多因素认证：IAM 的最低要求

NetSPI 分析 TOTP 动态口令为何已难以抵御坚定攻击者：通过暴力破解场景演示 30 秒有效期口令被攻破的过程，并建议改用更强的双因素认证方案替代传统 TOTP。

AF Group CISO Seth Edgar 在 Agent of Influence 网络安全播客中分享哪些安全实践对其安全体系影响最大。

Wiz 作为 CISA“Secure by Design”计划的创始参与者，介绍其承诺落实进展：免费提供 SAML 2.0 单点登录、强制多因素认证、杜绝默认口令，并按最小权限原则管理服务账号。

一次内网渗透全记录：经 Apache NiFi 拿到 root 并提取凭据，从 NIS 服务器恢复口令哈希破解出特权 IT 账户，在 Duo Auth Proxy 配置中捕获解密 MFA 流量，最终将 DA 的 MSSQL 服务账户中继至 xp_cmdshell 创建新域管并执行 DCSync。

API 直接暴露后端逻辑与敏感数据；针对性 API 安全测试可发现传统渗透测试容易遗漏的认证缺陷、数据过度暴露与访问控制问题。

基于在金融、医疗、政府等行业完成的大量大型机评估，NetSPI 发布 2025 年平台安全现状报告，涵盖 MFA 部署增长、从 DES 向 AES 的密码体系现代化，以及依然普遍存在的配置短板。