腾讯云 DNSPod 向全网域名提供智能解析服务,拥有海量数据处理能力、灵活扩展性和安全能力。为客户提供从基础的域名解析、Private DNS、IGTM智能流量管理、Public DNS和HTTPDNS递归解析等服务,一站式解决客户DNS所有场景需求并提供定制化服务。 01 自研F-stack 解析质量和性能大幅提升 F-Stack是基于kernel bypass的理念的完整的、成熟的、易用的、高性能server技术栈。 腾讯云 DNSPod 的权威 DNS 目前包含两个架构版本,基于 F-Stack
作为企业主使用开源建站cms一直有一个漏洞注入的困惑,因预算有限只能找一些免费的防火软件,但是效果都不怎么样,年初的时候看到一个一款叫长亭雷池的防火墙软件,体验了一番效果不错现在业务上也用雷池部署自己的业务。
2020年2月24日-28日,网络安全行业盛会RSA Conference将在旧金山拉开帷幕。前不久,RSAC官方宣布了最终入选今年的创新沙盒十强初创公司:AppOmni、BluBracket、Elevate Security、ForAllSecure、INKY、Obsidian、SECURITI.AI、Sqreen、Tala Security、Vulcan。
公有云,私有云(OpenStack/cloudstack + KVM/XEN,oVirt), 混合云 服务监控 配置管理
毕业至今,从最初在乙方安全厂商做安全服务,辗转到互联网公司做安全研发,现今在金融国企做安全建设工作。几年信息安全职业生涯,我经历了从乙方到甲方的角色转换,经历了从互联网到国企的转变。兜兜转转的几年时间里,随着日常工作内容的改变,我对信息安全的认知也发生了一些变化。本篇我将记录总结一些甲方信息安全建设方面的经验,仅代表此时此刻我对于信息安全建设的一些认知(
网络入侵检测在发展过程中,主要有两大流派:基于日志的入侵检测和基于流量的入侵检测。但因为基于日志的入侵检测的数据源来自各系统的运行日志,日志格式多种多样,标准化程度低,日志记录内容的详尽程度也千差万别,所以基于日志的入侵检测产品很难实现标准化。因此,各家安全厂商一般都是主打基于流量的入侵检测产品,笔者就针对此类检测产品,聊一聊部署实践中出现的各类问题。
为什么要监控 对系统不间断实时监控 实时反馈系统当前状态 保证业务高可靠的运行 怎么监控 监控工具:free,vmstat,df,top,ss,iftop... 监控系统:Zabbix(监控非容器,监控容器会比较麻烦),Open-Falcon(监控非容器,小米开源),Prometheus image.png 监控什么 硬件监控:温度,硬件故障等(prometheus原生不支持,但是有开源的agent); 系统监控:CPU,内存,硬盘,网卡流量,TCP状态,进程数(prometheus原生支持); 应用
对于Edgeone的体验心得,我将详细记录使用过程以及个人的使用感受,重点关注其在解决安全问题和完成防护方面的能力。在此过程中,我会比较Edgeone与传统CDN的差异,并总结使用Edgeone时需要注意的事项。以下是我个人的一个小小新得,希望能够对大家有一丝丝帮助。
在某一天的深夜,作为安全从业人员,穿着大裤衩子,坐在门前,点燃一根烟(画面自己想象)开始思考企业如何打造自己的安全体系,虽然这不是作为月薪3k该考虑的问题,但是毕竟当初笔者的从业理想是想成为道哥一样的人,为安全行业贡献自己的一份力。于是写下自己的想法,对于中小企业我希望能够完善自己的安全体系,花最少的钱做好安全这件事;对于安全人员我希望大家多考虑企业面临的危险点,而不只是会开一个扫描器做一个定时任务、开一个dirsearch就睡觉的那种!
abdullkarem Wordpress PHP Scanner是一种扫描工具,通过检测WordPress网站中的PHP代码漏洞来发起攻击。
目前的网络攻击主要还是以WEB攻击为主流,毕竟这是与外界沟通获取知识和了解世界的主要桥梁。
性能测试过程中,监控分析和调优是最核心也是占比最大的一部分。性能分析的目的是找出系统性能存在的瓶颈与风险,性能调优就是尽可能用更少的资源提供更好的服务。而其关键点,就是生成负载、监控相关指标。性能测试前期的需求调研、开始前的准备工作,都是为了保证后期的监控分析调优能顺利且高效进行。那么,一个完整的监控体系,需要包含哪些?这篇文章,聊聊我在工作实践中如何监控,以及比较完善的监控体系,都包含哪些指标和工具。。。
CDN防护的核心原理是通过分布式的网络架构,将网站的内容分发到全球各地的服务器上,使用户可以就近访问,从而提高网站的访问速度和稳定性,CDN还可以通过一系列安全措施,如HTTPS加密、IP黑名单、WAF(Web应用防火墙)等,来保护网站免受各种网络攻击。
说起恶意 URL 请求(Malicious URL request)可能很多老站长们应该都知道,URL 恶意请求对于网站来说是很正常的一种“黑客行为”,大家都知道搜索引擎有“蜘蛛爬虫”(bot),那么反之黑客也有自己的“漏洞蜘蛛爬虫”。简单点说就是一个可以在网络上运行并且不断的“遍历”发现的网站上的程序漏洞并记录反馈给指定的服务器什么的,需要的时候就可以针对网站漏洞进行攻击或者什么的(攻击只是一个统称,把被攻击网站做“肉鸡”用来攻击别人,盗取网站重要资料,木马植入等等算是一种攻击行为)。
在平时的漏洞挖掘过程中经常会有些Fuzz的需要,而自动化工具一直是各大SRC榜首师傅的利器,会凭借的经验与工具集合形成一套自己行之有效的漏洞探测方法,也看到了各位师傅类似于Watchdog的自动化工具,其中有很多思想碰撞的地方,自己也试着写了一版基于Django的分布式节点的工具,但是还是感觉差强人意,其中有很多问题,例如写出来东西耦合度太高,每个人的信息收集方式方法不同,利用的工具框架也有差别,而且当自己框架中的组件发生更新或者替换时感觉有些繁琐,因此就简单的构建了这么一个算是流程框架的工具,提供标准的接口与流程,大家可以自行按照个人喜好进行工具的更新与替换,可以结合自己的需求对代码进行相应的变更,编写过程中更多的是以某个工具为例,因为优秀的工具实在是太多了,比如就被动扫描器来说,Xray与w13scan分别具有自身的优点与长处,个人就是站在巨人的肩膀上窥探了一下各位师傅对于相关内容的见解,开发文档之后也会整理成一篇从零写一个自动化漏洞猎人的文档,权当是Debug笔记,文档地址:从零写一个自动化漏洞猎人(https://gitee.com/echocipher/AUTO-EARN/blob/master/从零写一个自动化漏洞猎人.md)
每个做过一些 SEO 工作的人,甚至那些刚开始从事 SEO 工作的人,都可能听说过 CDN。CDN 在网站的性能和速度方面发挥着重要作用,因此,它们可以帮助在 SERP(搜索引擎结果页面)中排名。因为它们会缓存您的内容,所以 CDN 允许您的站点在收到请求时更快地生成内容。这会导致页面加载速度变慢,并增加使访问者在您的网站上停留更长时间的可能性。当您将所有这些都考虑在内时,CDN 将成为 SEO 优化工作和创建更流畅用户体验的非常有用的工具。
前阵子,我发布了一份甲方安全开源清单,不少朋友帮忙反馈,得到了大大的补充,重新整理了一份项目清单。
EdgeOne是一款集成了CDN和安全防护的智能CDN产品,为企业提供了全面的加速和安全防护服务,有助于提高用户体验和保障网络安全。
在日常渗透中,经常会遇到目标网站存在 WAF 和 CDN 的情况,如果直接对其进行漏洞扫描的话,大概率发现不了安全问题,反而给目标留下很多漏洞测试的告警,即浪费时间又没有效果,在做漏洞扫描之前可以先进行 WAF 的识别,如果确认没有 WAF 的情况,在进行漏洞扫描,而存在 WAF 的目标,可以进行手工测试,尽量不要使用明显的攻击方式,找一些逻辑方面的问题,WAF 是无法进行识别的。
安装后:服务器物理内存剩余600M,虚拟内存占用520M,雷池WAF占用约500M。
今日洞见 文章作者/配图来自ThoughtWorks:马伟。 本文所有内容,包括文字、图片和音视频资料,版权均属ThoughtWorks公司所有,任何媒体、网站或个人未经本网协议授权不得转载、链接、转贴或以其他方式复制发布/发表。已经本网协议授权的媒体、网站,在使用时必须注明"内容来源:ThoughtWorks洞见",并指定原文链接,违者本网将依法追究责任。 1. 传统安全实践面临着严峻的挑战 随着互联网应用、移动应用爆发式的增长,伴随而来的黑客攻击事件也是层出不穷。仅在过去的2015年里,被公开报道的数
出口安全 不轻易暴露外网ip和服务端口; 使用防火墙和路由器以及云上的NAT网络,只映射web服务、V**,其他暴露服务进行都进行访问控制 web请求服务器时通过CDN 服务既提高静态资源加载速度,同时也隐藏了真实的源地址 系统安全 Linux 使用iptables定制白名单策略访问策略 Windows 通过防火墙策略和组策略->ip策略控制服务 Linux系统自带访问控制配置:白名单/etc/hosts.allow、黑名单/etc/hosts.deny 登录审计 堡垒机让线上操作更加
腾讯云 Web 应用防火墙(Web Application Firewall,WAF)是一款基于 AI 的一站式 Web 业务运营风险防护方案。通过 AI+规则双引擎识别恶意流量,保护网站安全,提高 Web 站点的安全性和可靠性。通过 BOT 行为分析,防御恶意访问行为,保护网站核心业务安全和数据安全。 腾讯云 WAF 提供两种类型的云上 WAF,SaaS 型 WAF 和负载均衡型 WAF,两种 WAF 提供的安全防护能力基本相同,接入方式不同。
假设我有个域名carol.chXXXX.com 服务器ip是129.204.X.X,首先配置waf
作为web站点,开启cdn加速对提升用户体验十分重要,能有效减少由于物理地域的距离导致的网络延迟,当然主要是增对静态资源。 另外还可以给我们提升网站的可用性,由于前端每次发布更新后,资源的hash值都会更新, 导致发布正在访问的页面无法拉取已经更新静态资源,从而导致当前页面无响应。
今天明月给大家分享一下 WordPress 站点的基本安全防御措施,这些都是明月多年使用 WordPress 的经验总结,至少都是“实测有效”的,甚至不少还是明月正在使用的,希望可以帮助到各位 WordPress 博客站长们。
我们先直接看架构图,给同学推荐是使用CDN加速、WAF应用防火墙+DDOS防护、CLB负载均衡(多可用区属性)、多可用区云主机、数据库(多可用区主备+异地灾备)。具体架构如图:
当发现目标站点存在CDN防护的时候,我们会尝试通过查找站点的真实IP,从而绕过CDN防护。
笔者在实施SDL方面有多年的经验,实施过微软厚重的SDL,实施过互联网企业粗糙的SDL,目前在落地标准化自动化的SDL,在此将我的经验分享出来。为了让大家更好的理解SDL实施的过程,本文尽量以口语化叙事的方式描述SDL实施的过程。当然每家公司的devops和实际的开发流程不一样,所以实施SDL不能照搬照套,还是得结合自己公司的实际情况。
使用 Nginx real-ip 模块获取,需在 Ingress 上配置 proxy-real-ip-cidr ,把WAF 和 SLB(7 层) 地址都加上。操作后服务端使用 X-Forwarded-For 可取到真实 IP,通过 X-Original-Forwarded-For 可取到伪造 IP。
因一业务需要,想要对API服务接口添加一些监控,以帮助跟踪应用程序的性能、问题和用户活动等。实现监控的方式有多种多样的方式,以下是一些常用的方法:
这是一份甲方安全开源项目清单,收集了一些比较优秀的安全开源项目,以帮助甲方安全从业人员构建企业安全能力。这些开源项目,每一个都在致力于解决一些安全问题。
腾讯云网站管家优势陈述腾讯云网站管家:共享腾讯Web 安全防护能力,让受护用户Web 业务轻松部署腾讯业务安全级别防护能力
信息安全攻击有75%都是发生在Web应用而非网络层面上。同时,数据也显示,2/3的Web站点都相当脆弱,易受攻击。无数事实证明,在黑客入侵活动中,Web应用程序是造成泄露最主要的攻击媒介。
小时候下围棋,总乐于持白子。因为我的打法是“从那里来我哪里堵”,在防守中寻找对方的漏洞。这种作战方法是有底层的思想根因的:就是懒惰。不愿意去主动思考布局。
这个问题貌似很多人遇到了,我也是无意见遇到的,因为我并没有使用过又拍云CDN,但是最近小项目多,申请了一个又拍云联盟,送了10G/月的CDN流量,就想着测试下效果,因为测试的是521导航站点,总体感觉快了一些,就先用着吧,但是在修改主题文件配置时出现了错误提示“{"code":"40310032","msg":"waf protection rules triggered"}”,第一反应就是主题又双叒叕出BUG了?检查了下相关内容确定不是我的问题,然后就想到又拍云CDN设置是不是有什么敏感操作导致的,仔细看代码,有一句waf,貌似在又拍云设置有这个功能。
日志收集推荐使用Elastic Stack协议栈,可以满足收集海量日志需求,而且便于后续分析、报表、报警操作
前面我们讲到了站点部署,站点部署完成以后,其实很长一段时间都不会有什么大事,一般情况下是这样的。但是,现在还没完,根据最新的国家法律法规,我们还需要做备案和公安备案,这两个会在后面单独拿出来说。我们这篇主要是说备份容灾与升级的思路。
RASP作为一种新型的、有效的、实时的应用保护手段,正被越来越多的企业使用,本文用浅显易懂的文字讲解了RASP技术、RASP与WAF的关系,并提供了应用解决方案,快来阅读吧~
乌鸦安全的技术文章仅供参考,此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等(包括但不限于)进行检测或维护参考,未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失,均由使用者本人负责。
可以看出hasee 使用了Aqtronix WebKnight 这款WAF,此时我们应该清楚的是,此处的WAF 可能是cdn厂商的,也可能是hasee 的,所以我们这样其实并不准确,我们应该用IP来进行查询
常常遇到用户的web服务配置了多个节点的情况下,配置无法访问,根本原因是用户没有理解http(https)的工作原理
DDoS是英文Distributed Denial of Service的缩写,意即“分布式拒绝服务”,那么什么又是拒绝服务(Denial of Service)呢?可以这么理解,凡是能导致合法用户不能够访问正常网络服务的行为都算是拒绝服务攻击。也就是说拒绝服务攻击的目的非常明确,就是要阻止合法用户对正常网络资源的访问,从而达成攻击者不可告人的目的。分布式拒绝服务攻击一旦被实施,攻击网络包就会从很多DOS攻击源(俗称肉鸡)犹如洪水般涌向受害主机,从而把合法用户的网络包淹没,导致合法用户无法正常访问服务器的网络资源,因此,拒绝服务攻击又被称之为“洪水式攻击”,常见的DDOS攻击手段有SYN Flood、ACK Flood、UDP Flood、ICMP Flood、TCP Flood、Connections Flood、Script Flood、Proxy Flood等。
本来意气风发的打算大干一场,一看到目标傻眼了。两个的网站,放弃。一个重点企业,也没有多少希望,另一个教育网站,看来有点希望。开始吧。
0×01 WAF简介 WAF 全称是Web Application Firewall, 简单讲就是web防火墙, 是对web业务进行防护的一种安全防护手段。 其实,现在很多的移动app,也是使用的http协议进行数据交换,也可以理解成web业务,可以对app server进行防护。 主要的web危害,一般指的是OWASP Top 10,比如SQL注入、XSS、CSRF等常见的web危害方法。当然可能不止这些方法,比如社工。轻则用你的服务器打个ddos,重则数据全部被盗,损失公司的信誉和money。 互联
在渗透测试过程中,经常会碰到网站有CDN的情况。CDN即内容分发网络,主要解决因传输距离和不同运营商节点造成的网络速度性能低下的问题。说的简单点,就是一组在不同运营商之间的对接点上的高速缓存服务器,把用户经常访问的静态数据资源直接缓存到节点服务器上,当用户再次请求时,会直接分发到离用户近的节点服务器上响应给用户,当用户有实际数据交互时才会从远程Web服务器上响应,这样可以大大提高网站的响应速度及用户体验。
网站的安全问题一直是很多运维人员的心头大患,一个网站的安全性如果出现问题,那么后续的一系列潜在危害都会起到连锁反应。就好像网站被挂马,容易遭受恶意请求呀,数据泄露等等都会成为杀死网站的凶手。
在一次护网行动中再次深刻意识到了信息收集对于渗透测试整个流程的重要性,信息收集的完整性决定了你的渗透测试结果,“知己知彼,百战不殆”。
大名鼎鼎的中国运维社区的狼首赵瞬东相信大家都略有耳闻,江湖人称赵班长,曾在武警某部负责指挥自动化的架构和运维工作,2008年退役后一直从事互联网运维工作。曾带团队负责国内某食品电商的运维工作,同时带领团队创建了自己的运维社区,讲自己多年经验传递给众多学者、运维人员,《saltstack入门与实践》作者之一。
领取专属 10元无门槛券
手把手带您无忧上云