㈠ 360发现了区块链哪些史诗级漏洞
5月29日消息，近日，360公司Vulcan（伏尔甘）团队发现了区块链平台EOS的一系列高危安全漏洞。经验证，其中部分漏洞可以在EOS节点上远程执行任意代码，即可以通过远程攻击，直接控制和接管EOS上运行的所有节点。
区块链网络安全隐患亟待关注
EOS是被称为“区块链3.0”的新型区块链平台，目前其代币市值高达690亿人民币，在全球市值排名第五。
在区块链网络和数字货币体系中，节点、钱包、矿池、交易所、智能合约等都存在很多的攻击面，360安全团队此前已经发现和揭露了多个针对数字货币节点、钱包、矿池和智能合约的严重安全漏洞。
此次360安全团队在EOS平台的智能合约虚拟机中发现的一系列新型安全漏洞，是一系列前所未有的安全风险，此前尚未有安全研究人员发现这类问题。这类型的安全问题不仅仅影响EOS，也可能影响其他类型的区块链平台与虚拟货币应用。
360表示，希望通过这一漏洞的发现和披露，引起区块链业界和安全同行在这类问题的安全性上更多的重视和关注，共同增强区块链网络的安全。
内容来源 澎湃新闻
㈡ 大数据时代信息安全隐患
大数据时代信息安全隐患
近年来，随着信息数据的爆炸式增长，数据的财富转换率也出现了大幅度的增长。这就造成了一个大数据时代的背景。很多人都把数据的增长看做了未来最重要的财富。但是数据的大幅增长，给越来越多的人敲响了警钟：大数据时代的数据安全十分的脆弱!没有安全的数据是缺乏足够财富支撑的，因此很多企业开始着手建立自己的新型数据安全模式，虽然这个过程显得是十分的残酷艰难，但是一切都势在必行，刻不容缓。 2012年很多国际IT巨头都推出了自己的云服务，许多企业都购买了公有云，或是建立了私有云。
云计算时代的到来促进了网络数据的高速发展，在过去的三年里增长的数据甚至超越了人类几百年的数据增长。这些数据的出现意味着巨大的财富，但是数据的非结构化和安全隐患不断增加，让这些数据的价值没能够得到充分的发掘。一方面由于现有技术对于信息开发的成本过大，限制了数据的价值，另一方面由于数据安全得不到足够的保证，也阻碍了数据财富化的进程。数据开发成本的优化是一个缓慢的过程，人们更希望能够得到安全保护的同时，缓慢的去开发数据价值，这也把大数据时代的数据安全问题推到了风头浪尖，这是对于数据安全开发者的一次严峻考验。 大数据时代的数据安全怎么做?对于这个问题有着不同的理解。有的人认为需要在原有安全的基础上加入新的的网络元素，继续沿用既有的数据安全思路，稳中求进;有的人认为需要重新构建全新的数据安全模式，打破原有的桎梏，重组现有技术构成，建立全新的数据安全模式。
这两种看法都可以看做一种对于大数据时代特性的适应，很难说孰优孰劣，只能说大家的发展路线不同，思路不同。 主张在原有安全基础上发展的人们认为，原有的端点数据安全模式十分的稳定，具有较长的运用经验，安全可靠高效。现在的云端技术对于数据安全的要求主要体现在网络安全的应对上。对于传统的端点安全技术来说，有多种方式可以实现最终的安全。面对现有的大数据特性，需要在一些方面做出调整。一般来说有以下的几个方面需要改进。
第一，大数据时代的数据结构化。数据结构化对于数据安全和开发有着非常重要的作用。大数据时代的数据非常的繁杂，其数量非常的惊人，对于很多企业来说，怎样保证这些信息数据在有效利用之前的安全是一个十分严肃的问题。结构化的数据便于管理和加密，更便于处理和分类，能够有效的智能分辨非法入侵数据，保证数据的安全。数据结构化虽然不能够彻底改变数据安全的格局，但是能够加快数据安全系统的处理效率。未来数据标准化，结构化是一个大趋势，不管是怎样的数据安全模式都希望自己的数据更加的标准。
第二，网络层的安全策略是端点数据安全的重点加固对象。常规的数据安全模式往往喜欢分层构建。这也是数据安全的常规做法。现有的端点安全方式对于网络层的安全防护并不完美。一方面是大数据时代的信息爆炸，导致网端的非法入侵次数急剧增长，这对于网络层的考验十分的严峻，另一方面由于云计算的大趋势，现在的网络数据威胁方式和方法越来越难以预测辨识，这给现有的端点数据安全模式造成了巨大的压力。在未来，网络层安全应当作为重点发展的一个层面。在加强网络层数据辨识智能化，结构化的基础上加上于本地系统的相互监控协调，同时杜绝非常态数据的运行，这样就能够在网络层构筑属于大数据时代的全面安全堡垒，完善自身的缺陷。
第三，本地策略的升级。对于端点数据安全来说已经具备了成熟的本地安全防护系统，但是由于思路的转化，现有的端点数据安全系统有一定认识上的偏差，需要进行及时的调整。由于大数据时代的数据财富化导致了大量的信息泄露事件，而这些泄露事件中，来自内部的威胁更大。所以在本地策略的构建上需要加入对于内部管理的监控，监管手段。用纯数据的模式来避免由于人为原因造成的数据流失，信息泄露。由这一点出发我们可以预想到在未来的数据安全模式中，管理者的角色权重逐渐分化，数据本身的自我监控和智能管理将代替一大部分人为的操作。这对于大部分企业来说都是能够减少损失和成本的大事情，值得引起大家的关注和思考。
在本地安全策略的构建过程中还要加强与各个环节的协调。由于现在的数据处理方式往往会依托与网络，所以在数据的处理过程中会出现大量的数据调用，在调用过程中就容易出现很大的安全威胁。这个时候如果能够把本地和网络的链接做的更细腻，完善缓存机制和储存规则，就能够有效保证数据源的纯洁，从根本上杜绝数据的安全威胁。本地数据安全策略还有很多需要注意的问题，也有很多还没有发现的隐患，这些都需要在完善自有系统的基础上，继续开发。
第四，数据存储的问题。在传统端点的数据安全中，数据存储作为非法入侵的最后一站，被业界人士高度的重视，对于数据存储建立了全面完善的防护措施，这些非常值得借鉴，但是还要有进一步的完善。这里的完善主要是数据存储隔离与调用之间的数据逻辑关系策划。这同样是为了适应现在的数据模式。 经过上面几个问题的针对性完善，就能够开发出相对更加适应现在大数据时代应用的数据安全模式。只是在开发力度上的不同导致了现有的端点安全专家们很难深入的调整自己的方法，导致现在市场上存在一批似是而非的数据安全方案，这应该是发展的一个过程吧! 对于想要重新建立数据大时代数据安全的人们来说，他们面对的不是细节的问题，而是整体布局的问题。
想要针对现有的大数据背景，开发出属于下一代的虚拟数据安全方案，绝对是一种创新性的变革，对于未来数据安全的发展具有革命性的作用。因为，针对大数据时代设计的安全方案应该是在虚拟化、移动化的基础上进行的深入开发，而虚拟化安全和移动化网络是未来发展的方向，这样以来，从方向上摆正了自己的位置，具有更快的发展速度和更远的发展空间。但是想要做到这一步需要花费的精力也不是每个团队都能够付出的。以泰然神州为代表的一些具有前瞻性的企业已经开始了这方面的尝试，并取得了不错的成果。泰然神州在虚拟化、移动化和信息安全上做出了杰出的贡献。他们在考虑到虚拟化数据安全问题的时候，就是从整体入手，解决现有的痼疾，打造出全新一代数据安全方案。 在未来的虚拟化数据安全方案中，需要从全面的数据安全系统入手，建立合理的逻辑监管程序，全面数据处理模型，标准化信息配置，同时加强数据的监管，人员监管与外部智能辨识，做好各个环节的相互支撑与防御。虚拟化数据安全的核心是一条贯穿整个安全体系的数据通道，这条渠道需要通过分层管理，交叉监控，实现绝对的隐蔽和安全，同时合理的逻辑关系让整条数据通道变得更加合理和快捷。虚拟化数据安全更加注重客观的数据逻辑，尽量避免由于人为操作造成的数据安全隐患，杜绝数据泄露。
在大部分人的眼中数据泄露一直是个非常难缠的项目，但是在泰然神州新开发的产品中就重点针对了这个项目。他们通过建立监控网络完成对数据流的监控和控制，更多的避免了由于内部和外部原因造成的数据泄露，同时加强了对于既定存储数据的保护措施，很好的避免了数据的泄露。 虚拟化数据安全更加注重对于智能的运用。数据智能处理一直是安全领域最钟爱的一门技术，能够强化各个环节数据智能化，加强数据的辨识智能，处理智能对于数据安全的发展具有很强的促进作用。虚拟化数据安全未来发展的核心要素就是实现纯数据监控的完美形态，让数据管理数据安全，同时为所有用户提供可靠的数据端口，实现最终的数据转换目标。结合端点数据安全发展的历程，我们看得出数据本身具有很强的适应性，如果善加疏导，就能够整合出意想不到的效果。
智能数据一直是泰然神州研发的一个重要目标，为了能够在大数据时代发挥自己的智能数据优势，泰然神州在自己的产品中加入了智能数据的元素，让泰然神州新一代数据堡机完美的呈现了各个层面的技术高度和安全高度。 不管是传统的改进，还是重新建立，对于大数据时代的数据安全发展都具有一定的促进意义，只要进一步发展下去，就能够实现预想的目标。大数据时代已经到来，数据安全行业是所有行业最先起飞的一个，对于业内人士来说，这不仅仅是一次机会，更是一次挑战。只有坚持走在最前列的人，才能够最终获得胜利。
同时，整个世界环境内都开始针对网络信息数据做出适当的调整规范，这必然使得未来的数据安全发展得到极大的支持和鼓励，这对于所有从业人士来说都是一个展示自己团队才华的舞台，一个大数据时代的舞台!
㈢ 网络安全面临的威胁主要有哪些
病毒 木马 攻击 漏洞 加密
1 窃听 攻击者通过监视网络数据获得敏感信息,从而导致信息泄密。主要表现为网络上的信息被窃听,这种仅窃听而不破坏网络中传输信息的网络侵犯者被称为消极侵犯者。恶意攻击者往往以此为基础,再利用其它工具进行更具破坏性的攻击。
2 重传 攻击者事先获得部分或全部信息,以后将此信息发送给接收者。
3 篡改 攻击者对合法用户之间的通讯信息进行修改、删除、插入,再将伪造的信息发送给接收者,这就是纯粹的信息破坏,这样的网络侵犯者被称为积极侵犯者。积极侵犯者截取网上的信息包,并对之进行更改使之失效,或者故意添加一些有利于自己的信息,起到信息误导的作用。积极侵犯者的破坏作用最大。
4 拒绝服务攻击 攻击者通过某种方法使系统响应减慢甚至瘫痪,阻止合法用户获得服务。
5 行为否认 通讯实体否认已经发生的行为。
6 电子欺骗 通过假冒合法用户的身份来进行网络攻击,从而达到掩盖攻击者真实身份,嫁祸他人的目的.
7 非授权访问 没有预先经过同意,就使用网络或计算机资源被看作非授权访问。它主要有以下几种形式:假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。
8 传播病毒 通过网络传播计算机病毒,其破坏性非常高,而且用户很难防范。如众所周知的CIH病毒、爱虫病毒、红色代码、尼姆达病毒、求职信、欢乐时光病毒等都具有极大的破坏性,严重的可使整个网络陷入瘫痪。
㈣ 阿里云未及时通报重大网络安全漏洞，会带来什么后果
【文/观察者网 吕栋】
这事缘起于一个月前。当时，阿里云团队的一名成员发现阿帕奇（Apache）Log4j2组件严重安全漏洞后，随即向位于美国的阿帕奇软件基金会通报，但并没有按照规定向中国工信部通报。事发半个月后，中国工信部收到网络安全专业机构的报告，才发现阿帕奇组件存在严重安全漏洞。
阿帕奇组件存在的到底是什么漏洞？阿里云没有及时通报会造成什么后果？国内企业在发现安全漏洞后应该走什么程序通报？观察者网带着这些问题采访了一些业内人士。
漏洞银行联合创始人、CTO张雪松向观察者网指出，Log4j2组件应用极其广泛，漏洞危害可以迅速传播到各个领域。由于阿里云未及时向中国主管部门报告相关漏洞，直接造成国内相关机构处于被动地位。
关于Log4j2组件在计算机网络领域的关键作用，有国外网友用漫画形式做了形象说明。按这个图片解读，如果没有Log4j2组件的支撑，所有现代数字基础设施都存在倒塌的危险。
国外社交媒体用户以漫画的形式，说明Log4j2的重要性
观察者网梳理此次阿帕奇严重安全漏洞的时间线如下：
根据公开资料，此次被阿里云安全团队发现漏洞的Apache Log4j2是一款开源的Java日志记录工具，控制Java类系统日志信息生成、打印输出、格式配置等，大量的业务框架都使用了该组件，因此被广泛应用于各种应用程序和网络服务。
有资深业内人士告诉观察者网，Log4j2组件出现安全漏洞主要有两方面影响：一是Log4j2本身在java类系统中应用极其广泛，全球Java框架几乎都有使用。二是漏洞细节被公开，由于利用条件极低几乎没有技术门槛。因适用范围广和漏洞利用难度低，所以影响立即扩散并迅速传播到各个行业领域。
简单来说，这一漏洞可以让网络攻击者无需密码就能访问网络服务器。
这并非危言耸听。美联社等外媒在获取消息后评论称，这一漏洞可能是近年来发现的最严重的计算机漏洞。Log4j2在全行业和政府使用的云服务器和企业软件中“无处不在”，甚至犯罪分子、间谍乃至编程新手，都可以轻易使用这一漏洞进入内部网络，窃取信息、植入恶意软件和删除关键信息等。
阿里云官网截图
然而，阿里云在发现这个“过去十年内最大也是最关键的单一漏洞”后，并没有按照《网络产品安全漏洞管理规定》第七条要求，在2天内向工信部网络安全威胁和漏洞信息共享平台报送信息，而只是向阿帕奇软件基金会通报了相关信息。
观察者网查询公开资料发现，阿帕奇软件基金会（Apache）于1999年成立于美国，是专门为支持开源软件项目而办的一个非营利性组织。在它所支持的Apache项目与子项目中，所发行的软件产品都遵循Apache许可证（Apache License）。
12月10日，在阿里云向阿帕奇软件基金会通报漏洞过去半个多月后，中国国家信息安全漏洞共享平台才获得相关信息，并发布《关于Apache Log4j2存在远程代码执行漏洞的安全公告》，称阿帕奇官方已发布补丁修复该漏洞，并建议受影响用户立即更新至最新版本，同时采取防范性措施避免漏洞攻击威胁。
中国国家信息安全漏洞共享平台官网截图
事实上，国内网络漏洞报送存在清晰流程。业内人士向观察者网介绍，业界通用的漏洞报送流程是，成员单位>工业和信息化部网络安全管理局 >国家信息安全漏洞共享平台（CNVD） CVE 中国信息安全测评中心 > 国家信息安全漏洞库（CNNVD）> 国际非盈利组织CVE；非成员单位或个人注册提交CNVD或CNNVD。
根据公开资料，CVE（通用漏洞共享披露）是国际非盈利组织，全球通用漏洞共享披露协调企业修复解决安全问题，由于最早由美国发起该漏洞技术委员会，所以组织管理机构主要在美国。而CNVD是中国的信息安全漏洞信息共享平台，由国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的信息安全漏洞信息共享知识库。
上述业内人士认为，阿里这次因为漏洞影响较大，所以被当做典型通报。在CNVD建立之前以及最近几年，国内安全人员对CVE的共识、认可度和普及程度更高，发现漏洞安全研究人员惯性会提交CVE，虽然最近两年国家建立了CNVD，但普及程度不够，估计阿里安全研究员提交漏洞的时候，认为是个人技术成果的事情，上报国际组织协调修复即可。
但根据最新发布的《网络产品安全漏洞管理规定》，国内安全研究人员发现漏洞之后报送CNVD即可，CNVD会发起向CVE报送流程，协调厂商和企业修复安全漏洞，不允许直接向国外漏洞平台提交。
由于阿里云这次的行为未有效支撑工信部开展网络安全威胁和漏洞管理，根据工信部最新通报，工信部网络安全管理局研究后，决定暂停阿里云作为上述合作单位6个月。暂停期满后，根据阿里云整改情况，研究恢复其上述合作单位。
业内人士向观察者网指出，工信部这次针对是阿里，其实也是向国内网络安全行业从业人员发出警示。从结果来看对阿里的处罚算轻的，一是没有踢出成员单位，只是暂停6个月。二是工信部没有对这次事件的安全研究人员进行个人行政处罚或警告，只是对直接向国外CVE报送的Log4j漏洞的那个安全专家点名批评。
本文系观察者网独家稿件，未经授权，不得转载。