Fortify 软件安全研究团队将前沿研究转化为安全情报,为 Fortify 产品组合提供支持,包括 Fortify 静态代码分析器 (SCA) 和 Fortify WebInspect。如今,Fortify 软件安全内容支持 30 种语言的 1,399 个漏洞类别,涵盖超过 100 万个单独的 API。
选自GitHub 机器之心编译 参与:刘晓坤、路雪、蒋思源 Parris 是一个自动化训练机器学习算法的工具。如果各位读者经常需要构建并训练机器学习模型,且花费很多时间来设置运行服务器,使用远程登录服务以监控进程等。那么这个工具将对大家十分有帮助,甚至我们都不需要使用 SSH 访问服务器以完成训练。机器之心简要介绍了该工具,更详细的内容请查看该 GitHub 项目。 项目地址:https://github.com/jgreenemi/Parris 安装 我们需要一个 AWS 账户,并将 AWS 证书加载到工
Sysdig 的研究人员发现了一种新的云原生挖矿攻击行动,并将其命名为 AMBERSQUID。攻击针对不太常用的 AWS 服务,如 AWS Amplify、AWS Fargate 和 Amazon SageMaker。这些不常见的服务往往意味着其安全性也会被忽视,AMBERSQUID 可能会让受害者每天损失超过 1 万美元。
在翻译了几篇 serverless 与物联网相关的文章之后,我开始想着好好掌握一下 serverless 的相关知识。 我对于 serverless 的第一认知是:Serverless 是由一堆云服务构建后端服务的,如存储、计算、授权都是由不同的服务来构建的。而作为一个开发人员,我们所要做的就是了解如何搭配不同的云服务。 因此,在进行更多的定义之前,我打算先熟悉一下 serverless,以便于我更好地了解什么是 serverless 应用开发。 Serverless 框架 hello, world 考虑到
近年来基础设施即代码(IaC)的方式被越来越多的开发者和管理者所采用,各大公有云都提供了使用 IaC 管理自己云资源的方式,如 AWS 的 CloudFormation、阿里云的 ROS 等,而第三方的 Terraform 也有各大公有云的 Provider。越来越多像我一样的云资源运维和管理者开始采用 IaC 的方式对云资源进行创建、运维和管理。
上篇文章《AWS CDK | IaC 何必只用 Yaml》笔者介绍了 AWS CDK 的概念和基本使用方法,本篇文章就来使用 CDK 在 AWS 从零开始构建一个全新的 KES 集群,实际感受一下使用 AWS CDK 创建和管理云资源的简单和便捷。
云上身份和访问管理功能简介 身份和访问管理是什么?关于这个问题,Gartner Information Technology Glossary中给出了关于IAM的定义:“Identity and access management (IAM) is the discipline that enables the right individuals to access the right resources at the right times for the right reasons”。与之类似,云上身份
Nebula是一个云和DevOps渗透测试框架,它为每个提供者和每个功能构建了模块,截至 2021年4月,它仅涵盖AWS,但目前是一个正在进行的项目,有望继续发展以测试GCP、Azure、Kubernetes、Docker或Ansible、Terraform、Chef等自动化引擎
最近我接到一个问题:“你是如何管理这么多 Kubernetes 的?”。本文试图揭示 Zalando 在 AWS 管理 140 多个 Kubernetes 集群的秘密。
在我们公司,我们尝试使用‘一切事物即代码’的模式,该模式涉及到可复制的基础架构,监控,任务等方面。但是在这篇文章当中,我将向你展示怎样将这种模式运用到 Jenkins 上。是的,我的意思是对于 Jenkins 完全可复制的配置,以及基础架构、插件、凭据、任务以及代码中的其他东西。另外,这篇文章你将解惑下面的疑问:
11月初,云安全公司WIZ发起了一项名为“EKS Cluster Games”的CTF挑战赛[1],引发了众多云安全爱好者的参与。本次挑战赛的主题是关于容器集群的攻击技巧。比赛共包括5个场景,整体存在一定的难度,非常值得挑战和学习。
Honeybits是一款针对蜜罐系统的辅助工具,该工具旨在通过在生产服务器或工作站系统中插入各种因素来引诱攻击者进入你所设置的蜜罐系统,从而提升蜜罐系统的有效性。
Metabadger是一款功能强大的SSRF攻击防护工具,该工具可以帮助广大研究人员通过自动升级到更安全的实例元数据服务v2(IMDSv2),以防止网络犯罪分子对AWS EC2发动SSRF攻击。
随着软件供应链攻击的增加,保护我们的软件供应链变得更加重要。此外,在过去几年中,容器的采用也有所增加。有鉴于此,对容器镜像进行签名以帮助防止供应链攻击的需求日益增长。此外,我们今天使用的大多数容器,即使我们在生产环境中使用它们,也容易受到供应链攻击。在传统的 CI/CD 工作流中,我们构建镜像并将其推入注册中心。供应链安全的一个重要部分是我们构建的镜像的完整性,这意味着我们必须确保我们构建的镜像没有被篡改,这意味着保证我们从注册中心中提取的镜像与我们将要部署到生产系统中的镜像相同。证明镜像没有被篡改的最简单和最好的方法之一(多亏了 Sigstore)是在构建之后立即签名,并在允许它们部署到生产系统之前验证它。这就是 Cosign 和 Kyverno 发挥作用的地方。
近日,绿盟科技星云实验室与北京豪密科技有限公司联合推出了一项云攻防技术培训课程。该课程旨在根据客户需求,为客户提供专题培训,帮助客户熟悉常见的云安全架构,并提供云攻防技术理解,同时结合模拟攻击实验提升攻防能力。该课程参与学员涵盖了特殊行业的单位、国企等十多家单位。课程共分为六个章节,分别就云计算基础、云上攻击路径、云上资产发现与信息收集、云服务层攻防、云原生安全攻防以及虚拟化安全攻防进行了详细介绍。
首先介绍下如何在AWS上使用Kubernetes编排的Tungsten Fabric集群部署沙盒,15分钟就可以搞定。Tungsten Fabric集群由部署节点、一个控制器节点、两个作为EC2 VM运行的计算节点组成。
CloudFox是一款针对云环境渗透测试的自动化安全态势感知工具,该工具可以帮助广大研究人员以自动化的形式在自己并不熟悉的云环境中获得环境安全态势感知。该工具是一个开源的命令行工具,旨在帮助渗透测试人员和红队安全专业人员在云基础设施中找到可利用的攻击路径,并以此来提升云端环境的安全性。
EKS 管理员不仅需要登录管理控制台,也需要通过 eksctl 管理集群,还需要能够管理 EC2 和 CloudFormation 等资源,所以需要较高的权限。
前言 Web应用托管服务是一种常见的平台即服务产品(PaaS),可以用来运行并管理Web类、移动类和API类应用程序。Web应用托管服务的出现,有效地避免了应用开发过程中繁琐的服务器搭建及运维,使开发者可以专注于业务逻辑的实现。在无需管理底层基础设施的情况下,即可简单、有效并且灵活地对应用进行部署、伸缩、调整和监控。 Web应用托管服务作为一种云上服务,其中也会应用到的元数据服务进行实例元数据查询,因此不得不考虑元数据服务安全对Web应用托管服务安全性的影响。 通过“浅谈云上攻防”系列文章《浅谈云上攻
RokRAT作为Group123组织一直维护使用的木马,其整个执行过程都是与云服务进行通信,极大地减少了被发现的风险。
TensorFlow 是广泛被用于开发大型深度神经网络 (DNN) 的开放源机器学习 (ML) 库,此类 DNN 需要分布式训练,并且在多个主机上使用多个 GPU。Amazon SageMaker 是一项托管服务,可通过主动学习、超参数优化、模型分布式训练、监控训练进展,部署培训模型作为自动扩展的 RESTful 服务,以及对并发 ML 实验进行集中式管理,从标签数据开始简化 ML 工作流。
随着计算机、互联网技术的飞速发展,信息安全已然是一个全民关心的问题,也是各大企业非常重视的问题。企业一般会从多个层次着手保障信息安全,如:物理安全、网络安全、系统安全(主机和操作系统)、应用安全等。
Netflix这家公司作为科技股新贵FAANGS里的当红辣子鸡,市值是5.33个百度,国内竟然鲜有文章谈论这家公司的安全机制,只有少量的报道说到了混沌工程,谈到了14年Netflix推出了Security Monkey,使之可以记录并标记一个帐号的修改,同时对配置进行审核,确保符合AWS云上的安全标准。
基础设施即代码(Infrastructure as Code)是软件开发中一个引人入胜的领域。虽然作为一门学科,它相对年轻,但在其短暂的存在期间,它已经经历了几次具有开创性意义的转变。我认为它是当今软件开发创新最热门的领域之一,许多参与者——从大型科技公司到初创企业——都在创造新的方法。如果完全实现,这些方法有可能彻底改变我们编写和部署软件的方式。
前言 在针对云上业务的的攻击事件中,很多攻击者将攻击脆弱的元数据服务作为攻击流程中重要的一个环节并最终造成了严重的危害。 以2019年的美国第一资本投资国际集团(CapitalOne)信息泄露事件举例,根据《ACase Study of the Capital One Data Breach》报告指出,攻击者利用CapitalOne部署在AWS云上实例中的SSRF漏洞向元数据服务发送请求并获取角色的临时凭证,在获取角色临时凭据后将该角色权限下的S3存储桶中的数据复制到攻击者的本地机器上,最终导致这一
熟悉AWS的肯定不会对Cloudformation感到陌生,AWS官方对Cloudformation的定义如下:
Red-Shadow是一款功能强大的AWS IAM漏洞扫描工具,该工具可以帮助你扫描AWS IAM中的错误配置与安全漏洞。
本文将对云端环境中的横向移动技术和相关场景进行深入分析和研究,并给大家展示研究人员在云环境中观察到的一些威胁行为。云端环境中的横向移动可以通过利用云API和对计算实例的访问来实现,而云端级别的访问可能会扩展到后者。
身份和访问管理 (IAM) 是一个安全框架,可帮助组织识别网络用户并控制其职责和访问权限,以及授予或拒绝权限的场景。IAM 通常指的是授权和身份验证功能,例如:
1 CVE-2023-20869/20870: 在 Pwn2Own Vancouver 上利用 VMware Workstation 本文介绍了在 VMware 中利用未初始化的变量错误和缓冲区溢出漏洞进行虚拟机逃逸的技术。 https://cloudsec.tencent.com/article/4iCdCR 2 因恶意用户和恶意包过多,PyPI 暂停新用户注册和项目创建 Python包的官方第三方注册表 PyPI宣布,在颁发新通知之前,暂停新用户注册和新项目上传。这一意外措施是由 PyPI 疲于应对大量
Checkov是一款针对基础设施即代码(IaC)的静态代码安全分析工具,在该工具的帮助下,广大研究人员可以在在Terraform、CloudFormation、Kubernetes、Serverless Framework和其他基础设施的构建期间,轻松检测出云端代码安全问题。
本文中我们会试着解释,在 Kubernetes API Server 上如何对用户和工作负载进行认证的问题。
Serverless简介 Serverless(又称为无服务器)架构是一种全新的云计算模式,它是在容器技术和当前服务模式基础之上发展起来的,它更多的是强调后端服务与函数服务相结合,使开发者无需关注后端服务具体实现,而更侧重关注自己业务逻辑代码的实现。 随着云原生技术的不断发展,应用部署模式已逐渐趋向于“业务逻辑实现与基础设施分离”的设计原则。Serverless架构完美诠释了这种新型的应用部署模式和设计原则。从云原生整体发展路线来看,Serverless模式更趋近于云原生最终的发展方向。 Serverle
Aws Lambda是Amazon推出的“无服务架构”服务。我们只需要简单的上传代码,做些简单的配置,便可以使用。而且它是按运行时间收费,这对于低频访问的服务来说很划算。具体的介绍可以常见aws lambda的官网。(转载请指明出于breaksoftware的csdn博客)
本文只是我使用Coding Devops+部署博客以及自动Push到GitHub的过程记录,我只用到了repo和ci功能,不需要一模一样,hexo等可以效仿,其他仅作参考,有问题评论留言即可。(看懂本文需要会一点Git,Linux服务器相关内容)
前言:关于jenkins自动部署在前面也写过两篇博客,两篇的内容大概涵盖了jenkins的全局配置,项目配置、使用svn作为源码管理、构建war普通war包到tomcat以及构建和部署springboot项目,今天这边博客主要就是使用git作为源码管理、另外对前面两篇博客做查漏补缺的工作,相信通过这三篇博客没有基础的童鞋同样可以搭建起来各种项目。
本文只是我使用Coding Devops+部署博客以及自动Push到GitHub的过程记录,我只用到了repo和ci功能,不需要一模一样,hexo等可以效仿,其他仅作参考,有问题评论留言即可。
In this blog, you will learn the concept and differences between Infrastructure as Code, Configuration Management, and Infrastructure Provisioning. We will also look at popular tools for each and how they work together. 在此博客中,您将了解基础结构即代码、配置管理和基础结构预配之间的概念和差异。我们还将研究每种工具的流行工具以及它们如何协同工作。
Kubernetes 项目的首次 commit 发生在 2014 年 6 月 6 日,自 2016 年 3 月 10 日加入 CNCF,到目前为止,Kubernetes 共有 35k contributor 做了 110 万次贡献、148k 次 commit 与 83k PR,并且有超过 2000 家公司参与贡献开源。
S3fs是基于FUSE的文件系统,允许Linux和Mac Os X挂载S3的存储桶在本地文件系统,S3fs能够保持对象原来的格式。关于s3fs-fuse的功能、使用方法、下载可参考:https://github.com/s3fs-fuse/s3fs-fuse
SkyArk是一款针对Azure和AWS的安全审计工具,该工具可以帮助广大研究人员发现、评估和保护Azure和AWS中的特权实体。从本质上来说,SkyArk是一个云安全项目,该工具包含两个主要的扫描模块:
当我们讨论Microservices架构时,我们通常会和Monolithic架构(单体架构 )进行比较。 在Monolithic架构中,一个简单的应用会随着功能的增加、时间的推移变得越来越庞大。当Mo
最近在更新github文件的时候,突然说不让更新了,让我很是困惑,原因是在2021年8月13号之后,github已经不让直接使用账号名密码来登录了,必须使用personal access token。今天给大家讲解一下怎么对这个token进行缓存。
Gitea 是一个开源社区驱动的轻量级代码托管解决方案,后端采用 Go 编写,采用 MIT 许可证.
BeyondTrust公司(连续4年Gartner特权访问管理象限之领导者)的首席技术官和首席信息安全官Morey Haber(莫雷·哈伯),与人合著,一口气写了三本书:
软件环境:Jenkins + Kubernetes + Git + Maven + Harbor
Cliam是一款针对云端安全的测试工具,在该工具的帮助下,广大研究人员可以轻松枚举目标云端环境的IAM权限。当前版本的Cliam支持下列云端环境:AWS、Azure、GCP和Oracle。
紧接AWS简单搭建使用EKS一,eks集群简单搭建完成。需要搭建有状态服务必然就用到了storageclass 存储类,这里用ebs记录以下
关于Cliam Cliam是一款针对云端安全的测试工具,在该工具的帮助下,广大研究人员可以轻松枚举目标云端环境的IAM权限。当前版本的Cliam支持下列云端环境:AWS、Azure、GCP和Oracle。 Cliam同时也是一个云端权限识别工具,该工具是一个命令行接口工具,不仅可以枚举目标云环境的特定权限,而且还可以检测云服务提供商的服务或资源子集。 工具安装 广大研究人员可以直接访问项目的【Releases页面】下载最新版本的Cliam(开发版,非稳定版)。 或者,也可以使用下列命令将该项目源码克
领取专属 10元无门槛券
手把手带您无忧上云