零信任

勒索病毒扩散控制深度解析：四大扩散路径、主流方案局限与联软科技差异化实践摘要：勒索攻击从单点入侵到全域加密，本质是「凭证为钥匙、内网为通道、集权系统为放大器」的链式扩散。70%-90% 的企业级勒索重大损失都源于 AD 域被攻破后的批量扩散。本文先拆解勒索扩散的四阶段原理，再逐一分析国内主流安全厂商（奇安信、深信服、绿盟、360、微步在线等）四条技术路线的共性局限，最后结合真实案例反推扩散控制能力的价值优先级，并给出联软科技基于零信任架构的差异化实践，供正在建设防勒索体系的企业参考。

读数据安全架构设计与实践17安全架构案例(下)1.1. 敏感的个人信息以及涉及敏感的个人隐私的数据、敏感的UGC数据，需要加密存储1.2. 口令、加解密密钥、私钥，需要加密存储

读数据安全架构设计与实践16安全架构案例(上)1.1. 内部员工也并不是完全值得信任的，内网也不是值得信任的安全域1.1.1. 过去我们认为内部员工是可信任的，但实际并非如此，内部原因造成的数据泄露已频频出现

工具权限与评分实战：scope拦截+健康度指标（MCP实战手记·篇12 延伸）MCP工具权限 / 工具评分 / 可观测性本篇是《MCP实战手记》篇12（企业级Toolbox治理）的延伸篇，只拆「权限拦截 + 健康度评分」两个点：把篇12 §3 两层 scope 拦截和 §7 看板指标拆开——scope 聚合防爆炸（踩坑5）、成功率/P99/报错率告警阈值给落地值，并接篇9 身份、篇13 多租户。仓库（tag v12）：Gitee

Entra条件访问实战：零信任策略自动化与设备合规联动指南在前序系列中，我们解决了“如何让设备自动达到期望状态”的问题。但现代安全威胁早已突破设备边界：合法凭据被盗用、合规设备被恶意软件感染、 insider 滥用权限……这些风险无法仅通过 DSC 或 Ansible 修复。安全的核心已从“保护设备”转向“验证每一次访问”。

MPLS vs SD-WAN vs 普通专线：企业广域网三种路线怎么选？在讨论SD-WAN、SASE这些较新的架构之前，企业广域网还有另一条成熟的技术路线——MPLS VPN。对于金融、制造、零售等对网络稳定性和安全性要求较高的行业，MPLS仍然是很多企业的首选方案。

凌云SASE架构拆解：控制器、POP节点与接入组件的协同设计SASE（Secure Access Service Edge）的概念自提出以来，逐渐从架构理念走向产品落地。其核心思路是将网络能力（SD-WAN）与安全能力（SWG、CASB、ZTNA、NGFW等）整合到统一的云化平台中，通过边缘节点就近交付。

私接外网、资产篡改、挖矿木马：终端异常告警体系建设思路在企业安全建设中，网络边界有防火墙、IDS/IPS，应用层有 WAF、RASP，数据层有加密和 DLP，但终端侧的行为感知往往是最薄弱的环节。

全球100+站点云网融合架构设计：南凌科技自研SD-WAN在汽车集团的落地实践汽车产业正处于全产业链协同转型的关键阶段。从整车制造、零部件供应到汽车金融与出行服务，业务全面云化已成为确定方向。这一趋势对网络基础设施提出了高可用性、多云互联、统一运维和安全可控四重挑战。

14 个分支全覆盖：南凌科技 SASE 专网优化项目完整复盘该保险机构为国内合资财产保险公司，业务规模快速扩张，在全国拥有多家分支机构，线上投保理赔业务持续增长，同时大量员工存在远程办公、外勤办公需求。原有网络架构难以匹配业务扩张与金融合规的双重要求，启动 SASE 一体化专网优化项目。

混合多云零信任架构下的应用安全：WAF与应用层DDoS协同防护零信任负责动态判断主体、设备或工作负载是否可以访问应用，但访问获准后，请求仍可能包含漏洞利用、API滥用、恶意自动化或资源消耗攻击。混合多云应用安全因此需要把身份与访问控制、WAF/WAAP和DDoS防护部署在同一流量与策略体系中：零信任控制访问资格，WAF和API安全检查请求内容与业务行为，应用层DDoS防护识别请求组合是否正在消耗后端资源。三类能力相互补充，不能彼此替代。

IDC 权威认证，南凌科技云网融合零信任落地实践：一体化 ZTNA 平台四大核心优势单一身份类零信任产品很难适配当前混合云、全球分支、私有化 AI 算力等复杂场景，成熟方案采用 SASE 广域网与 ZTNA 零信任原生融合架构，统一管控内网、远程、跨境所有访问行为，核心能力分为四点。

混合办公下企业IM的安全边界重构混合办公常态化，企业即时通讯如何重构安全边界与合规框架当一名金融机构的交易员在机场候机厅通过手机审批内部指令，当三甲医院的科室主任在家中用平板查阅患者会诊消息，当政务单位的项目负责人出差途中在笔记本电脑上同步涉密文件——这些看似高效的混合办公场景，正在将企业即时通讯推向一个危险的“安全断崖”。

SASE 透明模式实战场景：网络加固、业务上云与合规体系落地实践上一篇我们介绍了 SASE 透明模式的技术原理与核心优势，这种非侵入式部署架构，能够在不改动现有网络的前提下叠加全新能力。目前该方案已广泛应用于存量网络改造、云上业务防护、合规建设等多个场景，下面结合企业实际需求逐一拆解。

SASE 透明模式：非侵入式部署，实现企业网络架构无感升级在企业数字化转型进程中，网络架构、安全体系的迭代升级是常态化需求。传统网络设备、安全网关上线部署时，通常需要调整全网 IP 规划、路由策略、网关配置，不仅部署周期长，还存在业务断流、应用异常等风险，对于 7×24 小时运行的核心业务而言，架构改造的风险成本居高不下。

Anthropic安全白皮书1｜零信任 for AI Agents：AI时代的智能体安全，不能再靠“防火墙”了你部署了一个AI智能体，它能自动读邮件、查数据库、调用API，还能和其他智能体协作。高效，方便，省人力。

零信任架构及IAM概述区别于以前的信任模型，默认信任防火墙内的网络节点，零信任不会因物理或网络的位置而信任用户或设备。任何对资源的一次访问请求，都要被独立评估。所谓的零信任是建立在持续验证、持续评估和持续监控基础上的永不信任。

漠月瑾-西安

当“自己人”变成武器：防御“就地取材”攻击的实战思考如果你还认为“没检测到病毒就是安全的”，那你的防御体系可能已经落后了。攻击者正在抛弃传统的定制化恶意软件，转而利用目标环境中现成的、合法的系统工具来实施攻击。这种手法被称为 “就地取材”（Living off the Land），它让攻击行为完美地隐藏在了正常的运维流量中。

漠月瑾-西安

软件供应链安全：从“查户口”到“全链路免疫”的纵深防御实战现代软件开发早已不是“闭门造车”，而是由开源组件、第三方库、CI/CD流水线拼接而成的复杂产业链。攻击者发现，与其正面强攻防守严密的企业边界，不如迂回攻击防御薄弱的上游供应商或开源生态。

游戏盾是如何防护各个重要的游戏端口呢游戏盾对游戏端口的防护，核心在于将传统高防的“被动硬扛”转变为“主动隐身、智能调度、协议适配、近源清洗”的立体化防御体系，从而有效抵御针对游戏端口的DDoS、CC等各类攻击，保障游戏通信的稳定与安全。