Questions tagged «security»

安全不是产品，而是过程。

6
OpenID容易破解吗？还是我缺少什么？
对于那些允许用户指定OpenID提供商（OP）的依赖方（RP），在我看来，比任何知道或猜测您的OpenID的人都可以 输入自己的OP地址。 让它验证他们是否拥有您的OpenID。 在RP上访问您的帐户。 RP“可以”采取措施以防止这种情况，只允许原始OP验证OpenID，但是... 你怎么知道他们呢？ 如果不更改OpenID，就永远无法更改OP。
14
如何在不使保修失效的情况下销毁故障硬盘上的数据？
假设我有一个硬盘，我不想将其数据公开给第三方。该磁盘的保修期仍然持续。现在，磁盘开始出现故障。 我不能在发生故障的磁盘上使用磁盘擦除程序-只是行不通。如果我在磁盘上执行任何破坏性操作-对其进行刻录，打开并刮擦，粉碎，或者类似的操作-零售商将拒绝更换磁盘，并说破坏性操作使保修无效。 如何在不使保修失效的情况下销毁故障磁盘上的敏感数据？
10
核心系统服务器是否应该能够连接到Internet进行维护/支持？
我们的两台服务器具有Oracle维护许可证。我们的硬件供应商询问服务器机房中是否存在Internet连接。我们的政策是出于安全原因，该房间中的所有计算机都与Internet隔离。但是维护人员问道：“那我们将如何在您的服务器上进行维护工作？” 我的问题是，我们的服务器是否需要互联网连接才能像许可证验证系统那样进行维护。还是可以离线进行？如果我们的生产服务器有互联网连接，这本身就没有风险吗？
4
如何管理Web服务器的SSL私钥保护（密码与无密码）？
我们公司的安全小组中有一个讨论，涉及以下管理SSL私钥的选项的不良后果。 Web服务器需要访问私钥以进行加密操作。此文件应受到保护，以防止未经授权的访问。同时，服务器应自动启动，而无需人工干预（如果足够安全的话）。 我们正在讨论三种选择： 使用文件系统权限保护密钥。 使用受密码保护的密钥，并在每次重新启动时手动输入密钥。 使用受密码保护的密钥，并将密钥存储在文件系统中以自动重启。 我们关注的问题如下： 使用选项1，重新启动是自动进行的，但是折衷方案可以复制私钥，并且不受保护，可以用来解密通信或模拟我们的服务器。 选项2似乎更安全，但是它需要人工干预，如果非工作时间发生，则系统管理员会感到担忧。另外，密码应与多个系统管理员共享，并且您知道共享的机密不再是机密。 选项3具有上述两个选项中的最佳功能，但是如果某人可以访问密钥，也可以访问密码:(，因此似乎一点也不安全。 您如何管理服务器私钥的安全性？还有其他（更安全的）选项吗？
13
不允许人们进入服务器机房的原因
我曾在几家托管公司工作，并看到了关于这方面的两种思想流派 禁止客户进入服务器机房。这种论点基本上是在提高安全性（通常提供此新闻报道是因为只有您知道人民，安全性才是好的原因）和隐私，而如果您为他们提供本地终端则足够好。 因为人们需要访问他们的机器，所以允许客户进入服务器机房，这是一个很好的展示。 是否有任何理由（例如法律，法规遵从性等）禁止您进入服务器机房？
9
用户密码使用期限/复杂度策略
有没有人有任何资源为我的用户确定合理的密码策略？我个人的想法是提高密码的复杂性，并允许他们较少地更改密码，这是一种折衷。与5或10年前相比，我的普通用户似乎对某些数字和特殊字符的混合具有更高的容忍度。 我正在寻找经验法则和/或资源，以用于支持我提出的策略更改。甚至还有经验丰富的人的轶事信息。 （我距离安全专家还很远，因此，如果只是要模糊处理，让我们缩小问题范围，仅适用于内部Windows网络密码，尽管我会对人们在VPN和Web方面的工作感兴趣服务政策）
3
同一局域网上可能有重复的MAC地址？
假设某人与我位于同一网络上，并且欺骗了他们的MAC地址以匹配我的： 这可能吗？具有相同MAC地址的两个或多个客户端可以同时在同一网络上并保持一致连接吗？ 如果发生这种情况，如果同一网络上不允许重复的MAC地址，我是否最终将被取消身份验证并被踢出网络？ 如果允许重复的MAC地址，我可能会遇到哪种行为？碰撞，比赛条件等？
2
DNS是否记录私人信息？
假设您想创建一个指向私有位置的子域（也许是数据库的位置，或者您不希望人们尝试SSH进入的计算机的IP地址），因此您添加了一个名为something的DNS记录。像这样： private-AGhR9xJPF4.example.com 除了知道子行程序的确切URI的人之外，这对所有人都“隐藏”吗？或者，是否可以通过某种方式“列出”特定域的所有注册子域？
2
按用户和登录类型过滤安全日志
我被要求找出上周用户何时登录系统。现在，Windows中的审核日志应包含我需要的所有信息。我认为如果我使用特定的AD用户和登录类型2（交互式登录）搜索事件ID 4624（登录成功），它应该可以为我提供所需的信息，但是在我的生命中，我无法弄清楚如何进行实际过滤事件日志以获取此信息。是否可以在“事件查看器”内部使用，还是需要使用外部工具将其解析到此级别？ 我发现http://nerdsknowbest.blogspot.com.au/2013/03/filter-security-event-logs-by-user-in.html，这似乎是我需要的一部分。我稍加修改，只给了我最近7天的价值。以下是我尝试过的XML。 <QueryList> <Query Id="0" Path="Security"> <Select Path="Security">*[System[(EventID=4624) and TimeCreated[timediff(@SystemTime) <= 604800000]]]</Select> <Select Path="Security">*[EventData[Data[@Name='Logon Type']='2']]</Select> <Select Path="Security">*[EventData[Data[@Name='subjectUsername']='Domain\Username']]</Select> </Query> </QueryList> 它只给了我最后7天的时间，但其余的时间都无效。 有人可以协助我吗？ 编辑 感谢Lucky Luke的建议，我一直在进步。以下是我当前的查询，尽管正如我将解释的那样，它不返回任何结果。 <QueryList> <Query Id="0" Path="Security"> <Select Path="Security"> *[System[(EventID='4624')] and System[TimeCreated[timediff(@SystemTime) <= 604800000]] and EventData[Data[@Name='TargetUserName']='john.doe'] and EventData[Data[@Name='LogonType']='2'] ] </Select> </Query> </QueryList> 正如我提到的，它没有返回任何结果，所以我一直在弄弄它。我可以得到它以正确产生结果，直到我在LogonType行中添加为止。在那之后，它不返回任何结果。知道为什么会这样吗？ 编辑2 我将LogonType行更新为以下内容： EventData[Data[@Name='LogonType'] and (Data='2' …
1
电子邮件地址在DNS SOA查找中的重要性是什么？
除了发布负责某个DNS区域的人员的电子邮件地址之外，这真的有真正的重要性吗？ 在我们的BIND配置中，我们放置了一个邮件列表作为负责我们的域的列表，但是我们可以确定这是否是一种好习惯。 该地区是否有任何依赖此电子邮件地址的服务？更糟的是，此字段中的无效电子邮件会危害我们的DNS权限吗？
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.