:话说回来，防的是多数岗位的人，如果平日习惯不好，也会露出马脚。他们技术对抗能力弱。每年抓几起，通报处理紧紧弦，达到威慑和发之前三思的想法，目的也就达到了。

A13:有些安全公司的产品通过电脑摄像头监控人员的拍照动作，一旦检测到拍照行为就自动记录下来，并且还会将电脑屏幕临时白屏处理，人员无法拍照，还弹提示。

A14:商业情报保护这块，员工隐私和数据保护只能选一边。黑盒的威慑力才是这种东西真正的意义。严谨地说，是应当披露员工隐私保护政策，采集监控分析员工行为并不使泄露只用于保护企业目的也是保护员工隐私的一部分。各种阻断或震慑手段，只是降低普通员工偶然性泄露的风险和数量。

A15:前司dlp做的也就那样，威慑力多数来源于不透明员工不知道这个东西怎么工作的。对想做内鬼的人，用处不大；对专业的内鬼，毫无用处。只会让对方知道安全部门能力边界，然后最终进入到安全部门无法监控的手段。

后来开始做dlp之后发现前司的dlp真的随便绕。所以千万不要陷入技术解决的陷阱，技术能解决的就是一刀切。例如：敏感文件下发后就回收，而不是靠自觉。

0x2 群友分享

【法规解读】

《中华人民共和国网络安全法》

【安全资讯】

《“星链”将在伊朗免费部署》

《研究显示：GPT-5.2可稳定量产零日漏洞利用》

《网商银行API流量全链路可信防护体系演化与实践》

【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的精华话题会同步在本公众号推送（每周）。根据话题整理的群周报完整版——每个话题甲方朋友们的展开讨论内容——每周会上传知识星球，方便大家查阅。

往期群周报：

安全考核跨部门落地与编码规范执行：机制设计与技术实践｜总第306周

安全运营实践与DNS应急容灾策略探讨｜总第305周

代码安全、漏洞管理与网络安全五年规划：关键问题与实践策略｜总第304周

如何进群？

如何下载群周报完整版？

请见下图：

‍

‍

‍

‍

‍

‍

阅读原文

跳转微信打开

]]> Wed, 04 Feb 2026 08:00:00 +0800 安全考核跨部门落地与编码规范执行：机制设计与技术实践｜总第306周 https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492341&idx=1&sn=3a7bc338a2aec52cf57c74fe8274c077 本期周报简介：1、安全考核如何有效纳入各部门绩效考核体系？对于平行部门或无直接考核权的情况，怎样设计考核指标与权重？ 2、在软件开发编码阶段，如何有效促使开发人员遵守安全编码规范？针对静态代码扫描结果误报率高、处置效率低的问题，有无可行实践？ 原创 群秘 2026-01-27 07:56 甘肃

本期周报简介：1、安全考核如何有效纳入各部门绩效考核体系？对于平行部门或无直接考核权的情况，怎样设计考核指标与权重？

2、在软件开发编码阶段，如何有效促使开发人员遵守安全编码规范？针对静态代码扫描结果误报率高、处置效率低的问题，有无可行实践？

0x1本周话题

话题一：大家是如何将安全落实到各部门的考核中，一般占几分，含有哪些考核项？

A1:总部给分支机构有，因为有流程和渠道，游戏规规则都是总部制定的，有考核权才有可能加入安全考核项，对于平行部门，没有权利考核人家，就很难。

A2:如没有考核，安全工作很难在各部门落地。安全要和企业战略结合，不是安全部门可以自己说了算的。我们这一般都是把业务部门需要做的事情写到制度里，有需要配合的，拿制度说话，目前还没有实际的考核。

A3:我们没有高大上的战略，就是安全合规底线。当然要落实肯定需要公司分管领导的支持和党委审核通过。如果安全没有在公司战略中，那就先满足合规底线就可以了。

A4:作为扣分项体现在考核指标里，包含了审计、法务、文化、安全几个维度，扣分最多5分。

A5:我想的考核，主要作用是希望各单位能全力配合安全部门工作。比如各部门设置一名安全联络员，1分。各部门按时按质完成安全部门下发的任务，1分。如被上级监管部门扣分的，需要根因部门承担相应的扣分，安全只承担统筹失分，比如5分，根因部门扣4.5分，安全部门承担0.5分。

A6:差不多。比如安全漏洞不修复，安全问题不整改，审计问题不整改，出保密事件，出安全事件。安全也有扣分项权力。

A7:企业战略里都是业务，IT部门作为支撑组织，也是通过解析业务需求来制定自己的战略。而安全作为一般会独立做规划，但很难拿到公司核心领导层去评审，领导们一贯还是认为安全是IT自己的事情。

A8:现在就是在推动这些工作时出现这类问题，所以想推动安全入部门考核。那最后考核的时候，是不是安全还要给各个部门扣分。目标或者考核组来执行，安全只提供客观数据。目的只是想安全更容易推动和落地，考核是跟年终绩效是会挂钩的。

A9:各部门的kpi加上安全10%的占比？

A10:审计，策略制定，策略执行，这3个角色要分离。不然本身就是风险项。CISA里面都有。具体占比多少，需要公司核准。

A11:这些工作我目前做法和这个类似，但不是加在考核项里，而是通过季度的安全季报进行数据晾晒来驱动业务领导层重视。具体工作推进我们有ITBP，给他们的职责里有1/3是安全的，也是他们的考核项。

A12:差不多就是这个思路，我们总的安全合规一共占年终组织绩效的一定比例，比如10%，不会考核到具体个人身上。只会通过团队的组织绩效比例来影响个人绩效。

支持信息安全工作肯定不是某个业务组一个两个人的事情，所以即使一个两个人做的不好出问题他们一个组跟着背锅。

A13:安全写在各部门职责里这确实也是一个好方法。组织绩效最后还是会拆给个人，要定KPI就定到部门leader到头上，自然就会配合起来。

这个落实到个人的话，那就由各部门去操作了。如落实到部门考核，那么就相当于到了部门leader的，他们个人的绩效考核会跟部门考核挂钩。

A14:路径还是需要从上到下的支持，比如负责安全的人要在决策会上提出这个事，决策委员会都认同了，往下走就顺了。

Q：这个数据晾晒能分享点经验么？比如一般从哪几个维度晒哪些数据？分团队晒还是全局晒？晒的形式有哪些？还有就是数据晾晒这种行为碰到的最大阻碍是啥？我们也打算搞这种了。

A15:晾晒很容易，关键是业务部门是不是关心这个数据。

A16:人情世故。只要抄送的级别够，下面自然会卷。给领导看的，给业务部门压力的。所以想要吸取点经验。大家也会有比拼的，每次在最后领导脸上也过不去。效果就看各个公司信息安全团队的占位了，我们这相对还是有些力度的。

A17:还有安全部门在公司的位置，有没有类似CISO的角色？

A18:OWASP有个Security Champion的项目，有兴趣可以看看，里面有具体操作方法。安全代表是个好方法，但安全代表是业务部门自己选出来的安全接口人。

A19:我理解首先要高层支持，由人行指定考核细则，然后it进行考核。集团或总行，一般也不会考虑到这么细的，他们一般只会分到安全部门。

作为集团二级单位，在二级单位内部和HR以及合规审计部门达成一致，把安全KPI贯彻到底。合规审计还是要提级，同级意义不是太大。

A20:我们每季度会做个全公司一级部门的安全排名：

  • 固定维度：安全事件、合规遵从、权限管控、导数次数、钓鱼中招数。在固定维度里每个都有评分标准。这个排名会发给所有一级部门领导，并抄送公司所有高层。同时由分管我们的领导在经营会上晾晒（这个做的不好，不是每次领导都愿意去配合晾晒）。

  • 任务维度：根据每个阶段需要各部门配合的安全任务完成情况打分，主要从进度评分。

A21:Get，这里打分是相对主观的打分么？还是有一套详细的计分逻辑，参考了哪些成熟度评价标准？

A22:稍微总结下：

  • 安全考核与公司业务以及IT战略是高度绑定的，没有这个大旗，考核容易受到质疑或者效果不好，安全考核动作取决于考核发起的层级以及定位，需要通过考核达到什么目标，与高层领导关注是不能保持一致，能不能业务赋能，但是很多时候安全不太会关注集团的大战略和大业务。 

  • 其次，安全考核能不能落到实处，比如同级部门的安全考核谁来考核，怎么定考核指标，安全对于该部门的影响程度有多大，是基线考核还是任务考核等等，基线是扣分，任务考核是加分（鼓励也很重要）等。

  • 再次，如果没有考核，排名也是可行，但是也是需要高层领导的支持，而且评分的客观性首先要保证，毕竟安全部门本质与IT部门一样是服务支撑保障部门，不是业务部门，但是要产生业务价值，至于公开不公开不重要，重要的是领导要知道，然后相关部门的领导也要知道，邮件抄送都行，拿到领导层级会议上直接秀那效果更好。

  • 最后，是基线问题，将安全基线纳入到考核中是可行的，但是要设置合规基线中的红线问题，比如数据外泄，重大安全事件，违法违纪等。

A23:正常，我们内部有个CEO月报的机制，每月我都报信息安全工作成果总结上去，CEO也不是每个月都给我们展示成果的。

A24:我们要思考我们要得到什么的效果，达成什么的目标，如果只是为了打分而打分就没有太多意义了。

A25:目标效果肯定就是希望给到各个团队压力和对比，让后续信息安全工作推进更加顺畅，同时为年终的绩效评价部分信息安全的评价更加有依据更加经得起考验。

A26:信息安全工作推进要和业务达成共识，强推没有用，业务有自己的考量。达成共识是另外一回事了，得恩威并施，单纯达成共识对执行质量没有保障。

A27:把要做的事情都写到policy里面，然后大家签名确认，这个比排名更有效。很多时候和业务说，他们首先会问，这个在不在policy里面。policy里面明确了risk的等级，以及对应的SLA。

A28:这是policy和risk面向具体事项的，跟整体排名评分并不矛盾，多管齐下。

A29:是的，信息安全工作要和业务达成共识，如果没有共识，能做的仅仅只是红线考核，出事了该怎么处罚，但是不做事能不能罚就不一定，这样肯定达不到安全部门想要的效果。事情写到Policy里，这是要求大家尊重同一基线，如果让对方执行，还是必须要将安全切入到关键节点，这不是考核的问题。

A30:考核只是一方面，安全如何和业务战略结合，以及发挥影响力，需要整体来看。

A31:考核的结果要么是处罚，要么是奖励，总之一句话让大家按照指挥棒走，但是要考虑的是这个指挥棒握在谁的手里很重要，握住指挥棒的人或者人们是如何看待业务与安全之间的关系，这就决定了考核所能呈现的形式和达到的效果。

话题二：各位大佬，Q1中编码阶段开发人员不遵守安全规则、以及静态源代码扫描结果处置，有没有好的实践方案？

A1:让员工立即挂上公司编码规范，用AI改。或者通报批评，扣绩效，多来几次就老实了。

Q：文档化的编码规范，如何转化成代码检查等技术手段？除了源代码扫描，AI可以做吗？

A2:AI不是轻轻松松。搞个MCP或者搞个Agent很容易。

Q：编写一些安全代码库，直接强制让开发人员根据场景去调用，是否可行？有没有哪家是这么做的？

A3:这样做很重的。落地过程中你会发现遇到一堆问题，而且这些问题还是解决不了的。

A4:那安全编码这块难道就没有好的办法去约束开发人员了吗？

A5:他们现在有人在搞基于AI agent 进行漏洞修复的实践，可以考虑下。

A6:针对信息系统建设编制的可行性研究报告、网络安全方案，大家对其进行网络安全评审时分别考虑哪些方面要点？有没有什么智能化、自动化的系统干这个事情？

A7:直接在coding层面就让ai介入了。

A8:约束只能是管理手段啊，技术手段你要约束谁，啥技术手段绕不过去。技术手段你只能是发现问题，并且给出修复建议，这个AI特别擅长。这些规范可以在AI coding阶段提前规定好，或者后面做检测修复。

A9:这里会有一个问题，client端的Rules其实研发可以随意变更，目前也没有统一的Client端的Rules管理方案。

建议还是从AI Agent入手把研发的代码合并到生产这个环节抓紧了更加实际。代码提交到git去merge的时候最适合做检测和打回去修复。

A10:这个ah coding需要什么作为ai的输入呢？安全编码规范？那这对安全编码的要求很高啊。

A11:可以多道检测。就是上面github里面的几个md文件，放在开发工具IDE的配置文件下面，让AI遵守。

A12:提交代码时候流水线有静态安全代码扫描，和这个ai agent有啥区别？

A13:静态代码扫描的一个能力增强而已，解决SAST高误报的问题，提高准确率。同时可以把你的编码规范应用起来，而不是静态代码扫描的规则库。

A14:静态代码扫描结果，应该如何处理？误报率挺高，有些确实是误报，但有些是看不出来或者误判。报告里上千个漏洞，有没有快速且准确的判断方法？

A15:我们没有引入SAST误报率太高了，浪费感情。直接用AI Agent反正误报率能控制在可接受范围内，对AI Agent的调教比对SAST规则的优化来的简单，高效多了。

我们用AI Agent+IAST能够把漏洞准确率控制在90%以上，而且全程自动化交付给研发和测试自助使用，信息安全团队都不需要怎么介入。

Q：IAST你们用的什么工具？这个得开发完部署之后才能扫描吧？

A16:这是另外一个步骤了，不是编码规范阶段的工作了。

A17:你们AI agent自己部署的？本地的算力？方案阶段有引入ai的吗？比如输入需求，ai根据威胁建模输出安全档案？

A18:可以本地，也可以直接接外部的API，看你们是什么性质的公司了。

A19:AI agent是做什么用？ 自动化去运行系统？ IAST去代替SAST 得保证能遍历到所有的代码分支，也不是很容易。

A20:我这边目前实现的是把产品需求设计文档或者技术架构方案文档给到API，然后根据安全的安全标准进行评审，然后输出个评审结果和评分。感觉完全代替SAST的话，可能会漏。但是这个东西还是给产研看的一个东西，做个参考。

A21:IAST和SAST是两个阶段的东西，没有替代关系。不要理解岔了。我们是用定制化的AI Agent替代SAST。

A22:安全评审标准和评分标准是如何定的？

A23:其实就是网上或者你们自己设计的标准，比如是否包含个人敏感信息，应用的变更是否包含订单，交易，这种场景，如果有一定情况提高分值。

A24:规范的东西是研发执行的，安全没有必要强制，也强制不了。确保写出来的代码通过SAST等审查就可以了，研发如果愿意，直接集成到CICD里面。

A25:AI能替代IAST吗？不能吧。IAST目前肯定是不行的了，替代SAST绰绰有余了。

A26:不行，替代DAST还差不多。怎么替代的SAST？代码怎么操作的。

A27:能替代DAST？我只能理解替代SAST，就是把代码给他，问有没有漏洞，但如果文件多就不行了。

A28:能做SAST的事，但是不知道怎么能完整实现呢。IAST是用来精确DAST的扫描。IAST不接触代码。

A29:不可能把整个文件给吧，而且一段代码片段肯定不准确。

A30:AI替代IAST是啥的操作...都不是一个维度的东西吧。AI目前帮忙做的是筛选，分析的活儿。

A31:起码很多注释补上了，单元测试代码补上了。SAST需要操作啥代码，不是获取代码，根据信息安全要求分析代码，找不不安全的编码方式和问题点，然后打回给研发去修复。用来快速重构和接收别人的项目是一把利器，我们研发团队有很多实践案例分享。感觉效率非常高，质量也都在能接受范围。

是什么限制了，就把一整个文件给它。AI时代的代码价值没有以前那么高了，AI时代的核心价值是数据资产，当然这个需要公司整体达成共识。

A32:具体操作流程怎么实现的呢？以前我们尝试用AI分析代码安全漏洞，都是基于SAST扫描结果去研判，但是这样也有问题，没办法把整个代码上下文给AI。

A33:整个代码上下文你们的界定范围是什么？如果只是git上的那个project直接拉下来不就好了。

A34:是不是模型太小，只有32b。还是上下文窗口太小的问题？

A35:如果之前我们整的那种模式，SAST扫描完定位某个问题代码行，把代码行上下文拿出来组成一个问题给AI回答判断这样，代码太多，窗口太小。不知道你说直接把工程拉下来，怎么送给AI的。

A36:那就是模型窗口限制的问题，我们没怎么碰到这种问题，单个项目代码量倒是都不是特别大，这有很多种应对方式：

  • 分层递进的分析模式

  • 附加RAG知识库的模式

  • 分段分析总结的模式

  • 聚焦于问题点纵深调用链分析的模式。可以采用多Agent交互方式来增强效率和体验。

A37:这里面其实是两个问题，一个是全量代码审计，一个是增量代码审计。全量代码审计可以SAST然后再把结果丢给AI让他去分析，或者直接把代码库丢给AI然后搞个CheckList让它自己去跑。

增量代码审计，使用AST/LSP相关工具，或者codeql啥的，把关键上下文抽取出来，再丢给AI。

A38:其实可以这么理解，一次全量审计其实就是形成了一个基础的代码知识库，后面增量或者变更的时候基本就不会有因为代码量过大而导致超出上下文窗口大小的问题了。

0x2 群友分享

【安全管理】

《SHA1HULUD蠕虫再现：超300NPM包被投毒、 2万仓库信息被窃取》

《捕获在野利用！React漏洞无条件触发，通用规则可检出》

《豆包手机直接问出银行卡余额，多少金融级应用在裸奔？》

《AI 黑进斯坦福网络 16 小时：它已经开始胜过人类黑客了》

【安全资讯】

《彭博：CME交易宕机是人为事故》

《【真核弹】CVSS 10.0 满分漏洞席卷前端圈，React/Next.js 全面沦陷，堪比 Log4j？》

【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的精华话题会同步在本公众号推送（每周）。根据话题整理的群周报完整版——每个话题甲方朋友们的展开讨论内容——每周会上传知识星球，方便大家查阅。

往期群周报：

安全运营实践与DNS应急容灾策略探讨｜总第305周

代码安全、漏洞管理与网络安全五年规划：关键问题与实践策略｜总第304周

重运营的游戏公司，如何做好安全？从防泄密到渗透测试的实战思考｜总第303周

如何进群？

如何下载群周报完整版？

请见下图：

‍

‍

‍

‍

‍

‍

阅读原文

跳转微信打开

]]> Tue, 27 Jan 2026 07:56:00 +0800 2025年度收官 | 知其安邀您共启成长图鉴！ https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492334&idx=1&sn=0fb69a3a7c55925d546cef8ff5c8bd13 作为公司创始人，向大家汇报一下2025年业绩情况：公司连续两年实现盈利，2025年净利润是24年的240%， 知其安科技 2026-01-12 20:34 北京

作为公司创始人，向大家汇报一下2025年业绩情况：公司连续两年实现盈利，2025年净利润是24年的240%，现金流正向增加八位数，最快速度获得国家小巨人，HICOOL2025创业大赛优胜奖，按营收计算，离朱安全验证平台是国际前十（位列第五名，国内唯一一家入围）。AI 产线商业化已落地标杆客户。感谢，感恩！

阅读原文

跳转微信打开

]]> Mon, 12 Jan 2026 20:34:00 +0800 安全运营实践与DNS应急容灾策略探讨｜总第305周 https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492326&idx=1&sn=ff5875e19a62d5188720db5bc4faf75c 本期周报简介：1、 在实践中如何将AI有效用于安全告警降噪与价值量化？对于中小企业，选择MSS服务时，应该关注哪些核心能力与指标？ 2、面对顶级DNS服务商故障风险，企业应设计怎样的容灾与应急预案？ 原创 群秘 2025-12-31 08:02 甘肃

本期周报简介：1、 在实践中如何将AI有效用于安全告警降噪与价值量化？对于中小企业，选择MSS服务时，应该关注哪些核心能力与指标？

2、面对顶级DNS服务商故障风险，企业应设计怎样的容灾与应急预案？

0x1本周话题

话题一：年底千问和灵光相继上线，各位大佬在安全运营上有什么实践心得？

A1:有一个智能体比较成熟：安全设备产生告警->从安全设备获取到完整请求、样本、上下文->让大模型解读样本/payload/代码是什么意思->判断是否误报，降噪。其它的话，目前的心得是你不理财财就不会离开你，如果开始理财了还是要持续专业投入。

A2:告警降噪，还有就是评价模型需要看精准-召回曲线，不能只看单一纬度的增加。

Q：感觉每类有SOP的安全产品都可以尝试一下。另外，关于AI赋能安全运营场景的价值量化、ROI，有好的展现方式么？

A3:有几个方面：

  • 数据能力：通过AI赋能，解决了过往安全运营过程中存在的各种数据获取/处理的技术问题，数据维度的变化带来了问题识别准确性等方面的xx变化。

  • 计算能力：通过AI赋能，实现了工具的技术架构升级，把过往技术层面的卡点问题解决了，安全工作效率提升了xx倍，问题识别和闭环率提升了xx倍。

  • 认知能力：通过AI赋能，帮助我们识别出来过去忽视的一些安全风险，消除了xx风险盲区，覆盖度提升了xxx。

A4:如果是为了好看，能呈现的挺多的，包括但不限于：智能规则/专家规则比 智能告警/传统告警比（反映检出增加，深度广度扩大，不反应忽略增加的告警）、智能降噪比、智能处理率、平均响应时间（还可以拆分析+处置）。

但如果从安全运营视角，其实不应该增加指标，而应该看最终效果，比如：检出的调和平均数提高多少，误报减少多少，MTTR减少多少，人力投入减少多少，能处理得过来的告警量/监测面增加多少，来衡量AI赋能前后的效果。

A5:受益了。我在想AI替代初级安全员人的数字员工场景。降本增效，没有人AI来凑。从SOP的提示词工程到安全技能，然后量化对等的人力成本。

A6:有一个指标是投资回报，我没提，因为一般是亏的，短期效果往往不如招人，但是数字员工可以做，因为这是更加组织化的，可复制的，可飞跃的，高管愿意投入且即便最终不达预期仍然对企业、员工、市场三方都有好处的，光这点就胜过招人百倍了。

A7:主要提增效，少干降本。

A8:今天听了一个小公司，提供mss服务，15万一年，每季度做互联网资产探查、互联网暴露面监控，日常的主机hids、旁路流量监控与阻断等运营。照这么干，感觉安全公司都要黄了呀。

A9:15万几个人，几台设备，处理资产数量，告警量有多少？

A10:saas服务，把监控吐给他们。

A11:现在国外的MSS已经发展的非常完善了，像微软、亚马逊、CrowdStrike、Proofpoint、CloudFlare等安全公司都已经发展起来非常成熟的安全SaaS生态，国内还在搞价格战，感觉差距已经越来越大。

A12:mss对中小企业的确是个不错的选择。每个单位招一两个人，很难招到面面俱到的。

A13:公有云也做的。这个对安全真是颠覆性的。小公司可能信任度不高，交给阿里那真是专业的事交给专业的人做。其实就一个老旧行业的平移，代维。以前运维很多也是代维的。

A14:越来越少了，金融监管要求高，敏感数据不能离司，没啥好代维的，都是进甲方驻场，不是MSS这种，很久很久以前IBM GTS做很多远程代维，后面都几乎只剩香港部分了。

A15:只有个别走上行业头部了，才会自己建庞大团队。

A16:我觉得不是要求高，监管规定背后的原因是不信任，所以应该是不信任代维，怕有风险。

A17:不是，是监管规定，就是不允许。

A18:当时叫银保监的141号文，要求很高。也不说信任不信任，而是金融企业应有自主可控的能力，控制外包风险。这是监管机构对金融企业的基本原则。只不过外包这个场景下，风险被放大。

A19:监管没有说不能外包、不能saas吧。

A20:不光安全，还有私有云，现在除了头部企业外没几个公司能把私有云玩明白，个人认为不如有序推广公有云，扶持建立公有云生态，有一些办公、运营类系统能上云就上云。

A21:更主要的原因是，在管理责任不外包的前提下，很难满足监管的外包要求、安全要求下的监管检查。

A22:其实这是监管的自我保护行为吧，放开的话肯定有新的问题，但是也得勇敢面对。

A23:既要保障网络安全（结果好），又要保障数据安全（门槛高），还要人少（资源少）。

A24:特定业务的全外包其实也挺多的（中小行的信用卡业务），所以很多时候还是历史惯性。

A25:那种是业务外包，制卡，催收。没说不行，但你要做到，很难。而且这个只是其中一个标准，个人信息保护法，数据安全法，各种法规，你一个企业闭环处理完成好，都很不容易，何况你还要外包。

监管不太支持，很久之前，就有金融云的认证，银行同业们在监管推动下也搞了家融联易云的公司，尝试做金融云，后面也是不了了之，因为站在监管企业，看的不只是单企业怎样怎样，还要看行业集中度，避免发生行业大面积故障。

A26:类似的政务云、集团云、行业云。其实都是公有云换了个壳子。所以不要说云，连数据中心，都出过文，说不能再在北京、上海集中建设。

A27:行业大面积故障可以通过异构云、灾备云等等来实现，并不能因此否定公有云的发展。

A28:因为一个地域的灾难，看上去是所有大金融机构都有两地三中心，但其实上海张江一搞，北京稻香湖一搞，就基本全挂。你可能没太参与过公有云，私有云，监管的讨论和过程。

A29:应该结合业务场景，比如办公、运营类的系统鼓励上云。交易类的当然还是得强监管。

A30:公有云是一种将行业风险重新聚焦的场景。办公，运营，有没有敏感数据。一个企业挂了，监管受的起。全行业一起来，那么受不了。

如果异构云，其实对甲方一样是难掌控。就举一个运维领域的指标，1510，自家可以这样做，云做不了。阿里云明确说5、10、30，故障恢复指标全面不满足，而且费用不见得比自建低。

A31:系统和数据存储也外包，业务外包了很难再使用自己系统。私有云跟行业云还是要分开讨论。

A32:一个简单逻辑，就是你自己搞，搞砸了，就说自己能力不行，投入不够，如果你选了外包，那么在此基础上，就放大了管理责任。反正就这么一回事，有好处，也有坏处，各人自行选择。

话题二：依托阿里云、腾讯云的dns怎么做应急呢？

《突发！Cloudflare 崩了。ChatGPT、X/Twitte 等受影响。》

A1:有事前的免疫方案，这种级别的故障，应急挑战很大的，最好在事前做。这个gtm方案应对场景是dns解析还活着，某一源站挂了，能自动切换，但如果dns解析自己都挂了，这个比较麻烦。

A2:是的，所以dns和cdn要分开两家放，腾讯云的dns和cloudflare的dns跟cdn，还有阿里云的dns跟cdn，同时挂的情况，最近十几年没出现过。

A3:得把dns解析记录数据都同步到另外一个运营商或设备的dns解析服务器上，还要改dns域名的权威解析服务器，这个修改权威解析服务器好像也在阿里云上。

A4:自己的权威-cdn的权威，这两个地方都有dns解析过程，只要通过gtm调度两个不同的cdn（cdn权威和cdn节点），那就没问题。

A5:我的意思是dns解析挂了，所有的域名都解析不了，不光是cdn。

A6:基本立场上，我支持这个观点。剩下的技术栈、成本、责任、RPORTO，都是执行中的问题，我认为都是可以解决的。

Q：你说的是自己的权威dns吗？那是另一个话题了。我有个问题，切面如何解决cloudflare昨晚的事故。在思路，方向和具体实践上，有什么先进性？

A7:你可以把.com放阿里云，.cn放腾讯云，告诉用户一个用不了了用另一个。

A8:workers和tunnel都没停，只不过转发的cdn挂了。 我的cron任务跑的好好的。 一般情况下，运维成熟度高的大厂都会有属于自己的基础设施。

所以DNS这类关键设备还是会拿在自己手里的，一些中小厂或者盛赞dev上去自由ops的，会把这类资源送出去托管，最后吃sla福利。

A9:好问题，我目前也没有答案。直觉上，我觉得最多能做到感知，似乎做不到处置。不过这个问题可以让切面的专家来回答。

A10:ns不好折腾的，一般就是选一套不会被叼决策错误的dns就好，选个专业做dns的云服务商，买上最高的套餐，出事了也不容易背锅，这个是运维层面的容灾，如果要做代码或者产品层面的，可以在一些关键环节用一些ip来做备份，dns解析不到的时候直接请求ip。

细节和展开可以参考腾讯的海量业务运营之道，腾讯这么多年的海量业务实践经验，也包括了容灾容错部分。以前是内部文章（系列），后来好像被人转出来了一些。

A11:一般商业确实如此，既然考虑这个问题了，就说明这个等级比DNS基础设施还高，或者不接受上游不可用导致的巨额财务损失，想要有预案不能说两手一摊，何况这个巨灾预案本身的成本并不高。

A12:什么业务的等级要比阿里云腾讯云的dns可靠性级别要求还高？这两家的dns挂了任何一个，国内一半的应用都挂了。具体例子参考多年前的暴风影音打卦dnspod事件对祖国的影响。

A13:的确，最早的时候很多企业都自建ns服务器，买F5的 GTM。现在都是用的云。

A14:阿里云dns也挂过两次，选了最好的就好了，没责任了吗？他挂了我就接受等他自己修复，没有办法没有预案？不会被问责？准备巨灾预案有什么问题？

99%以上的企业不需要考虑，但考虑的时候并不是没有办法。如果是这个做事思路，那咱们也不用干网络安全啦，99%的企业不会被盯上，盯上你也跑不掉。

A15:预案显然有并且你没看，推动研发在业务逻辑上做个ip访问的逃生通道，打工就是这个思路，干不干安全都一样。这个叫风险的转移，台面上的功夫。

A16:不经夸，刚夸完就出事。

A17:这说明出事是常态，即便再完善也会出事，更别说我们这种体系、能力都不完善的。

A18:可能这种公有云服务更透明一些。

Q：《Cloudflare 11-18 断网故障复盘报告》

里面提到rust的panic。Rust确实是一种安全的、防御性的编程语言,但这并不意味着它能完全防止 panic。对于基础性软件的研发，有是否值得上手rust的建议么？

A19:建议就是rust该处bug还是出bug，该出漏洞还是出漏洞，使用者自己要以人为本来学习应用。

A20:这个话有点像在说自动驾驶，技术本身是先进的，但你宣传成不会犯错就不对了。

A21:程序出bug是概率学问题。

A22:简单错误确实是可以防止的，但越复杂，你就越分不清功能和缺陷。

A23:rust的设计只是保证攻击者不能获得代码执行，不保证程序不崩溃。

A24:关于控制Rust panic的问题，一直是rust工程稳定性需要关注的核心问题。我们在业界的实践还是比较领先的, 控制panic问题上已经取得不错的阶段性成果，发在顶会ICSE'26上，同时用abstract interpretation技术验证确保没有panic的研究也在积极推进。

我们在rust上是重磅投入，如果是底层系统开发，而技术团队又有长期规划投入的话，现在rust是比c/c++更好的选择。如果只是研发业务应用，那么没必要上rust。

A25:再有10年 送走linux。haha 这个是宏伟愿景，我们先从云端做起。

A26:linux最深的护城河是硬件驱动，windows最强护城河是excel。我主力笔记本用macbook十年，只有在碰到excel的时候才想起windows。

A27:nginx-》pingora linux -》星绽 未来不知道还有哪些重量级应用，哈哈哈 工作党三套件： office IDE 浏览器。

A28:office里word ppt在macos上基本都ok了。只有excel兼容性太差。windows的护城河是很多cad软件吧。

A29:文档类的，我觉得现在钉钉和飞书基本都可以了。比如CATIA这种CAD CAE软件。实在要处理表格，让AI写python感觉也比学excle快。财务和人事的excel依然满天飞，我自己用 macos的numbers都够用了。就是没人去推动他们改吧，其实没有硬的功能差距。

A30:曾有人问，为什么微软不收购工业软件？我说微软在软件行业，也擅长软件的工业软件。

A31:可以试试把模版丢给AI学习一下，让它复制一份同样逻辑的python代码；直接写个小应用。Export to csv，加上个透视表，面对面说两句，一般就可以了。

A32:有些财务、报税的软件，非要windows 甚至对ie版本都有要求。实在没招。主要还是学校、企业都要求会office。如果企业要求会sql，电脑上也都有sql，那学校就会去学sql，人们就会sql，这种生态是最难搞的。

0x2 群友分享

【安全管理】

《Cloudflare 11-18 断网故障复盘报告》

【已复现】React Server Components 远程代码执行漏洞（CVE-2025-55182）

《三新，网络安全下半场的破局之策》

《Cloudflare挂掉的真实原因竟然是异常处理没做好....》

【安全资讯】

《千star开源项目存在恶意代码》

《Cloudflare酿六年最惨宕机：一行Rust代码，全球一半流量瘫痪！ChatGPT、Claude集体失联》

《顶会SOSP'25最佳论文，被一个国产自研操作系统拿下》

【法规解读】

国家互联网信息办公室、公安部关于《大型网络平台个人信息保护规定（征求意见稿）》公开征求意见的通知

《公安机关网络空间安全监督检查办法（征求意见稿）》公开征求意见的公告

【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的精华话题会同步在本公众号推送（每周）。根据话题整理的群周报完整版——每个话题甲方朋友们的展开讨论内容——每周会上传知识星球，方便大家查阅。

往期群周报：

代码安全、漏洞管理与网络安全五年规划：关键问题与实践策略｜总第304周

重运营的游戏公司，如何做好安全？从防泄密到渗透测试的实战思考｜总第303周

运维安全三大挑战：动态IP管控、漏洞治理与加密架构实战解析｜总第302周

如何进群？

如何下载群周报完整版？

请见下图：

‍

‍

‍

‍

‍

‍

阅读原文

跳转微信打开

]]> Wed, 31 Dec 2025 08:02:00 +0800 所以，什么最重要？ https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492319&idx=1&sn=de8492eea6ce50dbbb038be418fbaa71 “所以，什么最重要？”此刻你正在珍惜的，就是最重要的。愿我们都能在三岁时紧握棒棒糖，在十六岁时勇敢追光，在七十六岁时安然放手。 夏虫意难平 2025-12-17 21:07 北京

“所以，什么最重要？”此刻你正在珍惜的，就是最重要的。愿我们都能在三岁时紧握棒棒糖，在十六岁时勇敢追光，在七十六岁时安然放手。

以下文章来源于知乎 作者夏虫意难平 

引言

“所以，什么最重要？”

此刻你正在珍惜的，就是最重要的。

愿我们都能在三岁时紧握棒棒糖，在十六岁时勇敢追光，在七十六岁时安然放手。人生轮回，爱与珍惜始终是底色。

新娘不是十六岁的姑娘，梦想被生活磨平，父母离去时未能多陪伴……这些遗憾没有被美化，也没有被否定，而是被轻轻托住，成为生命的一部分。正如文中所说：“遗憾总是人生的常态。” —— 这句话本身，就是一种治愈。

我们人生没有完美，充满遗憾。一生认真活过，便不负此生。

三岁那年，我紧握着手中的棒棒糖，坚定的认为那最重要。

五岁那年，我花了整整一个下午，逮住那只蜻蜓，那一刻，它好像是最重要的。

七岁那年，我看着同桌手中的奖状，带着羡慕和一点点嫉妒，觉得那也许是最重要的。

九岁那年，仰躺在树荫下，阳光斑驳的洒在脸上，一个悠闲的暑假于我而言是如此重要。

十三岁那年，我意识到，重点高中的录取通知书对我的人生很重要。

十六岁那年，坐在教室里，微风穿堂，盯着前排姑娘的马尾出了神，忽然觉得就这样一直下去也不错。

十八岁那年，我日夜苦读，求神拜佛，只为一张大学录取通知书。

二十二岁那年，告别校园，懵懂的踏进所谓社会，一份工作又成了最重要的。

二十四岁那年，迎来了我的婚礼，我看着满堂宾客和我的新娘，她当然不是我十六岁时的那个姑娘，心中只觉得有些遗憾，不过那一刻，我的新娘就成为了我最重要的人。

二十五岁那年，我和狐朋狗友推杯换盏，吹牛打屁，不谙世事的年纪，只觉得面子最重要。

二十六岁那年，我焦急的等在产房外，啼哭声打破了宁静，我知道，更重要的来了。

三十三岁那年，被房贷和车贷搞的焦头烂额的我觉得，钱可太重要了。

三十八岁那年，一生强硬的爸爸开始征求我的意见，那一刻我猛然意识到，他终于是老了。

还是三十八岁那年，妈妈再没有训斥过我，而是不厌其烦的念叨，还带着些小心翼翼，我知道，她也会老的。

又是三十八岁那年，儿子不再黏我，他有了自己的伙伴的生活，我知道，此后的一辈子，他只会不停的远离我。

那年，我恍然，可能时光才是这世上最重要的吧。

四十岁那年，看着乱七八糟的体检报告，我才想起，我从来没觉得自己重要。

四十五岁那年，浑浑噩噩度过了半生，挺着啤酒肚在工位摸鱼的时候，回想起年少的梦想，从未觉得梦想如此重要。

五十岁那年，看着儿子和一个还不错的姑娘步入婚姻殿堂，我眯着眼看着台上的儿子，不知道新娘是不是他十六岁时爱上的那个姑娘。但还是觉得儿子的幸福比我的幸福更重要。

五十五岁那年，我气喘吁吁的跟在孙子屁股后面，生怕他摔跤，那一刻，我从未给予孙子远大的希冀，他平安快乐便是最重要的。

六十岁那年，我将父母葬在了一起，年纪大了，很多事也便看开了许多，我没有流泪，只觉得，爸爸的责骂和母亲的絮叨在那一刻无比重要。

七十岁那年，妻子终是先走一步，儿子儿媳事业有成，孙子在外地读大学，我只能无所事事的在大街上闲逛，莫名觉得，妻子可比那广场舞的老太太重要的多。

七十五岁那年，在医院里，医生让我出去，单独留下我儿子的时候，我明白时间不多了，趁着这功夫我给孙子打了个电话，我想告诉他，如果你在十六岁的时候爱上过一个姑娘，可千万要握紧，就像握紧三岁那年手中的棒棒糖。思来想去，又觉得多少有些为老不尊，电话接通后，只说了一句爷爷想你了，有空来看看我。医生宽慰我问题不大，我笑着告诉医生，人生没有大问题，其实把日子过下去是最重要的。

七十六岁那年，孙子回来看我了，让他看到我奄奄一息的样子心里多少还有点别扭，儿子儿媳守在床边，泣不成声，我没有多余的精力思考什么最重要了，我只想着后事从简，儿子儿媳年纪也不小了，身体遭不住，孙子刚刚参加工作不久，请假不好请，别给领导留下坏印象。

正想着，不知哪里吹来一阵风，迷了我的眼，睁开眼，爸爸妈妈牵着手，脸上挂着我最熟悉的笑容，他们都是年轻的样子，张开双臂示意我抱抱，我好想他们啊，所以我毫不犹豫跳下床，向他们飞奔而去，奔跑中，我变成了六十岁的样子，五十岁的样子，四十岁的样子，三十岁的样子，直到变成三岁的样子，他们终于又能抱起我了，我向他们点点头，他们也笑着点头，带着我转身离开。我回望一眼儿子儿媳和孙子，他们抱着七十六岁的我，嚎啕大哭，虽然不舍，不过没关系，我知道他们依然可以过的很好。

所以，什么最重要？什么都重要，但又不是非有不可。

因为你曾经认为最重要的，总有失去的那天。遗憾总是人生的常态。

如果你愿意，也可以告诉我：

现在的你，几岁？又觉得什么是最重要的？留言告诉我。

附注：

  • 聂君，北京知其安创始人，十余年金融行业信息安全从业经历。好读书，不求甚解。性格开朗，爱好足球。

  • 本公众号是个人对工作生活的一些体验和经历分享，站在不同角度和立场解读会有偏差，见仁见智，不求正确统一，但求真、善、美。

阅读原文

跳转微信打开

]]> Wed, 17 Dec 2025 21:07:00 +0800 代码安全、漏洞管理与网络安全五年规划：关键问题与实践策略｜总第304周 https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492305&idx=1&sn=5e680062af72d7df39c29441788ddcc2 本期周报简介：1、 代码安全：如何有效推动开发团队遵守安全规范？交互式应用安全测试工具有哪些推荐？ 2、安全规划：制定网络安全五年规划时，如何确定核心方向与重点内容？ 3、漏洞管理：漏洞扫描如何避免越界？高危漏洞修复时限如何设定？ 原创 群秘 2025-11-25 08:01 北京

本期周报简介：1、 代码安全：如何有效推动开发团队遵守安全规范？交互式应用安全测试工具有哪些推荐？

2、安全规划：制定网络安全五年规划时，如何确定核心方向与重点内容？

3、漏洞管理：漏洞扫描如何避免越界？高危漏洞修复时限如何设定？

0x1本周话题

话题一：关于代码安全想从执行到设计、从问题导向到目标导向，请教探讨任何一个或几个问题：

Q1.有代码规范，有统一过滤器，开发不遵守导致漏洞的问题怎么解决？ 

Q2.IAST/交互式扫描有没有好用的开源工具？有没有推荐成熟产品？ 

Q3.在已经有API管理、白盒、灰盒、黑盒、人工渗透测试的情况下，“自动化渗透测试”是个重复的概念包装还是个有必要的环节？它不可或缺的点在哪里？ 

Q4.上述所有手段加起来，还剩什么局限性？有没有办法解决？ 

Q5.还剩什么漏洞是无法发现的？业务逻辑漏洞有办法吗？ 

Q6.将对外暴露服务的web容器也作为应用自研的一部分，其余组件和操作系统都不暴露服务，独立网络（无旁站）不考虑钓鱼的情况下，正面是否无缺失？ 

Q7.互联网自研web系统，需求多迭代快，需要设计一个尽可能标准化自动化的自适应闭环的机制，目标是按标准上线后尽一切可能不被攻击队发现漏洞，逐步降低将频率无限趋近于0，上述设计还有什么欠缺？

A1:关于第一个问题，有个办法：可以考虑把规范放到大模型提示语里面，跑下效果，看下识别的情况，这个是被动检测；

比较理想情况，你们有自己代码助手，可以把代码规范就放到代码助手提示语，这个比较理想情况了。但是可能是个解法，我了解到有大厂在弄。尤其是最近代码助手进化到spec/合约阶段了。确实可以弄了。

A2:在大模型时代不好说，如果支持智能体了，相当于通过chat接口，可以调用工具，工具面还是不小。之前有个纯处理外部简历的系统，都被干了，间接提示语注入了。

A3:看过一个文件，上面工业和信息化部电子工业标准化研究院的章是真的吗？

A4:这敢造假么，只看是否权威吧。

A5:但发送的人显然不是工信部的。是这样，这类所谓“培训通知”，种种机构也发了好几年了，我们一直当广告拦截的，证书是真的，但培训机构我们不能指定，不能你说有个培训我就单一来源给你，一直都花不了这个钱，这次有同事当公文文件去办收文了，领导让我们办理，我拿不准这个培训机构是假的还是确实工信部授权主办的，如果是真的，公司就真组织了，所以得严肃。

A6:关于这类培训机构和培训证书，可以侧面咨询一下比较熟悉的监管。

A7:就是从来没和工信部打过交道。

A8:这种类似的业务模式。某个业务模块交给第三方公司商业运营，解决收款（财务）的问题，一般都是分成模式合作。

A9:研究院应该早就商业化了吧。但如果工信部有其它更便宜专业的培训渠道，我们收一个文就花了这个钱，会有审计问题，所以想打听是不是研究院真的授权给这家的。

A10:把这个理解成一款“产品”就行了，渠道/代理公司合作。用这种收文作为单一来源依据，单位估计不认吧。

A11:直接发邮件，用公司电话打给研究院，留痕免责。

A12:这种要看吧，如果直接是培训组织的人通知的，我们一般婉拒，哪怕对方上面是监管。但有一次监管一个处长打电话来，我们再联系时对方说话语气明显很好，是给我们一个联系方式参加培训，这种也只能上了。

话题二：各位大佬，大家在网络安全方面有哪些十五五规划？主要方向和内容有哪些？

A1:五年规划难度系数很高啊。简单一点的就是看看未来几年估计要做什么，然后规划就是什么。

A2:如果上头关心数据要素，就写数据安全，如果上头关心自主可控，就写双百替代，如果上头关心密码，就写量子验证，如果上头关心蓝军，就写攻击验证，如果上头关心韧性，就写快速恢复，自上而下很容易就有了，再补点自己想做的融在攻防双支柱或者三化六防之类的大框架里。

A3:如果上头没要求，就更简单了。就当入职一家新公司，做做现状风险不足的评估，看看同业水平和差距，做计划，防护啊左移啊大模型啊，看自己发展阶段，一年的要慎重考虑时间资源可行性，五年的按蓝图来就行。

A4:我的体会是，三年规划五年规划本身不难，难点在于只有一年规划的周期性计划、没有时间做充分调研和评估的情况下，3天让交一个五年规划出来。

A5:我在每个公司看到的体系都不一样，有的是金字塔，安全管理，安全技术装备，安全运营；

有的是房子，顶部安全管理，然后中间有一攻一防两根柱子，底部是基础设施，三化六防就是公安提的体系化（管理），实战化（攻防），常态化（运营），动态防御，主动防御，纵深防御，精准防护，整体防护，联防联控。

A6:比如以前没有蓝军，要加柱子，这是动体系的，肯定要有政策支持，比如公司已经接受了三化六防的工作思路，那五年规划很可能不会动体系，而是塞到体系里应对新形势变得更饱满。

A7:规划了真的会按照规划来跑吗？

A8:当然，有回顾，有审计的。

A9:从管理上来说，不检查=不重要。如果不检查，那么所有的计划、承诺，都是空的。允许中期调整，是另一个话题，但还是会检查。

A10:互联网公司变化快，一般做不了五年，五年后整个团队换好多人。

A11:我建议参照如下价值模型，倒推自己的工作。未来5年大概率投入不会很大，此时更加要体现价值。

A12:这个金字塔把安全价值全包罗了。

A13:看公司看单位。有的纯粹就是内部工作目标，听一听，有的是要上报，有专门部门和岗位跟踪监督，还有中期和最终总结。

A14:安全最基本要求就是看家护院，然后才是效能、业务赋能、品牌等。比如同样是做带动成员单位，参与国际国内标准，建系统优流程的事，上这个价值，高度就不一样了。

A15:务虚和务实。务实是保命，不出严重安全事故以及数据泄露。务虚是画饼，让老板投入资源。

话题三：请教各位大佬，关于基础安全中安全漏洞管理的问题，还望不吝赐教：

1、网络扫描模式，如何在扫描过程中避免扫到其他网络区域（如监管、其他对接单位），是利用网络梳理，还是端侧扫描的模式？

2、针对漏洞修复时长，高危漏洞的修复时间一般设置多久，对于无法快速修复，或者无风险缓释措施的此类漏洞，是否有技术手段（如服务器热补丁）？

A1:这是我的想法，关于问题1：网络扫描问题，说明网络区域隔离不严格，应用侧或流量侧没有检测拦截机制；

关于问题2：修复时间没有一定之规，要结合网络区域、承载系统、相关数据、利用难度、修复难度综合判断。无法按要求修复需要延期的一是形式到位，有正式流程经过领导审批；

二是加强监测，流量侧新增此漏洞攻击报文检测规则及时发现并拦截，主机侧hids具备识别隔离能力；

三是访问控制，从网络和主机层面限制访问源。

Q：那主机侧HIDS的漏洞误报是不是相对多一些？

A2:看怎么定义了，hids大部分是根据组件版本比对，不一定可以触发。

A3:hids漏扫不是误报，主要还是本地扫描造成的覆盖面较大。

A4:是否误报看你们的管理颗粒度了。如果只关注远程可利用的，一般hids里可以做筛选。

A5:还是要结合实际情况梳理漏洞库，现在用的hids漏洞库容量很小。

A6:关注CVE漏洞和在野情报。CISA KEV。这就是一个标准的问题了，什么样的漏洞需要推。

A7:总量少，但是多出来的本地漏洞部分是要筛选掉的，当然这也得匹配一个工作流程机制。

A8:都包含，不过这事不单单是技术。需要引入法务，涉及很多，都是关联关系。

A9:Hids基于版本检出漏洞的可利用性很难判断的。因为渗透或远程扫描没有发现这个漏洞并不能完全代表漏洞完全无法利用，只能说利用难度相对较高。

0x2 群友分享

【安全管理】

《基于ATT&CK框架全景复盘NSA对国家授时中心的网络战》

《身份证等证件不再整体视为敏感个人信息》

【安全资讯】

《10 年老台式机 4 分钟攻破量子加密算法，此前 12 年无人破解，核心原理来自 25 年前》

《美方为何攻击我国家授时中心？一图看懂》

《境外品牌手机历史已被利用漏洞一览》

《【独家】知道创宇数据泄漏事件 可能另有真相》

《“捉迷藏” 式收割：撕开鲁大师为首系列企业流量劫持黑幕！》

《小红书翻译功能任意命令执行漏洞》

【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的精华话题会同步在本公众号推送（每周）。根据话题整理的群周报完整版——每个话题甲方朋友们的展开讨论内容——每周会上传知识星球，方便大家查阅。

往期群周报：

重运营的游戏公司，如何做好安全？从防泄密到渗透测试的实战思考｜总第303周

运维安全三大挑战：动态IP管控、漏洞治理与加密架构实战解析｜总第302周

CDN恶意流量防御方案与企业网络安全定责探讨｜总第301周

如何进群？

如何下载群周报完整版？

请见下图：

‍

‍

‍

‍

‍

‍

阅读原文

跳转微信打开

]]> Tue, 25 Nov 2025 08:01:00 +0800 作为程序员，你最慌的时候是什么样的？ https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492305&idx=2&sn=56bea4a723effb6257291fed29ef3b5c 2025-11-25 08:01 北京

以下文章来源于腾讯云TVP

作为程序员，你最慌的时候是什么样的？

是凌晨三点告警响起，服务无声无息地挂了？

是 CI/CD 刚点下去，心里已经开始打鼓准备回滚？

是一次 JSON 字段多了个逗号，整条链路瞬间一片红？

是产品上线在即，压测却发现架构设计存在致命缺陷？

是线上 QPS 突然飙升，你盯着 Dashboad 狂跳，却不知道洪峰从哪进来？

这些，都可能是曾经、正在折磨每一位程序员的噩梦。然而，这些匆匆忙忙、连滚带爬的场景，大多数时候都还能挽回、还能补救、还能靠团队兜底。

但对搞安全的这群工程师来说，慌的尺度或许完全不可同日而语。

你的慌可能让服务抖一下，他们的慌可能让用户资产清零；

你的 Bug 可能导致体验差一点，他们的缺口可能被黑灰产盯上、撬开整个系统；

你的失误会被同事吐槽几句，他们的疏忽会变成攻击链条里最昂贵的一环；

你怕上线翻车，他们怕的是对面有人在盯着他们的每一次失手。

程序员可以在事故复盘里找到解决方案，安全工程师有时候连复盘的机会都没有——因为一旦出事，就已经是不可逆的代价。

他们的世界，没有掌声，甚至没有“谢谢”。他们的胜利，只有一种表现：

今天，什么事都没发生。

今天要给大家分享一个，国内顶尖的安全团队的故事。

玄武实验室：做别人做不到的事

很多人或许连听都没听过这个实验室的名字，但我提两个场景，你或许就知道了自己的日常生活原来跟玄武有这么紧密的交集。

玄武实验室在 2017-18 年的时候就开始了对生物认证安全的研究，发现当时的屏下指纹技术存在严重的安全缺陷，仅需通过获取玻璃表面指纹，进行自动化克隆复原，产生新指纹模型，便能通过多款指纹身份认证设备的识别。玄武实验室推动与屏下指纹行业一同解决了这个安全隐患，今天无论使用哪个品牌的手机，只要有屏下指纹的功能，背后都有玄武实验室的工作成果。

如果你没用过带屏下指纹技术的手机，那你也一定用过扫码支付。最初的扫码支付场景对恶意二维码的防控非常薄弱，很容易被攻击者通过恶意二维码的解析所控制系统造成资损。玄武实验室与相关支付团队合作，花了几年时间帮助中国各个扫码设备厂商提升了产品安全性。

除了这些场景，玄武在技术上还是国内乃至世界上少有的做到全栈安全的实验室
，从软硬件安全、操作系统安全、硬件安全、生物认证安全到量子安全、大模型安全，都有广泛的涉猎和世界级的研究成果。

这里面有些研究，可能两三年之后才能成为行业标准。但正因为有人提前研究、提前试错、提前探索，行业才能在真正出现威胁之前，做好准备。

主动安全的理念与落地

这里首先不得不提另一个实验室的名字——科恩实验室。

在中国乃至世界的网络攻防大赛中，科恩实验室都是一个传奇般的存在。2016-2017 年科恩战队一共参加了四届 pwn2own 比赛，共斩获三座全球总冠军奖杯，是该项挑战赛设立以来获得全球总冠军数最多的战队之一。

但更关键的是——科恩并不仅仅把“攻破系统”当成一种技术炫技。他们的基因里本来就带着一种更先进也更具实操价值的安全观念：

只有你比攻击者更早一步、走得更深一层，你的防线才算真正站得住。

主动安全，不是坐等告警响起后再补洞，而是把潜在风险提前建模、提前对抗、提前清理，让风险永远停在威胁形成之前。

这个理念某种程度上也可以说催生了腾讯从 C 端的电脑管家/手机管家，到 B 端的零信任 iOA 产品和威胁情报能力。

网络攻防这个领域，说白了其实就是看双方谁能够将技术手段运用得更好。从目前形势看，传统的防御方式已经完全跟不上时代的变化，我们现在走入了 AI 的时代，最领先的防御就是基于大模型的技术特性实现防御能力的大幅提升。

可以说在这方面，他们都做得很不错。

技术得解决实际问题

咱们搞技术的都喜欢说“Talk is cheap，show me the code”。放安全这个很多人并不太关注的领域，其实反而更为贴切，所有的技术价值，都体现在解决实际问题上。

安全如果不能落地，就会沦为自我感动；能落地，才有真正的价值。

什么场景能落地安全技术的价值？

当你在打游戏的时候，你不希望被外挂玩家恶心到崩溃。

在你看到公平对局的背后，腾讯游戏安全的反作弊系统把无数异常行为拦截在你看不到的地方，让游戏世界至少还能维持规则的平等。

当你在各类平台抢票、抢热门货的时候，你的订单不会被黄牛脚本抢走。

腾讯云天御构建的那一套行为识别、设备风控能力，都是为了让在用户注意不到的时候，而是为了让资源流向真实用户，让每一个热爱的人能有机会参与。

当你接到一个像模像样的客服电话时，也许已经走到电信诈骗的边缘。

银行的传统反诈模型很难对付新技术快速迭代的不法分子。腾讯云天御构建的 “扫黑+护白” 双模体系，能够提前预判涉诈账户风险，一旦监测到风险、立即通过风控系统预警受害用户状态，既显著提升了银行的诈骗拦截率、减少涉诈账户，也巧妙平衡了安全防控与便民服务，帮助老百姓挽回巨额损失。

当你随手点开一个小程序时，你希望它是安全的、可信的，不跳转、不诱导、不乱要权限。

腾讯云小程序安全要做的，就是把这些可能伤害用户体验、侵犯隐私、制造风险的环节都提前挡在小程序环境之外，让你在小程序里发生的任何交互，都能保持可控和放心。

这些看得见、摸得着的业务场景，就是安全技术真正的价值所在。

写在最后

安全工程师或许是这个行业里“犯错”成本最高的职业之一。防守者 100% 的努力，也许换来的只是攻击者成功率下降了 1%。但只有这样，才有底气说，去守护黑与白的交界处。

让世界「什么事都没发生」，是很多安全工程师的工作成果。

你能看到光，是因为有人把黑暗挡在了你看不见的地方。

这是安全工程师最真实的生活，也是他们的信念与坚守。

我为这群搞安全的幕后英雄们，感到骄傲。

图片

【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的精华话题会同步在本公众号推送（每周）。根据话题整理的群周报完整版——每个话题甲方朋友们的展开讨论内容——每周会上传知识星球，方便大家查阅。

‍

‍

‍

‍

‍

‍

阅读原文

跳转微信打开

]]> Tue, 25 Nov 2025 08:01:00 +0800 重运营的游戏公司，如何做好安全？从防泄密到渗透测试的实战思考｜总第303周 https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492281&idx=1&sn=89f8055da3aa3488093996ebd0e7d5ae 本期周报简介：1、 针对游戏公司业务特性（如内容防泄、外挂私服），应如何制定一个前期务实、中长期全面的安全规划？重点应放在哪些方面？ 2、 在互联网渗透测试中，是否应对测试IP加白？生产环境加白与在测试环境测试各有哪些利弊，应如何权衡选择？ 原创 群秘 2025-11-19 09:59 北京

本期周报简介：1、 针对游戏公司业务特性（如内容防泄、外挂私服），应如何制定一个前期务实、中长期全面的安全规划？重点应放在哪些方面？

2、 在互联网渗透测试中，是否应对测试IP加白？生产环境加白与在测试环境测试各有哪些利弊，应如何权衡选择？

0x1本周话题

话题一：大家有游戏公司类型的安全规划给参考一下吗？发现和传统互联网有些不太一样，涉及的部门和内部沟通跟互联网感觉就是两码事。

A1:哪里不一样，赚钱为主、网信办个保等合规底线都差不多吧。

A2:差不多一个人的安全部+Network，和我认知里的企业整体性不太一样。

A3:游戏公司是孵化模式，内部甚至有竞品。

A4:以前待过，好像所谓“制作人”独大吧，我感觉更看重内容版权和游戏策划内容，其他都是为游戏业务团队服务的。不知现在组织架构模式。

A5:游戏是有特殊，对老板是重运营指标、客诉、外挂，对内的话，资产可能美术资产、版权是高优于cvm 这种。

A6:快速试错，败者淘汰，更加不关心安全了，但盗号等又肯定关心。做好合规就行了，其他他们自己扛着吧。

A7:游戏公司主要是外挂和ddos吧。现在了解下来主要是办公网安全，然后防范素材、代码泄露、监控github代码外泄、后续再引入一些渗透测试之类的。

A8:兼职网络的话，账号业务风控这类业务安全的应该另有团队做。

A9:看你们要怎么做，源码、美术、活动策划这三类是不能泄露的。也还是相对常规的事情，独立一些。

A10:但是规划肯定要把其他的也规划上去。汇报给CTO，需要做一个相对全面的，但是前期又能务实的规划。有一个很重要的，游戏公司泄密，经常提前被人曝光。

A11:前期务实保住试用期，后面中长期持续输出，稳定公司。

A12:针对重要产品监控、闲鱼、淘宝之类的，小红书，github一般作用不大。可以考虑discord + reddit + x，买个威胁情报 +关键字监控。

A13:游戏行业安全也挺难的，大公司也有上线前出现私服的。

A14:一般东西出去了，会快速出私服，然后这些渠道会铺满了宣传。

A15:那估计威胁情报也要搞起来，之前面试聊的时候主要是针对防泄漏这一块，主要是代码防泄漏，素材防泄漏，然后就是能够溯源追踪，对应事发前、事发中、事发后三个情况去做把。

Q：生产网没隔离吗？

A16:刚起步，都很粗糙，测试和开发都在一套里。先把研发环境圈起来吧，我n年前游戏公司时候，研发机器包括美术画图板还用铁笼子锁起来呢。（旧经验仅供参考娱乐。）

Q：没有两套环境？

A17:游戏公司，移动设备调试网络就是开发网。

A18:一套研发网，一套办公网。研发网纯内网，机箱锁住。

A19:研发都是可以出外网的。

A20:那要防，就有点困难哦，可以上追踪。

A21:目前在出口设备针对一些远程软件和代理做了管理。

Q：游戏公司能接受开发网纯内网吗？

A22:我们是这样的架构：两台机器，互联网+纯内网隔离。

A23:只要领导重视泄露，都可以接受。买套文件加密系统就搞定。

A24:我就打算这样去做，但是，看情况估计推广的时候很难，因为涉及到代码和素材的调试。

A25:文件加密要注意，很可能对终端的影响很大，比如落盘全加密，文件读写性能都很受影响，到时候别公司员工群起而攻之。

A26:性能问题不大，一般慢15%-15%，公司有预算的就上固态硬盘。最麻烦的问题应该是ide的兼容性，尤其是mac电脑的兼容。

A27:我看了一下mac的少。

A28:你的规划里可以都有，已经想了很多，然后在优先级上，先做影响小的、旁路的、掌控现状的，比如去访谈聊天，去摸清底数，去上监控。

然后拿着数据再告诉老板，经过这一段时间，这个风险存在但未实际发生过，我们的员工素质很高，可以再放放，这个风险每个月都发生X次，必须处置了，下一步做XX。游戏公司都是务实的，没有必要一上来就管死，扎口监控也可以。

A29:有个接受度的问题，在银行金融提这个大家会觉得很正常。不是网上常说么，看到封闭内网开发的赶紧跑路。

A30:有能耐跑就跑呗，现在谁还怕你跑啊。这东西跟是否金融没有关系，而是看船多大，小船都不会管，两套多费钱呢，大船就会担心漏水胜过航速了，就算是币圈该防也防。

从无到有，由奢入俭都是难的，所以我说得数据说话事件驱动，不能莫须有地搞。如果没到那份上，可以先搞些更要紧更要命的工作。

话题二：从互联网做渗透时，一般建议在waf ips上对测试ip加白名单吗？

A1:我们不会，不封就行。

A2:看目的是什么，是为了检验对抗能力？还是为了收集漏洞？收集漏洞可以在测试环境搞。

A3:既然在互联网侧，感觉更多是验证防护有效性？

A4:我这边是这么做：给渗透测试厂商开白名单，例如渗透测试发现了组件漏洞还是要靠代码层去修复。

A5:加白，先尝试多发现问题，验证防护有效性，取消加白重放下就行。

A6:常规的上线检测，倾向于相对客观地评估暴露缺陷。

A7:封的叫实战演练，不封的叫渗透测试。看你需求都可以，讲清楚就行。waf都不防护了，那就是测的应用自身漏洞，不测安全防护效果。

A8:既然是从互联网做渗透测试，大体应该是想找到应用系统本身的问题，WAF不加白的后果更多变成了跟WAF规则的对抗，效果会稍微差一点。

A9:那这种为什么不在测试环境做呢，考虑生产测试的差异？

A10:也可以说既然从互联网做，就想模拟最真实的攻击场景，都能说吧。其实是仿真环境就够了。

只是为了找漏洞的话，直接找测试环境测就行。生产测试的差异，一般是测试比生产多，生产复验就行。

A11:一层层的，每层都说得通。再进一层，测试环境直接给到代码审计也不是不行嘛。

A12:划出边界那就白盒，灰盒，黑盒，演练四类，应该比较公认。互联网加白做，还得考虑对方会不会更容易拿到数据，把数据偷走不告诉你，过不过演练平台。测试环境做还容易控制点。

A13:还有会不会带脏数据也是麻烦点。能在测试肯定优先测试环境。互联网生产不关防护应该是比较标准的，起码可以说，没有增加风险。虽然也有道德风险，但没增加。

0x2 群友分享

【安全管理】

《空中投放与隐蔽突防——A2PT组织对iOS手机的两起攻击案例的对比解析》

《蚂蚁集团刘宇江：安全切面，构建可演进的关基免疫体系》

《蚂蚁密算牵头成立全国数标委WG6-SG2密态计算研究组，推动数据可信流通体系构建》

【安全资讯】

《“中国方案”登场！铜锁混合抗量子技术喜提国际标准编号！》

《可能是今年值得一看的泄露数据之一》

《关于网传美国国家安全局文件泄露事件的几个小讨论》

《暗流第1期｜数字炼金术：揭秘信用卡盗刷背后的黑色产业链》

【法规解读】

《此次网络安全法的修订传递了哪几个关键信息？》

《由蚂蚁集团牵头制定的“隐私保护计算安全分级”IEEE国际标准已正式发布！》

《赞|国科大密码学院破解XCB加密标准》

由于微信修改了推送规则，需读者经常留言或点“在看”“点赞”，否则会逐渐收不到推送！如果你还想看到我们的推送，请点赞收藏周报，将【君哥的体历】加为星标或每次看完后点击一下页面下端的“在看”“点赞”。

【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的精华话题会同步在本公众号推送（每周）。根据话题整理的群周报完整版——每个话题甲方朋友们的展开讨论内容——每周会上传知识星球，方便大家查阅。

往期群周报：

运维安全三大挑战：动态IP管控、漏洞治理与加密架构实战解析｜总第302周

CDN恶意流量防御方案与企业网络安全定责探讨｜总第301周

金融系统数据脱敏、环境隔离、链路加密与BYOD管控的合规实践与落地平衡｜总第300周

如何进群？

如何下载群周报完整版？

请见下图：

‍

‍

‍

‍

‍

‍

阅读原文

跳转微信打开

]]> Wed, 19 Nov 2025 09:59:00 +0800 网联清算有限公司诚招安全人才｜总第63期 https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492263&idx=1&sn=e6c5b17c2f7cfe07e8ae3aa028183d5d 【君哥内推】旨在帮助甲方信息安全部门发布招聘需求，推送频率不定。欢迎甲方朋友们将招聘需求发给我，我愿意出力， 群秘 2025-11-13 19:08 北京

【君哥内推】旨在帮助甲方信息安全部门发布招聘需求，推送频率不定。欢迎甲方朋友们将招聘需求发给我，我愿意出力，帮转扩声，如果遇到合适的人选，亦可内推。

‍‍

‍‍今天是第63期，网联清算有限公司诚招安全人才！简历速来！

公司介绍：

网联清算有限公司（英文简称NUCC）为中国人民银行所属企业，是金融基础设施运营单位。公司主要负责网络支付、移动支付清算，业务范围覆盖各类银行业机构和非银行支付机构，是全球交易笔数最大的零售支付清算机构。

安全架构师

【岗位职责】

1.负责公司安全攻防技术体系规划和建设，使公司安全体系适应最新的网络安全攻击形势；

2.负责识别网络安全漏洞风险，综合运用静态和动态方法在软件开发生命周期中集成安全检测；

3.负责网络安全攻防及自动化安全检测工具链建设，提升攻防和自动化检测能力；研究落地大模型对抗技术；组织开展内外部攻防演练；组织技术队伍参加外部网络安全竞赛和演习活动；

4.负责推进接入机构安全联防联控机制建设，开展安全分析和溯源。

【任职要求】

1.大学本科及以上学历学位，计算机、软件、网络空间安全等相关专业；

2.具备5年及以上安全领域相关工作经验，且3年及以上开发、网络攻防等相关工作经验；

3.拥有安全技术前瞻性，掌握前沿攻防技术；具备良好的安全分析和追踪溯源能力，有实战经验的优先；

4.具备丰富的Java开发及漏洞挖掘经验，安全基础扎实，熟悉安全漏洞的内在原理、检测方法、利用手段及解决方案，优先考虑具有渗透测试类认证、具备漏洞提交记录（如CNNVD）、国家级攻防演习取得名次、国家级安全竞赛获奖者；

5.具备一定管理经验，责任心、自驱力、协调能力较强。

【工作地点】北京市西城区月坛南街月坛金融集‍‍

【薪资范围】面议

【招聘名额】1位

【官网投递】请报考人员扫码或登录https://nucc.zhaopin.com报名，报名时间为自公告发布之日起至11月30日24:00

‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍

‍

‍

‍

‍

阅读原文

跳转微信打开

]]> Thu, 13 Nov 2025 19:08:00 +0800 运维安全三大挑战：动态IP管控、漏洞治理与加密架构实战解析｜总第302周 https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492259&idx=1&sn=aeaec0448fc82a96940df404c644c4b2 本期周报简介：1、飞书、企微机器人域名IP多变，防火墙策略难维护，有没有既安全又可行的统一代理方案？ 2、对于内网已认证的Redis的RCE漏洞，怎么客观评估其真实风险与修复优先级？ 3、视频服务端加解密性能压力大，如何设计架构？ 原创 群秘 2025-10-23 08:01 北京

本期周报简介：1、飞书、企微机器人域名IP多变，防火墙策略难维护，有没有既安全又可行的统一代理方案？

2、对于内网已认证的Redis的RCE漏洞，怎么客观评估其真实风险与修复优先级？

3、视频服务端加解密性能压力大，如何设计架构？

0x1本周话题

话题一：现在很多应用都用飞书、企微的机器人进行告警，需要飞书、企微的域名访问这些机器人服务，而这些域名都是解析到很多个ip地址，防火墙acl策略时好时坏，必须要开成any策略，大家有什么好的代理工具对这些出向的访问进行统一管理吗？

A1：可以引入正向代理集中管控对外访问，避免每台服务器直连外网域名。

Q：具体有哪些工具推荐啊？需要在服务器安装客户端吗？

A2：传统防火墙通常不支持基于域名的策略，可以编写脚本定期解析域名并动态更新防火墙策略组。

A3：下一代防火墙或七层防火墙理论上支持域名策略，但飞书、企微的域名数量多、变化频繁，实际操作难度会更大。

A4：实际场景中域名策略的维护成本也比较高。

A5：（AI工具建议）：可采用Nginx反向代理，通过配置将内网请求转发至飞书/企微Webhook；也可使用AlertFusion、PrometheusAlert等告警中台，统一对接机器人服务，收敛出口IP。

A6：问题的本质是怎么在防火墙上收敛策略，而不是单纯选型工具。AI的回答其实也偏离了。

A7：但是也可以考虑使用WebSocket长连接替代Webhook，通过飞书API主动拉取告警，避免服务端主动出向访问。

A8：我个人觉得，Nginx作为代理较为稳定，尤其适合长连接场景，但需解决域名解析与证书问题。但是Nginx方案需在每台服务器配置hosts劫持域名，且缺乏企微/飞书的有效证书；此外，若使用SOCKS代理，会代理全部流量，不够灵活。

A9：这里的需求是服务器主动调用飞书/企微机器人接口，而非接收外网Webhook。

A10：服务器通常不允许直接出公网，而飞书作为SaaS服务，其域名对应IP频繁变化，造成策略维护困难。

A11：类似场景还包括腾讯会议等多IP域名服务。

A12：这几个方面可以考虑下：

  • grafana配Webhook地址处配成：aaa.XXXXX.local 

  • aaa.XXXXX.local的DNS解析地址指向Nginx的地址 

  • Nginx中增加vhost配置文件，核心配置如下： 

    server { listen 80; server_name aaa.XXXXX.local; # 填写你的域名 location / { proxy_pass https://qyapi.weixin.qq.com/cgi-bin/webhook/send?key=XXXX } }

A13：你的服务器，正常的话，其实就2个域名必须访问： wss://msg-frontier.feishu.cn https://open.feishu.cn

A14：把nginx这个配置配置，试试看。

话题二：Redis RCE漏洞CVE-2025-49844：风险真的可控吗？

A1：如果Redis启用了认证，风险就相对可控；要是没有认证，漏洞影响也有限吧。

A2：但是也可能引发合规风险，这就是例子。

《DPC重罚TikTok：5.3亿欧元裁决重塑跨境数据规则》

A3：关键是身份验证呀。

A4：实际环境中很多Redis实例使用空口令，漏洞在内网渗透中也是有利用价值的。

A5：攻击者可能就是写入authorized_keys/计划任务来实现权限维持。

A6：这个要猜测用户名，计划任务要root权限，实战的话并不一定能成功。

A7：修复是必要的，但也要客观评估优先级。独立部署的Redis可以循序渐进去修复，但是云上Redis服务就要尽快处理。

A8：不过从安全的角度，可以提要求，能不能实现升级还要看公司有没有资源支持这方面的升级测试。有多少单位能为安全升级提供充足的资源进行测试？

A9：兼容性测试只能产品团队自己做，产品的管道年初就排好了，哪能马上有资源，见缝插针慢慢来吧。

A10：除了特定漏洞补丁，服务器端os、中间件、组件基础软件版本定期升级是不小的变更，每年的演习是个契机。大部分服务器一年只能有一次打补丁机会。

话题三：加密方案怎么设计更安全高效：我的视频先由客户端C上传给服务端B，由B使用aes加密之后再传给minio服务。之后访问时由B从A获取加密视频，然后在B处解密，最后传输给C查看。minio本身是存储加密的。minio是A。

A1：为什么不直接在客户端加密后上传至Minio？这样可以避免服务间传输，减少延迟与依赖啊。

A2：原方案中服务端B进行AES加密再传至Minio，计划改为直接使用Minio服务端加密，以减轻服务端负担。

A3：Minio支持服务端加密，类似于AWS S3。如果Minio的AK/SK泄露，那加密数据也可能被解密。

A4：也可以考虑把解密环节下放至客户端啊，减轻服务端压力。

A5：客户端解密需要配合访问权限控制，要是在客户端解密，密钥就必须根据用户来随机化，不然就没意义了啊。

A6：也可以配置Minio（或S3）策略，限制只允许来自指定IP的请求来降低泄露风险。

0x2 群友分享

【安全管理】

《特拉维夫大学 | POPS：基于历史数据的DNS缓存投毒攻击缓解措施》

【安全事件通告】F5 BIG-IP遭国家级黑客渗透，潜在漏洞与供应链威胁，尽快采取行动！

《数据要素流通破局：新基建与新流通》

【安全资讯】

《国家安全机关破获美国国家安全局重大网络攻击案》

《CVE-2025-11230：HAProxy mjson 库中的拒绝服务漏洞攻击（2025.10.03）》

适用《数安法》《网安法》《网数条例》的行政处罚典型案例（126个）

由于微信修改了推送规则，需读者经常留言或点“在看”“点赞”，否则会逐渐收不到推送！如果你还想看到我们的推送，请点赞收藏周报，将【君哥的体历】加为星标或每次看完后点击一下页面下端的“在看”“点赞”。

【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的精华话题会同步在本公众号推送（每周）。根据话题整理的群周报完整版——每个话题甲方朋友们的展开讨论内容——每周会上传知识星球，方便大家查阅。

往期群周报：

CDN恶意流量防御方案与企业网络安全定责探讨｜总第301周

金融系统数据脱敏、环境隔离、链路加密与BYOD管控的合规实践与落地平衡｜总第300周

企业软件治理挑战：管控非授权下载与破解软件的有效措施｜总第299周

如何进群？

如何下载群周报完整版？

请见下图：

‍

‍

‍

‍

‍

‍

阅读原文

跳转微信打开

]]> Thu, 23 Oct 2025 08:01:00 +0800 写给妙妙十岁生日的一封信 https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492241&idx=1&sn=b3f288757193f82c5f09beb3388245e0 妙妙，你好，恭喜你，进入第一个双位数生日，这也意味着，在你的人生路上，迈入新的十年，开启一段无以伦比的旅途，无论怎样，你要开始学着和自己相处，和周边的同学朋友，亲戚家人，以及陌生人碰面交流，期待你顺利。 原创 聂君 2025-10-16 08:10 北京

妙妙，你好，恭喜你，进入第一个双位数生日，这也意味着，在你的人生路上，迈入新的十年，开启一段无以伦比的旅途，无论怎样，你要开始学着和自己相处，和周边的同学朋友，亲戚家人，以及陌生人碰面交流，期待你顺利。

注：这篇写在妙妙 5 月份生日，我的公众号是“君哥的体历”，分享的是我个人对工作、生活的一些体验和经历。本篇为生活体历，关注工作的可以略过。

妙妙，

你好，恭喜你，进入第一个双位数生日，这也意味着，在你的人生路上，迈入新的十年，开启一段无以伦比的旅途，无论怎样，你要开始学着和自己相处，和周边的同学朋友，亲戚家人，以及陌生人碰面交流，期待你顺利。

还记得你刚出生的时候，我和妈妈都沉浸在儿女双全的巨大喜悦中，妈妈带你回到家里第一天，你哥哥扑在床上，不让你上床。可是自此以后，你哥哥几乎就再也没在你妈妈睡的大床上睡觉了，他和我在此后一年时间在另外一间房开启了父子“相依为命”的生活。不过你哥哥特别喜欢家里新增加的成员，每次看着襁褓之中的妹妹，他都会手舞足蹈的表达对你的喜爱。可见从你出生开始，你就是家里成员最受照顾的一位。

2019 年 3 月份，我们举家搬迁到了北京，离开了我们深深眷恋的深圳。来北京后最开始没有联系好幼儿园，你和哥哥在家玩了半年，看着你和哥哥在家里打打闹闹，爸爸工作的不顺心一回到家也就烟消云散了。

后来上小学你被随机派位到了离我们家很远的一个学校，爸妈为此还去教育局信访过，希望能把你派位到离我们家或者离你哥哥近一点的学校，可惜第一次就失败了，此后爸爸每次就承担了每天早上送你去上学的职责，所以每年爸爸最盼望寒暑假到来，这样爸爸就能睡个懒觉了。但同时爸爸很感谢学校，因为爸爸和你交流最多的时候就是早上这 40 分钟，你会告诉爸爸很多学校发生的事情，也会告诉爸爸你的心情变化，以及喜欢和谁玩不喜欢和谁玩，甚至还会和爸爸撒娇，爸爸很感谢这一路的陪伴，你让爸爸能感受到很多乐趣，也能让爸爸陪伴你一路，同行一段。

学习上，爸妈一直在培养你的学习习惯，妈妈在家带你学习的时间比我多，有时候你们睡着了，我回家了，妈妈会拉着爸爸说很多，哪个作业粗心大意不应该错的错了，英语没有语感，语文生字词老是写错了，“呼唤”写成“呼呼”，“厉害”写成“历害”。数学小数点不注意，单位没换算，看题看错了等等。妈妈有时候又觉得你是个学霸，所有作业不用妈妈催自己就会全部写完，文具和书本整理的井井有条，老师安排的事项一清二楚，也从不打折扣完成。但有时候妈妈又觉得你粗心大意，漫不经心，还有一些骄傲自满。真是有点“人格分裂”的妈妈呀，但这些都是妈妈随着你而开心或者懊恼，你现在很难体会爸妈现在这份心情，可能只有等你也有了自己的孩子才能体会这点吧。

课外之余，爸妈给你报了羽毛球，之前也尝试过舞蹈和钢琴，最终还是只有羽毛球坚持了下来，因为需要一项体育运动作为爱好，不需要多出色，只是在自己压力大，或者身体需要时，找上三两好友，挥洒汗水，享受运动带来的快乐，生活中，需要学会放松，学会和自己的身体相处，学会张弛有度。

自从上小学后，你就一直是班级班长，后来竞选了大队委，几乎所有学校的活动比赛你都报名参加了，特别的上进，几乎有一些偏执。4×100 米接力，你也参加了并且拿了年级第一名，你妈妈当年也是初中高中 4×100 的主力选手，也经常拿奖。爸妈很欣赏你这种性格，从不服输，一直在拼。

生活中，你喜欢各种炫亮的小饰品，亮晶晶的水晶手镯，银手圈，项链，粉色的首饰盒。衣服鞋子也喜欢紫色，可惜就是性子特别金刚，有时候不讲道理，得理不饶人，甚至咄咄逼人，希望你能小小注意一下。

爸爸妈妈都是大家庭出生长大的，感受到大家庭的很多温暖，有喜悦的事情也会和亲朋分享，逢年过节和亲戚走动话家常，希望你以后也会体会到大家庭的温暖，常回爸妈的老家看看。

妙芪，未来的路，爸妈希望你能一直保有探索之心，好奇之心，什么都尝试一下。人生很短，短到三万天倏忽而过。人生很长，长到体验经历刻骨铭心，这些体验和经历才最终构成了一个叫妙芪的人。留意你身边的自然现象，太阳落下月亮升起。留意你身边的风景建筑，各种艺术之美，人文之美。留意你身边的人和事，常怀感恩知足之心，处处为人着想，不念过往，不惧未来。

最后，爸爸妈妈觉得，我们家四个人，能在地球这么多人中相聚同行，共同生活很长一段时间，爸妈感到很幸运也很幸福，是你和哥哥给了我们深深的爱，也让我和妈妈学会了很多，体会为人父母的不易。

谢谢你，妙芪。

阅读原文

跳转微信打开

]]> Thu, 16 Oct 2025 08:10:00 +0800 CDN恶意流量防御方案与企业网络安全定责探讨｜总第301周 https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492237&idx=1&sn=355a99271ead2831125814a19ca6e1fa 本期周报简介：1、针对CDN被恶意刷流量导致损失，有哪些高效防御方案？ 2、公司内部网络安全事件定责时，判罚梯度如何设置？ 原创 群秘 2025-09-30 08:01 北京

本期周报简介：1、针对CDN被恶意刷流量导致损失，有哪些高效防御方案？

2、公司内部网络安全事件定责时，判罚梯度如何设置？

0x1本周话题

话题一：重庆警方很多年前特殊时期的数字，一年招收100博士，5550硕士，6000本科，2个博后站，...多个研究中心...一年获得专利191项。运营商是走在我们前面，那么现在网警和运营商的安全技术人员，大致是什么规模啊，每年增量还大么？

A1:技术其实不用他们出马，让厂商技术支持就行吧。那么夸张？上万人？

A2:总的，包含生物识别的那些。

Q：有个奇怪的问题，app安装包放在oss里，采用cdn方式供用户下载，近一两个月，来自济南几个idc机房的ip，每隔几分钟就通过cdn域名下载一个特定版本的安装包，安装包版本一直没变过，感觉像有人写了个wget脚本定时下载，像恶意的又不像恶意的，结果导致了大量cdn流量费用损失，大家有遇到过吗？

A3:去年这个事还是火过一阵子的吧，不知道是不是一回事。

文章详情扫码即可跳转（因文章是外链无法直接跳转，小编转为二维码形式，感兴趣的读者可以了解）

A4:恶意刷流量目的是啥。损失的钱也付给云厂商了呀。

A5:文章不是写了吗，那些人要平衡自己的上下传带宽，以免被运营商发现封禁。

A6:我们也有这种情况，之前也是想不明白他的目的。

A7:之前很多云厂商没有对静态资源的基本干预能力，那一波之后，不少云厂商补上了一些功能，我以为这事消停了呢。

A8:是，游戏圈被刷的最惨，有意愿的自己搞下，没意愿的找个成熟的cdn waf供应商一键解决。

A9:损失超过2万，是不是可以报案抓人了。

A10:理论上是，但据我所知还没公司闭环过，因为这里面有很多不能描述的隐性成本。买个cdn waf就能解决的事，公司不会轻易走司法的路子的，安全团队应该也不敢轻易提吧。

A11:找cdn云厂商把损失摸了？

A12:这是一个路子，但不是个可持续的路子。因为不能推荐公司，你看一下国内头部的带waf的cdn 云厂商，基本都能做，他们都处理过这类case的。短期可以抹一下，不想动cdn的话，你可以把你的包拆小，他们一般喜欢找大包，不过这个把成本转移到开发/打包填对了，填对=团队。

A13:app安装打成好几个小包，不好弄吧，客户咋安装。

A14:能分析出来也挺厉害的，但是不好做，而且容易被挑战，投资回报最高的还是搞cdn waf吧。

A15:这事儿还挺大的，抓了30来个人，牵扯了好几家企业。

A16:我们：今天攻击我们比昨天多？是谁啊？什么意图？安全：emmm...

A17:去年我们遇到过，如上所述，cdn WAF+清理老旧不用的大文件+定期监控云上异常流量和费用。好像也是济南的IP。

A18:我们的网银控件也碰到该问题，原来是这样的目的。

A19:大家有解决方案吗？我们也遇到不过是江苏的IP。

A20:阿里云新推出了esa，比cdn流量费贵。给cdn每天流量限流。

A21:攻击者打满后，正常用户就用不了？

A22:好像是这样。

A23:我们最近也遇到这个问题了，CC攻击。

A24:也是打CDN？

A25:最起码知道被恶意下载流量了，有些人无法下载app。

A26:不是针对CDN，就是攻击官网，还是ipv6，单个ip的访问量不是特别大，但是ip数量很多，行为一致，user agent里的一些特征也是完全一样。

话题二：各位大佬，请教一下。如果对网络安全事件定责的话，公司内部判罚结果一般有哪些？从高到低一般是什么梯度？特别严重的，会直接辞退吗？

A1:别说辞退了，罚款这种也都得和高管沟通确认了才行吧。

A2:这个问题AI回答的很全面，我只想提醒一点，别自己定处罚规定，加进人事处罚制度里。

A3:最终标准高管会审批一下。想看看判罚结果怎么设置合适，参照一下大家的经验。

A4:特别严重是调离岗位，扣钱。

A5:AI不仅告诉可以罚款、开除、记录档案，也告诉必须公示、有法可依的注意事项，还告诉惩前毖后治病救人的处罚原则。

开除肯定有。AI举的例子很恰当。但不是出了事就要开除，如果操作正确，是客观原因，就不太能开除。

我们单独写了网络安全责任制制度，但惩罚也是合进人事奖惩制度里的。综合因素较多，不太好一刀切说出什么事就要处罚啥。

A6:会有一些判罚标准，区分是恶意违规，还是正常操作的。确实，这个必须和人事联动，绩效处罚这些都得有人力最终处理。

A7:还有风控部分也要联动，参考下监管的罚单好点。内控也要联动，计划设置一个定责委员会。

A8:有制度么？没有制度先联系人行确定支付，如果不是主观恶意，造成损失不大，一般不会太严肃。

0x2 群友分享

【安全管理】

《Apple安全工程和架构｜设备内存安全执行的完整性愿景》

【安全资讯】

《搜狗输入法云控下发模块，“暗中”篡改浏览器配置》

《萧山警方跨省出击，成功打掉“银狐”木马开发团伙》

《美国战争部全面升级网络防御：从静态防护到动态实战》

由于微信修改了推送规则，需读者经常留言或点“在看”“点赞”，否则会逐渐收不到推送！如果你还想看到我们的推送，请点赞收藏周报，将【君哥的体历】加为星标或每次看完后点击一下页面下端的“在看”“点赞”。

【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的精华话题会同步在本公众号推送（每周）。根据话题整理的群周报完整版——每个话题甲方朋友们的展开讨论内容——每周会上传知识星球，方便大家查阅。

往期群周报：

金融系统数据脱敏、环境隔离、链路加密与BYOD管控的合规实践与落地平衡｜总第300周

企业软件治理挑战：管控非授权下载与破解软件的有效措施｜总第299周

搜索引擎恶意推广与内网渗透：企业安全防护与应急响应实践｜总第298周

如何进群？

如何下载群周报完整版？

请见下图：

‍

‍

‍

‍

‍

‍

阅读原文

跳转微信打开

]]> Tue, 30 Sep 2025 08:01:00 +0800 金融系统数据脱敏、环境隔离、链路加密与BYOD管控的合规实践与落地平衡｜总第300周 https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492227&idx=1&sn=67d3a20c15c77fcf8730416559d731cb 本期周报简介：1、敏感数据脱敏与导出监控，是否有强制性法规依据？如何应对标准多、执行难的合规现实？ 2、生产与测试环境互通违反隔离原则，如何建立可控的审批与技术防线？ 3、应用层加密性能差，信创环境下有无高效链路层加密方案或硬件替代建议？ 原创 群秘 2025-09-26 08:04 北京

本期周报简介：1、敏感数据脱敏与导出监控，是否有强制性法规依据？如何应对标准多、执行难的合规现实？

2、生产与测试环境互通违反隔离原则，如何建立可控的审批与技术防线？

3、应用层加密性能差，信创环境下有无高效链路层加密方案或硬件替代建议？

0x1本周话题

话题一：请教下各位，有敏感信息的系统界面上脱敏，数据导出监控之类的有法规要求吗？

A1：看看金标委有没有对应的。

A2：你们基金有吧？以前行业协会出过白皮书，这个写的挺不错的，针对基金行业写的。这个是法规。

A3：这个白皮书都是建议性的吧。

A4：是的。建议的，不过列举了很多案例。

A5：维持基本合规的要求，还得看法规或监管指导文件。

A6：比如这个是招商基金做的，证券基金信息安全管理办法，但是只提到导出数据要做脱敏。

A7：这个要求太笼统了。

A8：前端展示敏感信息脱敏没提到。

A9：没出问题，啥事没有，出了问题，就按照各个标准，使劲套，总能找到没达标的。

A10：笼统一个问题，违法数据安全法，未尽数据安全防护义务。违法网络安全法，未尽网络安全防护义务。

A11：九龙治水，都是以圣人标准立法，而且还是分别按照儒圣、释圣、基督圣等圣人的最高要求立规矩。最开始我们苦于没有标准，现在苦于标准规范太多。

A12：有个老师说过：法规实在太多了，全部执行成本太高，不执行又不敢，所以需要你。

A13：好像没毛病。

A14：招你来挑着执行吗。

A15：有可能这是安全的价值了，安全的专业性就是怎么从纷繁复杂的标准、解决方案里找出最优解，用较少的投入控制最大的风险。

A16：不是挑着执行，我去的时候，他们要走国际化，要过PCI，ISO，一年多了都过不去，一个密钥保管问题就全死了，测评机构只告诉他不符合，问就是加密机，我去了告诉开发折衷办法，给老板省的钱反正高过招我的成本了。

A17：pr、各类大会等高大上的案例看多了，很多都是拔高了，实际落地的时候，我感觉所有单位都是挑着执行吧，只是有钱的、有人的、有经验的可能能达到80%，其他的就20%-30%。

A18：我觉得“适配自己的成熟度”更加贴切些。风险管理的目标不是零风险。

A19：80%我觉得高估了，大家都是一堆历史债务，有钱有人的，系统规模也更大。

A20：哈哈，反过来20%都高了，小企业可不止80%。

A21：关键上面的要求是零风险，违背客观规律，只能靠运气了。

A22：你要是翻国外的大厂，Google，亚马逊，那些内部出来爆料的，内部都是各种问题。

A23：有钱，有人，有时间，有经验，的大甲方，该做的都做了，也组织化了，这时候他们面临的问题，追求，和求生的企业一定是不一样的，如果一样，自己就没价值了。

A24：所以大厂要编故事，并且力争实现个10%，然后拿出去PR。

A25：之前有次大家讨论过，同行业不同规模的安全团队的短期目标和长期目标的差异性。人少的或特别少的，就是柴米油盐酱醋茶；人多一些的可以诗和远方。

A26：前WhatsApp 安全部门负责人 Attaullah Baig 提起诉讼/作为告密者，指控 Meta/WhatsApp 在安全与隐私管理上存在“系统性失败”——他称公司未充分修补漏洞、未建立足够审计/监控，并且有大量工程师对用户数据有宽泛或“未受控”的访问权限。

卫报+1 报道中提到的具体数字包括：约 1,500 名工程师可能拥有对用户数据的过度访问权限；他还声称每日有大量账号被劫持（报道列出约 100,000 次/日的说法）。 

Axios +1 Meta 对此表示否认，称 Baig 因绩效问题被解雇，并反驳其指控。案件已进入美国法院程序并被媒体广泛报道。

A27：君哥说过：talk is cheep,show me your 实践，这里实践和代码都是可复制可落地的成果，都是先富带动后富，让柴米油盐也能看到诗和远方。

A28：这是不是个共性问题，服务器端的基础软件版本很难一直保持最新吧，能每个季度升级就不错了。

话题二：请教一下，大家公司生产环境和测试环境有没有个别系统比较特殊，需要交互的情况，这种是应该严格杜绝，还是可以点对点开通个别系统？项目组说加个代理，但是跟直接交互没啥区别。

A1：发布吗？

A2：SAP三系统就要求互联。

A3：不是，就是一些破系统，奇葩需求。就是想知道同业有没有类似的情况，我说其他行都没有，人家也不信。

A4：那就坚持相互隔离的原则。

A5：既然是奇葩需求，拒绝了会有什么后果。实际会有的，但有特殊控制，比如发布这类，不是一个代理。

A6：个别系统发布有这种情况，开发发到测试，测试发到生产。

A7：我们只有文件交换摆渡、发布会有这样的，其他全拒了。走了网闸，至少来查也符合物理隔离的要求。

A8：他们要实时交互，网闸还不行。

A9：走网闸合适，会有什么后果呢？不开特例是他不方便了，还是影响国计民生了，任务完不成了。

A10：违反这种开发和测试要隔离的要求，丢监管要求给他们看就行。

A11：互通那岂不是数据库也同步了。

A12：要求归要求。实际情况灵活处理。如果你是严格杜绝，那就是处在业务对立面了。这种情况你应该让多个领导背书，风险部门通过就行了。不要让你一个人来当裁判。

A13：所以先别着急简单地说行或不行，看看到底是什么业务，评估下影响，看看解决方案。

A14：总之，不要自己去决策，抛出来大家一起讨论。这种禁止是明面上的。私底下其实很多打通的。业务多了总会遇到这个场景，让业务低下偷偷打洞，不如提供正规满足安全、合规的变通方式。

话题三：应用层加密，有时性能受不了。有好的链路层加密设备、方案吗？

A1：在应用层解密的地方做镜像，提供各种应用层解密的镜像套件SDK。

A2：链路层不是ssl吗，现在这个很成熟才对。

A3：加密机，以前在华子见过，可以网关组网，可以透明部署，还可以在物理链路里建虚拟加密链路。

A4：作为产品接入点。

A5：不应该，除非是信创，那就只能加设备，否则字段级加密性能下降不会超过10%，可以压测看问题出在哪。

A6：现在应该金融行业都优先信创了吧？

A7：都说影响性能，还真没仔细分析过压测数据结果。

A8：那性能下降可能能到50%，这个没有好办法，芯片是否自带加速电路处理特定加密算法影响很大。

A9：我记得某石的方案就是应用层加密，据说效果、性能都很好（没有实测），会不会系统架构存在优化空间？

A10：要么加设备，要么配加速卡，可能还不如调加密机。

A11：现在cpu都支持对称加解密指令了 tls1.3的性能根本不是问题，信创像某光也没问题。

A12：如果有问题，要么是国密ssl标准太老旧，不支持非对称密钥复用要么是软件没有做cpu加解密指令适配。

A13：准确的说，如果有问题，要么是国密ssl标准太老旧，不支持非对称密钥握手session密钥复用，要么是软件没有做cpu加解密指令适配。

A14：但凡做对了的，性能都不会是瓶颈。英某尔，某光这些处理国际算法都不会有问题的。

话题四：大家对使用个人电脑办公是怎么管理的？

A1：禁止入网。

A2：这个不是大家说了算的吧，也是看公司情况和自己业务形态。除了不是正式员工，其它都一视同仁。互联网业务不可能完全禁止byod，而金融业务甚至可以接受云桌面。

A3：不让用非公司电脑接入内网。

A4：你司没外包吧？

A5：外包配电脑。

A6：可以做个分级：

  • 全加白，不受控（给老板们的级别）

  • 允许入网，但要求装管控措施（宽松策略） 

  • 允许入网，但严格限制数据、文件、权限流转（严格策略） 

  • 禁止byod入网（一刀切）

A7：可以让业务根据自己的业务特点与竞争态势决定，安全部门除了保证基线日志不漏，不要自主给设定。

A8：准入卡住，非公司MAC禁止 只允许连guest。

A9：电脑很便宜，配电脑给外包很容易。

A10：我司一刀切，禁止外部电脑入网。

A11：禁止携带私人电脑办公，先发规则再发宣传太多人用法不责众，缩小到个位数就可以处理了。

A12：我们是必须安装一个公司的软件才能接入内网，私人电脑装不了。所以也不用宣传。

Q：因为绑定特殊硬件？

A13：区别就是公司电脑采购的时候有登记MAC地址。

A14：也看公司性质和老板和VP的诉求，一刀切和备案制都有。

A15：应该是Mac，需要连接一个服务器登录认证。不是公司资产通过不了认证。

A16：看公司行业性质，安全提出基线要求，看基础设施和各外包需求部门是否会在此之上增加要求。

A17：既然想管，也可以看是不是有什么顾虑和风险才想管，可以考虑从风险入手看怎么管，看能不能分类管。技术上有准入、访问范围控制、终端安全基线等。

A18：看管理要求我们是公司统一配置电脑的所以不允许私人电脑办公。

0x2 群友分享

【安全管理】

《身份证等证件不再整体视为敏感个人信息》

《【已复现】百度网盘Windows客户端存在远程命令执行漏洞》

《教你打造一款 AI 安全助手 | 安全 MCP 的实践指南》

《MCP 开发人员安全指南｜风险、挑战及应对措施》

《设备/软件、系统采购类协议》包含哪些要件？数据安全如何约定？

【法规解读】

《新网安法修改方向》

《国家网信办发布近期网络安全、数据安全、个人信息保护相关执法典型案例》

【安全资讯】

行业首份《密态计算白皮书》在外滩大会发布，破解数据流通成本与安全难题

《外滩大会首发！蚂蚁密算推出AI密态升级卡，实现零改动“即插即用》

《公安网安部门：对迪奥（上海）公司依法予以行政处罚》

《网络安全脱钩！微软停止向中国网络安全公司发送漏洞预警情报》

由于微信修改了推送规则，需读者经常留言或点“在看”“点赞”，否则会逐渐收不到推送！如果你还想看到我们的推送，请点赞收藏周报，将【君哥的体历】加为星标或每次看完后点击一下页面下端的“在看”“点赞”。

【金融业企业安全建设实践群】和【企业安全建设实践群】每周讨论的精华话题会同步在本公众号推送（每周）。根据话题整理的群周报完整版——每个话题甲方朋友们的展开讨论内容——每周会上传知识星球，方便大家查阅。

往期群周报：

企业软件治理挑战：管控非授权下载与破解软件的有效措施｜总第299周

搜索引擎恶意推广与内网渗透：企业安全防护与应急响应实践｜总第298周

SFTP安全传输与信创UKey认证实践探讨。｜总第297周

如何进群？

如何下载群周报完整版？

请见下图：

‍

‍

‍

‍

‍

‍

阅读原文

跳转微信打开

]]> Fri, 26 Sep 2025 08:04:00 +0800 中国人民财产保险股份有限公司诚招安全人才｜总第62期 https://mp.weixin.qq.com/s?__biz=MzI2MjQ1NTA4MA==&mid=2247492215&idx=1&sn=42732e5a4e4e00fa3dd00503e53f1c15 【君哥内推】旨在帮助甲方信息安全部门发布招聘需求，推送频率不定。欢迎甲方朋友们将招聘需求发给我，我愿意出力， 群秘 2025-09-14 09:01 北京

【君哥内推】旨在帮助甲方信息安全部门发布招聘需求，推送频率不定。欢迎甲方朋友们将招聘需求发给我，我愿意出力，帮转扩声，如果遇到合适的人选，亦可内推。

‍‍

‍‍今天是第62期，中国人民财产保险股份有限公司诚招安全人才！简历速来！

公司介绍：

中国人民财产保险股份有限公司(PICCP&C)是中国内地最大的财产保险公司，其前身是1949年10月成立的中国人民保险公司，总部设在北京，是中国人民保险集团股份有限公司(PICCGroup，2024年美国《财富》世界“500强”第158位)的核心成员和标志性主业，是国内历史悠久、业务规模大、综合实力强的大型国有财产保险公司，保费规模居全球财险市场前列。公司于2003年11月6日成功在香港联交所主板挂牌上市，是中国内地第一家在海外上市的金融企业。

网络安全岗

【岗位职责】

  • 科技风险管理方向

1.负责制定科技风险管理体系，推动落地实施及提供培训和指导。

2.组织开展科技风险评估，持续跟踪科技领域的新要求、技术及应用，识别潜在风险。

3.制定科技风险应对策略和措施，监督风险防控措施的落实情况。

  • 开发安全方向

1.负责制定开发安全规范和标准。

2.参与软件开发项目的安全设计评审。

3.为开发团队提供安全编码培训和技术支持。

4.负责内部系统渗透测试，对Java等语言的源代码进行安全审计。

  • 安全运营方向

1.负责公司基础环境安全防护体系建设与设备运维。

2.负责安全监控告警处理、策略优化、事件响应、基线检查、漏洞扫描等安全运营工作。

3.制定网络安全事件应急预案并组织演练。

  • 办公安全方向

1.负责办公安全防护体系规划与建设落地。

2.制定终端安全策略和基线，开展终端安全检查及安全工具日常运营。

3.负责终端安全事件的应急响应，进行日志分析、攻击定位、止损与溯源。

4.制定办公网络安全事件应急预案并组织演练。

  • 数据安全方向

1.制定数据安全技术规范，推进落地并开展数据安全技术培训。

2.构建和优化数据安全技术防护体系，负责相关工具与平台建设及推广。

3.参与数据安全评估，确保数据处理活动符合国家法律法规及行业标准要求。

  • 安全攻防方向

1.参与团队安全攻防技术能力体系建设，发现企业深层漏洞和隐患。

2.组织内部攻防演练，对目标系统进行实战化攻击测试。

3.跟踪威胁情报，开展漏洞挖掘与研究，输出POC或 EXP，主导疑难安全事件技术分析。

4.研究新兴攻击技术，代表企业参加外部安全竞赛。

【任职要求】

1.全日制硕士研究生及以上；

2.计算机、通讯、自动化、信息安全、金融科技、数学等相关专业；

3.具有较强的文档撰写、沟通协调、体系化思维、解决问题和团队协作能力。具备金融、保险行业安全相关工作经验优先。

  • 科技风险管理方向

（1）熟悉国家和金融行业科技风险管理相关政策法规，熟悉等级保护、ISO27001等方面国家和行业标准。

（2）掌握科技风险管理的工具和方法，能够熟练运用风险评估模型和数据分析技术，对科技风险进行量化分析和评估。

（3）具备CISP、CISSP等认证证书者优先。

  • 开发安全方向

（1）熟悉软件开发安全规范，了解常见的安全漏洞及防范措施。

（2）精通Web渗透全流程，掌握Burp Suite等工具，具备完整攻击链实战经验。

（3）熟练使用SonarQube 等审计工具，熟悉Spring等框架的安全机制，有框架级高危漏洞挖掘经验优先。

  • 安全运营方向

（1）熟悉安全运营的流程和方法，具备安全事件分析与应急处置能力。有大型企业SOC经验者优先。

（2）熟悉主流安全设备的部署与配置，具备较强的网络安全技术基础和系统运维能力。

（3）熟悉主机层常见漏洞原理及安全加固方案。

  • 办公安全方向

（1）熟悉主流终端安全产品的部署与配置，如桌管、防病毒、VPN、云桌面、沙箱等，具备较强的系统运维能力。

（2）熟悉桌面操作系统配置管理和安全加固，了解常见漏洞原理及修复方案。

  • 数据安全方向

（1）熟悉国家个人信息保护、数据安全相关政策、标准，具有丰富的数据安全风险评估与防护能力。

（2）精通数据安全相关技术基本原理，熟悉常见数据安全工具的部署实施与操作使用，具备技术方案设计与落地能力。

（3）能熟练运用数据安全技术解决实际业务场景中的安全问题。

  • 安全攻防方向

（1）熟练掌握ATT&CK框架。能独立完成高安全防护条件下Web 渗透、内网横向移动等攻击流程。

（2）熟练掌握Python、Java等至少一种编程语言，具备Web应用、框架代码审计与高危漏洞挖掘能力，较强的问题分析与应急响应能力。

（3）有知名SRC排名或重大漏洞提交经历者优先。有国家级或行业级攻防演练核心成员经验者优先。

【工作地点】北京‍‍

【薪资范围】面议

【招聘名额】10位

【官网投递】扫码投递即可

高级网络安全工程师

【岗位职责】

1.负责网络安全技术体系的规划、建设和运营工作，包括风险评估、规则优化、监控分析、情报跟踪、风险处置、应急响应等，编写运营报告；

2.负责软件开发过程安全管理，包括代码安全、组件安全、黑/白盒测试和安全开发培训；

3.负责内部红队测试和安全防护体系有效性验证工作；

4.参与安全设备/系统的日常运维管理（WAF、IDS、防病毒、APT、安全流量分析），对安全告警进行分析和处理，并优化安全规则；

5.配合基础设施和应用系统建设，负责网络安全方案的制定、评审和监督落地，指导项目组进行安全加固；

6.满足架构、开发、测试、运维、数据分析等相关处室的日常安全需求，协同输出可落地的安全解决方案。

【任职要求】

1.5年以上网络安全相关工作经验，熟悉系统、网络、终端、应用、数据、开发等安全领域，至少精通上述领域中的一个；

2.对网络安全攻防和渗透测试技术有3年以上实践经验，具备大型CTF赛事获奖或发布过原创漏洞（提供证明）者优先；

3.至少熟练运用一种编程语音（C、Java、Python等），熟悉各类主流的安全产品和工具；

4.具备CISSP、CISP等安全相关认证者优先；

5.精通银行、保险业、互联网业信息科技网络安全架构和安全运营，并具有至少4年以上银行、保险业或者互联网业网络安全工作或服务经验；

6.具有较强的自主学习能力，良好的团队合作精神和人际沟通能力。

【工作地点】北京‍‍

【薪资范围】面议

【招聘名额】2位

【官网投递】扫码投递即可

简历投递

渠道一：官网投递

渠道二：简历直接发给群秘：

aurorayv@163.com，对接招聘方内推渠道。

‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍

‍

‍

‍

‍

阅读原文

跳转微信打开

]]> Sun, 14 Sep 2025 09:01:00 +0800