SecureWorld Boston 2022 现场直击

作者回顾在双城举办的 Secure360 大会：涵盖组织为何难以理性对待风险、云计算安全隐患，以及将 PCI DSS 用作安全计划基线的讨论。

探讨将红队钓鱼页面与载荷托管在微软受信任域名之下的 Azure 服务上，借助其良好的域名声誉绕过 Web 过滤，作为 Domain Fronting 式微后的替代方案，并给出各服务的 Talos 信誉评分参考。

Georgia Tech 信息安全中心发布 2013 年新兴网络威胁预测：除云端僵尸网络、移动浏览器与移动钱包漏洞、恶意代码混淆外，还特别点名供应链中的假冒硬件风险与医疗行业数据安全挑战，值得安全从业者一读。

作者听了会议上几场云渗透测试演讲后颇为失望：讲者反复强调共享基础设施的连带风险和获取云厂商授权的难度，并无新意。作者认为云环境渗透测试与传统测试没有本质区别——资产可能虚拟化或共享，但安全控制与测试方法基本一致。

NetSPI 基于 HHS 数据墙泄露统计分析认为，目前证据不足以判定将电子病历（EMR）迁移上云是否会推高 HIPAA 违规风险：业务关联方（BA）相关事件约占 20%，且多与物理失窃有关，比例与医疗服务方自身相近，上云仍需审慎尽调。

NetSPI 建议组织在上云前完成风险分析：对机密性要求极高的数据可拒绝迁移，做好数据分类并核对合规义务；对云基础设施的未知风险需以上移控制层补偿（如在应用层强化防护），并建立新应用上云评估与周期性复核流程。