主题： compliance
-
审计日志：记录什么、如何保持完整、谁可以读取
审计日志要回答的是谁在何时对哪个对象做了什么、结果如何；它由应用程序针对每一次与安全相关的操作写入，与调试日志分开保存，通过及时转移到仅追加或一次写入的存储中来防止被篡改，并且只在有记录、受限的权限下才能读取。
-
为制造商准备 CRA 漏洞处理流程：接收、证据与报告计时
本文提出一套准备流程，将漏洞接收和组件记录与 CRA 报告决策衔接起来。该流程区分了已于 2026 年适用的报告义务，以及将于 2027 年 12 月适用的更广泛漏洞处理要求。
-
Checking an operating system's support lifecycle before automating against it
Automating patch, upgrade or compliance workflows against a host that has already passed end-of-life produces false confidence: no more security fixes are coming regardless of what the automation reports. This methodology lists where each major vendor publishes lifecycle dates and how to fold an EOL check into a pre-flight step.
-
Choosing an open-source licence
Permissive licences (MIT, Apache-2.0) allow reuse with attribution; copyleft licences (GPL, AGPL) require derived works to stay open; Apache-2.0 adds a patent grant. Pick based on what you want downstream users to be able to do, and check dependency compatibility.
-
Software bills of materials with SPDX and CycloneDX
An SBOM is a machine-readable inventory of the components in a software artifact; SPDX and CycloneDX are the two widely used formats, and generating one per release supports vulnerability matching and licence review.
-
2026 年 9 月起适用的 CRA 报告义务：触发条件、期限与统一报告平台
CRA 要求制造商报告产品中已遭实际利用的漏洞和严重产品安全事件。两者都有 24 小时和 72 小时阶段，但最终报告的期限分别从不同事件起算。
-
Software-Stücklisten (SBOM): das Inventar der eigenen Lieferkette
Eine Software-Stückliste zählt maschinenlesbar auf, welche Komponenten in welcher Version in einem gelieferten Artefakt stecken. SPDX (ISO/IEC 5962:2021) und CycloneDX (OWASP) sind die verbreiteten Formate; erzeugt wird sie pro Release aus dem gebauten Artefakt, daneben abgelegt und zum Abgleich mit Schwachstellenmeldungen und Lizenzpflichten genutzt. Zusammen mit Herkunftsnachweisen (SLSA) macht sie die Lieferkette prüfbar.
-
CIS Benchmarks and DISA STIGs as a hardening baseline: what they are and how to apply them selectively
CIS Benchmarks and DISA STIGs are two independently maintained sets of configuration recommendations; both offer selectable profile levels rather than one fixed target. Applying a profile wholesale without recording exceptions is a common way hardening work breaks a production service.
-
瑞士网络攻击报告与 CRA：运营者和产品制造商的不同义务
瑞士关键基础设施报告制度针对适用范围内运营者遭遇的、符合规定条件的网络攻击。CRA 则针对向欧盟市场供应产品的制造商，包括瑞士制造商；早期报告期限相近，并不意味着接收机构或报告触发条件可以互换。
-
CRA 与开源：区分贡献者、制造商和开源软件管理者
开源许可证本身不能决定 CRA 义务。该条例区分了商业产品供应、对不在贡献者责任范围内的软件所作的贡献，以及开源软件管理者提供的持续支持；管理者在第 24 条下的义务将于 2027 年 12 月开始适用。
-
Scanning a Linux host against a baseline with OpenSCAP
oscap xccdf eval runs a SCAP Security Guide profile against a live host or an offline image and writes a human-readable report; reviewing the generated remediation script before running it is what keeps an automated scan from becoming an automated outage.
机器可读： JSON