如何保持计算机（尤其是软件）安全的最新状态？

Question

我最近购买并阅读了一套关于安全性的书籍（Building Secure Software: How to Avoid Security Problems the Right Way，Exploiting Software: How to Break Code和Software Security: Building Security In）。虽然我认为这些书的内容将在未来几年内发挥作用，但作者确实承认计算机和软件安全领域的变化非常迅速。有哪些方法可以让我了解这些领域的最新动态？

Answer 1

我在RSS阅读器中关注Schneier on Security。

Answer 2

在twit上收听现在的安全播客。之后，根据您使用的操作系统，您应该订阅他们的安全邮件列表或RSS订阅源。

Answer 3

注册的 Security 部分。 RSS可用。 （我是El Reg的忠实粉丝。）

此外，对于编码人员而言，它可能有点轻量级，但与Steve Gibson和Leo Laporte的 Security Now! 播客相当不错。

Answer 4

如果您能负担得起（或说服您的雇主付款），请至少每年参加一次会议。作为最后的手段，总会有Defcon，它在周末举行，只需100美元。它不像黑帽那么专业，但它总比没有好。

Answer 5

RISKS不是特定于安全性的，但在那里讨论了一些与安全相关的有趣主题。

BUGTRAQ是一个完全公开的安全邮件列表，值得浏览。 （每次在大多数Linux发行版附带的软件中披露漏洞时，所有各种发行版都会发布一系列漏洞。这会对信噪比产生负面影响，除非您使用其中一种分布。）

一些可能很有趣的与安全相关的博客（除了已经链接的Schneier on Security之外）：…And You Will Know me by the Trail of Bits，DoxPara Research (Dan Kaminsky)，Matasano Chargen，Microsoft的Security Development Lifecycle ，ZDNet的"Zero Day"。

Answer 6

OWASP（http://www.owasp.org）提供了一个非常好的RSS提要，主要来自许多不同的来源。

Answer 7

哦，不要忘记CCC的非常有趣的黑客会议。会议的名称有固定的模式。最后一个是24c3，下一个是25c3。它们在德国柏林举行，是这个星球上黑客和安全文化最大的融合点之一。

您可以在Chaos Radio找到上次会议的视频和mp3成绩单。

万一你无法出行，会谈通常通过直播流播出。录音将在活动结束后的几周内发布。

Answer 8

对于网络安全，我订阅以下Feed：有些是定期更新，有些则不是。
DanchoDanchevOnSecurity
Internet Storm Center
The Register (enterprise security)
US-CERT Cyber Security Bulletins
Zero Day
ha.ckers.org
和我最新的补充之一 Stack Overflow: tagged Security

或者您可以将所有内容添加到您的iGoogle希望页面： My iGoogle Security Page

如果您更加以应用为中心，我相信还有更多有趣的信息。

无论如何，饲料或访问网站是真正完全掌握事物的唯一途径。会议很棒，很有趣，但一小时后你会通过网络获得相同的信息;通常还有额外的好处，有几个观点来帮助你理解主题。

Answer 9

Security Now! 不错（我每周都会听） 它通常包含对底层技术的良好解释（例如，路由器如何知道在哪里发送IP数据包？），尽管我确实认为它确实发生了一些变化。

如果您想要更强硬的播客，请尝试 Paul "dot com"'s Security Weekly 它真的适用于渗透测试人员，但我不禁想到，如果渗透测试人员知道它，那么我应该这样做。

Answer 10

然后是ACM的SIGSAC和ACM的Transactions on Information and System Security。作为ACM的成员，通常由实践程序员的作者推荐。

Answer 11

我喜欢的博客（除了Schneier on Security）是Light Blue Touchpaper - 剑桥大学计算机安全研究部门的集体博客（由精彩的Ross Anderson领导。

Answer 12

IEEE将“Security and Privacy”作为一本杂志 - 它非常好。

Answer 13

我使用上面提到的许多其他提及（Schneier如上所述），但是我发现Slashdot诚实地给了我最好的“抬头”来了解新的攻击载体。它并不总是及时的，而且大部分只是一般概述，但它擅长发布我从未想过的矢量。

Answer 14

考虑参加当地的OWASP分会会议。

Answer 15

对于软件安全性，尤其是Web应用程序，安全OWASP Moderated AppSec News是一个很棒的RSS提要。良好的信噪比。它应该足以是最新的。