腾讯云
开发者社区
文档
建议反馈
控制台
登录/注册
首页
学习
活动
专区
工具
TVP
最新优惠活动
文章/答案/技术大牛
搜索
搜索
关闭
发布
精选内容/技术社群/优惠产品,
尽在小程序
立即前往
文章
问答
视频
沙龙
1
回答
付款被拒绝:风险评分100+
在测试Adyen库/SDK集成时,即使使用,也可以降低付款。 设置和代码是正确的,但风险评分是100或更多。 是否有可能控制/禁用风险规则,以便在不受风险因素影响的情况下测试集成?
浏览 10
提问于2022-11-15
得票数 2
1
回答
谁有权批准风险水平?
、
从对风险管理的基本理解出发,风险登记册记录一个组织的风险、其缓解控制等。谁有权在实施控制之后批准剩余风险等级评级?
浏览 0
提问于2022-10-24
得票数 0
回答已采纳
1
回答
27001,Skype,在线客户关系管理.兼容?
我的公司是B2B,我们的服务包括托管客户用户的数据。 数据保护法律对我们很重要,我们必须仔细遵守这些法律,因为我们的客户正确地要求他们的用户的数据是安全的。 我们考虑获得ISO 27001认证有两个主要原因: 强迫自己遵循有助于我们确保数据安全的规则和方法。 作为销售工具:理论上,如果我们是ISO 27001认证的潜在客户会更容易地信任我们的数据。 因此,有两套信息:客户的用户数据,这是至关重要的安全,和其他数据,如我们的联系人数据库,我们的内部任务和项目计划和日历,销售演示等,到目前为止,我们主要是通过在线工具,如基于网络的客户关系管理,谷歌日历,电子表格,EverNote等。 最后,我的问
浏览 0
提问于2016-12-09
得票数 1
3
回答
基于业务流程的iso 27001:2013风险评估方法
、
我正在为iso 27001:2013编写一个isms实现。迄今为止,无论采用何种风险评估方法,我都使用了基于资产的方法,其中的方法侧重于资产价值评估、威胁、脆弱性和控制实施状态值,以计算与基础资产相关的风险。最近,我遇到了一个基于业务流程的风险评估。我在谷歌上搜索过,发现了很少有帮助的网站,尽管在风险评估方法或相关模板方面找不到任何具体的东西。寻求帮助,提出一个基于流程的方法,用于风险评估,否则任何样本模板将大大提前appreciated.Thanks。
浏览 0
提问于2016-04-06
得票数 2
1
回答
脆弱性管理101
、
、
从Nessus或Qualys看一份典型的漏洞扫描报告,大多数人都感到恐惧、迷茫,基本上问题多于答案。例如,我到底该如何处理所有这些发现?据我所知,漏洞管理过程可以分为四个步骤(不提它与补丁、更改、风险管理的密切关系): 识别漏洞 评估脆弱性 处理漏洞 报告脆弱性 漏洞扫描器评分/风险等级及其如何与您的org. 匹配 虽然扫描仪提供了自己的风险评级和分数,比如CVSS,我想这些在某种程度上有助于告诉组织哪些秃鹫需要立即注意,但它们真的反映了真正的风险吗?我的意思是,漏洞可能取决于上述分数以外的其他一些因素,漏洞扫描器没有智能来判断发现的结果是真是假(在一定程度上,例如与支持的补丁有关的问题),是
浏览 0
提问于2021-03-01
得票数 2
回答已采纳
1
回答
安全机制和技术
我们是否应该定义将使用的安全机制和技术,以便在需求阶段或设计阶段减少安全风险? (例如决定使用S/MIME协议对传输的消息进行加密)
浏览 0
提问于2015-10-26
得票数 -1
1
回答
美国国际标准化组织27001的等价物?
、
我熟悉美国政府的FIPS标准,如FIPS 140、政策和程序,以及SP800-53中列举的安全控制。我对ISO 27001不太熟悉。 ISO 27001预览可以在网上使用,但它只是一个没有有用信息的挑逗者。 什么是美国政府的国际标准化组织或特别出版物相当于国际标准化组织27001?
浏览 0
提问于2015-05-06
得票数 1
2
回答
什么是信息系统的工作,确切地说?
、
我工作的公司(某种程度上是一家初创公司)买不起全职首席信息安全官(CISO)。所以老板要求团队中有安全意识的人一起工作,做一个CISO的工作。我不认为我们会有任何预算。 问题是,我们都有一个与安全有关的背景,知道一些东西,但不知道从哪里开始,也不知道以后去哪里。 我们确实知道我们应该: 记录自己的方法和最佳实践,设定目标 评估我们组织的需求和风险 定义安全策略 应用安全策略 提高整个公司的安全意识 控制政策是否得到遵守 直接向首席执行官汇报(传统上不向首席信息干事报告) 用增长和业务调整政策:回到第2点。 我们需要的是确切的步骤、内容、需要寻找的东西,以及我们可能不会想到的东西。基本上是一个完
浏览 0
提问于2018-06-09
得票数 6
回答已采纳
3
回答
数据中心中终端服务器的值
我正在与至少两个私人数据中心的客户合作。他们没有终端服务器提供对网络设备(交换机、路由器和防火墙)的控制台访问。他们在底层数据网络的基础上建立了网络管理子网.他们已经两次关闭了两个数据中心几个小时,并失去了管理权限。 我认为这是个大问题是错误的吗?难道不是每个数据中心都有带外访问他们的装备吗?我认为他们应该将4G LTE和/或模拟线路w调制解调器接入终端服务器(例如,带有异步网络模块的Cisco路由器和每个设备控制台端口的octa电缆)。 是否有任何其他适当的方法来对网络设备进行带外管理,而不是在每个设备中安装一个带有octa电缆的终端服务器?
浏览 0
提问于2016-09-06
得票数 1
回答已采纳
1
回答
OSSTMM RAV能否成为符合新的ISO 27001:2013和ISO 31000的风险评估方法的基础?
、
、
OSSTMM中RAV的计算作为一种安全度量似乎非常有用,但是,它们是否能够成为符合新的ISO 27001:2013和ISO 31000的风险评估方法的基础? ISO 27001:2013年风险评估要求与ISO 31000相一致,因此我认为我们可以专注于ISO 31000。 国际标准化组织31000建立了以下阶段: 风险识别 风险分析 风险评估 风险处理 我认为OSSTMM测试可以与风险识别(发现、识别和描述风险的过程)相匹配。 风险分析阶段(了解风险性质和确定风险水平的过程)和风险评估(将风险分析结果与风险标准进行比较以确定风险和/或其规模是否可接受或可容忍的过程)可以与攻击面和RAV的计算相
浏览 0
提问于2014-04-28
得票数 6
回答已采纳
1
回答
半虚拟化驱动程序是否存在安全风险?
、
、
下面是我在其他线程(在VM内部运行VM是否是研究病毒等的更安全的方法?)中给出的关于嵌套虚拟化安全性的答案的副本。我想知道我的答案是否正确。我想知道半虚拟化驱动程序是否实际上是一种安全风险,以及SELinux (作为sVirt)是否可以对此做任何事情。 Me:(这是在2012年年中,在对嵌套虚拟化的良好支持之前) 您可以在VM中运行VM,但可能无法使用硬件虚拟化。它仍然可以工作,但是您可能需要使用不同的管理程序(例如: VirtualBox用于第一个VM,VMware用于第二个)。我认为这是不必要和不安全的。RHEL和Fedora (可能还有其他)已经内置了对运行KVM和使用SElinux限制
浏览 0
提问于2014-11-24
得票数 3
回答已采纳
3
回答
如果应用程序容易受到存储的XSS漏洞的攻击,但只有管理员可以将XSS有效负载放入应用程序中。这是一个有效的安全漏洞吗?
、
、
、
web应用程序易受存储的XSS漏洞的攻击,但只有管理员用户有权访问控制台并可以插入数据或XSS负载。除此之外,应用程序不容易受到CSRF和访问控制攻击。 那么它是一个有效的安全漏洞吗?我应该修好这个吗? 提前感谢!
浏览 3
提问于2018-10-11
得票数 2
2
回答
云/网格计算过程控制器
、
、
、
我们有一组大约10-15个windows桌面,用于各种网格计算任务(处理数据、运行优化等),我发现自己经常使用运行的各种网格应用程序的新版本来编写脚本/手动更新每台计算机。 对于这种情况,是否有现成的流程控制器/部署器? 我想要的是让每台计算机运行一个简单的守护进程,它连接到一个服务器应用程序,调度每台计算机。此服务器应用程序需要能够部署要运行的新应用程序,并计划让每个进程运行多长时间/允许我手动终止作业。 我即将编写自己的解决方案,以便结束这种手动更新过程,但我希望有一个预先构建的解决方案。 平台详细信息-运行Windows7 x64 / Windows Server2008 x64的所有计
浏览 0
提问于2011-06-16
得票数 1
回答已采纳
1
回答
脆弱性管理、风险缓解和风险接受
、
、
、
我参与了一个关于内部漏洞管理计划的谈话。一种说法是,管理层一般不愿意承担风险,其目的应该是减轻风险,最好是以修补的形式。 另一方面,也有一些应用程序是脆弱的(其中大多数具有严重和高度严重的级别),它们将在2020年年底前退役。 问题是,没有人愿意为修复漏洞而把钱放在桌面上,因为这些产品或产品将在几个月后退役。 我现在在想,他们是不是已经在某种程度上接受了不提供资金来修复漏洞的风险,或者这更像是一个忽视的例子? 此外,在这种情况下,难道不应该有一个正式的风险管理过程来权衡利用漏洞可能造成的损失和代价吗?
浏览 0
提问于2020-01-14
得票数 1
3
回答
风险评估与风险分析的区别
、
我对风险评估和风险分析之间的区别感到有点困惑。许多人主张在需求阶段进行风险评估,在设计阶段进行风险分析。 你能给我解释一下他们之间的区别吗?
浏览 0
提问于2015-10-24
得票数 1
回答已采纳
1
回答
您对GKE节点和外部负载平衡器之间的通信进行加密吗?
、
、
、
我在GCP中有一个GKE标准部署。我让TLS终止于IAAS托管负载均衡器,由他们的Ingress控制器提供。这些证书是GoogleManagedCertificates。我对通过负载均衡器的流量和集群内的流量没有意见。 但是从负载均衡器到GKE NodePort的流量呢?虽然这种流量在Google网络中,但从技术上讲,这是公共交通。在试图为负载均衡器后面的服务添加(有效)证书时,它模糊了负载均衡器和服务之间的职责。公平地说,有一个防火墙规则允许这2之间的通信。 这里的最佳实践是什么? 保持原样? 为每个公开的k8s服务设置另一轮TLS终端? 有没有一种简单的方法可以让google管理的负载均衡
浏览 0
提问于2023-01-14
得票数 1
回答已采纳
1
回答
网络复原力评分
、
什么是对网络复原力的良好评估?我设想了一些类似于不同主题的分数,例如: 数据保护:高风险 恶意软件防御:中等风险 应用程序/系统生命周期:无风险 脆弱性管理:外部风险 等。 如果风险评估是子类别的结果,如: 1.1备份到位? 1.2防止数据泄漏? 1.3评估控制是否有效? 或 2.1到处都安装了抗病毒? 2.2最新的抗病毒定义? 2.3已禁用Office宏? 我的问题是:这样的评估有什么标准吗?我看了ISO 27k系列,法国ANSSI,德国BSI或OWASP项目,但我找不到这样的度量。这些文件似乎不够技术性,不足以界定可衡量的清单。 例如,非常有用的文档http://www.ssi.gouv.
浏览 0
提问于2019-05-29
得票数 0
回答已采纳
1
回答
如何使用预先存在的威胁目录来确定某个系统是否易受攻击?
、
、
、
有许多风险评估准则,如risk 800-30和ISO 27005,提供了已知威胁的目录作为参考。使用定性方法,我选择了一个威胁事件目录,并试图选择适用于我的用例的威胁。 据我所知,通过研究系统设计规范,我可以编写一份可能影响系统的威胁列表。但是,我想在我的方法中更加确定,并且说系统是否易受我编译的威胁的影响。 我的方法是查看当前部署在系统上的安全控制,通过分析这些控制,我可以说“系统易受X、Y和Z威胁”。我知道我对我的问题有了某种回答,但也许有一种更有方法/有条理的方法?如果有已知威胁的列表,我如何确定系统是否易受攻击? PS:我更感兴趣的是定性的方法,我知道一个漏洞工具可以让生活变得更容易。
浏览 0
提问于2021-10-27
得票数 0
1
回答
在哪里可以获得AWS用户所做工作的活动日志?
、
、
、
、
我对AWS相当陌生,对IAM完全陌生。我已经设置了一些用户帐户和组。 我还没有看到的是用户操作日志。如果从控制台创建、重新引导、停止或删除EC2实例,我想知道哪个用户发出了该命令。
浏览 0
提问于2019-08-08
得票数 3
回答已采纳
1
回答
IAM - AWS中角色认同的目的
、
、
在对Linux进行管理的前提下,我们创建用户、组等标识,并将策略分配给组标识。我们不考虑角色认同。 在AWS云中,除了创建用户和组标识之外, 我们还创建角色标识,并使用权限策略来确定该标识在AWS中可以和不能做什么。 角色可以是服务角色(EC2->S3)或简单角色。 在AWS中,角色标识实现了哪些用户&组标识没有实现?
浏览 5
提问于2018-12-10
得票数 2
回答已采纳
2
回答
可移植程序能被利用来窃取信息吗?
我工作的敏感信息,有明确的控制什么可以和不能公开。虽然我不是IT安全人员,但我相信我发现了一个漏洞。当我在学校使用计算机实验室的时候,我做的一件事就是把可移植的程序下载到usb驱动器上,这样我就可以使用我想要的程序,而不用担心管理权限的问题了。我相信这些程序可以在我工作的电脑上下载和操作。 这些程序不构成风险吗?假设这样的程序可以在计算机上安装和操作,难道内部人士就不能随意窃取或操纵信息吗?这类程序是否内在地导致程序以“正常”方式安装的触发器呢?
浏览 0
提问于2012-09-19
得票数 3
1
回答
重新认证用户以访问敏感操作和数据是个好主意吗?
、
、
在web应用程序中,有几个页面中有感兴趣的数据和操作,如访问控制或用户管理页面。重新认证用户以访问这些页面是个好主意吗?如果是,是否应该对每个访问重新进行身份验证,或者是否足以在会话结束前重新验证一次。对此有什么规定吗?
浏览 0
提问于2020-08-12
得票数 0
回答已采纳
1
回答
对于仅可由管理员写入的路径,在防病毒软件中添加异常是否存在风险?
有时防病毒管理员不希望为防病毒软件添加任何例外情况。我的问题是,添加权限正确配置为只允许管理员读写的路径的风险是什么。 在这种情况下,我认为如果您已经在该路径中找到了恶意软件、可执行文件或文件,那么您就已经拥有了。
浏览 0
提问于2019-04-01
得票数 3
回答已采纳
1
回答
本地管理员没有权限在db2中创建数据库
、
、
我有一个新的标准安装DB2 11.5的Windows 2016。根据文档,我需要拥有SYSADM或SYSCTRL来创建一个新的数据库。 "sysadm_group -系统管理权限组名称配置参数“的文档声明。 SYSADM权限由特定操作环境中使用的安全设施确定。 对于Windows操作系统,可以将此参数设置为本地或域组。组名称必须遵守SQL和XML限制中指定的长度限制。如果为sysadm_group数据库管理器配置参数指定"NULL“,则下列用户具有SYSADM权限: 本地管理员组的成员 如果没有将DB2_GRP_LOOKUP设置或设置为域,则域控制器上的Administrato
浏览 0
提问于2021-01-08
得票数 0
1
回答
如何找出是谁创建了aws云监视警报/指标?
、
、
、
如何找出IAM用户创建的特定指标和警报? 我尝试了CLI命令:describe-alarms和list-metrics,它们似乎没有提供这些信息,在查看AWS控制台中警报和指标的配置时也是如此。
浏览 2
提问于2018-08-09
得票数 1
回答已采纳
2
回答
本地MTA,即使有可靠的远程MTA也是如此
、
我曾与我们的开发团队讨论过在应用程序服务器上安装本地MTA,或者他们是否应该使用位于内部网络上的MTA服务器来发送电子邮件。这两种解决方案各有利弊。 优点:发送电子邮件的程序可以将其传递到本地MTA,并忘记传递、重试或可能出现的任何错误。 缺点:发送电子邮件的用户可能会在很晚的时候才被告知发送邮件有问题。如果远程服务器不可用,程序可以立即检测到。缺点:安全。必须对本地MTA进行充分配置,以确保服务器的安全性缺点:过程中的额外一层复杂性。 在我看来,我们应该保持简单。我们不是在谈论一个与MTA服务器对话的程序,MTA服务器不是由我们控制的,并且我们不知道它的状态。在我看来,有一个本地的MTA是必
浏览 13
提问于2012-07-07
得票数 3
回答已采纳
6
回答
备份是纠正控制还是预防性控制?
、
、
这是个理论问题。有预防控制和纠正控制。那么,备份是纠正控制还是预防性控制?有复杂的答案和复杂的解释。(CISA考试)
浏览 0
提问于2018-05-24
得票数 3
4
回答
Debian -来自当前管理员的安全系统
、
我是一个拥有近500名用户的组织的网络和系统管理员。我们有许多Windows服务器,这当然是我的专长。 我们还有一小部分Debian服务器。 我们即将终止这些Debian系统的sysadmin。 除了关闭系统之外,我想知道如何确保以前的管理员在未来不会控制这些系统,至少在我们雇用替代linux系统管理员之前是这样的。 我对每个系统都有物理/虚拟控制台访问权限,因此我可以在各种用户模式下重新启动它们。我只是不知道该怎么办。 请假定我目前没有对所有这些系统的根访问权限(这是我现在认识到的一个疏忽)。 我有一些Linux方面的经验,每天都在桌面上使用,但我必须承认,我是linux的合格用户,而不是系
浏览 0
提问于2010-04-01
得票数 6
回答已采纳
2
回答
创建独立的技术和业务版本控制系统
我公司的一个常见问题是版本控制。我们遵循一个格式非常类似于语义版本控制的版本控制系统(但不是定义上的)。我们当前的版本控制不仅用于开发,而且还用于发布说明、广告等的营销/销售。通常,对于版本控制应该是什么存在冲突。开发团队定义的重大更改(非向后兼容的api更改)通常不被市场认为是“重大”更改。其他时候,市场营销将推动增加专业,因为他们是一个重要的客户工作流程变化,但从开发的角度来看,变化是非常微不足道的(通常只是一个应用程序代码补丁)。 我正大力推动将我们的版本控制分为两个不同的系统,一个业务版本控制系统和一个技术版本控制系统。这将使两个团队都可以定义自己的版本控制规则,以满足自己的需求。虽然
浏览 0
提问于2017-10-17
得票数 4
回答已采纳
2
回答
软件质量风险管理?
、
、
所有在软件行业工作的人都知道,风险管理也是软件质量的重要组成部分。即使对非IT行业来说,风险管理也同样重要,因为风险可能会对成本、质量、交付、人员和其他方面产生很大影响。 但是当我读到这个话题(因为我已经搜索了很多这个),我无法满足自己的信息。关于这个话题,我有一些问题和疑问。 有些链接说风险管理应该是测试计划的一部分,而有些则强调在项目计划中包含风险,我认为在两个地方写相同的风险并在两个不同的地点追踪它们是不正确的。那么,哪个计划实际上应该包含风险管理,还是应该是一个完全独立的文档? 在风险管理期间,我多次听说过“减轻风险和风险应急计划”这个术语。 什么是真正的风险缓解和应急(很少的例子将真
浏览 0
提问于2015-07-18
得票数 2
回答已采纳
2
回答
我的主机必须控制DNS吗?
、
、
我的托管公司需要控制DNS吗?或者,DNS可以停留在注册服务器上,只指向我的IP吗? 有什么好处吗?
浏览 0
提问于2013-01-04
得票数 0
2
回答
与使用单独的硬件身份验证器相比,所有“智能”in的风险权衡是什么?
、
、
、
、
在现在的许多组织中,员工In是非常多功能的。它们可发挥以下作用: 视觉识别验证。(包括员工照片、姓名、身份证号码和面部其他细节) 大楼入口控制。(通过RFID、prox卡、条形码、磁条或智能芯片) 计算机访问控制。(智能芯片) 加密和数字签名证书存储。(智能芯片) 所有这些功能都可以方便地打包成一张卡,没有比普通信用卡更大或更厚的功能。但是,如果将后两种职能分开,对某些人来说可能更实用。也许他们可以使用一个徽章作为他们的可视ID和构建访问控制,而另一个徽章(或其他硬件认证器)用于证书存储和计算机访问控制,而不是一个完全统一的解决方案。 这两者之间的风险权衡是什么?
浏览 0
提问于2012-05-02
得票数 5
回答已采纳
1
回答
web应用程序第三方JS依赖漏洞管理
、
、
、
作为一名安全工程师,我想知道web应用程序第三方JS依赖漏洞管理的通用方法。我们有很多应用程序依赖Jquery等,在常规的漏洞扫描中,旧版本的JS库(其中很多版本都有XSS )报告为漏洞。如果没有真正的阅读和理解代码,你就不能说你的应用程序是否会受到那些XSS的影响,这对一个安全工程师来说也不是一件容易的事情。然而,更新版本(希望没有指定的XSS CVE s)也不容易,因为它需要其他团队在应用程序上进行新的开发和QA-UX测试。我相信这是一个常见的问题。那么,什么是行业标准(由谷歌、苹果、微软等大公司应用)。 我们有这样的情况:我们将问题归类为漏洞,而不提供实际的XSS攻击。然而,由于努力,开
浏览 0
提问于2021-03-01
得票数 2
1
回答
用于控制身份保护策略的图形API
、
、
我正在寻找Graph API终结点以查看和管理Azure AD身份保护策略。我已经设法处理了条件访问策略。但是仍然想知道是否可以使用Graph API来控制登录风险策略和用户风险策略。如果有人能对此有所了解,我将不胜感激。
浏览 38
提问于2020-07-28
得票数 0
1
回答
用于管理和非管理帐户的Restful设计
如何为管理和非管理帐户设计api面临的问题。我遵循MVC模式,控制器将映射到uri。 编造情景: 让我说,我有一个系统,允许用户赎回礼物后,他们花了钱购买商品和收集积分。 我的系统有一个用户配置文件,礼物,和赎回表。每个用户可以赎回多个礼物,每一个礼物可以被许多用户赎回。(赎回是连接表)。 要访问用户配置文件,uri将如下所示: GET /user/0001 赎回一份礼物 POST /user/0001/redeem {"amount":1, "address":"old address"} 到目前为止,一切看起来都很好,很整洁。现在,当赎回需要
浏览 3
提问于2014-12-26
得票数 0
2
回答
默认帐户关闭,停止,同步-仍然传送?
、
、
我想知道Unix和Linux发行版是否(如果是的话)是否仍然带有默认帐户关闭、暂停和同步。特别是(来自红帽的文件), sync:x:5:0:sync:/sbin:/bin/sync shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown halt:x:7:0:halt:/sbin:/sbin/halt 从历史的角度来看,设置这些帐户是为了让您可以使用这些帐户的凭据登录到物理控制台(传统上它们使用的是空密码,所以您只需要输入用户名),并在不需要提供根密码的情况下正确关闭系统。 对于桌面工作站来说,这可能是有用的,但对于服务器系统来说,这是有问题的。我不记得曾经有
浏览 0
提问于2016-04-22
得票数 3
8
回答
分析项目风险的最佳方法是什么?
有没有一种万无一失的方法来消除项目中涉及的所有风险?根据你工作的项目类型(例如:网站,客户端/服务器...),它是否会有所不同?
浏览 1
提问于2008-11-02
得票数 2
回答已采纳
1
回答
为什么我们使用SELinux策略,因为它与其他控件(例如Linux名称空间、K8S/Container )重叠?
、
在容器/Kubernetes环境中学习SELinux策略时,我意识到还有其他层的控件与SELinux重叠。 在这些情况下,我可以通过使用SELinux? 获得什么附加值? 例子如下: SELinux将标签应用于主机上的容器和对象(主机这里是指运行容器的底层主机),以允许或拒绝两者之间的操作(例如读/写)。但是,除非我们专门挂载本地卷,否则容器使用Linux,容器将看到不同的文件系统布局(假设这是生产中的大多数情况)。如果容器不需要访问主机文件系统中的对象,这不是徒劳无功吗? SELinux缺乏对网络控件和Linux功能的控制。维护粒度SELinux策略也很繁琐,因此建议我们使用Udica作为扩
浏览 0
提问于2022-08-24
得票数 1
回答已采纳
1
回答
说服同事,代表用户重置密码是危险的。
、
我们有一个web应用程序,它要求用户使用用户名和密码登录。我们为用户提供了密码重置功能,它或多或少成功地遵循了特洛伊亨特( Troy )在这篇文章中概述的指导方针,除了一个主要的例外,我们还有一个薄弱的链接: 我们有一个管理门户,其功能是生成一个临时密码,并在屏幕上显示给admin,但有一项理解是,这是通过电话读出的,而不是电子邮件。为了明确起见,管理员还可以代表用户请求密码重置电子邮件(并发送到用户的注册电子邮件),但这是从未使用的。 我们有很多不太懂计算机的用户,他们中的一些人很难自己创建/重置密码(尽管在用户输入新密码之前,密码要求是明确的)。为了使他们的工作更容易,我们的人已经开始使用
浏览 0
提问于2018-01-05
得票数 3
回答已采纳
1
回答
角7呼叫Azure索引服务
、
、
我试图运行一个索引器,我在Azure从一个web应用程序创建的角度。我找到了文档。但是,每当我试图根据这个文档运行索引器时,就会被CORS阻塞。下面是在我的service.ts中调用索引器的代码 public async runIndex(){ const httpHeaders = new HttpHeaders({ 'api-key': "api-key's value here", 'Accept': 'application/json'
浏览 0
提问于2019-07-29
得票数 0
回答已采纳
1
回答
拆分知识总是需要双重控制的实现吗?
、
也许是我误会了什么。 双重控制: 不同的经营者为影响改变而采取的行动。 分裂知识: 影响更改所需的信息在不同的操作符之间被分割。 如果我有分裂的知识,我必须有至少两个操作员。 因此,我必须让不同的操作人员采取行动,使用信息ergo双重控制。 因此,如果这是正确的:分裂的知识总是被认为比双重控制更安全吗?
浏览 0
提问于2019-06-07
得票数 0
1
回答
迪尔伯特的尖发老板&影响信息安全的执行视角
、
、
在斯科特·亚当的漫画“迪尔伯特”中,头发尖的老板没有名字,因为斯科特·亚当想让他的读者把老板的角色和读者所知道的老板联系起来。 之所以指出这一点,是因为(不幸的是)许多信息安全专业人士经常会遇到来自高管管理层的天真态度,就像迪尔伯特(Dilbert)的尖头老板展示的那样--比如: 在去年的财政年度里,我们没有网络安全漏洞。你为什么建议我们在网络安全上花更多的钱?既然似乎没有威胁,难道就没有把资金从网络安全转移出去的空间吗? 这种逻辑就像“银行多年没被抢过,所以不需要保安!” 我发现至少有一种策略可以影响这样的态度:强调投资回报(ROI)的风险总是比接受风险的第一步要小。“一盎司的预防胜过一磅的
浏览 0
提问于2016-12-26
得票数 0
3
回答
渗透测试是否可以被视为漏洞管理计划的一部分?
渗透测试是否可以被视为详尽的漏洞管理计划的一部分?P.S:我明白渗透测试和漏洞评估之间的区别。但我想知道两者是否都属于漏洞管理的保护伞?
浏览 0
提问于2013-05-01
得票数 5
回答已采纳
2
回答
的POC
、
、
我是银行的技术人员,我的工作范围主要是ETL和报告。我们刚刚在我的部门建立了ETL团队,我们希望有一些工具可以帮助我们进行源代码控制和发布管理。我在市场上知道的工具之一是TFS。 我将要求TFS供应商向我们提供POC,而且由于我对TFS的了解非常有限,我希望从您的人员那里得到一些建议,我应该向我们询问供应商演示的是什么类型的POC,是否有一套突出TFS 2010功能的场景想法?非常感谢
浏览 11
提问于2015-12-04
得票数 1
回答已采纳
2
回答
系统管理员可以(或者应该)在向用户发送登录信息之前对登录进行测试吗?
、
我是一个新的大学学习管理系统( LMS )的低级别系统管理员. ( LMS是教授用来发布教学大纲、课堂讲稿、作业、成绩、公告等的平台。) 我没有权力建立新的帐户,也没有任何人在我们的分校校园。 由于新生被我们学校录取,我们把创建帐户的请求发送到主校区。 帐户创建过程有一个怪癖。假设我们请求开设10个新账户,但其中两个学生已经在主校区选修了课程。我们将得到10个帐户的列表,这些帐户看起来都是新创建的,每个帐户都有指定的密码。这八个新帐户将按预期执行;然而,已经存在的帐户将列出一个新密码,但此密码将无法工作(系统不会覆盖用户已经更改的密码)。 此外,我们没有办法检查和查看用户是否已经存在于主校区,
浏览 0
提问于2019-07-16
得票数 1
1
回答
在家里工作多年后开始一份新工作。如何最好地保护工作场所的数据、秘密和隐私?
、
、
经过多年在家工作,我才刚开始面试新的电脑工作。 在家里,我感到非常安全,我如何保护自己免受数据丢失和保持我的秘密安全。我用一个月四美元的CrashPlan备份我们的两台电脑,除了我的编程项目之外,我还使用Bitbucket单独备份我电脑上的每一件重要的东西。这包括Firefox,XYplorer设置,崇高文本设置,我的网站,一些个人文档,以及大量其他应用程序的小规模配置设置)。 最重要的是,考虑到像(前) CryptoLocker和(当前) CryptoWall这样的恶意软件的恐怖,除了在实际备份过程中之外,这些脱机备份并不连接到我的计算机。我不使用Dropbox进行任何事情,除了短期文件转移
浏览 0
提问于2015-01-11
得票数 0
3
回答
为什么卡夫卡集群需要一个控制器,而它已经使用了动物园管理员?
一个Kafka集群有一个控制器节点和一个动物园管理员集群,它们都有自己的职责集。当我们已经拥有动物园管理员时,控制器的要求是什么?例如:控制器选择由动物园管理员执行,分区领导人选举由控制器完成。为什么Kafka在已经掌握了哪些分区位于哪些节点上以及哪些节点实际处于活动状态的信息时,也不使用进行分区领袖选举。 总之,尽管动物园管理员在场,我仍在努力理解管理员的要求。如果有人能解释这种设计选择的原因和优势,那将是非常有帮助的。
浏览 2
提问于2019-11-07
得票数 1
2
回答
为什么不存在实用的风险分析教程?
简单地说,当有人想要学习攻击性网络应用程序(或系统)黑客时,可以下载OWASP DVWA或注册到Hackthebox,并观看Ippsec视频,看看“如何走路”。这是非常具体和实际的(没有理论界)。 但风险分析(例如: ISO 27005、NIST SP 800-30、EBIOS等)怎么办?我在互联网上看到的唯一一件事就是关于这些方法为什么如此伟大等的大量理论论文。没有实际的用例显示它是如何在更具体的情况下应用的。 我知道在互联网上发布你的组织风险分析结果可能不是个好主意,但是我们(初学者)应该怎么做呢? 您知道我应该从哪里开始或研究IT安全风险分析的更实际的概述吗?
浏览 0
提问于2021-05-16
得票数 1
1
回答
Omnipay / Paypal无帐户接收付款
、
、
我需要通过我的网站上的PayPal收到付款,并已使用Omnipay (PayPal_Express)来实现它。 我也希望我的用户可以选择使用他们的信用卡支付,而不必创建paypal帐户。在沙箱中,这非常有效(用户可以选择登录或输入信用卡详细信息)。当我切换到生活,唯一的选择是登录或创建一个帐户。 在paypal网站上接受无帐户支付的设置设置为on solutionType被设置为“唯一” landingPage设置为“计费” 我的商业账户来自奥地利,有一个经过验证的银行账户(但没有信用卡)。 有人知道我能做什么吗?
浏览 2
提问于2015-07-13
得票数 0
回答已采纳
1
回答
“安全需求工程”、“风险分析”和“威胁建模”之间的联系
、
、
我试图弄清楚上述概念是如何结合在一起的。据我所知,安全需求工程(SRE)、风险分析(RA)和威胁建模(TM)是最终允许信息系统更接近预期安全目标的方法(CIA Triad、IAS Octave等)。 我的问题是,它们是可以彼此独立执行的不相交的概念,还是存在某种层次结构? 我是否错误地说,SRE是一个包罗万象的过程,它可以包含RA,而RA反过来又可以使用TM来确定威胁? 有没有人对SRE的基本原理和它包含的概念有很好的来源?
浏览 0
提问于2015-05-16
得票数 4
扫码
添加站长 进交流群
领取专属
10元无门槛券
手把手带您无忧上云
相关
资讯
供应链风险控制管理的三个步骤
Gartner视角看安全与风险管理
百融云创模型管理平台控制缓释潜在模型风险
项目管理中的进度与成本控制
人工智能:风险治理与应急管理变革
热门
标签
更多标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
活动推荐
运营活动
广告
关闭
领券