Qualys 產品新訊
Qualys 透過 Agentic AI 打造智能風險助理，動態評估雲端風險
在快速變動的雲端環境中（例如 AWS），資安團隊不得不面對一個殘酷的現實：並非所有 EC2 實例都有被掃描到；既有工具在多樣化環境下（包含長期存在與短暫運行的資產）也不一定能正常運作，導致可視性永遠不完整。根據 Qualys 的研究顯示，有超過 30% 的虛擬機（VM）存在高風險或重大弱點，而如果掃描有盲點，這些關鍵風險就可能被忽略。
企業列印控管軟體 PaperCut 的 CVE 漏洞已遭利用攻擊
美國資安基礎設施安全局（CISA）近期在 PaperCut NG/MF 企業列印管理軟體中發現了一個新的跨站請求偽造（CSRF） 漏洞，可讓駭客在特定條件下更改安全設定或執行任意程式碼，且目前已出現實際攻擊案例。
金融業資安轉型案例：如何打造主動防禦的資安防線
對於高度依賴數位服務、又受到嚴格監管的金融機構而言，資安早已不只是「合規」問題，更是攸關客戶信任與營運韌性的核心競爭力。IDB 的實務經驗，正是一個值得借鏡的資安轉型範本。
DeepSeek-R1 LLM 嚴重安全漏洞：逾半數越獄攻擊均能輕鬆突破
DeepSeek-R1 模型是由中國新創公司 DeepSeek 開發的大型語言模型，以低成本和高效能引起業界的關注討論。然而，近期多家資安廠商對 DeepSeek 提出安全性疑慮。Qualys 透過 TotalAI 對 DeepSeek-R1 LLaMA 8B 變體進行知識庫及越獄攻擊測試及安全分析，結果顯示該模型存在明顯的資安風險。
Qualys 網站弱點掃描服務(WAS) 獲選為 2024 GigaOm Radar 應用程式安全測試領導者
在瞬息萬變的資安情勢下，確保 Web 應用程式與 API 安全已不是選項，而是必須面對的課題。Qualys 網站弱點掃描服務（Web Application Scanning, WAS）在 2024 GigaOm Radar 應用程式安全測試（AST）獲選為領導者，在多項重要的 Web 應用程式 與 API 安全領域中脫穎而出，再次驗證了 Qualys 在應用程式安全領域的專業與創新，幫助企業守護關鍵 Web 應用程式與 API，免於各種新興資安威脅。
2024 Gartner《CNAPP 雲端原生應用程式防護平台 市場指南》重點摘要
Gartner 日前發布 2024《雲端原生應用程式防護平台市場指南》，旨在剖析 CNAPP 市場的成長趨勢與挑戰，強調如何保護現代雲端基礎設施與應用程式，並為企業提供整體部署建議。隨著攻擊面擴大，企業面臨來自執行環境、API 及供應鏈的潛在威脅，CNAPP 結合多重安全功能，從開發到營運時提供全方位防護，是雲端安全不可或缺的解決方案。
Qualys vs. Rapid7
Rapid7 用戶限定優惠！立即升級到 Qualys 風險導向的漏洞管理解決方案，找出每一項資產，並根據完整網路風險情境進行優先排序，自動修補漏洞。帶您快速了解為什麼 Rapid7 客戶該轉換到 Qualys 的主要原因。
Qualys 發現 OpenSSH 嚴重資安漏洞
資安領導廠商 Qualys 於 7 月 1 日警告，他們在基於 glibc 之 Linux 系統的 Open Secure Shell（OpenSSH）伺服器上發現一個安全漏洞 CVE-2024-6387，將允許未經授權的駭客自遠端執行任意程式，該漏洞波及了絕大多數的 Linux 版本。透過 Censys 與 Shodan 的掃描發現，網路上可能受影響的 OpenSSH 實例超過 1,400 萬個，但 Qualys CSAM 3.0 外部攻擊面管理工具的匿名資料則顯示，有 70 萬個曝露於公開網路上的 OpenSSH 實例確定含有該漏洞。
Qualys 2023 威脅情勢年度回顧
2023 年即將結束，是時候停下來檢視、評估企業的資安策略。哪些有效、哪些無效、哪些造成了干擾，以及哪些未被注意到。更重要的是，我們需要從 2023 年的經驗汲取教訓，以便我們在來年能更好地管理風險。為此，Qualys 威脅研究單位準備了一系列的分析內容來回顧 2023 年的威脅情況。
Verizon 2023 資料外洩調查報告(DBIR)：74% 資料外洩源自人為疏失或社交工程攻擊
Verizon 2023資料外洩調查報告(DBIR)顯示，儘管企業的網路安全支出有所增加，但網路安全的發展速度並未跟上攻擊者的步伐，資料外洩的損失不但沒有緩解，反而更加嚴重。
2023的DBIR報告發現74%的資料洩露始於人為疏失、社交工程或濫用，且高達五分之一的資料外洩來自內部；系統入侵、基本Web應用程式攻擊和社交工程攻擊占比亦迅速提高，占資料洩漏事件的77%。
雲端漏洞提供駭客攻擊微軟服務的金鑰
微軟最近揭露了中國駭客組織 Storm-0558 的行動，他們竊取了用於簽署微軟雲端服務Token的金鑰，使他們能夠存取25家組織的Outlook電子郵件系統，其中包括政府機構。微軟的這次事件提醒我們，雖然將系統遷移到雲端有其優點，但也存在著重大風險。對於組織而言，選擇雲端服務提供商應該謹慎評估並採取必要的安全措施，以保護資料免受駭客的攻擊。
Qualys 揭露藏在 Linux 12年的漏洞
CVE-2021-4034Qualys 研究團隊在Linux polkit 的 pkexec 中發現了一個內存損壞漏洞，這是一個 SUID-root程序，預設安裝在每個主要的 Linux 發行版上。利用程式漏洞允許任何非特權用戶通過在預設配置，再利用此漏洞來獲得易受攻擊主機上的 root 權限。...