RED JOURNAL / 博客
了解更多， 防御更好。
专注产品安全的实用视角：研究、工程实践，以及值得收藏的指南。
РУССКИЙ / ENGLISH / 中文
精选文章
持续渗透测试与定期审计：两者如何互补
说明定期评估能够发现什么、为何产品变更需要持续检查，以及哪些场景仍必须依靠人工安全分析。
阅读全文文章: 209
信息化项目验收中的安全审计：从承诺要求到可运营移交
如何把安全要求追溯到实际交付版本、可观察测试、运营责任、支持依赖和有权限的剩余风险决定。
阅读全文共享安全依赖与恢复的信息安全架构设计
如何为身份、DNS、PKI、KMS、机密管理与日志故障设计有限降级、应急访问、恢复顺序和可验收证据。
阅读全文网络分段验收测试：证明允许路径与禁止路径
用端点对矩阵验证允许与禁止路径，分别覆盖 IPv4/IPv6、NAT、代理、连接状态，以及源端、控制点和目标端关联证据。
阅读全文面向过渡状态的发布前应用安全测试
在发布前验证混合版本、功能开关回退、已撤销凭证、延迟任务和数据迁移中的访问边界。
阅读全文个人数据系统审计：证明删除有效，并防止恢复导致数据复活
如何验证副本、CDC、索引、导出和备份中的删除，并证明隔离恢复不会让已删除记录重新出现。
阅读全文第三方渗透测试：如何授权、验证角色并证明彻底收口
如何为第三方渗透测试配置临时权限、验证角色，并在项目结束后确认会话和密钥已撤销，同时单独记录数据副本的保留或删除安排。
阅读全文应用业务逻辑审计：支付、退款与重试
说明如何测试支付重试、部分退款、webhook、幂等性、持久接收以及应用与支付服务商之间的对账。
阅读全文AI 工具访问安全审查：从授权到撤销验证权限生命周期
审查 AI 的委托权限与应用权限、精确动作批准、后台任务、实际撤销延迟，以及残留凭据和数据制品。
阅读全文云安全架构：安全验收 landing zone 中的云账户
在验收云账户、订阅或项目之前，验证继承限制、现有资源、例外、控制平面所有权与回滚证据。
阅读全文容器基础设施安全：如何证明镜像准入并安全撤回版本
说明如何证明获批镜像已通过准入并实际运行，验证签名与策略覆盖，并在不造成未经批准停机的情况下安全撤回版本。
阅读全文制定网络安全战略：在真实资源约束下选择投资组合
如何制定网络安全战略：从业务决策出发，比较投资组合，安排有限资源与持续运行成本，明确延期风险，并通过有边界的渗透测试验证关键假设。
阅读全文托管式进攻性安全计划：范围、产能与问责
面向采购方的运行模型：明确测试需求入口、有限产能、服务时钟、阻塞状态、指标、接入与退出责任。
阅读全文