Questions tagged «security»

安全不是产品，而是过程。

2
解决IIS 7.5中的Windows身份验证问题（没有挑战）？
我知道有成千上万的报告表明人们无法使集成Windows身份验证与IIS一起使用，但是它们似乎都导致无法应用的网页或我已经尝试过的解决方案。之前我已经部署了数十个这样的站点，因此服务器/配置发生了一些奇怪的事情，或者我已经看了太久而没有发现明显的问题。 简而言之，一切都可以在我的本地计算机上完美地运行，但是在生产服务器上却分崩离析，据我所知，它具有完全相同的配置。 在本地计算机上： 该计算机正在运行Windows 7 Ultimate，Service Pack 1，IIS 7.5。 已使用IIS和VS Web开发服务器成功测试了该站点。 IIS站点配置禁用了除 Windows身份验证以外的所有身份验证方法。 本地计算机不在任何域上。 提供程序设置为“协商”和“ NTLM”（不是“协商：Kerberos”）。 扩展保护关闭。 经过测试的所有浏览器（IE，Firefox，Chrome）都显示质询提示，并允许我使用我的（本地）Windows帐户登录到localhost域。 所有经过测试的浏览器也都使用不透明的本地IP地址工作-因此，浏览器本身似乎并不在乎该站点是“本地”还是“远程”。 我在网页上添加了一条显示行，该行显示了当前登录的用户，并准确显示了我所期望的状态（无论使用哪个本地用户登录）。 在远程计算机上： 该服务器正在运行Windows Server 2008 R2，IIS 7.5。 加载网页会导致立即出现 401.2错误：由于身份验证标头无效，因此您无权查看此页面。 从未出现挑战提示。 IIS站点配置禁用了除 Windows身份验证以外的所有身份验证方法。 远程计算机不在任何域上。 提供程序设置为“协商”和“ NTLM”（不是“协商：Kerberos”）。 扩展保护关闭。 在远程计算机（远程桌面会话）上，无论域是localhost还是外部IP地址，Internet Explorer中都会出现相同的错误。 如果尝试从本地计算机查看远程网站，则错误仍然是401，但401稍有不同。没有子代码，显示以下文本：由于凭据无效，访问被拒绝。 在Windows身份验证 IIS角色功能的安装。 所述WindowsAuthentication模块是（在服务器级）加入。 如果我关闭Windows身份验证并启用基本身份验证，则会发生完全相同的错误。 如果我关闭Windows身份验证并启用“匿名”（显然），则站点会加载。 我已经按照Microsoft支持上的所有故障排除步骤进行操作：解决IIS中的HTTP 401错误 我已经尝试了另一个Microsoft支持页面上显示的解决方法（可能是强制将NTLM作为唯一方法）。 最后但并非最不重要的一点是，我尝试为401.2错误打开FREB，结果似乎没有告诉我任何有用的信息，我看到的是以下警告： MODULE_SET_RESPONSE_ERROR_STATUS ModuleName IIS …
10
如何跟踪超级用户活动
我想知道在Linux环境下跟踪超级用户活动的最佳方法是什么。 具体来说，我正在寻找以下功能： A）将击键记录到安全的Syslog服务器 B）能够重播shell会话（类似于scriptreplay） C）理想情况下，如果没有物理访问服务器，这应该是不可能（或相当困难）的事情。 在需要允许不同的系统管理员（甚至第三方）在服务器上执行特权操作的环境中，从安全/审核的角度考虑这一点。 每个管理员都将拥有自己的名义帐户，每个交互会话都应完整记录，并在必要时可以重播（例如，如果有人使用mc删除或更改关键文件，则仅此一个而已）知道那个人发出了mc命令；必须有一种方法可以确切地查看启动mc之后执行的操作。 附加说明： 正如womble所指出的那样，最好的选择也许不是让具有root特权的用户登录以在服务器上执行更改，而是通过配置管理系统执行此操作。因此，我们假设没有这样的系统，我们需要在同一服务器上向不同的人授予根级别的访问权限。 我对执行此操作完全不感兴趣：每个具有root特权登录到服务器的人都将完全意识到该会话将被记录（例如，呼叫中心操作员知道他们的对话在正在记录） 没有人会使用通用超级用户帐户（“根”） 我知道ttyrpld，它似乎可以满足我的要求。但是在采用这种方式之前，我想知道是否可以通过使用未修改的内核来解决。我想知道是否有针对Debian（特别是Linux）的工具，这些工具可以对超级用户帐户进行全面审核，而无需修补外壳或内核。
21 linux  security  audit 
7
实时监控传入的SSH会话
是否有任何Linux软件来监视传入的ssh会话。在上一份工作中，我被告知，例如，如果您需要Red Hat的支持，则可以让他们通过SSH进入您的计算机，并可以观察它们的运行情况。 我处于类似的情况下，我想潜入朋友的机器中以帮助他，但我希望他能够观看我为教育目的所做的事情，并确保我不会做任何恶意的事情。 有什么建议么？ 谢谢
15
/ dev / urandom可以替代吗？
已锁定。该问题及其答案被锁定，因为该问题是题外话，但具有历史意义。它目前不接受新的答案或互动。 有没有比/ dev / [u] random更快的方法？有时候，我需要做类似的事情 猫/ dev / urandom> / dev / sdb 随机设备是“太”安全的，不幸的是太慢了。我知道有一些wipe用于安全删除的工具，但我想Linux中也有一些工具。
21 linux  security 
3
自动为AWS Elastic Beanstalk应用安全更新
自最早以来，我就一直是Heroku的粉丝。但是我喜欢AWS Elastic Beanstalk使您可以更好地控制实例的特征这一事实。我最喜欢Heroku的一件事是我可以部署应用程序而不必担心对其进行管理。我假设 Heroku确保及时应用所有操作系统安全更新。我只需要确保我的应用程序安全即可。 我对Beanstalk的初步研究表明，尽管它为您构建和配置了实例，但是此后它又转向了更为手动的管理过程。安全更新不会自动应用于实例。似乎有两个方面值得关注： 新的AMI版本-随着新的AMI版本问世，我们似乎希望运行最新版本（可能是最安全的）。但是我的研究似乎表明，您需要手动启动新的设置以查看最新的AMI版本，然后创建一个新环境以使用该新版本。是否有更好的自动化方法将您的实例转换为新的AMI版本？ 在两个发行版之间，将发布针对软件包的安全更新。似乎我们也要升级它们。我的研究似乎表明人们会安装命令以偶尔运行yum更新。但是由于新实例是根据使用情况创建/销毁的，因此新实例似乎并不总是具有更新（即，从创建实例到第一次执行yum更新之间的时间）。因此，有时您会遇到未打补丁的实例。而且，在应用新的AMI版本之前，您还将不断使实例自我修补。我的另一个担心是，也许这些安全更新没有经过Amazon自己的审查（就像AMI版本一样），并且可能破坏了我的应用程序以自动更新它们。我知道Dreamhost曾经中断了12个小时，因为他们完全自动地应用了debian更新，而没有进行任何审查。我想确保同一件事不会发生在我身上。 所以我的问题是，亚马逊是否提供一种提供像Heroku这样的完全托管PaaS的方式？还是AWS Elastic Beanstalk真的更多只是一个安装脚本，而后您可以自己（除了它们提供的监视和部署工具之外）？
2
/ etc / shells中的nologin是危险的。为什么？
我在Internet上找到了这个，同时在FreeBSD中建立了一个FTP服务器。 将nologin放入/ etc / shells可能会创建后门，这些帐户可用于FTP。 （请参阅：http : //osdir.com/ml/freebsd-questions/2005-12/msg02392.html） 有人可以解释为什么吗？为什么要复制一份nologin并将其放在/ etc / shells中可以解决此问题？
21 security  ftp  shell  login 
13
物理服务器安全
很多时间和专栏讨论了如何保护服务器免受外部攻击。这是完全有效的，因为攻击者使用Internet破坏服务器要比获得物理访问权容易。 但是，一些IT专业人员忽略了物理服务器安全性的重要性。许多（如果不是大多数）最严重的安全破坏都是从组织内部执行的。 您如何保护服务器免受那些不需要访问服务器或服务器机房本身的具有现场访问权限的用户的侵害？ 它是位于小隔间中IT经理办公桌旁边，还是通过电子卡和生物识别功能被锁在几扇门后面？ 一旦有人对服务器进行了物理访问，将采取哪些保护措施阻止或至少记录对他们没有合理需要查看的敏感数据的访问？ 当然，每个组织的情况会有所不同，业务需求和业务需求也会有所不同，但是即使是打印服务器也可以访问正在打印的敏感数据（合同和员工信息），因此，所涉及的内容比乍看之下要多。
2
什么是Rowhammer DRAM错误，我该如何处理？
DRAM芯片包装非常紧密。研究表明，相邻位可以随机翻转。 在带有ECC的服务器级DRAM芯片中随机触发错误的可能性是多少（CMU-Intel论文引用了例如，一年中一次故障的未知芯片的编号为9.4x10 ^ -14）？ 如何在购买内存之前知道该错误是否已解决？ 我该如何应对例如CentOS 7上的租户或非特权用户进行的恶意的特权升级尝试？ 参考文献： 利用行锤DRAM错误，解锁对物理内存的访问 翻转内存中的位而不访问它们：DRAM干扰错误的实验研究 Google的PoC回购 零项目撰写
20 security  memory  ecc  bug 
8
在CentOS或Scientific Linux上自动检查安全更新？
我们有运行基于RedHat的发行版的机器，例如CentOS或Scientific Linux。我们希望系统在安装的软件包中存在任何已知漏洞时自动通知我们。FreeBSD使用ports-mgmt / portaudit端口来做到这一点。 RedHat提供了yum-plugin-security，可以通过其Bugzilla ID，CVE ID或咨询ID 检查漏洞。此外，Fedora最近开始支持yum-plugin-security。我相信这是在Fedora 16中添加的。 截至2011年底， Scientific Linux 6不支持yum-plugin-security。它确实随附/etc/cron.daily/yum-autoupdate，每天都会更新RPM。但是，我不认为这仅处理安全更新。 CentOS不支持yum-plugin-security。 我监视CentOS和Scientific Linux邮件列表中是否有更新，但这很繁琐，我想要可以自动化的东西。 对于那些维护CentOS和SL系统的人来说，有什么工具可以： 我当前的RPM自动（通过cron进行编程）告知我们是否存在漏洞。 （可选）是否自动安装解决安全漏洞所需的最低升级，该升级可能yum update-minimal --security在命令行上？ 我已经考虑过使用yum-plugin-changelog打印每个程序包的变更日志，然后解析某些字符串的输出。是否已有任何工具可以执行此操作？
6
一直不能以管理员身份登录？
在我工作的办公室中，IT人员的其他三名成员始终使用属于域管理员组成员的帐户登录其计算机。 我对使用管理员权限（本地或域）登录非常担心。因此，对于日常的计算机使用，我使用的帐户仅具有常规的用户特权。我也有一个属于Domain admins组的帐户。当我需要执行需要在我的计算机，一台服务器或另一位用户的计算机上提高特权的操作时，可以使用此帐户。 最佳做法是什么？网络管理员是否应该一直以整个网络的权限登录（或者甚至是本地计算机）？
3
.htaccess可疑文件
此问题已从堆栈溢出迁移，因为可以在服务器故障时回答。 迁移 10年前。 这已上传到我的FTP文件夹之一。我不熟悉Apache，但仍然好奇-有人可以告诉我该文件试图提交哪种类型的卑鄙行为？谢谢！ RewriteEngine On RewriteCond %{HTTP_REFERER} .*google.*$ [NC,OR] RewriteCond %{HTTP_REFERER} .*ask.*$ [NC,OR] RewriteCond %{HTTP_REFERER} .*yahoo.*$ [NC,OR] RewriteCond %{HTTP_REFERER} .*excite.*$ [NC,OR] RewriteCond %{HTTP_REFERER} .*altavista.*$ [NC,OR] RewriteCond %{HTTP_REFERER} .*msn.*$ [NC,OR] RewriteCond %{HTTP_REFERER} .*netscape.*$ [NC,OR] RewriteCond %{HTTP_REFERER} .*aol.*$ [NC,OR] RewriteCond %{HTTP_REFERER} .*hotbot.*$ [NC,OR] RewriteCond %{HTTP_REFERER} .*goto.*$ [NC,OR] RewriteCond %{HTTP_REFERER} .*infoseek.*$ [NC,OR] …
5
如何chroot ssh连接？
我想为大多数（不是全部）通过SSH登录的用户设置chroot监狱。我听说过最新版本的openssh是可能的，但是我还没有找到如何做的方法。“如何做”全都在谈论修补旧版本，并且该修补程序不再可用。 我正在运行debian etch。
20 security  ssh  debian  chroot 
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.