研究报告-奇安信

特权账号安全能力建设桔皮书

时间：2022-01-21

Gartner发布的《Guidance for Privileged Access Management》中，术语“特权账号”是数据中心内部，分布在主机、网络设备、数据库等资产上具有较高访问权限的账号，衍生到一切资产上具有可访问权限的账号。在组织运营过程中，这些特权账号通常由IT运维人员管理，各角色人员开展系统管理、业务运营、系统运维等系统维护、权限变更、数据删除、下载导出等高级权限操作。特权账号是直接接触组织关键IT资产和数据资源的入口，一旦特权账号被盗用、误用、滥用，将为组织信息系统带来严重破坏性的后果。
近两年数据泄漏事件频频发生，究其根源，泄漏的凭据是导致数据泄漏事件的主要原因。在网络安全日趋成熟的情况下，与其穿透层层防护窃取数据本身（数据库），不如窃取账号，通过内网横向移动，利用特权账号的管控手段缺失，最终攻破特权账号，再利用特权账号权限对系统进行恶意破坏，如执行删库、删表等高危操作，达到破坏或窃取敏感数据的目的。
特权账号的管理作为数据资产防护极为关键的环节，已经在2018年、2019年连续两年被Gartner评为十大安全项目之首。但目前国内对特权账号安全的认识仍处于早期，本报告将围绕国内特权账号安全管理的现状，总结分析特权账号管理过程中的风险和困境，提出基于特权账号生命周期的管理原则和方法，降低因特权账号和口令管理不善等带来的数据泄漏风险。
零信任数据动态授权桔皮书

时间：2022-01-21

随着数字化的深入，数据成为重要生产要素。数据伴随着业务和应用，在不同载体间流动和留存，贯穿信息化和业务系统的各层面、各环节，在复杂的应用环境下，保证重要数据、核心数据以及用户个人隐私数据等敏感数据不发生外泄，是数据安全保障工作的重要挑战。
数据安全靠的不是单点技术，而是能力体系。真正做好数据安全防护，需要从零散建设升级到体系化建设，内生安全框架是安全体系化建设的核心，“一中心两体系”是内生安全框架落地的具体方法，即网络安全态势感知与管控中心、网络安全防护体系以及零信任动态授权体系，从而打造认知、安全、授权三个重要能力。其中零信任数据动态授权体系，则是授权能力的落地。从实体安全、身份可信、业务合规三个目标出发，抽象出主体、客体、主体环境，通过动态评估主体的数字身份、安全状态和信任、数据安全治理的成果，进行动态细粒度授权及访问控制，并结合数据安全防护体系的技术能力，实现对应用和数据的、服务，API接口、大数据平台、数据库行、列等级别的精准管控。
本报告总结分析了数字化时代数据安全的背景和挑战，结合零信任理念，提出构建数据动态授权能力的建设思路，以及以工程化思维推进零信任架构演进的建设方法，旨在为组织开展数据安全体系化建设提供参考和建议。
API安全能力建设桔皮书

时间：2022-01-21

对数据要素掌控和利用能力，已成为经济增长的核心驱动力。在数字化时代，数据是重要资产，数据的安全是网络安全乃至国家安全和社会安定不可或缺的重要要素。在云计算、大数据、人工智能等新兴技术的推动下，众多行业都在经历一场轰轰烈烈的数字化转型大潮。伴随着数字化进程的发展，API作为连接数据和应用的重要通道，在物联网、微服务、云原生等场景都得到了非常广阔的应用，通过API的能力将企业的数据资源整合，即将其服务、能力和资产打包到可重复利用的模块化软件中，让数据在不同环境中使用，包括将其与合作伙伴及其他第三方有价值的资产结合起来。API在数字化转型中的扮演的角色将愈发重要，通过API进行数据交换成为最重要的传输方式之一，也因此成为攻击者窃取数据的重点攻击对象。
近两年来因API安全问题导致的数据泄漏事件频频发生，可以看到API安全是一个常见但似乎又不为人熟知的挑战。行业对API安全的认识仍处于早期，OWASP API Security Top 10（失效的对象级授权、失效的用户认证、过度的数据暴露、资源缺失&速率限制、功能级别授权已损坏等）指出了API最常见的安全风险。
个人信息保护合规建设桔皮书

时间：2022-01-21

随着大数据时代的到来，个人信息保护得到了前所未有的重视。国际上围绕个人信息的获取、分析、利用和控制的竞争越来越激烈，个人信息安全已成为维护国家安全、保持社会稳定、关系长远利益的关键组成部分，备受各国政府的关注和重视。如何确保个人信息安全已是各国政府及各种组织改进其竞争能力的一个新的具有挑战性的任务。
个人信息保护工作任重而道远，这不仅仅是个人信息保护专业人士的责任，也需要得到所有人的关注和投入。因此，个人信息保护工作也要与时俱进，成为数字化转型道路上的“照明灯”和“守护者”。企业或组织的管理者要主动应对各种个人信息风险和问题，持续关注个人信息监管和行业标准最新动态，并积极参与管理实践和隐私科技的发展。此外，个人信息保护能力也将作为企业或组织影响力的关键因素，从用户隐私体验、科技透明度和市场信任感上为业务赋能。
编订《个人信息保护合规建设实践桔皮书》，全面分析了企业或组织个人信息保护合规建设驱动力，所面临的挑战，提出了合规建设的技术应用探索，并全面阐述了建设方案和关键技术的应用探索。希冀本桔皮书能为企业或组织个人信息保护合规建设提供借鉴和参考，分享研究成果，共谋发展。
数据安全态势感知运营中心建设桔皮书

时间：2022-01-21

进入21世纪以来，全球科技创新进入空前活跃时期，新一代技术的不断涌现驱动着数字经济的高速发展。2020年我国数字经济规模已达到39.2万亿元，占GDP比重达38.6%。受新冠疫情的影响，个性化医疗、在线教育、远程办公等全面融入人们的日常工作与生活，数字经济发展进一步加速，并成为我国经济高质量发展的强大动力。数据作为数字经济最核心生产要素，规模也呈爆发式增加。据著名咨询机构IDC预测，2025年全球数据量将高达175ZB。其中，中国数据量增速最为迅猛，预计2025年将增至48.6ZB，占全球数据圈的27.8％，平均每年的增长速度比全球快3％。这标志着我国社会正在从IT时代迈进DT时代。
数据在推动数字经济高速发展的同时，数据滥用、数据泄漏等安全事件频繁发生，数据安全风险日益凸显，数据安全问题受到国家和社会的高度重视。近年来，我国陆续发布了一系列数据安全相关的法律法规和标准规范，明确了企业和组织在数据开发利用活动中的责任与义务，强调了数据安全建设的重要性与必要性。
DT时代的数据环境是随着业务发展而动态变化的，数据安全建设不是一蹴而就、一成不变的，更不是靠单一的技术就能达成的，因此数据安全领域提出了数据安全运营的理念，将技术、流程和人有机的结合，体系化的进行数据安全建设。
2021网络安全应急响应分析报告

时间：2022-01-12

报告涉及政府机构。事业单位、医疗卫生、交通、教育、互联网、能源、金融、互联网、公检法、制造业等十余个行业，对2021年处置的所有应急响应事件从被攻击角度、受害者行业分布、攻击事件发现方式、影响范围以及攻击行为造成的影响几方面进行统计分析，呈现全年政企机构内部网络安全现状。从攻击者角度对攻击者攻击意图、攻击类型、攻击者常用恶意程序以及常见漏洞利用方式进行分析，为各政企机构建立安全防护体系、制定应急响应处置方案提供参考依据。
同时列举了应急响应年度十大典型案例分析为各地提供参考依据。
2021网络安全人才市场状况研究报告

时间：2021-10-17

为深入研究网络安全人才的市场现状，促进网络安全人才的培养和教育，2017年以来，智联招聘与奇安信行业安全研究中心展开联合研究，对涉及安全人才的全平台招聘需求与求职简历进行分析。本次报告在需求变化、供需结构、用人单位特点以及人才自身特征等多个方面对网络安全人才市场现状展开了全面、深入的研究，并连续五年发布此项研究报告。
本报告由智联招聘、奇安信、永信至诚、中国网络空间安全人才教育论坛和广州大学联合发布。希望此份研究报告能够对用人单位以及网络安全岗位的求职者们提供有价值的参考信息。
中国白帽人才能力与发展状况调研报告

时间：2021-09-17

随着网络安全实践工作的持续深入发展，白帽子已经成为了各项网络安全工作中不可或缺的关键要素，白帽人才培养也是我国网络安全人才发展战略的重要组成部分。为了更加深入、全面的了解我白帽人才的发展全貌，补天漏洞响应平台与奇安信行业安全研究中心联合展开了本次以白帽人才能力与发展现状为核心的调研工作，期望能够为促进白帽人才综合能力建设与发展提供积极的、有益的参考。
网络安全应急响应典型案例集（2021）

时间：2021-08-28

50+典型应急响应案例
300+位安全服务专家实战总结
3200+次应急响应事件处置经验积累
中国企业邮箱安全性研究报告

时间：2021-08-28

报告根据奇安信行业安全研究中心与Coremail论客联合监测，主要综合网易、阿里巴巴、腾讯等国内主流企业邮箱服务提供商的公开数据进行分析评估。统计显示，目前国内注册的企业邮箱独立域名约为527万个，活跃的国内企业邮箱用户规模约为1.6亿，相比2020年用户规模增长12.5%。就正常邮件而言，全国企业邮箱用户共收发正常电子邮件约2695.1亿封，平均每天发送正常电子邮件约7.4亿封，人均每天发送电子邮件约4.6封。

奇安信创新团队和平台