云计算
-
信封加密如何避免敏感配置明文落代码仓库，有哪些方法？
敏感配置项交给信封加密处理，是当前防范代码仓库明文泄露最实用的安全手段，其核心思路是用少量主密钥保护海量数据密钥，从根源上平衡安全性与运维成本，为什么“改配置文件后缀”救不了你的密钥很多团队处理敏感配置的第一步,是修改文件扩展名、删除线上日志、甚至大范围重置密码，这些动作往往只能带来短暂的心理安慰，改后缀不等于……
-
运维操作全程录屏能还原事故吗，事故复盘怎么做？
直接把运维操作的全程录屏当作默认操作纪律去执行，是事故还原和定责时成本最低、证据力最强的手段，这不是给机器加负担，是给未来的自己留退路，很多故障复盘时扯皮，根源不是技术不行，而是过程不可见，录屏能让每一步操作都有据可查，这才是真正的运维安全感，为什么说录屏是事故还原的第一现场故障发生的那一刻,聊天记录会断章取义……
-
对外文件下载如何防恶意扫描盗刷，WAF防护配置方案有哪些？
对外文件下载场景的防护核心，是用WAF的频率控制加深度访问规则，把自动扫描和批量下载盗刷挡在源站之外，很多企业把文件放在服务器上,配了CDN就以为万事大吉，直到月底账单出来，发现流量费翻了十几倍，技术一查日志，全是陌生IP在循环请求 /download/xxx.zip，路径从1猜到9999，文件被原样拖走，这就……
-
核心服务如何开启DDoS流量清洗？什么是流量清洗？
当业务遭遇大流量攻击时，核心服务的正确应对方式不是被动扛住，而是主动将攻击流量引流至DDoS高防清洗节点，只把干净流量回源到服务器，从而保证业务连续性和数据安全，为什么核心服务必须单独开启DDoS流量清洗很多企业的第一反应是给整个机房或整台服务器加防护，但这样做有两个明显问题，一是成本过高，全量防护意味着所有业……
-
主机弱口令如何通过基线检查定期发现，怎么整改？
主机弱口令的整改不能靠一次突击，必须通过基线检查定期发现、闭环处置，才能把风险压到可接受范围，弱口令是服务器失陷最常见的入口，定期基线检查相当于给主机做“体检”，把每一次暴露出的弱密码、默认账户、过期口令批量捞出来，再按标准修掉，这场拉锯战没有终点，但有了固定节奏,攻击者就很难钻空子，为什么主机弱口令总在基线检……
-
数据库放私有子网如何收紧安全组，最佳实践是什么？
把数据库放进私有子网再配合安全组收紧入站，是目前云上数据库安全组配置里最具性价比的防护手段，能挡住绝大多数来自公网的扫描和暴力破解流量，很多团队在云上跑业务,习惯性地把数据库和其他资源一股脑丢进同一个子网，然后图省事给安全组配个对所有人开放的入站策略，这等于把数据库密码贴在门把手上，下面这套配置思路，能帮你用最……
-
等保测评前如何自查访问控制与审计留痕，等保测评需要准备什么？
等保测评不是期末考试突击背书，而是日常管理的照妖镜——测评前把访问控制和审计留痕这两块自查到位，通过率能提高一大截，很多单位收到测评通知后才开始慌,翻出旧台账补签字，让运维临时调日志，这种临阵磨枪的做法，测评师一眼就能看穿，系统里的登录时间、操作记录、权限变更日志都是客观存在的，补不出来的东西硬补，反而会留下更……
-
网站没有WAF更容易被拖库吗，怎么防止SQL注入？
没有WAF的网站确实更容易被SQL注入拖库，但SQL注入的根本原因是代码层漏洞，WAF只是拦截攻击的挡箭牌，不是解决问题的全部，很多站长把WAF当成救命稻草，却忽略了一个事实：攻击者能不能打穿你，取决于代码本身经不经得起推敲，这道题需要拆开看，才不至于花钱买安心,最后数据库还是被拖走，网站没WAF会不会被SQL……
-
业务迁移上云时如何规划加密与密钥体系？,云安全防护措施有哪些
业务迁移上云时，必须将加密与密钥体系的规划前置到架构设计阶段，而非迁移完成后的安全补救措施，这是行业共识，云上业务的加密体系，本质上是“数据可用性与安全性的博弈”，如果密钥管理失控，数据加密反而会成为业务连续性的最大风险源，今天这篇内容，不聊底层纯技术原理，只聚焦迁移实操，聊清楚“哪些数据必须加密、密钥体系怎么……
-
堡垒机真能完全防止运维误操作吗？，有哪些风险？
堡垒机拦不住所有误操作，但能把误操作的发生概率和破坏范围压到极低， 它像一道带监控的闸门，管得住人进人出，却管不住有人在院子里故意踩坏花盆——除非你提前把花盆围起来，堡垒机怎么防止运维误操作——先看它的能力边界很多团队上了堡垒机之后，默认生产环境就安全了，这个认知在相当一部分事故复盘里站不住脚，堡垒机的核心职能……
