对于那些需要在因特网上提供服务或托管主机的人来说，保证您的系统在面对攻击时的安全是一个重要的事情。 mod_security（一个开源的用于Web应用入侵检测及防护的引擎，可以无缝地集成到Web服务器）和mod_evasive是两个在服务器端对抗暴力破解和(D)Dos攻击的非常重要的工具。 mod_evasive，如它的名字一样，在受攻击时提供避实就虚的功能，它像一个雨伞一样保护Web服务器免受那些威胁。 安装mod_security和mod_evasive来保护Apache 在这篇文章中我们将讨论如何安装、配置以及在RHEL/CentOS6、7和Fedora 21-15上将它们整合到Apache。另外，
2015-06-16 12:49 Gabriel Cánepa, wwy-hust
毋庸置疑，对于系统管理员，提高服务器的安全性是最重要的事情之一。因此，也就有了许多针对这个话题而生的文章、博客和论坛帖子。 一台服务器由大量功能各异的部件组成，这一点使得很难根据每个人的需求去提供定制的解决方案。这篇文章尽可能涵盖一些有所裨益的小技巧来帮助管理员保证服务器和用户安全。 有一些常识是每个系统管理员都应该烂熟于心的，所以下面的几点在本文将不会提及： 务必保证系统是最新的 经常更换密码 - 使用数字、字母和非字母的符号组合 给予用户最小的权限，满足他们日常使用所需即可 只安装那些真正需要的软件
2015-07-03 10:04 Marin Todorow, KayGuoWhu
【编者的话】到底Docker Hub上是否三成的镜像存在漏洞？通过漏洞计算发现确实有高比例漏洞，对于官方镜像遵循Docker的安全指南，如若是自创建镜像，可找源仓库或自行处理。但我们发现，这些漏洞中大部分是老镜像。面对漏洞镜像，我们可以采取本地措施，还可用Web安全审查进行检查，如果想让Docker更加安全，建议用dockerbench来评估。文中额外阐述了容器究竟有什么用。 这个数字太神奇了！并不是因为这个比例过高或者过低，而是因为居然存在这个比例。既然存在（相对容易地）计算出这个比例的可能性，也就意味着存在（相对容易地）改善
2015-06-15 14:55 jpetazzo, kurtzhong
本月中旬，谷歌推出了针对查找安卓系统漏洞的安卓安全奖励计划，发现一次漏洞最少可获500美元奖励。不过半月，真的有人发现了安卓系统漏洞。 趋势科技(Trend Micro)近日发现了存在于Android调试器Debuggerd中的漏洞，该漏洞可以获取设备内存中的数据，包括Android 4.0 Ice Cream Sandwich（冰淇淋三明治）到Lollipop（棒棒糖）等系统均受到影响。 Debuggerd是android的一个daemon进程，负责在进程异常出错时，将进程的运行时信息dump出来供分析。Debuggerd生成的coredump数据是以文本形式呈现，被保存在 /data/tombstone/ 目录下，共可保
2015-06-30 08:34 金红
又见历史原因导致的安全隐患 在七年前开发人员发现GitHub存在一个灾难性的漏洞之后，GitHub已经关闭了数量不明的通过密钥访问的账户。 Github允许授权用户登录到隶属于Spotify、Yandex和英国政府的公共仓库账户中，而这些公共仓库账户却使用了由当时存在缺陷的Linux发行版本Debian生成的SSH密钥，而这部分密钥是不安全的其密钥的位数太少以至于可以枚举导致暴力破解，分分钟登录这些存在威胁的账户中。 七年后，Debian社区的朋友们修复了bug并且提醒用户取消旧的密钥而重新生成一个。伦敦的开发人员Ben Cartwright-cox说，他发现了这一漏
2015-06-12 08:03 Dan Goodin, 明明知道
人们通常把黑客看做是技术非常高超的人，因为他们必须能够发现软件系统中的漏洞并利用它进行攻击，对吗？ 专家表示，在一些复杂的黑客攻击案例中的确是这样的。但在很多其它黑客行为中并非如此。编写你使用的程序的程序员们并不会每一次都从头开始敲代码，他们经常会免费地从论坛、搜索结果中借鉴别人的代码片段。这就会产生问题：他们没有仔细推敲过这些代码段的安全性。 许多程序员与其被称为程序设计师倒不如代码组装者来的更贴切，专家估计在任何软件工程中都有80%到90%代码是从第三方复制而来的。有时候程序员干脆从别的公司购买代
2015-06-25 08:26
Docker公司与Center for Internet Security （CIS）合作，制作了一份基准文档，包含很多针对部署Docker的安全性的建议。Diogo Mnica在一篇博客理解Docker的安全性和最佳实践中公布了该基准，她和Nathan McCauley一起最近受雇来领导Docker的安全团队。该团队也发布了容器安全性入门白皮书。 基准文档涵盖了运行Docker的宿主（系统）的配置、Docker本身的配置，以及在Docker管理下运行的容器的配置。该基准针对Docker 1.6.0，（这是）本文写作时的最新版本，并且基于（使用）红帽企业Linux（RHEL）第7版或Debian第8版作为宿主操作系统（OS
2015-06-13 07:52 Chris Swan, 朱明
自2010年起，Google已经为各种漏洞公告项目花费超过400万美金。仅在2014年一年就花了150万美金。今天Google又专门针对 Android启动了一个名为Android Security Rewards的新项目。获奖者将根据报告的漏洞类型及付出的工作量得到相应的现金奖励。递交一个简单可用的漏洞描述就有可能获得约2000美金的奖励。 找到bug的研究人员只需要提供一个测试案例和补丁，以及远程关键问题的漏洞利用，就能获得大约3万8千美金的奖励， 这为找出OS弱点提供了很大的诱惑。 Google希望投入更多的资金来设立该项目及Chrome奖项或者Patch奖项，来鼓励更多人找
2015-06-17 07:22
云应用的普遍使用给负责管理企业云平台的IT和安全人员带来了很多阻碍和挑战。据PonemonInstitute所做的调查显示超过半数受访者所在企业正在向云端转移机密或敏感数据，然而57%的运维人员承认自己对于敏感信息的存储并没有一个全面的认识。 云计算正在全球范围内向各行各业扩展，显而易见基于云的SaaS应用会越来越多地取代现有的关键业务系统和服务。很多企业都看到了应用云计算的好处，但挑战与顾虑是难免的。本文中列举了帮助企业应对有关云计算的隐私、法规及安全问题的18个小贴士，希望可以使企业更顺利地使用云计算。 问题 用户的风
2015-07-15 11:10 刘旭坤
编者按： Grsecurity/PaX的应用十分广泛，特别是具有高安全性的环境。Gnu/Linux发行版里Gentoo提供PaX作为加固选项，最近半年Debian社区发起的对抗大规模监控的加固项目Mempo在内核中也使用了Grsecurity/PaX。因此说普通的GNU/Linux安全是相对于Windows而言。不得不说，在这个一天云计算、一天雾计算、今天框计算、明天网格计算的年代，作为一个10多年前的设计和实现，PaX的思路的确令人震撼。 译者Shawn the R0ck： Grsecurity/PaX是在OS安全上的一个开创性的贡献，没有PaX/Grsecurity的GNU/Linux的安全性只能防御脚本小子，过去的14
2015-07-06 09:46 Brad Spengler, Shawn the R0ck
分享到微信
打开微信，点击顶部的“╋”，
使用“扫一扫”将网页分享至微信。
标签: