1 对Kubernetes 的 AWS IAM Authenticator的身份验证利用 在这篇博文将介绍在 AWS IAM Authenticator 中检测到的三个漏洞,所有这些漏洞都是由同一代码行引起的 https://mp.weixin.qq.com/s/PJ5YqSxHttgjKZXVkxqIcQ 2 详细案例教会你如何在AWS中链接漏洞getshell和访问数据 本文为旧金山湾区的OWASP会上演讲,关于在AWS EC2实例中使用错误配置、公开允许的IAM策略和应用程序安全漏洞getshell
在云中确保身份和数据的安全对于很多组织来说是一种挑战,但是最低权限的访问方法会有所帮助。
在这篇文章中,我们将讨论 10 个良好的安全实践,这些实践将使我们能够正确管理我们的 S3 存储桶。
我们想象这么一个IoT应用场景:厂商A使用AWS IoT来开发物联网解决方案,那么A把设备卖给用户的时候,需要使用户能够登入AWS IoT系统来控制其购买的A的设备,也就是说给用户分配适当的权限。下面本文简要概括讨论如何实现这样一个场景。
主要的云提供商提供了广泛的服务,但还远非完美。以下是AWS,Microsoft和Google在2020年应该进行的收购,以巩固其平台。
1、部署好MinIO后,可以在浏览器输入http://127.0.0.1:9001进入到Login画面
在当今环境中,运行时安全至关重要,它通过实时检查来实现安全,而不是将其视为一次性流程。
云开发是一种基于云原生架构的开发方法,它允许开发者构建应用程序,利用云服务的强大功能,如存储、数据库、身份验证和部署,无需管理底层基础架构。本文将深入探讨云开发的关键概念,为您提供一份全面的指南,并提供带有实际代码示例的技巧,以帮助您构建出色的云原生应用。
DisruptOps Inc.成立于2014年,位于密苏里州堪萨斯城,该公司致力于通过为多云基础设施提供自动化的防护来提升云操作的安全性,实现对云基础设施的持续检测和控制。2018年10月,公司获得了由Rally Ventures领投的250万美元的种子轮融资。
安全专家对网络攻击者针对企业云计算环境实施的常见和相关的攻击方法进行了阐述和分析。随着越来越多的企业将业务迁移到云计算环境,寻求攻击的网络犯罪分子也是如此。而了解最新的攻击技术可以帮助企业更好地应对未来的威胁。
Serverless架构是一种现代化的云计算范式,它允许开发者构建应用程序而无需管理服务器基础架构。本文将深入探讨Serverless架构的关键概念,为您提供一份全面的指南,并提供带有实际代码示例的技巧,以帮助您构建出色的无服务器应用。
尽管Kubernetes的采用率持续飙升,但它已成为网络攻击的主要目标。不幸的是,Kubernetes集群很复杂,难以保护。确保您的Kubernetes环境安全需要对威胁基础设施的常见攻击链有深入的理解。
本文介绍了 Square 团队为支持源自 AWS lambda 的服务调用而构建的内容。
据Bleeping Computer 10月19日消息,微软在当天表示,部分客户的敏感信息可能因配置错误的微软服务器而存泄露风险。
在红队操作期间收集域用户的凭据可能导致执行任意代码,持久性和域升级。但是,通过电子邮件存储的信息对组织来说可能是高度敏感的,因此威胁行为者可能会关注电子邮件中的数据。这可以通过向目标用户的邮箱添加规则来实现,该规则将电子邮件转发到攻击者控制的收件箱,或者将邮箱的访问权委托给他们的Exchange帐户。
在云中启用数据和分析可以让您拥有无限的规模和无限的可能性,以更快地获得洞察力并利用数据做出更好的决策。数据湖仓一体越来越受欢迎,因为它为您的所有企业数据提供了一个单一平台,并且可以灵活地运行任何分析和机器学习 (ML) 用例。与云数据湖和云数据仓库相比,云数据湖提供了显着的可扩展性、敏捷性和成本优势。
Windows 凭据管理是操作系统从服务或用户接收凭据并保护该信息以供将来向身份验证目标呈现的过程。对于加入域的计算机,身份验证目标是域控制器。身份验证中使用的凭据是将用户身份与某种形式的真实性证明(例如证书、密码或 PIN)相关联的数字文档。
作为一名防守者,这总是让我感兴趣,因为我想知道一个局外人可以在不接触基础设施或与内部人员接触的情况下学到什么。现在,我最常希望利用此类数据来准备内部知识的集合,我可以将其用作社会工程的基础,或者一旦进入网络,就可以更好地了解我所在的网络。
由于良好的可用性和安全性,单点登录 (SSO) 已被广泛用于在线身份验证。但是,它也引入了单点故障,因为所有服务提供商都完全信任由 SSO 身份提供商创建的用户的身份。在本文中调查了身份帐户不一致威胁,这是一种新的 SSO 漏洞,可导致在线帐户遭到入侵。该漏洞的存在是因为当前的 SSO 系统高度依赖用户的电子邮件地址来绑定具有真实身份的帐户,而忽略了电子邮件地址可能被其他用户重复使用的事实在 SSO 身份验证下,这种不一致允许控制重复使用的电子邮件地址的攻击者在不知道任何凭据(如密码)的情况下接管关联的在线帐户。具体来说,首先对多个云电子邮件提供商的帐户管理策略进行了测量研究,展示了获取以前使用过的电子邮件帐户的可行性。进一步对 100 个使用 Google 商业电子邮件服务和自己的域地址的流行网站进行了系统研究,并证明大多数在线帐户都可以通过利用这种不一致漏洞而受到损害。为了阐明电子邮件在野外重复使用,分析了导致广泛存在的潜在电子邮件地址冲突的常用命名约定,并对美国大学的帐户政策进行了案例研究。最后,为终端用户、服务提供商和身份提供商提出了一些有用的做法,以防止这种身份帐户不一致的威胁。
最近的“AWS re:Inforce 2022”介绍了众多的安全、身份和合规的产品和服务,笔者整理亚马逊相关资料一步一步介绍威胁建模环节该怎么做。
2022年10月20日,微软表示其部分客户的敏感信息被一台可通过互联网访问的配置错误的微软服务器泄露出去。 微软在2022年9月24日接到威胁情报公司SOCRadar的安全研究人员的信息泄露通知后,对这台服务器加强了安全措施。 该公司透露:“这种错误配置导致未经身份验证的人有可能访问与微软和潜在客户之间的来往相对应的一些业务交易数据,比如微软服务的规划或潜在实施和配置。” “我们的调查没有发现有任何迹象表明客户帐户或系统受到了损害。我们已直接通知了受影响的客户。” 据微软声称,泄露的信息包括姓名、电子邮件
但以上的几个方法都需要关注服务器的存储和计算资源,以便随时调整以满足更高的性能,并且高并发的请求也是分时段的,配置了更高性能的服务器在访问量变低的时候也是资源浪费。
Fortify 软件安全研究团队将前沿研究转化为安全情报,为 Fortify 产品组合提供支持,包括 Fortify 静态代码分析器 (SCA) 和 Fortify WebInspect。如今,Fortify 软件安全内容支持 30 种语言的 1,399 个漏洞类别,涵盖超过 100 万个单独的 API。
由于云计算的发展,带来了如对象存储等很多丰富的中间件,应用开发者希望可以不用写后端逻辑,直接把逻辑写在客户端,组合云上的一些服务来完成业务逻辑,FaaS的概念逐渐浮现。
漏洞详情:微软官方发布公告称,其.NET Core 2.1、3.1和5.0版本中存在一个漏洞(CVE-2023-31479),攻击者可以利用该漏洞在受影响的系统上查询、编辑、删除或添加文件(包括重要文件),从而导致系统被入侵的风险。
本文由网友 无名翻译自”https://pentestlab.blog/2019/09/16/microsoft-exchange-privilege-escalation/“
零信任硬币的一面是访问控制和身份管理,硬币的另一面是主机微分段。前者本质上仍是由外到内的方法,而后者则是由内到外的方法。两者虽然都要解决访问问题,但前者是从用户角度来看,而后者则是从应用程序和工作负载的角度来看。
上一节讲到Azure AD的一些基础概念,以及如何运用 Azure AD 包含API资源,Azure AD 是微软提供的云端的身份标识和资源访问服务,帮助员工/用户/管理员访问一些外部资源和内部资源:
使用模拟时,ASP.NET 应用程序可以选择以这些应用程序当前正为之操作的客户的身份执行。通常这样做的原因是为了避免在 ASP.NET 应用程序代码中处理身份验证和授权问题。而您依赖于 Microsoft Internet 信息服务 (IIS) 来验证用户,然后将已通过验证的标记传递给 ASP.NET 应用程序;或者,如果无法验证用户,则传递未经身份验证的标记。不论何种情况,如果启用了“模拟”,则 ASP.NET 应用程序会模拟所收到的任何标记。当前模拟客户的 ASP.NET 应用程序依赖于 NTFS 目录和文件中的设置来允许客户获得访问权限或拒绝其访问。务必将服务器文件空间格式化为 NTFS,以便可以设置访问权限。
目的 本文介绍了一些在保护 IBM Cognos 10 BI 环境时需要考虑的最佳实践和准则。 本文的目标读者是负责设计 IBM Cognos 10 架构和/或开发项目的 IBM Cognos 1
SFTPGo 是一款免费、开源、功能齐全且高度可配置的 SFTP 服务器,具有可选的 HTTP/S、FTP/S 和 WebDAV 支持。
本文分三部分系统介绍如何开发一套在线客服系统聊天源码,该源码基于ThinkPHP,代码完全开源。 首先,我们只使用@auth指令。 其次,我们添加一个带有参数的订阅类型。 第三,我们更新@auth指令和订阅类型。 完整源码:kf.zxkfym.top 1 使用@auth指令并执行身份验证 添加和使用身份验证
0 操作成功完成。 1 函数不正确。 2 系统找不到指定的文件。 3 系统找不到指定的路径。 4 系统无法打开文件。 5 拒绝访问。 6 句柄无效。 7 存储控制块被损坏。 8 存储空间不足,无法处理此命令。 9 存储控制块地址无效。 10 环境不正确。 11 试图加载格式不正确的程序。 12 访问码无效。 13 数据无效。 14 存储空间不足,无法完成此操作。 15 系统找不到指定的驱动器。 16 无法删除目录。 17 系统无法将文件移到不同的驱动器。 18 没有更多文件。 19 介质受写入保护。 20
设备影子服务使用MQTT话题,便于应用和设备之间的通信,下面是相关的MQTT QoS 1话题:
我们知道,对于应用程序的访问而言,身份归因是比较容易的,通常由单点登录(SSO)即可解决;那对于数据的访问,身份归因为何就如此困难呢?
微服务架构的特点是独立服务,这些服务专注于特定的业务功能,并由小型、自包含的团队维护。微服务架构经常用于在 AWS 上开发的 Web 应用程序,这是有充分理由的。它们提供了许多众所周知的好处,例如开发敏捷性、技术自由、有针对性的部署等等。尽管微服务很受欢迎,但许多前端应用程序仍然以单体风格构建。例如,他们有一个与所有后端微服务交互的大型代码库,并由一大群开发人员维护。 图 1. 带有单体前端的微服务后端 什么是微前端? 微前端架构将微服务开发原则引入前端应用程序。在微前端架构中,开发团队独立构建和部署“
介绍 联合身份管理是一种可以在两个或多个信任域之间进行的安排,以允许这些域的用户使用相同的数字身份访问应用程序和服务。这称为联合身份,使用这种解决方案模式称为身份联合。 联合身份管理建立在两个或多个域之间的信任基础之上。例如,信任域可以是合作伙伴组织、业务单位、子公司等。 在当今的任何数字组织中,身份和访问管理 (IAM) 是一项专门的功能,委托给称为身份代理的服务提供商。这是一项专门在多个服务提供商之间代理访问控制的服务,也称为依赖方。联合身份管理是跨组织的两个或多个提供者之间做出的安排。 根据身份代理
攻击者可以通过多种方式获得 Active Directory 中的域管理员权限。这篇文章旨在描述一些当前使用的比较流行的。此处描述的技术“假设破坏”,即攻击者已经在内部系统上站稳脚跟并获得了域用户凭据(也称为后利用)。
整理|燕珊 “这肯定不是第一次因配置错误的服务器而暴露敏感信息,也不会是最后一次。但这是近年来 B2B 领域最大规模的数据泄露事件之一。” 微软安全响应中心在当地时间 10 月 20 日发布公告,针对 19 日网络安全供应商 SOCRadar 通报的数据泄露事件的调查报告,微软承认了关键事实——即由于公有云服务器端点配置错误,可能导致未经身份认证的访问行为,继而泄漏微软和客户之间的某些业务交易数据以及客户的客人信息。但微软同时反驳称,SOCRadar 报告中的数字被刻意夸大。 1 可能涉及 111
虽然 Azure 在某些方面利用 Azure Active Directory,但 Azure AD 角色通常不会直接影响 Azure(或 Azure RBAC)。本文详细介绍了一个已知配置(至少对于那些深入研究过 Azure AD 配置选项的人来说),Azure Active Directory 中的全局管理员(又名公司管理员)可以通过租户选项获得对 Azure 的控制权。这是“按设计”作为“打破玻璃”(紧急)选项,可用于(重新)获得 Azure 管理员权限,如果此类访问权限丢失。 在这篇文章中,我探讨了与此选项相关的危险,它当前是如何配置的(截至 2020 年 5 月)。 这里的关键要点是,如果您不仔细保护和控制全局管理员角色成员资格和关联帐户,您可能会失去对所有 Azure 订阅中托管的系统以及 Office 365 服务数据的积极控制。 注意: 围绕此问题的大部分研究是在 2019 年 8 月至 2019 年 12 月期间进行的,自那时以来,Microsoft 可能已经在功能和/或能力方面进行了更改。
serverless 最流行的应用场景之一是部署和运行带有路由的 Web 服务器。 在本文中,我将向你展示如何在几分钟内启动并运行 AWS Lambda、Amazon API Gateway 和 AWS Amplify。
一直以来,公有云安全是横亘在广大用户面前的一道鸿沟。云安全(Cloud Security)是指用于控制云计算的安全性、合规性和其他使用风险的过程、机制和服务。公有云提供商们都强调安全是其最高优先级工作,动辄就发布上百页的云上安全最佳实践白皮书,举办几百几千人安全大会,发布几十甚至上百个安全服务。但与此同时,用户们对云上安全的担心一直挥之不去。在福布斯(Forbes)2019年的一份报告中,66%的IT从业人员认为安全是他们使用公有云服务最大的担心。Gartner预测到2020年,至少50%的企业用户会在不知情或误操作地将一些IAAS存储服务、网络、应用或API直接暴露到互联网上,而到2023年,至少99%的云上安全问题都是用户的错误引起的。
对于任何计算环境来讲,身份验证是最基本的安全要求。简单来说,用户和服务必须先向系统证明其身份(身份验证),然后才能在授权范围内使用系统功能。身份验证和授权携手并进,以保护系统资源。授权有多种方式处理,从访问控制列表(ACL)到HDFS扩展的ACL,再到使用Ranger的基于角色的访问控制(RBAC)。
将身份验证委托给外部标识提供者。 这可以简化开发、最小化对用户管理的要求,并改善应用程序的用户体验。
Cloudera 集群如何使用Kerberos工件,例如principal、keytab和委派令牌。
K8s集群中包含两类用户:一类是由 K8s管理的 Service Account,另一类是普通用户。
组织将其业务迁移到云端之前,需要了解可能面临的云安全挑战,以及如何应对这些挑战。云安全联盟日前发布的一份名为“令人震惊的云计算的11个最大威胁”的报告,其中详细说明了这些威胁以及确定是谁的责任,并提供了帮助组织实施云计算安全保护的步骤。
根据开放 Web 应用程序安全项目(OWASP),大约三分之二的 Web 应用程序安全漏洞是由不安全的编码实践造成的。这意味着,如果你是一名开发人员,你编写的代码中至少包含一个安全漏洞的可能性很高。
对每个人而言,真正的职责只有一个:找到自我。然后在心中坚守其一生,全心全意,永不停息。所有其它的路都是不完整的,是人的逃避方式,是对大众理想的懦弱回归,是随波逐流,是对内心的恐惧 ——赫尔曼·黑塞《德米安》
领取专属 10元无门槛券
手把手带您无忧上云