正确的使用访问管理，可以规避许多云上攻击事件的发生。但是错误的配置以及使用将会导致严重的云上漏洞。Unit 42云威胁报告指出，错误配置的亚马逊云IAM服务角色导致数以千计的云工作负载受损。...云上身份与访问管理是一个比较复杂的体系架构。用户日常使用云上服务时，往往会接触到到云平台所提供的账号管理功能，角色管理、临时凭据、二次验证等等，这些都是云上身份与访问管理的一部分。...云IAM风险案例 纵观近年来的云安全大事件，其中不乏有很多由于漏洞、错误配置以及错误使用云IAM导致的严重云安全事件，下文我们将回顾几个真实的云IAM安全事件，从IAM漏洞、IAM凭据泄露与错误实践等几个方面来了解云...避免使用根用户凭据：由于根用户访问密钥拥有所有云服务的所有资源的完全访问权限。因此在使用访问密钥访问云API时，避免直接使用根用户凭据。更不要将身份凭证共享给他人。...通过使用角色的临时凭据来完成云资源的调用，使用角色临时凭据将比使用长期访问凭证更安全。由于角色临时凭据的持续时间有限，从而可以降低由于凭据泄露带来的风险。
，由于使用了错误的配置，从而导致了政府保密信息可被公开访问。...前端直传功能，可以很好的节约后端服务器的带宽与负载，但为了实现此功能，需要开发者将凭据编写在前端代码中，虽然凭据存放于前端代码中，可以被攻击者轻易获取，但这并不代表此功能不安全，在使用此功能时，只要遵守安全的开发规范...，则可以保证对象存储服务的安全：正确的做法是使用临时密钥而非永久密钥作为前端凭据，并且在生成临时密钥时按照最小权限原则进行配置。...但是实际应用中，如果开发人员并未遵循安全开发原则，例如错误的使用了永久密钥，或为临时凭据配置了错误的权限，这将导致攻击者可以通过前端获取的凭据访问对象存储服务。...拒绝服务 当攻击者拥有修改存储桶以及其中对象Acl访问控制列表时，攻击者可能会对存储对象的 Acl进行修改，将一些本应该公开访问的存储对象设置为私有读写，或者使一些本应有权限访问的角色无权访问存储对象。
，由于使用了错误的配置，从而导致了政府保密信息可被公开访问。...前端直传功能，可以很好的节约后端服务器的带宽与负载，但为了实现此功能，需要开发者将凭据编写在前端代码中，虽然凭据存放于前端代码中，可以被攻击者轻易获取，但这并不代表此功能不安全，在使用此功能时，只要遵守安全的开发规范...，则可以保证对象存储服务的安全：正确的做法是使用临时密钥而非永久密钥作为前端凭据，并且在生成临时密钥时按照最小权限原则进行配置。...但是实际应用中，如果开发人员并未遵循安全开发原则，例如错误的使用了永久密钥，或为临时凭据配置了错误的权限，这将导致攻击者可以通过前端获取的凭据访问对象存储服务。...拒绝服务 当攻击者拥有修改存储桶以及其中对象 Acl 访问控制列表时，攻击者可能会对存储对象的 Acl 进行修改，将一些本应该公开访问的存储对象设置为私有读写，或者使一些本应有权限访问的角色无权访问存储对象
以2017美国国防部承包商数据泄露为例：此次数据泄露事件是由于Booz Allen Hamilton公司（提供情报与防御顾问服务）在使用亚马逊S3服务器存储政府的敏感数据时，使用了错误的配置，从而导致了政府保密信息可被公开访问...图 34成功下载p2.png对象 资源超范围限定 在使用存储桶进行对象读取或写入操作时，如果没有合理的或者错误的在Policy中配置用户允许访问的资源路径（resource），则会出现越权访问，导致用户数据被恶意上传覆盖或被其他用户下载等安全问题...这一错误的配置导致了很多严重的安全问题，由于在此场景下，Web应用程序使用前端直传的方式访问存储桶，因此后台生成的临时密钥将会发送给前台，任意用户通过网络抓包等手段获取到的临时凭据，可参见下图流量中响应包内容...图 35从流量中获取临时凭据 在获取了临时密钥之后，攻击者凭借此凭据读写qcs::cos::uid/:/avatar/*路径中的任意对象...但是由于用户使用对象存储服务时安全意识不足或对访问权限以及访问策略评估机制错误的理解，将会导致数据被非法访问或篡改。
它的特性有点如下，实例元数据服务使用链路本地地址提供服务；当实例向元数据服务发起请求时，该请求不会通过网络传输，也永远不会离开这一台计算机；基于这个原理，元数据服务理论上只能从实例内部访问。...攻击者通过SSRF漏洞发起了内网请求，然后成功地访问到了这台云服务器实例上的元数据服务接口，并且它通过这个接口成功地读到了一个角色，并且通过这个角色拿到了这个角色的临时凭据。...步骤三：当获取角色名称之后，我们通过名称信息进一步的获取角色的临时凭据，攻击者可以继续通过SSRF漏洞来访问元数据服务接口，获取角色历史凭据，通过的payload跟上一个获得的角色名称很类似，但是这里是相当于我们把角色名称传入来获取此角色的历史凭据...还是以亚马逊云举例子，AWS其实提供了相应的一些命令行工具，或者说一些可视化工具用来简化操作，攻击者就可以借用这些工具配置临时凭据，并且利用存储桶工具将存储桶的内容下载到本地。...还是通过这个凭据，我们可以通过访问管理的功能，创建一个用户，命名为Bob，并且为Bob创建一个权限策略，比如说他拥有管理员权限，并且复制Bob上，但是这个攻击他会有一个前提，就是你获取的临时凭据，获取的角色
正如这位被指控的网络攻击者在谈到AWS配置时所说，“很多组织在其安全方面都做错了。” 那么，只有这一家公司在安全方面严重失误?并不是，这个事件与众不同。首先需要了解一些事情。...调查表明，Capital One公司的业务在很大程度上依赖亚马逊网络服务(AWS)的云计算服务。并且网络攻击是在Amazon简单存储服务(S3存储桶)中保存的数据上进行的。...但是，获得AWS身份和访问管理(IAM)角色临时凭据变得更容易。有了这些临时凭证，进行服务端请求伪造(SSRF)攻击相对容易。 Johnson声称有几种方法可以减少临时凭证的使用。...但是，需要使用Amazon S3运行基础设施层、操作系统和平台，客户访问端点以存储和检索数据。用户负责管理其数据(包括加密选项)，对其资产进行分类以及使用身份和访问管理(IAM)应用适当权限的工具。...当出现问题时谁负责?而且，最后但并非最不重要的是，当最终用户起诉时谁来支付费用? 这是一个很好的问题。对于人们正在进入的这个新的复杂云世界，仍然没有很好的答案。 那么，用户可以做些什么?
https://cloudsec.tencent.com/article/l5bPs 4 CloudPrivs：通过暴力破解确定云凭据的权限 工具利用 Boto3 等 SDK 的现有功能来暴力破解所有云服务的权限...，以确定给定一组凭据存在哪些权限，从而确定权限升级。...https://cloudsec.tencent.com/article/4jFSlS 6 yatas：审核 AWS/GCP 基础设施是否存在配置错误或潜在的安全问题 YATAS 的目标是帮助用户轻松创建安全的...cloudsec.tencent.com/article/47BIuk 8 CVE-2023-2728：ServiceAccount 准入插件绕过漏洞 CVE-2023-2728漏洞将对Kubernetes安全造成影响：使用临时容器时...https://cloudsec.tencent.com/article/226EY1 9 云身份和访问管理（CIAM）采用过程中的“10大坑” 身份和访问管理（IAM）是云安全的一个关键组件，也是组织很难有效实施的组件
研究人员在与 The Hacker News 分享的独家报告中说：“漏洞使其无需密码或登录凭据即可查看这些信息，而且数据也未加密。”...数据泄露是由亚马逊网络服务 (AWS) 简单存储服务 (S3) 存储桶配置错误造成，导致客户姓名、照片和地址等敏感信息被泄露。...存储在存储桶中的详细信息范围从发票和收入文件，以及 2014 年至 2021 年之间的报价和账户报表。...文件中包含的完整信息列表如下 ： 1.全名 2.电话号码 3.电子邮件地址 4.居住地址 5.为遗产支付的金额 6.资产价值 研究人员表示，根据查看文件样本，[…] 的错误配置揭示了 140 亿至 2000...研究人员表示，他们还在存储桶中发现了恶意的后门代码，这些代码可被利用来获得对网站的持续访问，并将毫无戒心的访问者重定向到欺诈页面。 目前尚不清楚这些文件是否在任何竞选活动中被恶意使用。
(OWA) 交换网络服务 (EWS) Exchange ActiveSync (EAS) 所有这些服务都创建了一个攻击面，威胁参与者可以通过进行可能导致发现合法凭据、访问用户邮箱和执行域升级的攻击而受益...Outlook Web Access 使域用户能够从外部访问其邮箱。但是，如果业务需要，则应评估 Exchange Web 服务和 Exchange ActiveSync。...如果 EWS 不能满足特定的业务需求，则应禁用访问。从 Exchange 命令行管理程序执行以下命令将禁用对所有邮箱的访问。...影响是检索电子邮件和冒充用户，这将允许内部网络钓鱼攻击。...在浏览邮箱文件夹或重新启动 Microsoft Outlook 时将触发有效负载。该技术的发现属于Etienne Stallans，并且该攻击的实施需要用户凭据。
昨天S姐的同事上网冲浪，被提示：404 not found 看着她充满求知欲的卡姿兰大眼睛，S姐决定本期讲讲上网冲浪时，你可能遇到的错误代码解析！...No.4 403 禁止访问 403表示服务器理解了本次请求，但拒绝了你的访问，大概意思就像： 我喜欢一个人，半夜表白敲他门 他听懂了我的表白，但他表示拒绝并且就是不开门！...出现的原因主要是： ① 你没有权限访问此网站 ② 你被禁止访问此网站 除非你与Web服务器管理员联系，否则遇到403状态很难自行解决 No.5 405 资源被禁止 405是代表对于请求所标识的资源，不允许使用请求行中所指定的方法...出现的原因可能是： ① 网络状况不佳，速成网速慢 ② 网络服务器访问量激增 No.7 500 服务器错误 如果服务器内部出现错误，无法完成请求，可能就会提示错误代码 500。...比如，我们想要访问某些外网，无法直接访问，需要使用VPN才可以。 好辣~以上就是网页里常见的几个错误代码解析，S姐辛苦整理这么久，你们说让上网冲浪的同事请S姐吃点什么好呢？
500.16–UNC 授权凭据不正确。这个错误代码为 IIS6.0 所专用。 500.18–URL 授权存储不能打开。这个错误代码为 IIS6.0 所专用。...4xx-客户端错误：发生错误，客户端似乎有问题。 客户端请求不存在的页面，客户端未提供有效的身份验证信息，400-错误的请求。 401-访问被拒绝。...401.7–访问被 Web 服务器上的 URL 授权策略拒绝。这个错误代码为 IIS6.0 所专用。...403.6-IP 地址被拒绝。 403.7-要求客户端证书。 403.8-站点访问被拒绝。 403.9-用户数过多。 403.10-配置无效。 403.11-密码更改。...403.12-拒绝访问映射表。 403.13-客户端证书被吊销。 403.14-拒绝目录列表。 403.15-超出客户端访问许可。 403.16-客户端证书不受信任或无效。
这个网站首先要求一个Twitter用户名，当进入测试账户时，它使用后端的Twitter API来检索测试账户的照片，如下所示。显示合法图片增加了网络钓鱼诈骗的合法性。...和其他网络钓鱼不同，这个网络钓鱼网站拒绝用户输入的错误密码。...在输入正确密码后，它会提示输入帐户的电子邮件地址，并且假的电子邮件地址也会被拒绝，这个行为表明网络钓鱼网站正在使用 Twitter API 来检查有效的帐户信息。...因此，当你收到一条消息，将你引导至他们要求您提供凭据的站点，请务必花时间分析它是否存在奇怪的域名、异常的拼写错误和语法错误。...为安全起见，请仅在twitter.com上使用您的Twitter凭据登录，切勿在任何其他网站上登录。
开始->运行->secpol.msc （本地安全策略）->安全设置 -> "本地策略->用户权限分配" 1.配置“允许本地登录”右击“属性”请根据系统和业务的需要添加用户或组本地登录此计算机 2.拒绝从本地登录的用户...gpupdate /force 立即生效 # - 1.用户权限分配策略用于 secedit 命令导入的系统策略配置文件使用(参考) [+]确保作为受信任的呼叫方访问凭据管理器值为空，没有设置任何用户...) 网络访问:将 everyone权限应用于匿名用户： 已禁用 网络访问:不允许储存网络身份验证的凭据: 已启用(没域时候) 网络访问:可匿名访问的共享: 内容全部删除 网络访问:可匿名访问的命名管道:...帐户的匿名枚举：已启用 网络访问:不允许 SAM 帐户和共享的匿名枚举：已禁用 网络访问:将 everyone权限应用于匿名用户： 已禁用 网络访问:不允许储存网络身份验证的凭据: 已禁用 网络访问:...WeiyiGeek.用户登录权限 备注说明: 策略修改后需要执行 gpupdate /force 立即生效 ---- 1.3 安全审计 1.3.1 增强审核策略 操作目的: a)对系统事件进行审核，在日后出现故障时用于排查故障
302–对象已临时移动。 304–未修改。 307–临时重定向。 客户端错误（发生错误，客户端似乎有问题。...例如，客户端请求不存在的页面，客户端未提供有效的身份验证信息）： 400–错误的请求 401–访问被拒绝（IIS定义了许多不同的401错误，它们指明更为具体的错误原因。...401.5–ISAPI/CGI应用程序授权失败 401.7–访问被Web服务器上的URL授权策略拒绝（这个错误代码为IIS6.0所专用） 403–禁止访问（IIS定义了许多不同的403错误，它们指明更为具体的错误原因...） 403.1–执行访问被禁止 403.2–读访问被禁止 403.3–写访问被禁止 403.4–要求SSL 403.5–要求SSL128 403.6–IP地址被拒绝 403.7–要求客户端证书...403.8–站点访问被拒绝 403.9–用户数过多 403.10–配置无效 403.11–密码更改 403.12–拒绝访问映射表 403.13–客户端证书被吊销 403.14–拒绝目录列表
☆嗨~我是IT·陈寒 ✨博客主页：IT·陈寒的博客 该系列文章专栏：AIGC人工智能 其他专栏：Java学习路线 Java面试技巧 Java实战项目 AIGC人工智能 文章作者技术和水平有限，如果文中出现错误...云服务提供商兴起： 随着亚马逊AWS、微软Azure等云服务提供商的兴起，云计算开始逐渐成为企业和个人获取计算资源的首选方式。...云服务提供商通过提供弹性计算、存储和网络服务，实现了按需付费的模式。 容器化和微服务： 随着容器技术如Docker的出现，应用程序可以更轻松地打包和部署。...# 使用Python的Boto3库创建一个EC2实例（AWS的一种IaaS服务） import boto3 ec2 = boto3.resource('ec2') instance = ec2.create_instances...从基础设施即服务到软件即服务，云计算的不同模型满足了各种用户的需求。随着技术的不断发展，云计算有望继续在各个领域带来更多的创新和突破。 结尾
随着这些问题的不断出现，许多犯罪分子都采用经过实践检验的方法，例如强行使用凭据或访问存储在错误配置的S3存储桶中的数据。安全专家表示，企业的安全团队还有很多事情要跟上技术发展的步伐。...网络攻击者反编译Google Play商店应用并提取静态凭据，然后使用这些凭据。有人可能会侵入开发人员的笔记本电脑或实例，并查看他们的命令历史记录或配置文件，以找到允许他们进入云计算环境的访问密钥。...几乎任何人都可以得到一个S3存储桶，并随心所欲地使用。而与错误配置有关的网络攻击仍然会发生，因为企业经常无法保护其在公共云中的信息。 在这种情况下，敏感数据被放置在对象存储中，并且没有得到适当的保护。...亚马逊网络服务是最受欢迎的来源，所有网络攻击中有52.9%来自公共云。Imperva公司提供了这些统计信息，他说这表明云计算提供商应审核其平台上的恶意行为。...SSRF使用了元数据API，它允许应用程序访问底层云基础设施中的配置、日志、凭据和其他信息。元数据API只能在内部部署数据中心访问，但是，SSRF漏洞使它可以从全球互联网访问。
例如，亚马逊网络服务提供虚拟私有云、应用程序防火墙、基于本地传输层安全性的加密，以及专用连接等服务以避免来自公共互联网的网络攻击。...而在云计算中，人为错误的风险会增加，因为泄露或盗用的凭证可能会对应用程序和数据造成严重破坏。网络钓鱼、欺诈和其他形式的社交工程使黑客窃取凭据并可能劫持云账户。...组织还面临着认证执行力度不够、密码强度较弱、身份和访问管理配置不当，以及其他安全协议的问题。薄弱的防御措施不仅将会遭到更多的攻击，而且会导致员工犯下代价高昂的错误或采取不正当的行动。...例如，云计算账户所有者不应使用或显示根证书;确保为每个用户或组创建和配置唯一的凭据。 4.易受攻击的系统和API API使软件能够连接到外部服务，包括来自云计算提供商的服务。...例如，企业可能会开发一个应用程序，使用多个API来访问和交换加密的数据与云计算提供商的存储资源。这些接口和API中的缺陷将会引入新的云计算安全威胁。
具体来说： WindowsCredential 结构体具有属性，用于存储凭据的用户名、密码、目标等信息。这些属性可以被访问和设置。...这些错误类型包括NotFound（未找到错误）、PermissionDenied（权限被拒绝错误）、Generic（通用错误）等。 Error枚举类型：它是Cargo凭据认证模块的主要错误类型。...PermissionDenied: 表示权限被拒绝错误，指示在访问凭据信息时权限不足或被拒绝。 Generic: 表示通用错误，用于表示一般的凭据认证错误。...ProcessError结构体用于表示执行外部进程时可能出现的错误。它包含了丰富的错误信息和相关的上下文信息，以便更好地理解和处理错误。...ProcessError结构体的主要作用是将底层执行进程时可能出现的错误封装成高级的、易于处理的错误类型。这样做的好处是，使用者在调用Cargo工具时能够更方便地捕获和处理错误。
使用请求 您可以使用请求模块从URL下载文件。...然后，我们提出了检索页面的请求。...Boto3从S3下载文件 要从Amazon S3下载文件，您可以使用Python boto3模块。...Boto3是用于Python的Amazon SDK，用于访问Amazon Web服务（例如S3）。Botocore提供了与Amazon Web服务进行交互的命令行服务。...要安装boto3，请运行以下命令： pip install boto3 现在，导入以下两个模块： import boto3, botocore 从亚马逊下载文件时，我们需要三个参数： Bucket的名字
服务中断检测网站Downdetector于11月19日报告称，许多网站和应用的主干亚马逊网络服务（AWS）互联网基础设施服务出现了问题。...“云端的崩溃是非常不寻常的，”当被问及11月19日的崩溃时，亚马逊网络服务的高级公关经理Kristin Brown告诉《电子商务时报》。...市场研究公司 IDG 在 6 月发布的 2020 年云计算调查报告中表示，在 550 多个被调查的组织中，81% 的组织已经在使用云基础架构或在云中拥有应用程序。...云服务包括公共云，如谷歌、亚马逊和微软提供的云服务，以及私有云，如 IBM 的云服务。还有混合云，这是两者的组合。 最近的中断事件 当用户无法访问云服务时，实际造成的损失有多少？...Kinesis 支持流数据实时处理，并直接供 AWS 客户以及其他 AWS 服务使用。 不过，Enderle 指出：“崩溃是可以被缓解的，并内置冗余，因此用户很少看到它们。”
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
云直播
