安全攻防再度来袭，安全范儿沙龙带你围观对垒

议题亮点看这里

1

京东蓝军视角下的逻辑漏洞利用和治理

议题介绍：

随着自动化漏洞发现能力的提升，常规漏洞类型呈现大幅降低趋势。但与此同时，逻辑漏洞呈现大幅上升趋势，占比超过50%。零元购、越权漏洞大量产生，给电商企业带来巨大经济损失、以及敏感信息泄露风险隐患。本次议题结合实际的案例从蓝军的视角总结逻辑漏洞挖掘思路，并利用逻辑漏洞实现攻击战略目标，触达业务痛点。

讲师介绍：

黄嘉隆，京东蓝军团队安全研究员

主要负责Web安全研究、代码审计、漏洞挖掘等方面的工作，独立挖掘国内知名OA系统多个RCE 0DAY漏洞。曾长时间参与集团逻辑漏洞治理专项工作，对逻辑漏洞成因、挖掘、治理有深刻的见解，并开展数次针对开发、测试工程师的培训工作。

2

基于流量分析的漏洞检测及API安全实践

议题介绍：

API安全问题是当前企业面临的重要安全风险之一，对API接口进行安全风险发现和预警是构建企业防御能力的重点环节；本议题将从字节跳动对于产品流量的安全分析实践出发，分享如何从流量分析视角检测常见安全漏洞及API安全风险，并协助内部开展安全风险治理，提升产品安全水位。

讲师介绍：

邵凯强，字节跳动安全工程师，硕士毕业于复旦大学，加入字节跳动后参与流量安全分析方向能力建设，持续参与字节跳动产品安全风险发现与治理，API安全检测工作。

3

小米企业蓝军与安全建设

议题介绍：

2018年以来，小米企业内部每一年都会组织多次蓝军行动，通过攻击者的视角去检验安全体系的薄弱面。面对众多的业务线以及不同的技术体系，如何确定内部蓝军的行动目标，面对复杂的业务结构，如何化繁为简，获取身份权限，面对严格的网络环境，如何实现数据外带；以及小米蓝军行动如何将风险与安全建设相结合，持续推进企业安全建设。

讲师介绍：

张冠廷，小米集团高级安全工程师

先后在恒安嘉欣和青藤云安全担任安全专家、安全研究工程师;自加入小米后，在企业内部参与零信任体系建设，主要负责安全代理网关构建以及推进、WAF安全防护、蓝军行动。

4

生产网中Kubernetes 攻击与防护

议题介绍：

以 Kubernetes 为代表的容器编排技术，已经成为许多厂商软件研发体系中不可或缺的基础设施。它在为我们提升资源利用率，提供服务发现与负载均衡、自动上线和回滚、自动伸缩等云原生能力的同时，也给云上用户和基础架构引入了新的攻击面。本议题结合我们在生产网中的 Kubernetes 攻击与防护实践，分享在不同场景里由其引入的攻击面和安全威胁，以及为了应对这些威胁，可以通过哪些措施来进行防护。

讲师介绍：

韦伟，字节跳动云安全研究员

毕业于北京理工大学，曾在腾讯从事漏洞挖掘与利用研究工作。20年加入字节后从事虚拟化安全&容器安全的相关工作，长期研究容器&Kubernetes 攻防技术，并主导或参与相关防护能力的设计和实现。

观看沙龙看这里