Gatekeeper是目前第一个开源的DoS拒绝服务攻击防护系统。该系统被设计成可以扩展到任何峰值的带宽，因此它可以抵御目前的DoS拒绝服务攻击攻击。尽管Gatekeeper的体系结构在地理上是分布式的，但描述所有传入流量的网络策略必须是集中式的。这种集中化策略使网络运营商能够利用在很高延迟下不可行的分布式算法（例如分布式数据库），并同时抵御DoS拒绝服务攻击。
Kubernetes 的 Pod Security Policy（PSP）即将被淘汰和移除，所以需要找到一个替代方案来填补这个即将出现的空白。目前看来，Kubernetes 自身并没有准备相应的替代方案，因此需要在 Kubernetes 之外寻求解决之道。CNCF 的两个头部项目可能会成为首选的替代产品，它们分别是基于 Open Policy Agent（OPA）的 Gatekeeper 以及 Kyverno，两个产品各行有千秋，但是目前还没有对这两个产品进行过正式的比较，这就让面临选择的用户无从下手了。这两个项目都是全功能的 Kubernetes 策略引擎，因此其功能不仅限于替代 PSP。本文尝试对 Gatekeeper 和 Kyverno 进行一个中立客观的比较，让用户能够据此作出决策。这里仅从 Kubernetes 的视角来对这两个项目来进行评价。
作者：Rita Zhang（微软）、Max Smythe（谷歌）、Craig Hooper（澳大利亚联邦银行）、Tim Hinrichs（Styra）、Lachie Evenson（微软）、Torin Sandall（Styra）
Gatekeeper 是基于 OPA（Open Policy Agent） 的一个 Kubernetes 策略解决方案。在之前的文章中说过，在 PSP/RBAC 等内置方案之外，在 Kubernetes 中还可以通过策略来实现一些额外的管理、安全方面的限制，本文将会从安装开始，介绍几条实用的小策略。
前面我们介绍了使用 kube-mgmt 这个 sidecar 容器来完成 OPA 策略的自动同步，此外还有另外一个更加高级的工具 Gatekeeper，相比于之前的模式，Gatekeeper(v3.0) 准入控制器集成了 OPA Constraint Framework，以执行基于 CRD 的策略，并允许声明式配置的策略可靠地共享，使用 kubebuilder 构建，它提供了验证和修改准入控制和审计功能。这允许为 Rego 策略创建策略模板，将策略创建为 CRD，并在策略 CRD 上存储审计结果，这个项目是谷歌、微软、红帽和 Styra 一起合作实现的。
● 高密度：采用编码、位打包（bit-packing）和复制数据删除（deduplication techniques）技术来优化数据集的内存占用率。
本文所讲的策略，指的是在 Kubernetes 中，阻止特定工作负载进行部署的方法。
1、首先下载这个脚本：macOS-GateKeeper-Helper: Simple macOS GateKeeper script.
Kubernetes 的 Pod Security Policy（PSP）[1] 即将被 淘汰和移除[2]，所以需要找到一个替代方案来填补这个即将出现的空白。目前看来，Kubernetes 自身并没有准备相应的替代方案，因此需要在 Kubernetes 之外寻求解决之道。CNCF 的两个头部项目可能会成为首选的替代产品，它们分别是基于 Open Policy Agent（OPA）的 Gatekeeper 以及 Kyverno，两个产品各行有千秋，但是目前还没有对这两个产品进行过正式的比较，这就让面临选择的用户无从下手了。这两个项目都是全功能的 Kubernetes 策略引擎，因此其功能不仅限于替代 PSP。本文尝试对 Gatekeeper 和 Kyverno 进行一个中立客观的比较，让用户能够据此作出决策。这里仅从 Kubernetes 的视角来对这两个项目来进行评价。
这两组开源工具都是是基于kubernetes 的webhook机制，支持validatingwebhook和mutatingwebhook。整体思路上是一样的，都是针对资源的字段，如标签、镜像等来设置规则，在对kubernetes资源的控制范围和粒度上，二者可以看作是一样的。
DDL劫持不仅限于Windows：概念上类似的攻击也存在于OS X系统。 根据安全公司的最新研究，DLL劫持在Mac上也同样适用，可以用来绕过苹果GateKeeper等安全功能，使其感染电脑中易受攻击的地方。Wardle将在本周在温哥华举行的CanSecWest应用安全大会上分享这个问题。 “OS X dylib（dynamic library动态库）劫持在概念上类似于Windows的DDL劫持”，研究人员Wardle解释说，“在这两种情况下都存在这个情况，操作系统装载器在很多地方寻找所需的依赖库。
在生产环境中应用 Kubernetes 时，出于安全、合规等管控目的，经常需要对工作负载进行审计、校验以及变更，例如下列场景：
了解如何利用 OPA Gatekeeper 在 Kubernetes 集群中编写和执行策略，确保环境的安全性和高效资源管理。
OPA（发音为 “oh-pa”）是一个全场景通用的轻量策略引擎（Policy Engine），OPA 提供了声明式表达的 Rego 语言来描述策略，并将策略的决策 offload 到 OPA，从而将策略的决策过程从策略的执行中解耦。OPA 可适用于多种场景，比如 Kubernetes、Terraform、Envoy 等等，简而言之，以前需要使用到 Policy 的场景理论上都可以用 OPA 来做一层抽象，如下所示：
e01镜像是目前取证中最常用的镜像格式，在制作过程中进行校验与压缩，兼具了速度与完整性两方面，对于e01镜像仿真最简单的方式就是直接将其作为物理盘挂载到本地，可以用工具 AccessData FTK Imager，挂载后我们简单翻一翻文件内容，可以看到安装了 VMware Tools，在路径
OPA 的 Gatekeeper 以及 Kyverno 是 CNCF 的两个头部策略管理项目，两个产品各有千秋，前面我们已经学习了 Gatekeeper，接下来我们就来了解下如何使用 Kyverno。
在这篇文章中，我们将对F-Secure Internet Gatekeeper应用程序中的一个堆溢出漏洞进行解析，并介绍为何一个简单的错误就导致了一个可利用的未认证远程代码执行漏洞存在。
在之前的 『K8S生态周报』 和 《搞懂 Kubernetes 准入控制（Admission Controller)》 等文章中，我曾提到过 Kyverno 这个云原生策略引擎项目，很多小伙伴在后台私信我说对这个项目比较感兴趣。这篇文章我们专门来聊聊 Kyverno 吧。
安装破解版的app或者非appstroe的app经常会遇到这个问题。出现这个情况，通过下面的方法并不能解决：
这是一个合作类迷宫游戏 Github 项目地址 Day 1. 原型设计 (2014.11.06) 类型：合作 人数：2-3 设定：房间，迷宫 游戏原型 141109GameProto.png 玩法：
最近，我通过H1向Microsoft和Microsoft通过MSRC向Dropbox和PortSwigger公开了一些漏洞，这些漏洞与MacOS上的应用程序权利有关。我们将探索什么是权利，您将如何使用它们，以及如何将其用于绕过安全产品。
在实际生产环境中，许多场景需要进行策略控制，例如，不同团队的API需要限制访问权限，以避免未经授权的网络访问。为实现这种控制，可以采用策略控制的方法。然而，实施策略控制需要修改代码，而且策略通常很分散。为了解决这个问题，可以使用OPA（Open Policy Agent）进行策略控制。
作者：Tabitha Sable（Kubernetes SIG Security）
团体赛题目整体分为两部分：磁盘镜像分析 & 安卓模拟器分析，难度上第一部分比较简单，第二部分涉及到很多安卓相关知识，相对比较困难
Kubernetes API 服务器是 Kubernetes 控制平面的核心组件之一。该组件暴露 Kubernetes API，并充当控制平面的前端。当用户或进程与 Kubernetes 交互时，API 服务器处理这些请求，并验证和配置 Kubernetes API 对象，如部署或命名空间。当然，这是在 Kubernetes Admission Controllers 的帮助下进行的。那么，什么是 Admission Controller？
Mac相对于Windows对程序的控制非常严格，非store里的app安装，经常会提示"xxx.app已损坏，无法打开，你应该将它移到废纸篓"，之前可以通过设置可以安装任何来源的程序来完成安装，但是升级到10.15的以后，对于未签名的应用又进一步收缩了权限，很多app都无法正常安装，在碰到Mac提示"xxx.app已损坏，无法打开，你应该将它移到废纸篓"的时候，大家可以试试以下解决方法。
Kubernetes (简称K8s)是是一个开源的，用于管理云平台中多个主机上的容器化的应用，Kubernetes的目标是让部署容器化的应用简单并且高效，Kubernetes提供了应用部署、规划、更新、维护的一种机制。K8s 最早是由谷歌开发的，目前由Cloud Native Computing Foundation 基金会维护。
云原生策略执行引擎被高盛、Netflix、Pinterest和T-Mobile等组织用于生产
Kubernetes 持续发展，提供可以显著增强集群性能、效率和安全性的新功能和优化。对于高级工程师，掌握这些优化可以带来更强大、更可扩展且更具成本效益的部署。以下是 18 个高级 Kubernetes 节点优化的精选列表，按其在 2024 年的预期实用性和受欢迎程度排序。
机型是小米9。打开开发者模式、USB调试后，连接电脑，准备跑一下自动化脚本。但是在pycharm中点击run后，出现报错，报错code：255，提示“Requires permission android.permission.WRITE_SECURE_SETTINGS”，报错详情如下：
(1) 用户输入的ID若在dialpeer表中已存在，且模式匹配，则进入dialpeer配置模式对相应dialpeer进行配置修改；
据The Hacker News 12月24日消息，Apple 最近修复了 macOS 操作系统中的一个安全漏洞，攻击者可能会利用该漏洞“轻而易举地”绕过“无数 macOS 的基本安全机制”并运行任意代码。
Kubernetes 准入控制器是集群管理必要功能。这些控制器主要在后台工作，并且许多可以作为编译插件使用，它可以极大地提高部署的安全性。
在前面的一篇文章中我们介绍了如何实现 Kubernetes 的策略管理。下面，让我们了解一下 Kubernetes 开发中的内置策略管理工具。译自 Policy Management in Kubernetes is Changing。
在 CNCF 安全技术咨询小组（TAG）[1]的帮助下，CNCF 最近对社区进行了一次微调查，以了解组织是如何管理云原生安全的。 总体而言，该报告[2]显示，各组织认识到云原生架构中传统安全与现代安全之间的差异，并看到了现代云原生安全的价值。多达 85%的受访者表示，现代化的安全性对他们组织的云原生部署非常重要。没有人表示不重要。 然而，只有 9%的组织拥有一套完整的文档化的过程，这些过程是为他们的团队自动实现的。因此，虽然组织认识到这些策略的重要性，但是作为一个社区，仍然有很长的路要走，以增加采用和
之前在本地创建了 shell 脚本，在 iterm 中 cd 到该目录，可以通过 ./xxx.sh 的方式去执行。
OpenHaystack是一个针对蓝牙设备的跟踪框架，OpenHaystack可以利用苹果提供的Find My Network服务来追踪个人用户的蓝牙设备，我们可以用它来创建自己的跟踪标签，并将其附加到物理对象（比如说钥匙串或背包等）上，或者将其集成到其他支持蓝夜功能的设备中（比如说笔记本等等）。
在 CNCF安全技术咨询小组（TAG）[1]的帮助下，CNCF 最近对社区进行了一次微调查，以了解组织是如何管理云原生安全的。
Google Play和APP Store作为我们日常生活中最耳熟能详的两大应用商店，在提供便利的同时，也藏匿着诸多安全风险。Google Play因其宽松的网络环境，成为了恶意软件繁育的温床。而苹果生态虽然是出了名的“干净”，但也难逃恶意软件的伪装。
Facebook 高速发展的 2007 年到 2016 年，他们一天部署 3 次代码，cherry-pick 集齐成千上万个 commit；现在使用类似持续交付的方法，每个 commit 能自动部署到 production。公司里有很多员工、很多用户的好处：新代码让公司所有员工先用上，因为员工数足够多，能很快发现问题；然后让 2% 的访问量用上新代码，最后慢慢增加到 100% 的访问量。
macOS 下 AppStore 不是唯一能下载 App 的渠道，做为应用的开发者，我们也能把应用发布在网站上提供给用户下载安装。那么，我们如何让用户信任我们开发的软件呢？对此，苹果提供了公证的服务和结合操作系统的Gatekeeper，给用户提供了一层信心的保障。本文将介绍三种不同公证方式的选择。
在讨论lagom之前，先从遇到的需求开始介绍：现代企业的it系统变得越来越多元化、复杂化了。线上、线下各种系统必须用某种方式集成在一起。从各种it系统的基本共性分析：最明显的特征应该是后台数据库的角色了，起码，大家都需要使用数据。另外，每个系统都可能具备大量实时在线用户、海量数据特性，代表着对数据处理能力有极大的要求，预示系统只有通过分布式处理方式才能有效运行。
大数据文摘作品 作者：Kate 编译：吴蕾，行者，任杰 日前，生物识别技术越来越受欢迎，日益成为全球金融服务行业的宠儿。 据估计，到2021年，生物识别市场有望达到300亿美元的价值。而且，该技术可能是目前最便捷的方法，因为可以为用户省去记住数字，代码或密码的烦恼。 为了利用这项技术，部分银行已经开始尝试对之进行测试，当然日前仅局限在少数用户和特定市场。或许过不了多久，生物识别技术将会成为身份认证的主流形式，复杂密码形式将一去不复返。 当前，在市场上，还活跃着一些其他主流方法，如指纹识别。这些方法中，静脉
Pod Security Policy 是 Kubernetes 的重要安全措施之一，它首先定义角色，其中规定了对 Pod 行为的限制，其中包括对特权容器、主机网络、Capability、加载卷类型等内容进行了限制，然后通过 RBAC 把 SA-Pod-PSP 三者结合起来，完成对 Pod 权限的限制。相对于 SecurytContext 来说，PSP 更具强制性和可管理性，CIS Kubernetes Benchmark（v1.6）中明确地把启用 PSP 设置为记分项目，很多 Kubernetes 安全相关软件也会据此进行检查。
最近才发现一个基于Github Pages的Jekyll内容编辑器Prose，感觉内容编辑更快、发布什么的更方便，所以想推荐给使用github的友友们，以前都是在markdown工具里写，然后再用git推送上去，感觉过程略蠢......
[root@controller ~]#yum install -y openstack-swift-proxy python-swiftclient python-keystoneclient python-keystonemiddleware memcached
attify/lot exploitation/penetration testing Drozer Exploit-Me漏洞
继续我们的云原生技术走马观花的旅途，这一次我聊一下规则管理Open Policy Agent。相比较来说，这个概念及使用可能并不广范，大多数情况下并无必要使用这个东西，因为它增加了架构与部署的复杂度。
Key attestation就是密钥认证，之前介绍过： Key attestation-Google的密钥认证 下图是Google Android密钥认证的架构图。基本上TEE OS、Keystor
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
云直播
