- 综合排序
- 最热优先
- 最新优先
- 来自专栏云云众生s
4个API安全最佳实践
译自 4 API Security Best Practices，作者 Judith Kahrer。 API 是现代数字解决方案的支柱。因此，API 安全应该成为首要的业务关注点。 如果您考虑以下两个要点，您将为您的 API 安全奠定良好的基础： 使用 API 网关。 使用访问令牌进行授权。 让我详细说明它们的优势，并展示如何发展您的 API 安全。 1. JWT 安全最佳实践 包括以下内容： 始终验证访问令牌。 4. 提升 API 安全性 通过添加 API 网关并使用 OAuth 或 OpenID Connect 基于访问令牌进行授权，您可以缓解许多主要的 API 安全风险。 例如，实施和结合最佳实践模式，例如保护隐私的 幽灵令牌模式 或 令牌处理程序模式，用于基于浏览器的应用程序。您只需要一个 API 网关和访问令牌进行授权即可开始。
1.4K10编辑于 2024-07-15 - 来自专栏我的安全视界观
【基础安全】堡垒机的自动化功能实践4
然而堡垒机申请，只是公司诸多场景中的一个，但是它涉及模块比较多且实现相对复杂，对开发人员有一定的要求，同时需要对微服务架构有一定程度的理解与实践。
68210发布于 2019-04-30 - 来自专栏AI
安全最佳实践
使用我们的免费 Moderation APIOpenAI 的 Moderation API 是免费使用的，可以帮助减少您完成中不安全内容的频率。 通过经过验证的下拉字段允许用户输入（例如，维基百科上的电影列表）可能比允许开放式文本输入更安全。 在可能的情况下，从后端返回经过验证的一组材料的输出可能比返回新生成的内容更安全（例如，将客户查询路由到最匹配的现有客户支持文章，而不是尝试从头回答查询）。 安全性和保障对我们在 OpenAI 的重要性不言而喻。如果在开发过程中您注意到 API 或与 OpenAI 相关的任何其他内容存在任何安全问题或安全问题，请通过我们的协调漏洞披露计划提交这些问题。
51610编辑于 2024-05-12 - 来自专栏FreeBuf
Powershell最佳安全实践
在这篇文章中，我们将跟大家讨论PowerShell的最佳实践方式，而本文的内容将能够帮助你对抗那些使用PowerShell来攻击你的人。 PowerShell是什么? PowerShell安全最佳实践 考虑到某些组织因为需求关系不能禁用或删除PowerShell，下面给出的几条安全实践建议可以帮助你在享受PowerShell的高效性时免受网络威胁的困扰。 4. .2 自定义使用.NET Framework（不涉及到PowerShell.exe的执行） PowerShell脚本混淆 上面列举出的只是其中的一小部分技术，但“记录PowerShell活动”那部分的安全实践建议可以检测其中的绝大部分绕过行为 虽然这种操作可能不适用于某些特殊的企业环境，但相关的网络管理员也应该尽量部署并激活本文所介绍的安全保护技术，并及时更新攻击识别信息。
2.6K100发布于 2018-02-27 - 来自专栏安全乐观主义
GitHub安全最佳实践
写在前面 GitHub安全最佳实践列表 1.不要将凭证作为代码/配置存储在GitHub中。 2.删除文件中的敏感数据和GitHub历史记录 3.限制访问控制 4.增加SECURITY.md文件 5.严格验证GitHub上的第三方应用 6.在PR阶段添加安全性测试 7.选择合适的GitHub来满足安全需求 本文，以安全维度系统介绍了维护仓库安全应该要做的事，可以作为安全组织对标的cheat sheet。 GitHub 安全最佳实践列表 1. 4. 增加 SECURITY.md 文件 对于大多数项目所有者和维护者来说为仓库添加 README.MD 是很自然的，事实上人们也不愿意没有这个描述文件。 同样，添加一个突出显示项目安全相关信息的 SECURITY.md 文件也变得越来越普遍。它不仅为用户提供了他们需要的重要安全信息，而且还迫使维护人员考虑如何处理安全披露、更新和一般的安全实践。
1.4K10发布于 2019-11-20 - 来自专栏木子墨的前端日常
Nginx实践--安全升级
此外，除了安全性方面，使用内网ip进行接口转发也省去了转发中的DNS重新解析的过程，有利于大幅提升接口转发效率。 综上，在proxy_pass转发中我们使用了两种方案来对安全性做一些提升 proxy_pass转发到外网域名，同时在接口服务器上添加访问来源白名单，把nginx服务器的ip写进去 proxy_pass转发到内网域名 这样在安全和效率高上就都能得到一定的提升。 如有错误，欢迎大家指正 好好学习，天天向上～～
1.2K30发布于 2018-12-18 - 来自专栏渗透云笔记
代码审计安全实践
第一次写文章,希望大牛们轻喷 一、代码审计安全 代码编写安全: 程序的两大根本:变量与函数 漏洞形成的条件:可以控制的变量“一切输入都是有害的 ” 变量到达有利用价值的函数（危险函数）“一切进入函数的变量是有害的 变量安全: 秉承一个原则 “一切输入都是有害的” 预定义变量[常规外部提交的变量]: 除了$_GET，$_POST，$_Cookie的提交之外，还来源于$_SERVER，$_ENV， $_SESSION 变量覆盖[未初始化及覆盖前定义的变量]: 如：$$使用不当、遍历初始化变量、 extract() 、parse_str()等 变量的传递与存储[中转的变量]: 存储于数据库、文件[如配置、缓存文件等 函数安全 通读全部代码 四、安全编程规范: 1.SQL注入防护 (1)采用预编译,在Java Web开发一般在采用预处理,在sql语句中放入? 这段代码正常执行的情况下是会输出当前用户名的，而我们在php.ini里面吧PHP安全模式打开一下，再重启下WebServer从新加载PHP配置文件，再执行这段代码的时候，我们会看到下面这个提示: Waring
2.1K30发布于 2019-11-11 - 来自专栏FreeBuf
企业FRP安全实践
看到的第一反应是无论此事真假，但如果发生在我司，安全部有没有能力去发现？ 文章核心内容如下： 两种常用模式的示例 如何提取特征进行安全检测 绕过安全检测的思路 1.2 frp简介 frp 是一个专注于内网穿透的高性能的反向代理应用，支持 TCP、UDP、HTTP、HTTPS 可以将内网服务以安全、便捷的方式通过具有公网 IP 节点的中转暴露到公网。 为什么使用 frp ？ 3.3 针对于客户端 流量分析类安全产品可以根据特征检测。 ? 四、绕过思路 4.1 数据包特征分析 传统的流量分析安全设备是根据规则来命中事件类型，那么我们来研究一下数据包有什么特征。 也欢迎各位安全同僚拍砖、交流和技术分享！
2.1K20发布于 2021-01-12 - 来自专栏API技术
API 安全最佳实践
然而，API 的开放性也带来了潜在的安全挑战。因此，确保强大的 API 安全机制对于保护敏感信息和维护系统的完整性至关重要。 在本篇文章中，我们将深入研究 API 的安全性，并通过使用 C# 的实际示例探索一些基本机制。API安全简介API 安全是为了防范未经授权的访问、数据泄露以及其他潜在风险而采取的一系列实践和技术。 EmailAddress] public string Email { get; set; } [Required] [StringLength(8, MinimumLength = 4) app.UseSerilogRequestLogging(); // More middleware and configurations }}结论除了上述流程，API 安全最佳实践还应关注以下四点 通过整合这些最佳实践，开发人员可以构建强大且安全的 API，从而为更安全的数字生态系统做出贡献。原文链接：Best Practices of API Security.
1.8K10编辑于 2023-12-20 - 来自专栏Linyb极客之路
HTTPS安全最佳实践
检查HTTP标头 有几个HTTP标头header可以控制具有安全隐患的方面，虽然并非所有这些标头都与HTTPS相关。 这个网站(https://securityheaders.com/)能帮助检查安全头，它提供了一些很重要标头的说明。 4. （2）使用安全的cookie 任何未标记为安全的 cookie 都可以通过HTTP和HTTPS发送，反过来，攻击者可以使用它来模仿HTTPS站点上的用户。 确保使用安全的cookie。 6. 要获取列表，你需要发送HSTS标头： 1.在根域，比如jdon.com 而不是www.jdon.com 2.最大年龄至少为一年 3.使用includeSubDomains 4.使用preload预加载
2.3K30发布于 2018-09-27 - 来自专栏云安全社区
云原生安全实践
文章首发于：火线Zone云安全社区 作者：Clare Clare是安全架构师，专注于信息安全攻防研究和深度测试，今天分享的主题是“云原生安全实践”。 我讲的议题是，云原生安全实践，主要从两个方面来介绍云原生安全。 第一个是云原生安全面临的风险 第二个是云原生安全实践 云原生的定义：它是一种构建和运行应用程序的现代方法，它主要代表的是容器，微服务，持续集成交付和devops为代表的一个技术体系。 所以相对于传统安全，云原生安全仍然是真正的挑战。 云原生安全，它是一种保护云原生平台及基础设施和整个应用程序安全实践，包括自动化数据分析，威胁检测，确保应用整个安全性及纵深防御。 平台的安全管控，和其他相关联的安全隐患，都会对云平台导致很大的风险。 接下来第二个，就是云原生安全实践，主要讲述在云原生整个过程中，如何应对遇到的风险。
1.2K31编辑于 2022-03-17 - 来自专栏安全随笔
【云安全最佳实践】Log4j漏洞介绍及云上防范
Log4j漏洞的原因2.1 Log4j2介绍如果说到漏洞的原因，就需要先介绍一下Log4j2这个框架。Log4j2 是一款 Java 日志记录框架。在Java开发中应用广泛。 腾讯云安全对Log4j漏洞的防范在漏洞刚刚发布，腾讯云就对Log4j漏洞进行了全面的防范，包括腾讯T-Sec Web应用防火墙（WAF）、腾讯T-Sec高级威胁检测系统（NDR、御界）、腾讯T-Sec云防火墙 、腾讯T-Sec主机安全（云镜）、腾讯容器安全服务（TCSS）等产品。 从上文中我们得知，防御这个漏洞，主要是两种方法，一个是升级版本，腾讯T-Sec主机安全、腾讯容器安全服务就是扫描系统中是否存在这个漏洞，并提示和修复。 图片所以开启腾讯云安全防护的机器，已经不需要担心Log4j的影响。
2.4K103编辑于 2022-11-15 - 来自专栏ZC.TigerRoot
HTTPS 安全最佳实践（二）之安全加固
HTTPS 安全最佳实践（二）之安全加固 当你的网站上了 HTTPS 以后，可否觉得网站已经安全了？这里 提供了一个 HTTPS 是否安全的检测工具，你可以试试。 本篇正文讲述的是 HTTP 安全的最佳实践，着重在于 HTTPS 网站的 Header 的相关配置。 它提供了 include subdomains 选项，这在实践中可能是太宽泛了。 "https://ajax.googleapis.com/ajax/libs/jquery/1.11.3/jquery.min.js" integrity="sha384-6ePHh72Rl3hKio4HiJ841psfsRJveeS 4 Cookies 4.1 Cookie Security 包含敏感信息的 cookie，特别是会话 id，需要标记为安全的，假设网站是通过 HTTPS 传输的。
3.1K10发布于 2020-04-30 - 来自专栏云鼎实验室的专栏
安全验证 | 容器安全的验证度量实践
本文将结合腾讯云在容器安全的运营实践，分析介绍如何通过安全验证度量，从攻击者视角持续发现防御的弱点，提升防御水平，实现云原生架构下的高质量安全运营。 综合上述几点内容，我们结合腾讯自身的安全运营痛点，建设并实践了基于攻击模拟技术（BAS）的安全验证平台，尤其是针对容器环境进行安全有效性的验证度量，从攻击者视角，模拟真实的攻击，确保整个容器环境的安全可靠 在度量指标的设计上，主要参考以下几个维度的内容进行设计：（1）ATT&CK攻防矩阵框架；（2）腾讯蓝军实践经验以及安全研究成果；（3）腾讯容器安全相关产品能力；（4）腾讯容器安全运营实践；（5）标准、技术要求等行业规范 这些实践经验，一方面会对矩阵的技战法做有效的补充，同时可以从实践的维度，对各个指标从可利用难易度的角度，进行更真实的风险等级划分，使得验证指标有着更好的完整度和可运营、可执行性。 验证指标示例 容器安全验证实践 云原生安全测试平台 2022年6月召开的云原生产业大会上，由中国信通院联合腾讯云、清华大学共同发起成立了云原生安全实验室。
1.1K10编辑于 2024-05-07 - 来自专栏API安全
案例实践 | 某能源企业API安全实践
、业务安全和数据安全防护战线不断延伸，给安全防护带来新压力，增加了“一点突破，影响全网”的风险。 在本年度国家组织的专项检查中发现，部分电厂生产监控网络和互联网相连，极大增加了系统安全风险。国家、行业主管部门一直以来高度重视网络与信息安全工作。 自2014年起，国家网信办、发改委、公安部、国家能源局等主管部门加大对电力信息安全的重点监督管控，相继颁布了《电力监控系统安全防护规定》(2014第14号令)等一系列法令、制度和标准，进一步明确了电网信息安全的重要性 需求场景随着电力系统的逐步在线化和智能化，能源企业的业务系统也面临着对外接口的安全问题，需要制定全面计划并及时发现、测试和保护 API，并将 API 安全纳入其整体应用程序安全策略。 关于星阑星阑科技基于AI深度感知和强大的自适应机器学习技术，帮助用户迅速发现并解决面临的安全风险和外部威胁，并凭借持续的创新理念和以实战攻防为核心的安全能力，发展成为国内人工智能、信息安全领域的双料科技公司
67510编辑于 2023-01-30 - 来自专栏Hadoop数据仓库
ShardingSphere实践（4）——读写分离
读写分离 （1）添加资源 （2）创建表 （3）创建读写分离规则 （4）读写数据 2. 读负载均衡 （1）轮询算法 （2）随机访问算法 （3）权重访问算法 3. password=mypass), read_ds3 (host=172.18.18.102, port=3306, db=db3, user=wxy, password=mypass), read_ds4 (host=172.18.18.102, port=3306, db=db4, user=wxy, password=mypass); （2）创建表 create default single table （4）读写数据 预览实际执行的SQL，确认路由符合预期。 , type(name=weight, properties(read_ds2=1,read_ds4=0))); 预览实际执行的SQL，因为read_ds4的权重指定为0，所以每次查询都路由到
1.6K31编辑于 2022-06-05 - 来自专栏FreeBuf
Java安全编码实践总结
Java作为企业主流开发语言已流行多年，各种java安全编码规范也层出不穷，本文将从实践角度出发，整合工作中遇到过的多种常见安全漏洞，给出不同场景下的安全编码方式。 安全编码实践 Sql注入防范 常见安全编码方法：预编译+输入验证 预编译适用于大多数对数据库进行操作的场景，但预编译并不是万能的，涉及到查询参数里需要使用表名、字段名的场景时(如order by、limit 3.不要远程暴露mbean spring.application.admin.enabled=false 4.启用html自动转义 ? 总结 作为安全人员经常会被开发问如何修复漏洞，开发需要具体到某行代码如何改动，通过对常见漏洞的复现利用以及安全编码实践，可以加深安全人员对相关漏洞原理的理解，根据业务需要更具体地帮助开发人员写出健壮的代码 ，预防或修复安全漏洞。
2K30发布于 2020-07-15 - 来自专栏Kirito的技术分享
Nacos配置安全最佳实践
配置安全最佳实践 ---- 捋了一遍 Nacos 配置安全的关键点，那么怎么才能保证配置安全呢。 只需要做到如下最佳实践就可以了： 1、定期修改密码和 ak/sk 在使用 Nacos 用户名密码（或者 AK/SK）认证的情况下（比如使用开源 Nacos 认证方式），如果恶意用户拿到了 Nacos 的用户名和密码 4、轮转持久化层的用户名和密码 为了防止配置从持久化层泄漏出去，所以需要定时修改持久化层的认证信息。通常 Nacos 的持久化层都是 DB，所以需要定时修改数据库的用户名和密码。 而对于中大型企业，阿里云产品 MSE 支持更加精细、更加灵活的权限配置、安全管理，也能利用和其他阿里云产品一起做到更加安全的配置能力。 当然，不论是自建 Nacos 还是使用阿里云 MSE，都需要关注上述提到的安全点，防止配置信息泄漏，造成业务损失。最后提到的配置安全最佳实践，也能能保证配置泄漏后，有能力及时修复，做到防患未然。
3.3K20发布于 2021-03-17 - 来自专栏我的安全视界观
【SDL最初实践】安全设计
“为了减少产品设计带来的安全隐患，避免后续发现问题时，对功能实现流程甚至程序架构大刀阔斧改动带来高昂代价。在产品设计阶段，需要加入必要的安全活动，减少并消除产品安全隐患，纵深提升业务安全能力。” 01 — 安全目标 安全团队可以通过引导相关责任人进行自检，要求输出安全检查结果，并推动落实安全整改项来开展安全活动。在此过程中，需关注以下四个基本要素： ? 安全介入时间：产品设计阶段。 03 — 安全实践 在实际的安全活动中，一般采用安全设计checklist + 威胁建模的模式。 在实践过程中，发现一些比较行之有效的做法： 1）宣贯会上搜集业务方切身需求与体会 通过定期召开“安全评估流程”宣贯，不断搜集来自前端开发、后端开发、产品设计人员等不同参与人员的建议，持续优化现有安全设计 2）从后续安全活动中吸取经验，反哺安全设计检查项 在其后的环节，特别是代码审计和安全测试发现的漏洞与安全缺陷，可以反推到安全设计阶段，不断优化、持续补强针对某一重要系统或某一通用功能的专属安全设计checklist
2.2K11发布于 2019-11-08 - 来自专栏深度学习与python
容器安全最佳实践入门
作者 | Cloudberry 译者 | 王者 策划 | 万佳 保证容器安全是一项复杂的任务。这个问题域很广，面对大量的检查清单和最佳实践，你很难确定采用哪个解决方案。 所以，如果你要实现容器安全策略，应该从哪里开始呢？ 我建议从最基本的开始：理解容器安全是什么，并构建模型来降低风险。 在编写 Dockerfile 时遵循 Docker 安全最佳实践。 所有这些检查都是静态的，可以很容易在构建管道中实现。 容器镜像扫描 然后，我们可以进行容器镜像扫描。 这一阶段的目标： 避免存在安全隐患的平台配置错误 最大限度地减少来自受损容器的攻击 基础设施安全性：配置错误 容器编配器比较复杂，特别是 Kubernetes。 4运行时安全性 最后一个是工作负载的安全性。到这个时候，大部分的强化工作都已完成，我们将进入反应性安全控制领域，也就是故障后（post-fail）。
87720发布于 2021-01-20
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号