文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

Google Workspace全域委派功能的关键安全问题剖析

： 启用了全域委派权限后，恶意内部人员可以冒充Google Workspace域中的用户并使用访问令牌来验证API请求。...如果请求有效并且服务帐户已被授予必要的全域委派权限，则令牌节点将使用访问令牌进行响应，应用程序可以使用此访问令牌在请求的范围限制内跨域访问用户数据； 3、API访问：应用程序在 API 请求中包含访问令牌作为身份认证...下图显示的是全域委派操作流程： 获得全域委派权限后，Google Workspace中的服务账户将能够访问用户数据，并代表用户向Google API发送身份认证请求。...其中，服务帐号密钥日志将显示在GCP日志中，而Google密钥生成和API调用执行日志将显示在Google Workspace日志中。...在下图中，显示了一个Cortex Web接口的XQL查询，该查询可以在GCP审计日志中搜索服务账号的密钥创建行为： 等价的Prisma Cloud RQL语句： 下图显示的是查询服务账号授权日志的XQL

2.3K10

浅谈API安全的应用

API安全风险 API 在开发、部署过程中，不可避免会产生各种安全漏洞，这些漏洞通常存在于通信协议、请求方式、请求参数、响应参数、访问行为等环节，面临外部、内部威胁。...无论是猜测对象属性、浏览其他API端点、阅读文档或在请求有效负载中提供其他对象属性，都是攻击者可以修改权限之外的对象属性。...API安全中在网络安全方面可以重点关注防火墙、负载均衡、反向代理等并使用安全的通信协议(例如https)确保通信中数据安全。 在API安全实践应用中可以遵循以下的一些规则，提高API安全性。...5、确保对 API 密钥使用精细的权限，以避免提供不必要或意外的访问权限。 6、如果你开发的软件有特别复杂的授权要求，请考虑使用标准库，不要重新发明轮子并增加复杂性和维护问题。...安全架构设计有很多的安全设计原则，比如公开设计原则、权限最小化、开放最小化、默认不信任等。所以在API安全设计过程中也可借鉴参考这些安全性原则。

1.5K20
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    EMQX Enterprise 4.4.11 发布：CRLOCSP Stapling、Google Cloud PubSub 集成、预定义 API 密钥

    EMQX 允许配置 CA 的请求端点并定时刷新获取 CRL，而客户端无需维护 CRL，在连接握手时通过 EMQX 即可完成证书有效性验证。...启用 OCSP Stapling 后，EMQX 将自行从 OCSP 服务器查询证书并缓存响应结果，当客户端向 EMQX 发起 SSL 握手请求时，EMQX 将证书的 OCSP 信息随证书链一同发送给客户端...通过文件初始化 API 密钥本次发布提供了 API 密钥初始化能力，允许您在启动 EMQX 前通过特定文件设置密钥对。...预设的密钥可以帮助用户在 EMQX 启动时做一些工作：如运维人员编写运维脚本管理集群状态，开发者导入认证数据到内置数据库中、初始化自定义的配置参数。...修正了 /status API 的响应状态代码 #9210。 在修复之前，它总是返回 200，即使 EMQX 应用程序没有运行。 现在它在这种情况下返回 503。

    3K30

    隐藏云 API 的细节，SQL 让这一切变简单

    如果使用传统的方法，你需要找到每个 API 的编程语言包装器，了解每种 API 的访问模式，然后编写代码来组合结果。在 Steampipe 中，一切都是 SQL。...注意，在查询像 aws_s3_bucket 这样的表时，最好是只请求需要的列。如果你确实需要所有列，那么可以 select * from aws_s3_bucket。...案例研究 B：查找 GCP 漏洞 如果你的端点只存在于 AWS 中，那么示例 3 已经可以很好地解决这个问题。现在，我们加入 GCP（谷歌云平台）。...在 AWS 中，public_ip_address 是 aws_ec2_instance 表 的一个列。在 GCP 中，你需要将查询计算实例的 API 和查询网络地址的 API 的调用结果组合起来。...案例研究 C： 查找多个云平台的漏洞 如果你在 AWS 和 GCP 中都有公共端点，那么你可能希望将到目前为止看到的查询都结合起来。现在你知道该怎么做了。

    5.7K30

    微服务安全

    边缘级授权¶ 在简单的场景中，授权只能发生在边缘级别（API 网关）。API 网关可用于集中执行所有下游微服务的授权，无需为每个单独的服务提供身份验证和访问控制。...当主体调用微服务端点（步骤 3）时，微服务代码通过网络调用调用集中式 PDP，PDP 通过根据访问控制规则和属性评估查询输入来生成访问控制策略决策（步骤 4）。...当主体调用微服务端点（步骤 3）时，微服务代码调用 PDP，PDP 通过根据访问控制规则和属性评估查询输入来生成访问控制策略决策（步骤 4）。基于 PDP 决策微服务强制授权（步骤 5）。...使用由受信任的发行者签名的数据结构¶ 在此模式中，在边缘层的身份验证服务对外部请求进行身份验证后，代表外部实体身份的数据结构（例如，包含的用户 ID、用户角色/组或权限）由受信任的颁发者生成、签名或加密并传播到内部微服务...使用 mTLS 的主要挑战是：密钥配置和信任引导、证书撤销和密钥轮换。 基于令牌¶ 基于令牌的方法适用于应用层。Token 是一个容器，可能包含调用者 ID（微服务 ID）及其权限（范围）。

    2.4K10

    （译）Kubernetes Semaphore：模块化、无侵入的跨集群通信框架

    每个集群都是在各个供应商子网中申请的节点： AWS：10.66.21.0/24 GCP：10.22.20.0/24 私有云：10.88.0.0/24 三个集群的 Pod 网络分配如下： AWS：10.2.0.0...，将一个集群中的服务暴露到另一个集群之中； Semaphore-Policy：负载在跨集群的 Pod 间通信里创建防火墙规则。...它负责生成本地密钥并发现所有远端密钥和端点，并配置与所有远程节点的对等关系。此外，它还负责更新本地路由表，以便通过主机的 WireGuard 接口将所有流量导向远程 Pod 子网。...此处的镜像服务代表的是一个本地服务，其端点处于远端集群。 镜像控制器会在本地集群创建服务，并用远程集群中 Pod 的地址来更新端点列表，最终形成一个 ClusterIP 类型的 Service。...为了让控制器在远程集群中创建所需资源，需要给这个 Daemonset 中的 Pod 加入标签 policy.semaphore.uw.io/name=forwarder。

    1.8K30

    BentoML 关键SSRF漏洞 (CVE-2025-54381) 深度剖析与防护指南

    访问云服务元数据端点，例如：http://169.254.169.254/latest/meta-data/ (AWS)http://metadata.google.internal/ (GCP)访问内部...IP地址段的服务，例如：10.0.0.0/8， 172.16.0.0/12， 192.168.0.0/16通过这些内部和云元数据端点，攻击者可能窃取到：IAM 凭据访问令牌服务密钥内部API信息管理后台面板...DNS解析检查: 在发起请求前，先解析URL中的域名，检查其解析后的IP地址是否属于内网或黑名单范围。...最小权限原则: 运行BentoML服务的进程应使用最小必要的操作系统用户和权限，以限制攻击者通过SSRF漏洞所能造成的影响。...网络隔离: 将运行BentoML应用的服务器部署在严格隔离的网络环境中，通过防火墙策略限制其对外部和内部非必要服务的访问。

    7510

    GCP渗透测试实战指南：从控制项检测到Top 10漏洞

    对于许多组织而言，保护在第三方管理环境中驻留和运行的数据和应用程序是一个主要问题，这使得云安全成为一个重要议题。通过采用稳健的云安全策略并执行例行安全评估，组织可以保护其在云中的数据和应用。...以下是GCP渗透测试期间应优先考虑的4大控制项：访问级别控制入站端口配置存储桶权限日志记录与监控执行GCP渗透测试的最佳工具有几种工具可用于GCP的渗透测试。...弱认证与授权undefined利用方式：GCP应用或API中认证与授权机制实现不安全，导致未授权访问。...不安全的密钥管理undefined利用方式：对敏感数据处理不当，例如在源代码中硬编码密钥或使用不安全的存储，可能导致未授权访问。...GCP应用中的服务端请求伪造（SSRF）undefined利用方式：利用Web应用或API中的漏洞执行未经授权的请求，可能访问敏感的內部资源或元数据。

    7310

    如何保护 Windows RPC 服务器，以及如何不保护。

    保护端点 您使用RpcServerUseProtseqEp API注册 RPC 服务器将侦听的端点 。...它为接口分配一个 SD，当在该接口上进行调用时，调用者的令牌会根据 SD 进行检查，并且只有在检查通过时才授予访问权限。...请注意，由于访问检查过程的怪癖，如果调用者授予任何访问权限，而不是特定访问权限，则 RPC 运行时会授予访问权限。...这意味着谁可以调用 RPC 服务器取决于托管进程注册了哪些其他端点，在本例中是 LSASS。...在lsasrv.dll中设置时，为命名管道定义了一个 SD，该命名管道授予以下用户访问权限： 每个人 NT AUTHORITY\匿名登录 内置\管理员 因此理论上匿名用户可以访问管道，并且在接口定义中没有其他安全检查

    3.9K20

    云环境中的横向移动技术与场景剖析

    ： 在云环境中，存储在主机虚拟块设备中的数据是可访问的，此时就需要使用IAM凭证和云服务提供商API的强大功能和权限来实现了。...修改安全组规则后将允许典型的网络横向移动，与内部部署环境相比，这种方法将更容易在目标云环境中配置网络资源。...GCP：SSH密钥身份验证 在GCP中，串行控制台依赖于SSH密钥身份验证，需要将公共SSH密钥添加到项目或实例元数据中。...主机层包含在云实例中执行的所有操作，而云端层包括在云环境中进行的所有API调用。在我们观察到的每一种技术中，威胁行为者可以利用云API和主机中的操作在云环境和实例之间实现无缝移动。...在云API级别具有足够权限的攻击者威胁行为者可以利用云环境的特征，并利用云API实现横向移动，而使用代理和无代理解决方案则是检测传统技术与基于云的横向移动技术的有效方法。

    1.6K10

    代码测试工具Fortify 最新版本Fortify25.4发布，新增多个人工智能方向的风险类别

    在Fortify发布的最新版本Fortify25.4中，已经可以支持33+ 种语言的 1511 个漏洞类别，涵盖超过 100 万个单独的 API。...9、ABAP1）ABAP SQLFortify25.4版本可以理解 ABAP SQL，以识别与直接嵌入在 ABAP 代码中的 SQL 查询相关的弱点，并跟踪来自数据库的数据。...15、减少误报和其他检测改进1）访问控制：数据库 - 在使用封闭函数的current_user调用者权限的 PL/SQL 应用程序中删除的误报2）Apex 不良做法：未使用命名凭据 – 在未使用推荐的命名凭据的...GCP Terraform 配置错误：备份 GKE 可公开访问GCP Terraform 配置错误：可公开访问的 GKE 备份GCP Terraform 配置错误：备份 GKE 缺少客户管理的加密密钥GCP...Terraform 配置错误：GKE 备份缺少客户管理的加密密钥GCP Terraform 配置错误：不安全的内存存储 Redis 传输GCP Terraform 配置错误：Redis 传输的内存存储不安全以上就是针对

    47710

    BentoML高危SSRF漏洞CVE-2025-54381分析：原理、影响与核心代码

    该漏洞允许攻击者通过构造特定的URL请求，使受影响的BentoML服务端向内部网络或云元数据服务发起未经授权的HTTP请求，可能导致敏感信息（如IAM凭证、服务密钥等）泄露。...云环境凭证窃取： 在AWS、GCP、Azure等云环境中部署的BentoML服务，可能通过访问云供应商特定的元数据端点（如 169.254.169.254, metadata.google.internal...权限提升的跳板： 获取到的内部服务访问权限或云凭证可能被用于进一步攻击，横向移动至更关键的系统。...('/api/predict', methods=['POST'])def predict(): """ BentoML服务API的预测端点。...第二段代码 (Flask app) 展示了漏洞如何通过Web API暴露出来。用户通过向 /api/predict 端点发送POST请求，即可将恶意URL传入系统处理流程。

    11010

    EMQX 多版本发布、新增自定义函数功能

    EMQX 允许配置 CA 的请求端点并定时刷新获取 CRL，而客户端无需维护 CRL，在连接握手时通过 EMQX 即可完成证书有效性验证。...启用 OCSP Stapling 后，EMQX 将自行从 OCSP 服务器查询证书并缓存响应结果，当客户端向 EMQX 发起 SSL 握手请求时，EMQX 将证书的 OCSP 信息随证书链一同发送给客户端...通过文件初始化 API 密钥4.x 版本的另一个新特性是能够通过文件初始化 API 密钥，预设的密钥可以帮助用户在 EMQX 启动时做一些工作：如运维人员编写运维脚本管理集群状态，开发者导入认证数据到内置数据库中...、初始化自定义的配置参数，在之前这些工作必须在启动完成后新建密钥对才能进行。...图片EMQX Kubernetes Operator11 月，自动化部署管理工具 EMQX Kubernetes Operator 进行了如下完善优化：解决了在 v2alpha1 中，当没有发现 sts

    2K60

    NVIDIA AI应用平台NIM开发人员指南

    嵌入端点: 这使开发者能够为给定的输入文本生成文本嵌入。 检索端点: 这使开发者能够根据给定的查询检索相关文档。 排名端点: 这使开发者能够根据给定的查询或提示对段落或文档列表进行排名。...要使用 NIM API，开发者需要获取 API 密钥，可以通过加入 NVIDIA 开发者计划获得。有一个游乐场可以探索模型、提示、参数和响应。...英伟达 AI 企业版平台可以部署在英伟达 DGX、英伟达合作伙伴认证的硬件以及公共云环境（如 AWS、Azure 和 GCP）等系统上。...要访问 NIM API，请从英伟达 GPU 云生成 API 密钥，并使用 docker login 命令对英伟达容器仓库进行身份验证。...容器运行后，您可以使用 curl 命令执行推理请求来验证部署。此外，您可以使用 OpenAI Python API 库向 NIM API 发送请求。

    1.2K10

    聊聊服务的接口认证

    是在进行API调用时，加了一个调用者及其调用行为的指纹信息，以帮助服务端更好的识别用户及其调用行为的合法性。...其直接目的归纳为： （1）明确调用者的身份（确认调用者是谁） （2）明确调用者的调用行为（确认调用者想要做什么） 由此可见，API签名的真正目的是：通过明确调用者的身份，以便控制API的访问权限，从而保护数据的安全性...身份标识 我们都知道，在程序的世界中，很难找到一个稳定且唯一的信息去标识一个调用者，因为调用者本身的信息（如IP、设备等）也是不固定的，所以，标识调用者最好的方法就是服务端统一分配，具体过程大致如下：...若Token信息被窃取后，坏人是可以据此伪造一系列请求进行攻击的 两者的第二大不同在于，密钥信息的使用不同，由此带来使用场景方面的不同 Token方案，有个登录的过程，用户输入一次密钥，换回票据即可；后续请求无需密钥参与...，使用票据即可 API签名方案，每次请求都需要密钥参与，绝不可能每次请求都让用户输入密钥，那么就要求发起方存储密钥；若是js、app等纯前端场景存储密钥会有安全问题 API签名适用于后台对后台，不适用于前后端对接

    47110
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券