- 综合排序
- 最热优先
- 最新优先
- 来自专栏FreeBuf
安全摘记 | 互联网安全小兵的日常
于是，我来到了甲方，成为了一个互联网安全小兵。 在乙方Web安全研究团队的时候，可能更关注于某一方向的安全技术，像一个侠客的角色。 而到了互联网公司，也算甲方了，那么我们安全工程师不光要关注安全技术本身，更重要的是要理解安全和业务的关系，这时候我们要有一个建设者的意识，要思考如何帮助我们的产品更健壮，让我们的业务更健康。 当然，不积跬步无以至千里，作为一个互联网安全小兵，还没上升到安全策略和方案的层次，我的日常还是与一个个漏洞为伴，就分“应急响应中心（SRC）”和“产品安全内测”两部分工作来说几点体会吧~ 一、应急响应中心 想象一下如果电商服务器因为你的测试异常导致宕机5分钟（损失就不说了），这就造成了安全事故。 所以，对于互联网的安全建设者来说，不光要考虑技术，还有纪律！ 而作为互联网公司安全工作者，我们不能光要求小伙伴怎样做，我们自己也应该去践行“安全是产品的一个重要属性”这一理念。
1.1K90发布于 2018-02-08 - 来自专栏曲水流觞TechRill
互联网安全小案例
写过一篇《互联网安全知多少》，内容主要参考了道哥的白帽子一书，本文来篇实际小案例实战下。 跨域请求为什么被浏览器限制？ 当然是因为它有安全漏洞啊！ 跨域的基本知识就说这么多，下面进入安全演练。 /apache/kafka/commit/da42977a004dc0c9d29c8c28f0f0cd2c06b889ef 随后我们在github发现了这个commit，新增对于类名的黑名单判断（当然这个做法与我们之前的安全理论相悖 这个问题归类的话就是安全领域的一个大类“反序列化漏洞”。 结语 安全的内容多如繁星，每次想写的课题一大堆，比如HTTPS安全，渗透，hijack等等。这次先挤这么多，咱们下次再约。
88040发布于 2019-11-05 - 来自专栏FreeBuf
浅谈互联网隐私安全
进入21世纪以来，我国互联网快速发展，尤其是移动互联网进一步推动这种速度，很快我们发现，如今的互联网已经与当初的截然不同，电商购物、地图导航、移动支付、炒股理财、网络约车、政务办公、充值缴费等等，似乎一切都能在互联网上完成 为了保护自身安全，我们用简单粗暴的方法将社会群体划分为“熟人”和“陌生人”，而这两者则对应“安全”和“非安全”两种状态。 为了解决用户记忆门槛，提升安全性，目前很多支付应用都加入指纹支付功能，而这一功能似乎成了目前智能机的标配。 ? 按照支付宝、华为推出的指纹支付标准，指纹支付采用“硬件厂＋服务商”的模式，用户录入的指纹数据将保存在本地的安全硬件中，不会存储到任何服务器和云端。 笔者曾将写的《WinPcap开发（三）：欺骗与攻击》一文也曾分析过这类免费公共wifi的安全隐患，这便是一种不安全链路的类型。 下图是某网站首页上的邮箱地址： ?
4.7K80发布于 2018-02-08 - 来自专栏曲水流觞TechRill
互联网安全知多少
image.png 当今互联网行业，特别是初创公司雨后春笋般，大部分公司对安全的重视、投入或者理解都是不足的。 如此导致，没有事故其乐融融，一旦出事慌慌张张。 最近把道哥的《白帽子讲Web安全》重新翻了翻，挑出一些比较容易被忽视的点给大家也给自己刷新一下#安全#观念。 黑名单是非常不好的设计思想 设计安全方案 -白帽子兵法 1 Secure By Default 原则 设计安全方案的基本原则，中文翻译“默认安全”不太好理解，其实就包含两层含义：白名单/黑名单思想，和最小权限原则 强调字符编码的一致性真的不仅仅是为了看起来/运行起来不乱码而已 Character Encoding Consistency 编码问题 Encoding.png 现而今互联网应用普遍会要求研发环境所有字符编码必须是 CRC.png 结语 互联网安全是个很大的话题，白帽子一书中将其划分成四大部分：世界观安全、客户端脚本安全、服务器端应用安全、公司安全运营（业务安全），身为互联网人， 安全防范， 责无旁贷。
1.2K30发布于 2019-11-05 - 来自专栏陈树义
9、互联网产品用户体验的要素
– 等等….. 2、互联网产品用户体验的五大要素中文版 ? 3、从实际案例看用户体验的设计要素 3.1 战略层（BRD + MRD一部分） 战略层 = 用户需求 + 产品目标 ?
1.7K121发布于 2018-04-13 - 来自专栏IT运维技术圈
详解tomcat 9 安全加固方法
directory="logs"prefix="localhost_access_log" suffix=".txt"pattern="%h %l %u %t "%r" %s %b" /> 9.
2.4K10编辑于 2022-08-18 - 来自专栏ADAS性能优化
Armv9安全新架构
Arm在今年3月份推出了ARmv9.Arm 期望Armv9架构将是未来3000亿颗基于Arm架构芯片的技术先驱，而Armv9架构中，ARM 提供了机密计算Arm Confidential ComputeArchitecture (Arm CCA)的安全新架构。 机密计算通过在硬件支持的安全环境中执行计算来显着降低与处理数据相关的风险，该环境保护代码和数据免受特权软件和硬件代理的观察或修改。 Arm CCA 提供额外的安全架构，即使在使用中也能保护数据和代码，并能够更好地控制谁可以访问数据和算法。 § 非常适合保护在公共云环境和主机操作系统的安全性和完整性难以审核或保证的任何平台中运行的工作负载。
1.2K20编辑于 2022-05-13 - 来自专栏啄木鸟软件测试
安全测试工具（连载9）
4 APP反向编译工具 APP反向编译工具是APP安全领域很重要的工具，本节介绍Dex2jar、和jd-gui。秀一节介绍apktool。
85310发布于 2019-12-12 - 来自专栏人工智能机器学习
互联网金融的信息安全（二）安全需求
未来互联网安全需求的八大方面 01 基于风险的自适应身份认证 基于风险自适应识别和身份认证将受到欢迎，它允许组织基于多因素决定控制级别。 在这过程中既要考虑安全又要考虑功能应用性各方面，其实在这个过程中开发的方法，或者说整个从开发到上线的这一套体系是一方面，更重要的是一个懂安全需求的产品经理站出来告诉研发你要这么做，告诉安全你应该考虑哪一块的风险 06增强客户隐私的安全性 法律和监管机构要求组织加强如何保护客户隐私信息的安全保障措施 07移动设备及BOYD的全局安全 流动性不确定性可丢失性等等这些都是将来移动办公的一个趋势，比如说现在有很多企业做了虚拟化 08供应商第三方的安全管理 控制好用户身份纳入正常管理 互联网IT管理框架 身份识别特别重要，不管是外部用户还是内部用户，还是运维体系、研发体系、整个身份识别控制、人力资源的管理、入职留离职变转岗等等 信息安全在逐渐融入业务时，所有的终端监控是运营部门在做，前端问题是安全部门在关注，企业在面临整个行业生态的威胁。 以上内容参考安全牛课堂《互联网金融的信息安全》
1.5K20发布于 2019-09-23 - 来自专栏嘉为动态
微软安全公告—2016年9月
微软于北京时间2016年9月13日发布了14个新的安全公告，其中7个为严重等级，7个为重要等级。 我们推荐您安装所有更新，对于暂时只采用部分更新的用户，我们推荐您首先部署等级为“严重”的安全公告。安全公告每月更新一次，旨在解决严重的漏洞问题。 ---- 2016年9月新的安全漏洞 以下是所有安全公告的内容，供您参考。 公告标识：MS16-104 ▽标题Internet Explorer 累积安全更新程序 (3183038)摘要此安全更新程序修复了 Internet Explorer 中的漏洞。 ，请以网站上的安全公告内容为准。
1.1K20发布于 2018-12-21 - 来自专栏腾讯研究院的专栏
“互联网+”时代呼唤构建互联网生态安全全局观
4月25日，“互联网+时代的探索与思考——2015腾讯研究院年度报告发布会”在京举办。腾讯研究院安全研究中心在会上发布了“中国互联网行业新安全挑战与治理态势研究报告”。 腾讯研究院首席研究员李凯龙对该报告进行了详细讲解，他重点讲述了我国互联网行业安全面临的“三大威胁”与安全事故的“三大特征”以及应对建议，呼吁互联网行业建立生态安全全局观，从互联网的发展和整体生态系统出发解决互联网安全问题 我国互联网行业安全面临哪些威胁是业界和舆论关注的重点。 在企业治理方面，应构建面向以网络安全为导向的组织架构，互联网企业应打破数据孤岛，以协同机制破解安全困境以技术构建网络安全第一屏障。 在用户网络安全意识教育方面，社会多元力量应相互协同，多层次、全方位推进用户网络安全意识教育工作。政府、互联网企业和用户三方应共同发力，共同构建互联网生态安全全局观。
1.4K60发布于 2018-02-02 - 来自专栏安恒信息
2014年互联网安全年报
安恒信息盘点了2014年发生在全球的热点互联网信息安全事件，以及全年互联网网络漏洞与网站安全分析整理，希望能给我们的国家、机构、组织、企业，还有人民带来安全意识的启发，敲响网络信息安全的警钟。 与此同时，安恒信息协助本次大会安全保障部门全面参与了世界互联网大会网络安全技术支撑工作，在安恒信息的风暴中心，技术人员7*24小时对世界互联网大会的网站进行实时监测，大会主会场的网络安全保障工作也闪现着安恒专家团队的身影 3.2014互联网网络漏洞简析 根据中国国家信息安全漏洞库统计，2014年全年互联网新增各类网络漏洞9118个，其中第一季度新增安全漏洞2018个；第二季度安全漏洞1910个；第三季度安全漏洞2537 研究人员完整扫描了地址空间，截至2014年4月10日2:00 PM，Alexa排名前百万的网站中有32%支持SSL，在支持HTTPS的网站中，9%存在漏洞，31.9%安全的支持OpenSSL TLS Heartbeat 2014年9月25日，国外安全专家发现Linux系统中一个频繁使用的片段“Bash”存在漏洞，影响目前主流的Linux系统。利用该漏洞，黑客可以远程窃取服务器上的信息，并进一步控制服务器。
1.7K50发布于 2018-04-11 - 来自专栏张高兴的博客
如何安全地访问互联网
我们知道 IP 地址是设备在互联网上的唯一标识，而要访问的网站是部署在互联网上的某一台设备中（服务器），那么这台设备会有一个固定的 IP 地址。那么怎么将网址和 IP 地址建立起联系呢？ 前面提到了 HTTP 是一种不加密的协议，数据在网络中是以明文传输的，所以并不安全。 那么如何安全地访问互联网呢？流量识别技术的提高，网络中不断增加的监视节点，导致没有绝对的匿名性️。但是通常可以使用下面的技术提高访问过程中的安全性。 Tor 也不能提供绝对的安全，如果监听者能够同时监测入口和出口节点，对流量进行计时关联也是可能的（如上图的 NSA美国国家安全局）。 安全地访问互联网需要采取适当的措施，例如使用 HTTPS、VPN、代理等技术，但每种技术都有其优势和局限性，切记没有绝对的安全️。
93510编辑于 2025-05-21 - 来自专栏工业科技1
“工业互联网+安全生产”，提升工业企业安全水平
工业生产，安全第一，虽然我们一再强调，但安全事故的发生往往是无法预免的，去年，据应急管理部会商核定，全国共发生各类生产安全事故3.46万起、死亡2.63万人，面对这种情况，国家也发行了相关政策，在《工业互联网专项工作组 2022年工作计划》中指出，要持续深化“工业互联网+安全生产”，构建“工业互联网+安全生产”支撑体系，提升工业企业安全生产水平，那么到底该如何实现呢？ 科技在进步，为了避免生产安全事故的发生，不能仅仅只靠自己的眼睛去排除故障，更要相信科学的数据分析，通过数据来反映设备的具体情况，只有这样才能不放过任何一个细微的毛病，保障生产安全。
72720编辑于 2022-04-21 - 来自专栏小网管的运维之路
互联网运维安全总结
出口安全 不轻易暴露外网ip和服务端口； 使用防火墙和路由器以及云上的NAT网络，只映射web服务、V**，其他暴露服务进行都进行访问控制 web请求服务器时通过CDN 服务既提高静态资源加载速度 ，同时也隐藏了真实的源地址 系统安全 Linux 使用iptables定制白名单策略访问策略 Windows 通过防火墙策略和组策略->ip策略控制服务 Linux系统自带访问控制配置：白名单/etc /hosts.allow、黑名单/etc/hosts.deny 登录审计 堡垒机让线上操作更加谨慎,事后追溯有据可查 安全平台 业务入口安全 web应用防火墙：阿里云waf应用防火墙，nginx 软waf 内网安全自动扫描，白盒监测 监控和预警 监控平台流量异常、登录异常预警 日志平台日志告警 本地安全 物理门禁限制外来人员 网络vlan隔离部门、dhcp snooping信任指定接口dhcp 服务器、固定设备arp双向绑定 内部管理:员工安全意识
1K20发布于 2019-05-31 - 来自专栏【Android开发基础】
互联网信息服务安全评估报告
其他的都好说，这个《互联网信息服务安全评估》是什么鬼啊。然后和腾讯平台客服 （腾讯社区开放平台 qq:800013811）一番沟通。 得知需要去这个网站申请http://www.beian.gov.cn/ 1、安全管理负责人、信息审核人员及安全管理机构设立情况。 2、用户真实身份核验及注册信息留存措施。 （备注：1-6取自互联网信息服务安全评估报告 - 简书，我补充了7）
1.9K10编辑于 2023-02-10 - 来自专栏Timeline Sec
【9期】Timeline精选之安全大杂烩
[+] VMware vCenter 7.0.2.00100 unauth Arbitrary File Read + SSRF + Reflected XSS https://github.com/l0ggg/VMware_vCenter
82620编辑于 2021-12-09 - 来自专栏网络技术联盟站
OSPF技术连载9：OSPF TTL 安全检查
启用OSPF TTL 安全检查 为了抵御TTL攻击，OSPF TTL 安全检查机制应运而生。启用此功能后，OSPF将仅接受TTL为255的数据包，拒绝任何TTL小于配置阈值的数据包。 步骤： 启用OSPF TTL 安全检查 首先，需要在OSPF配置中启用TTL安全检查功能。 验证配置 配置完成后，建议验证OSPF TTL 安全检查是否已正确启用。 4、网络设备不支持OSPF TTL 安全检查 在某些情况下，一些旧的或特殊类型的网络设备可能不支持OSPF TTL 安全检查功能。 解决方案：在启用OSPF TTL 安全检查之前，请确保网络设备支持此功能。如果有设备不支持，可以考虑升级设备固件或寻找其他安全措施。
41330编辑于 2023-09-05 - 来自专栏网络技术联盟站
OSPF技术连载9：OSPF TTL 安全检查
启用OSPF TTL 安全检查为了抵御TTL攻击，OSPF TTL 安全检查机制应运而生。启用此功能后，OSPF将仅接受TTL为255的数据包，拒绝任何TTL小于配置阈值的数据包。 步骤：图片启用OSPF TTL 安全检查首先，需要在OSPF配置中启用TTL安全检查功能。 验证配置配置完成后，建议验证OSPF TTL 安全检查是否已正确启用。 4、网络设备不支持OSPF TTL 安全检查在某些情况下，一些旧的或特殊类型的网络设备可能不支持OSPF TTL 安全检查功能。 解决方案：在启用OSPF TTL 安全检查之前，请确保网络设备支持此功能。如果有设备不支持，可以考虑升级设备固件或寻找其他安全措施。
59631编辑于 2023-07-22 - 来自专栏腾讯云安全的专栏
腾讯安全和滴滴安全联合共建“互联网安全联合实验室”
7月30日，在第五届全球互联网安全领袖峰会（CSS 2019）上，腾讯安全和滴滴安全正式宣布将共建“互联网安全联合实验室”。 腾讯副总裁丁珂表示，希望此次通过成立互联网安全联合实验室，能进一步加强和滴滴在安全能力上的合作，实现行业生态共享，并提升双方在出行行业的互联网安全能力，切实为智慧出行行业解决安全问题，打造出更加适合智慧出行行业的安全解决方案 此次成立网络安全联合实验室，也被认为是腾讯安全和滴滴安全产品技术部在互联网安全领域合作的进一步深化，共同推动智慧出行安全发展。 随着产业互联网时代下新业务、新场景的涌现，腾讯安全通过开放腾讯大数据、安全专家、业务安全等基础安全能力，帮助客户构建全时全域的威胁情报平台和攻防能力，建立一体化智慧安全管理平台。 同时，在基础安全方面，腾讯安全已经推出大禹DDoS防护、网站管家（WAF）、数盾企业数据安全综合治理中心，以及基于业务安全打造的天御风控系统，在泛金融、泛互联网、智慧零售等领域都有非常好的实践和应用。
90520发布于 2019-07-31
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号