- 综合排序
- 最热优先
- 最新优先
- 来自专栏顶象技术业务安全专栏
11月业务安全月报
11月业务安全月报 | 台湾2300万人信息泄露；黑客两分钟即可破解安卓锁屏；乌克兰”IT军团“入侵俄罗斯中央银行导语：随着数字化的深入普及，业务愈加开放互联。 企业的关键数据、用户信息、基础设施、运营过程等均处于边界模糊且日益开放的环境中，涉及利益流和高附加值的业务面临多样的安全隐患，随时可能遭遇损失，进而影响企业运营和发展。 为了让大家更全面的了解网络安全的风险，顶象自7月起将针对每月值得关注的安全技术 和事件，包括业务安全、内容安全、移动安全等进行盘点总结。 全国首个《信息安全技术关键信息基础设施安全保护要求》发布11月7日，市场监管总局标准技术司、中央网信办网络安全协调局、公安部网络安全保卫局在京联合召开《信息安全技术 关键信息基础设施安全保护要求》（GB 该安全漏洞的影响十分广泛，几乎所有未更新2022年11月补丁的，运行 Android 10、11、12 、13 版本的手机都受到影响。
77550编辑于 2022-12-02 - 来自专栏我的安全视界观
【业务安全】业务安全之另类隐患
在漏洞回归的时候，也会发现新的隐患； 一条短短的验证码，可能酿成一场事故； 业务安全之另类隐患，希望和大家分享鲜有人说的点点滴滴。 1、系统登录处暴力破解 ---- 1.1 回归漏洞 某业务系统在修复安全问题，并进行部分功能调整后进行安全提测，内容如下： ? 接收到提测邮件后，安全测试人员首先对已知漏洞在测试环境进行验证。 但事已至此，吃一堑需要长一智，在痛苦的经历中学习提高，关于对业务可能造成高风险危害的操作尽量少做或不做： 漏洞扫描、漏洞利用等高危操作，尽量做到事先告知业务方 安全测试前先评估影响范围，尽量确保对业务和用户无影响 2.4 深刻体悟 业务方面的安全隐患，可能不仅仅是由于业务逻辑造成，其他不规范的操作也起到一定的助攻成分。 业务相关的漏洞修复，推动改起来甚至比web漏洞更加难，因为产品要考虑友好度和便捷性。 不过也可以找到其他次之的修复方案，在安全和业务之间找到平衡点，让安全真正的为业务保驾护航。
96730发布于 2018-10-08 - 来自专栏全栈程序员必看
业务安全（逻辑漏洞）
文章目录 业务安全 概述 黑客攻击的目标 业务安全测试流程 测试准备 业务调研 业务建模 业务流程梳理 业务风险点的识别 开展测试 撰写报告 业务数据安全 商品支付金额篡改 前端JS 限制绕过验证 （只注重实现功能而忽略了在用户使用过程中个人的行为对Web 应用程序的业务逻辑功能的安全性影响 )、开发代码频繁迭代导致这些平台业务逻辑层面的安全风险层出不穷（业务逻辑漏洞主要是开发人员业务流程设计的缺陷 另一方面，如今的业务系统对于传统安全漏洞防护的技术和设备越来越成熟，基于传统漏洞入侵也变得越来越困难，增加了黑客攻击的成本。而业务逻辑漏洞可以逃逸各种安全防护，迄今为止没有很好的解决办法。 业务风险点识别应主要关注以下安全风险内容： 业务环节存在的安全风险 业务环节存在的安全风险指的是业务使用者可见的业务存在的安全风险，如注册、登录和密码找回等身份认证环节，是否存在完善的验证码机制、数据一致性校验机制 业务环节间存在的安全风险 业务环节间存在的安全风险，如系统业务流程是否存在乱序，导致某个业务环节可绕过、回退 或某个业务请求可以无限重放。
1.5K20编辑于 2022-09-06 - 来自专栏安全攻防
企业业务安全思考
企业业务安全业务安全的目的在于，让业务正常开展，持续提供预期的服务。业务安全工作，是围绕着业务构建一系列安全风控的制度、工作流、系统、工具、风控规则、运营体系。 业务安全模型：图片其中，业务安全问题应该是薅羊毛问题、爬虫问题、黑灰产问题、坏账问题、水军问题、刷单问题等。比如电商平台的刷单，在电商平台之前，刷单不会成为业务安全问题，刷单这个行为也不会出现。 企业业务安全案例私服魔兽世界因源代码泄露，导致魔兽私服的产生。其根源是数据信息安全方面的问题。但是魔兽私服，直接导致玩家流失，直接造成业务安全问题，修复数据安全问题无法解决这个业务安全问题。 然后分析出来的具体问题及实现措施，可能落到其他安全方面，也可能落到非安全领域。应用安全等方面出现问题，都会对业务造成影响。业务出现问题了，其根源可能不是业务安全问题。 存在业务安全问题，其他安全方面都很好，业务一定会出现问题。总结1、业务安全是新的词，不是新的需求。2、业务安全问题的根源，在业务设计产品设计。3、业务安全没有通用方法论，是紧密围绕业务的。
60641编辑于 2023-08-25 - 来自专栏腾讯云安全专家服务
业务安全(1)-天御内容安全
一、前言 此系列将写一个系列给大家介绍腾讯云上的业务安全产品，希望加深大家对于腾讯业务安全产品的了解和熟悉，使用。 随着互联网业务的发展，各行各业都涉及业务安全问题： 金融中涉及的主要业务安全问题包括账号安全、资金安全、洗钱、骗贷、老赖逾期问题、金融黑中介、薅羊毛等； 社交中面临的主要业务安全问题包括账号安全（盗号、 业务安全是一个不断对抗的过程，腾讯业务安全是基于腾讯20年黑灰产的对抗经验和领先技术打造而成的标准化风控模型，目前已在金融、电商、政务等多个行业落地应用，并覆盖金融领域超过80%的标杆客户。 11、4.0接口图片Biztype字段是否客户可以自己设定？ 八、服务保证指标SLA 8.1 内容安全服务承诺99.9%的业务可用性。 （1）业务可用性 = 图片内容安全服务周期内业务可用时间 / 图片内容安全服务周期内服务总时间。
6.3K130发布于 2020-11-03 - 来自专栏Bypass
业务逻辑安全思路总结
在电商的业务场景里，我们最应该注意哪些安全问题呢？ 想到这，发现挺有意思的，于是我重新去梳理了一下业务逻辑方面的内容，总结了一张关于业务逻辑安全的思维导图，在整理的过程中，自己的思路也越加清晰。 ---- 01、防前端绕过 前端校验增加用户体验，后端校验才能保障接口安全性。 漏洞案例：支付计价的逻辑写在前端，后端没有做数据校验，从而导致0元支付逻辑漏洞。 04、防流程绕过 业务逻辑拆分需考虑风险，防止用户绕过某些节点，执行后面的流程。 漏洞案例：积分兑换的场景，将积分扣减和兑换拆分为两个接口，攻击者可直接执行兑换，不执行积分扣减。 06、防高并发攻击 防范业务端的条件竞争，一般的方法是设置锁。 漏洞案例：利用高并发请求抢占时间，从而绕过积分限制实现多次抽奖。
1K30编辑于 2022-12-01 - 来自专栏天存信息的专栏
WEB安全新玩法 业务安全动态加固平台
但是，Web 应用的业务功能日益丰富、在线交易活动愈加频繁，新的安全问题也随之呈现：基于 Web 应用所承载的交易特性，某些利用其业务逻辑设计缺陷来构造的针对具体业务的攻击逐渐成为主流，我们称之为业务层攻击 以传统的应用层安全来讲，这种自动化的模拟完全遵循正常的业务逻辑，提交的业务数据也都是合规数据，因此并未呈现出任何安全问题。 四、修补漏洞代价大 业务安全漏洞的修复，并非通过加入一两段验证代码就能达到目的，往往需要修改业务处理流程，甚至很有可能在修补一个已知漏洞时，带来更多新的漏洞。 基于主体概念，业务安全动态加固平台可以统计访问行为，做出持续的裁决。 因此，在这种解决方案下，Web 安全产生了一种新玩法，即：安全测试人员在发现漏洞后，利用业务安全动态加固平台现场写出修复代码来供开发人员参考，并且在开发人员修复代码之前，可以通过测试人员编写的虚拟补丁来及时地和非侵入式地缓解或解决已发现的业务安全问题
65410发布于 2021-06-22 - 来自专栏Albert陈凯
2018-11-07 Drools业务逻辑框架
展示了包含一些业务逻辑的 Java 典型应用。 对业务伙伴的技术人员来说都够复杂的了，更不要说检查。我们可以有系统的测试这些业务逻辑吗？ 很用应用都有相似的业务规则－－当其中的一个规则改变，我们能保证这一改变可贯穿整个系统？ 在提供良好复用性、可配置性、以及安全性的同时，没有一个能替代（解决）以上的“spaghetti 代码”范例出现的问题。 这种理想框架应该允许我们这样做： 业务用户应该可以方便的阅读和校验业务逻辑。 业务规则应该可被复用，并可以通过程序进行配置。 testOfferLow.setStockQuantity(1000); testOfferHigh.setStockName("XYZ"); testOfferHigh.setStockPrice(11
1.4K30发布于 2018-12-07 - 来自专栏我的安全视界观
【漏洞赏析】安全业务那些洞
{初衷} 很早之前的某一个月，初步完成了运维安全方面漏洞的总结； 后来实战时思路短缺，恰巧看到业务安全漏洞挖掘归纳总结。 此文章主要是持续记录归纳、总结、实践业务相关漏洞（逻辑漏洞）， 正好可以改变渗透测试时、参加众测禁止使用扫描器时的无思绪窘态。 {思路} 关于业务安全那些洞，想说的太多，但是能说出来的却很少。 因为刚开始做业务安全不久，视角、眼光、积淀还远远不够，所以只好把以前的“业务逻辑测试评估”以prezi的形式分享。 <1>挖掘方法 1）浏览网页，查看业务流程 众所周知的渗透第一步是信息搜集，其实挖逻辑漏洞第一步也是如此。倚着柔软的椅子，听着喜欢的节奏，手握鼠标轻快地在目标系统上来回滑动，系统功能映入眼帘。 大佬可能看一眼就知道这个场景可能、或许存在一些安全漏洞，抓个包仔细想想就可能知道参数的来龙去脉以及哪一个参数最重要。逻辑漏洞就是靠思路 >>> 工具，难怪有人会说BURP在手天下我有。
1K90发布于 2018-06-12 - 来自专栏FreeBuf
业务安全架构思维
关于架构的理解有很多人会有误区，认为架构是一个很大的整体框架，像安全架构就是综合所有安全设备的一个框架，其实并不是这样，架构是为了设计系统的元件如何划分、元件之间如何发生相互作用，以及系统中逻辑的、物理的 同时由于业务需要大量调度与查数据库，为避免大量查询语句影响数据库性能，引入redis进行数据缓存来减轻数据库的压力。 这是整体业务的架构思维，那么下面重点来讲一下围绕业务架构思维展开的安全架构思维。 首先明确一点，安全是离不开业务的，任何安全点的设计都应该充分考虑业务。 由于业务都是使用代码实现的，代码审计是必须的安全点，那么在安全架构设计思维初期，首先就要考虑代码审计。 在保证了外部的相对安全后，要考虑内部的相对安全，加密传输无疑是比较大众和方便的一种手段。 同样内部安全永远离不开运维监控的支持，只用做好协同，才能保证相对稳定与安全的服务器环境，而安全、稳定、高效、灵活，才是业务架构的根本所在。
94820发布于 2020-02-20 - 来自专栏全栈程序员必看
Web安全之业务逻辑漏洞
业务逻辑 不同的项目有不同的功能，不同的功能需要不同的代码实现，实现这些核心功能的代码就叫业务逻辑。 业务逻辑漏洞 业务逻辑漏洞是指由于程序逻辑不严谨或逻辑太复杂，导致一些逻辑分支不能正常处理或处理错误。 常见的业务逻辑漏洞 业务逻辑漏洞挖掘过程 确定业务流程—>寻找流程中可以被操控的环节—>分析可被操控环节中可能产生的逻辑问题—>尝试修改参数触发逻辑问题 业务逻辑漏洞 1.URL跳转漏洞 1.1 5.3.修复方法 1.基础安全架构，完善用户权限体系。 2.鉴权，服务端对请求的数据和当前用户身份做校验； 3.不要直接使用对象的实名或关键字。 4.对于可控参数进行严格的检查与过滤！
2.3K20编辑于 2022-09-05 - 来自专栏从ORACLE起航，领略精彩的IT技术。
Oracle 11g 安全加固
1.安全加固的检查方向 2.安全加固检查safeCheck.sh 3.安全加固执行safeExec.sh 1.安全加固的检查方向 1.1.sysdba用户远程登录限制（查看Oracle登录认证方式 ，可以考虑删除scott账号 1.6.dba权限账户检查 select * from dba_role_privs where granted_role='DBA'; 1.7.数据库账户口令加密存储 11g 在$ORACLE_HOME/network/admin/sqlnet.ora中设置下面参数： SQLNET.EXPIRE_TIME=10 2.安全加固检查safeCheck.sh #! prompt =========================== prompt == 7.数据库账户口令加密存储 prompt =========================== prompt 11g =============== prompt 执行创建安全性校验函数的脚本 @?
68041编辑于 2023-08-24 - 来自专栏Android 开发者
聚焦 Android 11 : 隐私和安全
Android 安全工程主管 Sudhi Herle 上期 #11WeeksOfAndroid 系列文章中内容我们介绍了 联系人和身份，本期我们将聚焦 隐私和安全 。 Android 11 也持续在这些领域取得重要进展，本文中我们将分享有关 Android 隐私和安全的一系列更新和资源。 但首先，让我们快速浏览一下 Android 11 中那些最为重要的更新，用以保护用户隐私并提高平台的安全性。 Android 11 将为用户提供对敏感权限的更多控制权。 而 Android 11 为其添加了新的模块，同时保持了现有模块的安全属性。例如，可提供密码学原语的 Conscrypt 模块，在 Android 11 中同样能够通过 FIPS 验证。 感谢各位开发者在我们不断提高隐私性和安全性的过程中所展现的灵活变通能力，以及提供的有效反馈。您可以访问 Android 11 Beta 版开发者网站，了解更多功能。
1.7K30发布于 2020-10-16 - 来自专栏C/C++基础
腾讯业务安全岗 IDP 谈话总结
1.简单回顾 入司将近 6 个多月，从对安全业务的懵懂，到现在独立负责加好友和天御系统，中途遇到了很多问题，在 bear、otis、dongdong 和同事的指导和帮助下，克服和解决问题后，对业务安全工作有了更深入的理解 记忆犹新，接手加好友安全运营业务后，遇到了coati总被骚扰的case。初遇case，手足无措。 8 月份接触天御系统之后，发现之前负责的加好友业务是我安全工作的冰山一角，承接线上几百个大大小小业务的天御系统，交接到我的手中，责任与压力并重，在感受到压力的同时，也感受到团队对我的信任。 2.运营与技术并重 业务安全的工作，起初并不理解，在经过近半年的切身投入后，发现与业务直接关联的工作，是繁杂、琐碎，也是挑战与责任并重的事。 剥丝抽茧，站在更高的维度，使用技术压制恶意，如AI，在准确率与覆盖寻求平衡，才能让自己抽身于繁杂无尽、白热化的安全业务对抗。 奋战在业务安全工作的一线同学，每一个人都要独挡一面，每一个人都是主力。
56740编辑于 2022-09-19 - 来自专栏DevOps时代的专栏
业务安全-DevSecOps 的催化剂
业务产品在做到基础安全的同时还做好了业务安全，最终有利于业务部门，有利于老板。 有利于开发测试和运维部门，安全人员怎么给他们提供服务呢？ 3.1 业务安全 业务安全是指保护业务系统免受安全威胁的措施和手段，广义的业务安全还包括像IT系统的软硬件平台、操作系统、数据库、中间件，还有业务系统本身的软件设备，还有业务系统的那些服务。 3.2 业务安全的催化作用 3.2.1 安全地满足业务功能需求 最早对于安全来说只会想到软件安全，可能说软件安全仅仅限于代码扫描、漏洞补丁，使用的框架，对于敏捷开发来说功能才是第一位，安全问题等上线了再改 业务安全的催化作用有八大模块：产品描述、产品设计、业务模块，财务模块，业务安全控制模块、基础安全控制模块、清结算模块、产品运营模块。 因为你的业务在不断变化，公司架构肯定也是在不断变化，安全需求变化还是比较频繁的，结合业务来完善基础安全要求，结合业务调整系统构架，同时自动输出开发安全要求、业务安全要求、运维安全要求，这样就真的做好了，
1.1K50发布于 2018-02-02 - 来自专栏DevOps时代的专栏
业务安全与 DevSecOps 的最佳实践
讲师介绍：赵锐，平时负责信息安全工作，主要针对业务风险、信息安全、账户安全、开发安全。 是指保护业务系统免受安全威胁的措施或手段。 广义的业务安全应包括业务运行的软硬件平台（操作系统、数据库等）、业务系统自身（软件或设备）、业务所提供的服务的安全；狭义的业务安全指业务系统自有的软件与服务的安全。 讲师介绍：赵锐，平时负责信息安全工作，主要针对业务风险、信息安全、账户安全、开发安全。 广义的业务安全应包括业务运行的软硬件平台（操作系统、数据库等）、业务系统自身（软件或设备）、业务所提供的服务的安全；狭义的业务安全指业务系统自有的软件与服务的安全。
1.6K20发布于 2018-06-22 - 来自专栏腾讯云开发者社区头条
腾讯云11·11：千亿订单背后的安全“暗战”
这些能力通过多款产品，如业务安全（天御）、主机安全（云镜）、数据安全（数盾）、移动安全（乐固）、账号安全（祝融）、网站与流量安全、内容安全与风控安全，为客户提供安全保障。 本次我们将重点放在电商客户最常遇到的网络安全和业务安全展开介绍。 云外客户通过高防 IP 牵引攻击流量，保护后端业务 客户在腾讯云高防 IP 上配置业务转发规则； 客户将高防 IP 作为业务 IP 对外发布； 所有流量都先经过腾讯高防 IP，再转发到客户真实源站，攻击流量在高防机房被清洗 高防 IP 基于公网 IP 回源，在其他云或 IDC 机房的业务，都可以接入腾讯云高防 IP 的防护 网络安全防御实践 大禹是腾讯云 AI 安全战略的网站安全防御系统，大禹网站高防可抵御 SYN Flood 腾讯云业务安全防御框架深度解析 “羊毛党”双十一刷单流程 “羊毛党”其实早已经从个体行为、小作坊发展成了产业链，他们往往有着明确的分工，已形成几大团伙。下图为电商刷单团队的工作模式和任务分工。
7.1K41发布于 2017-11-13 - 来自专栏腾讯云安全专家服务
业务安全(2)-天御验证码
一、前言 此系列将写一个系列给大家介绍腾讯云上的业务安全产品，希望加深大家对于腾讯业务安全产品的了解和熟悉，使用。 随着互联网业务的发展，各行各业都涉及业务安全问题： 金融中涉及的主要业务安全问题包括账号安全、资金安全、洗钱、骗贷、老赖逾期问题、金融黑中介、薅羊毛等； 社交中面临的主要业务安全问题包括账号安全（盗号、 业务安全是一个不断对抗的过程，腾讯业务安全是基于腾讯20年黑灰产的对抗经验和领先技术打造而成的标准化风控模型，目前已在金融、电商、政务等多个行业落地应用，并覆盖金融领域超过80%的标杆客户。 腾讯云验证码（Captcha）基于十道安全栅栏， 为网页、App、小程序开发者打造立体、全面的人机验证，最大程度地保护注册登录、活动秒杀、点赞发帖、数据保护等各大场景下的业务安全，同时提供更精细化的用户体验 Response": { "CaptchaCode": 15, "CaptchaMsg": "decrypt fail", "EvilLevel": 0, "RequestId": "8c24e853-6c11
3.1K141发布于 2020-12-02 - 来自专栏腾讯安全
腾讯安全黎巍：业务上线之初就要把安全纳入考量
在转战产业互联网的过程中，他们又如何理解国内产业升级过程中企业面临的安全风险与挑战？9月5日至11日，2022年国家网络安全宣传周在全国范围内统一开展，值此期间，南方都市报专访了腾讯安全副总裁黎巍。 图片业务上线之初就要把安全纳入考量南都：在社交网络业务安全、云计算安全领域，近些年面临的安全威胁和以往相比有什么变化？ 整个腾讯安全，最近几年主要聚焦To B的安全，现在也围绕云安全构建整个安全体系，包括基础安全和业务安全，最近几年都在发力。 此外，我们在面向业务场景的安全做了非常多的探索，包括在反欺诈，包括网络和电信安全，各种流量方面的业务安全攻击方面，是我们这几年大力投入和发展的方向。 互联网企业相对传统企业而言，会面临更多来自业务逻辑层面的风险，也叫做“业务安全”，例如羊毛党、黄牛党、违规内容、虚假广告等等，因此互联网企业做安全会更加关注业务发展，安全建设不仅仅是企业的底线，更是决定企业发展的天花板
48020编辑于 2022-09-19 - 来自专栏嘉为动态
微软安全公告—2016年11月
微软于北京时间2016年11月8日发布了14个新的安全公告，其中6个为严重等级，8个为重要等级。 我们推荐您安装所有更新，对于暂时只采用部分更新的用户，我们推荐您首先部署等级为“严重”的安全公告。安全公告每月更新一次，旨在解决严重的漏洞问题。 ---- 2016年11月新的安全漏洞 以下是所有安全公告的内容，供您参考。 公告标识：MS16-129标题Microsoft Edge 累积安全更新程序 (3199057)摘要此安全更新程序修复了 Microsoft Edge 中的漏洞。 ，请以网站上的安全公告内容为准。
1.2K10发布于 2018-12-21
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号