NetSPI Acquires nVisium – Q&A with the CEOs

作者听了会议上几场云渗透测试演讲后颇为失望：讲者反复强调共享基础设施的连带风险和获取云厂商授权的难度，并无新意。作者认为云环境渗透测试与传统测试没有本质区别——资产可能虚拟化或共享，但安全控制与测试方法基本一致。

将 Domain Admin 同步进 Entra ID 会让攻击者在攻陷本地 AD 后转向云端，并可通过密码回写反向渗透回本地。CIS 与 Microsoft 均建议特权管理员账号保持纯云（cloud-only）。

探讨将红队钓鱼页面与载荷托管在微软受信任域名之下的 Azure 服务上，借助其良好的域名声誉绕过 Web 过滤，作为 Domain Fronting 式微后的替代方案，并给出各服务的 Talos 信誉评分参考。

短文观点：静态代码审计与动态渗透测试各有盲区，只做其一必然漏掉漏洞；企业应两者兼顾并及时修复发现的问题，不要以“仅内网可用”“以后再修”为借口拖延。

Georgia Tech 信息安全中心发布 2013 年新兴网络威胁预测：除云端僵尸网络、移动浏览器与移动钱包漏洞、恶意代码混淆外，还特别点名供应链中的假冒硬件风险与医疗行业数据安全挑战，值得安全从业者一读。

NetSPI 基于 HHS 数据墙泄露统计分析认为，目前证据不足以判定将电子病历（EMR）迁移上云是否会推高 HIPAA 违规风险：业务关联方（BA）相关事件约占 20%，且多与物理失窃有关，比例与医疗服务方自身相近，上云仍需审慎尽调。