腾讯云开发者社区-腾讯云

开发者社区

文档建议反馈控制台

文章/答案/技术大牛

发布

综合排序丨最热优先丨最新优先

【企业安全】企业安全威胁简述

企业面临的威胁可以说是来自四面八方，既有恶意的外部攻击者，也不排除来自内部的安全隐患。往往在不经意间，又可能引入新的安全因素，也有可能在输出产品时给其他企业带来安全风险。大而言之，企业的威胁从个人理解的角度出发，大致可以分为以下几点：输入威胁内部威胁外部威胁输出威胁 ? **** 内部威胁浅析 **** 企业内部威胁主要来自于人，如果细分的话可以从安全意识、相关制度、内网管控等方面进行考量，比如： &内鬼泄露内部机密信息资产&内部人员主动攻击外部其他系统&内部系统沦为肉鸡被动攻击外部其他系统、复杂的多、隐蔽的多，但在面对诸多威胁的时候，应该具备发现问题的眼光并深入下去，找到企业欠缺之处的根源，从源头进行修补。，不如主动求变”，企业的安全建设只有主动将救火阶段慢慢的转到安全建设，才能在遭受外部攻击时稍微淡定一点。

2018-06-12

2.6K2

标签:

【企业安全】企业安全建设需求

## 前言 ## 近来“企业安全”这个话题比较火热，一个人的安全部、甲方安全建设相关文章倍受大家欢迎。 ## 企业安全需求 ## 除了没有被外部黑客攻击造成财产损失外，影响企业难以花费成本在安全建设方面的因素还有很多，比如企业业务还没有到达一定规模、没有相关部门的监管、没有第三方的合作监督等。一次企业安全能力提升”的实质效果。企业的安全能力与相关负责人、安全团队息息相关，究竟是务实还是专心搞政治分心做安全，往往取决于人。这种情况下，业务会主动找到安全人员为其做安全测试、安全评估，这算是企业安全需求中，业务方最主动的一种情形。

2018-06-12

2.1K0

标签:

【企业安全】企业安全架构建设

1 安全组织架构在甲方的安全工作中，重点自然是在企业的安全建设上，但是为了能持续不断的输出，安全队伍的建设变成了不可或缺的一环。成员的能力决定着企业安全的高度，合理的安全队伍配置是整个建设之路上的引擎。很多甲方公司或许并没有专职的安全人员，或许仅有临时工，此类场景常常出现在传统企业、非互联网过渡到互联网的企业中，所以在准备跳槽时对企业的选择需要谨慎。相比专业的安全人员，这无疑在一定程度上限制了企业安全的发展。此外，由于对安全领域的不熟悉，在与上级领导沟通、对安全项目上的投入等方面表现不足，往往也会成为制约企业安全建设的因素。 3 安全工作推动 3.1 领导支持安全工作的推动是一个自上而下的过程，在建设的伊始便是与上层领导沟通，并争取获得必要的支持，具体理由可参照【企业安全：企业安全建设需求】进行分析与汇报。

2018-06-12

3.3K0

标签:

【企业安全】企业安全项目-短信验证码安全

然而，短信验证码安全算是企业安全建设中能马上“止血见效”的突出代表，无论是从企业开销，又或实际有效性，还是用户体验来说，保护好我们的短信相关接口、完善校验逻辑是十分有必要的。 2、风险描述短信任性发，慢性恶意消耗企业费用在做验证码安全改造项目过程中，深刻的领悟到“水滴石穿”的道理，每条短信大约0.03元，目测单价很便宜但整个公司的业务短信量却很庞大，一年下来正常的总花销也是一大笔费用短信验证码失效，又或是业务逻辑背锅短信验证码在对企业造成不良影响的同时，还可能违背设计者的初衷，并未到达预期验证、放刷等功能。其原因主要为：验证码本身与业务逻辑。安全组：发现安全隐患与安全规则的制定者、验证人员以及推广。参与基础服务（短信服务）相关规则的安全测试、制定、验证，与中间件同学推广改造后的相关接口到各业务。通过对底层短信相关接口的改造，足以解决短信验证码中的大多数问题，但在具体的一些业务场景中，可能仍然存在安全漏洞，由此需要安全人员深入各业务线，对短信验证码可能出现的场景进行安全测试，尽可能的完善安全业务逻辑

2018-06-12

4.5K3

标签:

【企业安全】企业安全项目-Github信息泄露专项

1、专项预览在这个安全专项中，主要分为两大块--项目背景（为什么要做？）和防范措施（怎么去做好？），可以通过下面这张图来简要的进行整体预览。 2、总体概况源代码对于企业而言，无疑是最宝贵、密级较高的信息资产之一，其泄露途径有很多种可能：然而github源代码泄露却是企业敏感信息泄露的典型代表，一般而言主要是开发大神们缺乏安全意识所致。在企业的安全建设项目中，防止github信息泄露主要可以从：制定相关制度-->安全意识培训-->技术手段监测-->相关问题处置角度出发，持续进行维护并形成一个完整的闭环。往大处讲，企业的核心产品信息可能遭到竞争对手复制，企业相关系统可能遭受外部攻击；从小处说，企业一些细微之处的敏感信息可能被有心人搜集为后续的攻击准备，比如企业员工邮箱、企业SMTP服务器旧用户名与密码、企业不常见的域名等，大致可以归纳为： 4、防范措施当企业主动或被动发现github信息泄露事件时，需要及时采取相应的措施进行补救&加固。

2018-06-12

2.5K0

标签:

【企业安全】企业安全项目-前端绕过专项整改

这里所指的前端安全，听上去像是关于JS、HTML5等方面的安全，但其实不然，实则是一些关于会员体系方面业务逻辑漏洞的整改。，可以绕过手机验证码设置密码【安全】【高危】忘记密码实现逻辑有问题，当前所有忘记密码操作可以绕过【安全】【高危】APP通过修改服务器响应结果返回到前端，可以绕过验证码【安全】【高危】忘记密码操作绕过图片验证码能获取到敏感信息【安全】【高危】忘记密码流程中敏感信息泄露【安全】【高危】验证码绕过【安全】【中危】忘记密码业务逻辑存在漏洞，导致遍历用户名、email等信息【安全】【中危】注册场景应在验证码校验以后再判断手机号是否被使用【安全】【中危】余额变动短信关闭时可以绕过支付密码校验【安全】【中危】短信验证码及图片验证码绕过漏洞【安全】【中危】绑定手机号可以前端绕过【安全】【中危】签入无防暴力破解机制经过梳理总结出以下存在安全隐患的业务场景 5、总结反思这应该算是一个大家不太愿意推动，但是企业安全建设必经之路的项目。因为它涉及业务底层逻辑，牵一发而动全身，几乎所有业务均需要跟着变动，项目难度较大。

2018-06-12

1.3K0

标签:

【企业安全】企业安全项目-测试环境内网化

经过长时间的风险发掘与分析，企业面临的安全风险已逐渐清晰并有了比较全面的视野。从投入与产出比的角度出发，结合当前正在承受的危害和实施难易程度考虑，可以将前期所规划的安全项目排入实施计划周期并进行推动。 1 总体概况为了减少企业对外资产暴露面，减少外部恶意攻击，首先应将不必要开放到互联网的测试环境进行内网化。在项目推动的过程中，再次证明安全工作的开展离不开各部门的协作支持。 <1>外部白帽子提交漏洞当前公司没有成立SRC，但也鼓励外部白帽子提交相关漏洞，因此在漏洞盒子和补天（注：目前为止漏洞盒子上白帽子更加活跃一点）注册了企业账号，开始从外部接收漏洞。 <3>组织安全接口人召开会议正好以外部白帽提交漏洞为驱动力，召集安全接口人（一般由安全组成员、各业务部门leader组成）开会进行商议并立项。 ? 在对外网开放前，必须提前提安全测试到信息安全组，经过严格安全测试并通过后才能对外网开放。一般而言，需要相关运维同学的配合把好测试环境申请与上线这道关卡。

2018-06-12

1K0

标签:

【企业安全】企业安全系列第 1 部分 — 数据治理

随着各个企业对云的适应程度不断提高，安全性在实施中占据了前列，安全架构团队开始在架构审查委员会中发挥关键作用。不同种类的云——公共云、混合云需要围绕应用程序及其处理的数据制定更严格的规则。那么，安全团队最关心的是什么？是的，数据！那么我们能做些什么让他们不担心呢？实施数据治理。数据治理是企业在整个数据生命周期（收集、存储、处理和删除）中保护数据的一种宗教方法。根据 SABSA —Sherwood 应用业务安全架构，任何企业的数据治理都应广泛解决以下类别： Data Governance categories according to SABSA 对于任何给定的应用程序或实施微信小号【ca_cea】50000人社区，讨论：企业架构，云计算，大数据，数据科学，物联网，人工智能，安全，全栈开发，DevOps，数字化. QQ群【792862318】深度交流企业架构，业务架构，应用架构，数据架构，技术架构，集成架构，安全架构。以及大数据，云计算，物联网，人工智能等各种新兴技术。

架构师研究会

2022-09-26

2.1K0

标签:

企业FRP安全实践

看到的第一反应是无论此事真假，但如果发生在我司，安全部有没有能力去发现？文章核心内容如下：两种常用模式的示例如何提取特征进行安全检测绕过安全检测的思路 1.2 frp简介 frp 是一个专注于内网穿透的高性能的反向代理应用，支持 TCP、UDP、HTTP、HTTPS 可以将内网服务以安全、便捷的方式通过具有公网 IP 节点的中转暴露到公网。为什么使用 frp ？ 3.3 针对于客户端流量分析类安全产品可以根据特征检测。 ? 四、绕过思路 4.1 数据包特征分析传统的流量分析安全设备是根据规则来命中事件类型，那么我们来研究一下数据包有什么特征。也欢迎各位安全同僚拍砖、交流和技术分享！

2021-01-12

2.3K0

标签:

企业域安全设置

企业域安全设置在针对大型企业的域渗透过程会发现，普通域用户无法执行类似于net group "domain admins" /domain 和 net group "domain controllers 这主要是由于目标企业针对域做了安全加固，设置了ACL限制了普通域用户对敏感用户组的查询。首先，这里查看——>高级功能从Users里面找到Domain Admins组，右键——>属性安全——>高级点击添加这里主体我们选择该低权限组，类型选择拒绝，然后确定。应用即可。 Get-Netuser 或者使用adfind进行查询 #查询域管理员组 adfind.exe -f "memberof=CN=Domain admins,CN=Users,DC=xie,DC=com" -dn #查询企业管理员组

2022-01-20

1.9K0

标签: