- 综合排序
- 最热优先
- 最新优先
- 来自专栏区块链入门
【知识总结】4.微服务的治理去中心化，服务发现，安全，部署
每个微服务可以有独立的设计、执行决策。 微服务架构着重培养通用/可重用的服务。 运行时的治理，比如安全级别保证（SLA），限制，监控，安全和服务发现，可以在API网关层处理。 每个服务都在独立的容器中，每个主机有两个容器，通过kubernetes可以随意调整容器的数量。 安全 在实际运行环境中，微服务的安全也非常重要。我们先看下单体架构下安全是如何实现的。 一个典型的单体应用，安全问题主要是“谁调用”，“调用者能做什么”，“如何处理”。服务器接收到请求后，一般都在处理链条的最开始，通过安全组件来对请求的信息进行安全处理。 我们能直接把这种处理方式应用在微服务架构中吗？答案是可以的，需要每个微服务都实现一个安全组件从资源中心获取对应的用户信息，实现安全控制。这是比较初级的处理方式。 通过这种方式确保客户和服务器端的互信。JWT令牌是一种“有内容的令牌”，包含用户的身份信息，在公共环境中使用不安全。 现在我们看下如何在网络零售网站中应用这些协议保障微服务的安全。 ?
2.7K20发布于 2021-03-11 - 来自专栏Java架构师历程
4、服务发现
在运行于物理硬件上的传统应用中，服务实例的网络位置是相对静态的。例如，您的代码可以从偶尔更新的配置文件中读取网络位置。 然而，在现代基于云的微服务应用中，这是一个更难解决的问题，如图 4-1 所示。 之后，客户端利用负载均衡算法选择一个可用的服务实例并发出请求。 图 4-2 展示了该模式的结构 ? 服务实例的网络位置在服务注册中心启动时被注册。当实例终止时，它将从服务注册中心中移除。 4.3、服务端发现模式 服务发现的另一种方式是服务端发现模式。图 4-3 展示了该模式的结构： ? 客户端通过负载均衡器向服务发出请求。负载均衡器查询服务注册中心并将每个请求路由到可用的服务实例。 4.6、自注册模式 当使用自注册模式时，服务实例负责在服务注册中心注册和注销自己。此外，如果有必要，服务实例将通过发送心跳请求来防止其注册信息过期。 图 4-4 展示了该模式的结构。 ? 图 4-5 展示了该模式的结构： ? 开源的 Registrator 项目是一个很好的服务注册器示例。它可以自动注册和注销作为 Docker 容器部署的服务实例。
2.6K30发布于 2018-09-26 - 来自专栏Khan安全团队
微服务安全
介绍¶ 微服务架构越来越多地用于在基于云的和本地基础设施、大规模应用程序和服务中设计和实现应用程序系统。在应用程序设计和实施阶段需要解决许多安全挑战。在设计阶段必须解决的基本安全要求是身份验证和授权。 当微服务收到（步骤 2）请求以及一些授权元数据（例如，最终用户上下文或请求的资源 ID）时，微服务对其进行分析（步骤 3）以生成访问控制策略决策，然后执行授权（步骤 4）。 当主体调用微服务端点（步骤 3）时，微服务代码通过网络调用调用集中式 PDP，PDP 通过根据访问控制规则和属性评估查询输入来生成访问控制策略决策（步骤 4）。 当主体调用微服务端点（步骤 3）时，微服务代码调用 PDP，PDP 通过根据访问控制规则和属性评估查询输入来生成访问控制策略决策（步骤 4）。基于 PDP 决策微服务强制授权（步骤 5）。 因此，对于应用程序安全架构师来说，了解并充分利用现有架构模式在基于微服务的系统中实现审计日志记录以进行安全操作至关重要。
2.4K10编辑于 2022-01-14 - 来自专栏hml_知识记录
REST 服务安全
如果 REST 服务正在访问机密数据，应该对服务使用身份验证。如果需要为不同的用户提供不同级别的访问权限，还要指定端点所需的权限。 为 REST 服务设置身份验证可以对 IRIS REST 服务使用以下任何形式的身份验证： HTTP 身份验证标头 — 这是 REST 服务的推荐身份验证形式。 REST 应用程序和 OAuth 2.0 要通过 OAuth 2.0 对 REST 应用程序进行身份验证，请执行以下所有操作：将包含 REST 应用程序的资源服务器配置为 OAuth 2.0 资源服务器 如果需要为不同的用户提供不同级别的访问权限，请执行以下操作来指定权限：修改规范类以指定使用 REST 服务或 REST 服务中的特定端点所需的权限；然后重新编译。 指定权限可以为整个 REST 服务指定权限列表，也可以为每个端点指定权限列表。为此：要指定访问服务所需的权限，请编辑规范类中的 OpenAPI XData 块。
1.3K10编辑于 2022-08-05 - 来自专栏用户7881870的专栏
网络服务安全-www安全
分为Web客户端和Web服务器程序。 WWW可以让Web客户端（常用浏览器）访问浏览Web服务器上的页面。 是一个由许多互相链接的超文本组成的系统，通过互联网访问。 第三步：在任务栏中点击“开始”，选择管理工具，点击Internet信息服务（IIS）管理器。 第四步：在Internet信息服务（IIS）管理器界面中点击“服务器证书”。 第五步：在“服务器证书”界面点击“创建自签名证书”。 第六步：证书名例如test，点击“确定”即可。 第七步：在Internet信息服务（IIS）管理器界面点击默认网站（Default web site），点击绑定。 第八步：在网站绑定界面中点击添加。
1.3K20发布于 2021-05-18 - 来自专栏云计算D1net
黑客新手4小时入侵云服务器 敲响云安全警钟
一个IT业的新手，只花了4个小时就成功入侵了云服务器，这给云安全敲响了警钟，那么，这个黑客新手是通过什么方法来入侵云服务器的呢?为了确保云安全，应该采取哪些措施呢? 1. 12月20日消息，外国媒体发表文章对云服务器的安全性做了剖析，以下为文章内容摘要： 入侵云服务器需要多长时间? 为了探究这一问题答案，云安全创新企业CloudPassage联接6台服务器、2部运行微软操作系统的电脑以及4部运行Linux操作系统的电脑，并在电脑中下载形形色色被用户广泛使用的程序。 CloudPassage悬赏了5千美元邀请黑客们来尝试攻击服务器。 最终其中一名黑客只花了4个小时就成功入侵CloudPassage所配置的云服务器。更糟糕的是，他只是IT业的新手。 但云服务器的安全性真如人们所认为的那样吗? CloudPassage对上述系统的设计参照了默认配置，模拟了用户常用的计算机环境，实验证明其安全系数并不高。
1.7K60发布于 2018-03-15 - 来自专栏python基础文章
网络安全——网络层IPSec安全协议（4）
一.IPSec安全协议 IPSec在IP层提供安全服务，它使系统能按需选择安全协议，决定服务所使用的算法及放置需求服务所需密钥到相应位置。 ---- 1.IPSec提供的安全服务 IPSec能提供的安全服务集包括访问控制、无连接的完整性、数据源认证、拒绝重发包（部分序列完整性形式）、保密性和有限传输流保密性。 IPSec规定了如何在对等层之间选择安全协议、确定安全算法和密钥交换，向上提供访问控制、数据源认证、数据加密等网络安全服务。 （4）安全参数索引SPl：专有32位值，用以区分那些目的IP地址和安全协议类型相同，但算法不同的数据包。 （5）序列号：32位整数，它代表一个单调递增计数器的值。 通常，当用于IPv6时，AH出现在IPv6逐跳路由头之后，IPv6目的选项之前；而用于IPv4时，AH跟随主IPv4头。
1K20编辑于 2023-10-15 - 来自专栏用户7881870的专栏
网络服务安全-IIS安全机制
像有编辑环境的界面（FRONTPAGE）、有全文检索功能的（INDEX SERVER）、有多媒体功能的（NET SHOW） 其次,IIS是随Windows NT Server 4.0一起提供的文件和应用程序服务器 ，是在Windows NT Server上建立Internet服务器的基本组件。 它与Windows NT Server完全集成，允许使用Windows NT Server内置的安全性以及NTFS文件系统建立强大灵活的Internet/Intranet站点。 IIS（Internet Information Server，互联网信息服务）是一种Web（网页）服务组件，其中包括Web服务器、FTP服务器、NNTP服务器和SMTP服务器，分别用于网页浏览、文件传输 、新闻服务和邮件发送等方面，它使得在网络（包括互联网和局域网）上发布信息成了一件很容易的事 【实验步骤】 网络拓扑：server2008-basic--win7 windows server 2008
1.3K10发布于 2021-05-18 - 来自专栏安全加固
【安全加固】Apache Tomcat服务安全加固
网络访问控制 （1）您的业务不需要使用 Tomcat 管理后台管理业务代码，建议您使用安全组防火墙功能对管理后台 URL 地址进行拦截，或直接将 Tomcat 部署目录中 webapps 文件夹中的 manager 4. Tomcat 默认帐号安全 修改 Tomcat 安装目录 conf 下的 tomcat-user.xml 文件，重新设置复杂口令并保存文件。重启 Tomcat 服务后，新口令即生效。 5. 9、不安全的HTTP方法 编辑tomcat配置文件/conf/web.xml文件，查看是否禁用PUT、DELETE等危险的HTTP 方法,查看org.apache.catalina.servlets.DefaultServlet 10、HTTP加密协议 使用HTTPS协议登录tomcat服务器管理页面。 （3)重新启动tomcat服务
3.7K20发布于 2021-01-11 - 来自专栏Owen's World
服务器4
解决方案 1.因为是阿里云服务器，先在阿里云后台禁止公网访问3306端口。
50220编辑于 2021-12-07 - 来自专栏Java技术栈
SpringCloud服务安全连接
Spring Cloud可以增加HTTP Basic认证来增加服务连接的安全性。 1、加入security启动器 在maven配置文件中加入Spring Boot的security启动器。 org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> 这样，就开启对服务连接的安全保护 ，系统默认为生成一个用户名为"user"及一个随机密码，随机密码在服务启动的时候在日志中会打印出来。 security: user: name: admin password: admin123456 这样配置完后在连接这个服务的时候就会要求输入用户名和密码，如果认证失败会返回401 1、注册中心安全连接 username:password@ipaddress 2、Feign申明式服务安全连接 @FeignClient(name = "SERVICE", configuration
86750发布于 2018-03-30 - 来自专栏Netkiller
微服务安全吗？
微服务安全吗？ 微服务安全吗？其实存在很多隐患，常规的做法是将微服务置于私有局域网中，通过网关报漏服务。如果破坏者一旦进入了你的私有局域网中，微服务是及其危险的。 ? 配置中心的隐患 配置中心的安全隐患 配置中心有以下几种安全隐患 配置中心报漏在公网IP之下 配置中心没有做用户验证 配置文件中存在敏感信息 明文传输内容 配置有泄漏敏感信息的隐患，你的配置中心是不是也这样 https://sms.netkiller.cn/v1","username":"netkiller","password":"123456"}}} 给配置中心增加SSL和HTTP认证，可以让配置中心更安全 注册中心有以下几种安全隐患 注册中心没有做用户验证，任何人都能访问 注册中心曝漏在公网IP之下，被恶意注册的风险。 Eureka Server/Config Server 类似 Eureka 客户端有以下几种安全隐患 服务报漏在公网IP之下，任何人都不经过 Eureka Server 和 Openfeign 绕开后直接访问服务
1.1K20发布于 2020-09-18 - 来自专栏安智客
Google安全服务概述
Google 提供了一套基于云的服务，用户可通过 Google 移动服务将这些服务安装到兼容的 Android 设备上。 Google 的主要安全服务包括： Google Play：Google Play 是一系列服务的总称。借助这些服务，用户可以通过自己的 Android 设备或网络发现、安装和购买应用。 此外，Google Play 还提供社区审核、应用许可验证、应用安全扫描以及其他安全服务。 Android 更新：Android 更新服务可为某些 Android 设备提供新功能和安全更新，其中包括通过网络或无线下载 (OTA) 方式提供的更新。 目前Android 提供了以下关键安全功能： 1，通过 Linux 内核在操作系统级别提供的强大安全功能 2，针对所有应用的强制性应用沙盒 3，安全的进程间通信 4，应用签名 5，应用定义的权限和用户授予的权限
1.7K60发布于 2018-02-24 - 来自专栏ffffffff0x
无服务安全指南
A3 敏感数据泄露 A4 XML外部实体 A5 失效的访问控制 A6 安全配置错误 A7 跨站脚本 A8 不安全的反序列化 A9 使用含有已知漏洞的组件 所以，这依旧在OWASP无服务安全领域排行前十。但是，对于注入攻击的防护比以前的更加容易。在无服务出现之前，注入攻击几乎是相同的攻击流程。 维度测评 攻击向量 公有云存储或开发的API、欺骗性电子邮件 安全弱点 潜在的入口点、服务、事件和触发器 影响 敏感信息泄露、破坏系统的业务逻辑和业务流程 总体评价 无服务器使用完整和安全的身份验证方案比较复杂 ; env # [hqbwuw4viv.png] 即可查看到亚马逊云的access_key等敏感参数,通过这些关键数据访问其存储服务可以造成更进一步的利用 [k09dffmgey.png] 四、XML [ozdcahd8j8.png] 风险值：4分 业务逻辑/流程操作 业务逻辑攻击可能是检测到的最复杂攻击，通常具有很高的业务影响。
1.5K11发布于 2020-12-20 - 来自专栏啄木鸟软件测试
安全测试工具（连载4）
此工具的测试原理如下：它使用代理抓取浏览器中访问过的连接以及表单等信息，通过在CSRFTester中修改相应的表单等信息，重新提交，相当于一次伪造客户端请求，如果被测试的请求成功被网站服务器接受，则说明存在 40 CSRFTester录制浏览器操作 用浏览器打开上一步生成的HTML文件，将自动运行里面的JavaScript脚本，如果请求成功被网站服务器接受，说明存在CSRF注入，否则不存在。 案例4：电子商务登录功能CSRF测试 打开CSRFTester，设置浏览器代理为：127.0.0.1:8008，点击【Start Recording】按键，在浏览器页面输入电子商务登录页面的IP地址，
76910发布于 2019-12-12 - 来自专栏Python
4安全意识-试卷
4.（单选题） 邮件攻击类型不包括下列哪一个？（10分） A. 勒索病毒 B. 商业邮件诈骗 C. 水坑攻击 D. 仿冒企业邮件 回答错误 正确答案为： C， 答案解析：略。 5. （单选题） 下列哪一个不属于信息安全范畴？（10分） A. 人员安全 B. 实体安全 C. 运行安全 D. 电源安全 回答错误 正确答案为： D， 答案解析：略。 9. （多选题） 上网安全中的两种公共设备谨慎用，指的是：（10分） A. 计算机安全 B. 公共WIFI C. 公共手机充电桩 D. （多选题） 信息安全范畴包括下列哪几个：（10分） A. 计算机安全 B. 通信安全 C. 信息本身的安全 D. （多选题） 信息安全常识包含下列哪几个：（10分） A. 邮件安全 B. 密码安全 C. 物理安全 D. 化工安全 回答错误 正确答案为： A、B、C， 答案解析：略。 19.
40010编辑于 2024-10-12 - 来自专栏云云众生s
4个API安全最佳实践
译自 4 API Security Best Practices，作者 Judith Kahrer。 API 是现代数字解决方案的支柱。因此，API 安全应该成为首要的业务关注点。 在 OAuth 中，授权服务器 负责处理和传达该授权。授权服务器有责任向 访问令牌 添加准确的 [数据] 并对其进行签名。 仔细设计 JWT JWT 是 API 授权的便捷工具。 非对称签名提供不可否认性，这意味着只有授权服务器才能颁发访问令牌，因为它是有权访问所需密钥的唯一机构。使用非对称签名，您可以确保授权服务器颁发了访问令牌，而不是任何其他方。 使用 OAuth，授权服务器承担了重要且困难的安全工作。其中包括对用户进行身份验证，这可以最大程度地减少由于专有实现中的缺陷而导致的用户身份验证漏洞。 您可以在授权服务器上启用 多因素身份验证，以降低对敏感业务流程的访问不受限制的风险。 4.
1.3K10编辑于 2024-07-15 - 来自专栏网络安全文章
信息安全技术 云计算服务安全指南
声明本文是学习GB-T 31167-2014 信息安全技术 云计算服务安全指南. 从已通过安全审查的云服务商中选择适合的云服务商。客户需承担部署或迁移到云计算平台上的数据和业务的最终安全责任；客户应开展云计算服务的运行监管活动，根据相关规定开展信息安全检查。 第三方评估机构。 对云服务商及其提供的云计算服务开展独立的安全评估。 5.4云计算服务安全管理基本要求采用云计算服务期间，客户和云服务商应遵守以下要求： 安全管理责任不变。 云服务商应具备保障客户数据和业务系统安全的能力，并通过安全审查。客户应选择通过审查的云服务商，并监督云服务商切实履行安全责任，落实安全管理和防护措施。 5.5.3选择服务商与部署在选择服务商与部署阶段，客户应根据安全需求和云计算服务的安全能力选择云服务商，与云服务商协商合同（包括服务水平协议、安全需求、保密要求等内容），完成数据和业务向云计算平台的部署或迁移
2.9K51编辑于 2023-01-08 - 来自专栏用户8715145的专栏
如何保障主机服务运行安全？主机服务安全的重要性
，因此每一家公司都特别注重主机服务器的安全性。 那么在使用过程当中如何保障主机服务运行安全呢？ 如何保障主机服务运行安全 如何保障主机服务运行安全对一台电脑主机来说是非常重要的。 对服务器主机同样重要，要想保障主机服务运行安全，首先要给主机设置一系列规范的安全防护设置，比如安装一些网关防护系统或者系统自带的防火墙，都要进行高安全等级的设置，才能保障它的安全运行。 主机服务安全的重要性 如何保障主机服务运行安全是主机使用过程当中一个重要的课题，主机的安全直接影响着信息的安全，网络的安全以及使用过程当中的安全，因为互联网自从诞生以来，很多的信息都是在网络当中存储的， 以上就是如何保障主机服务运行安全的相关内容，对于电脑系统以及互联网平台公司来说，网络安全以及服务器主机安全都是非常重要的，应当进行专业的安全防护设置。
1.8K20编辑于 2021-12-30 - 来自专栏云头条
腾讯安全发布安全托管服务MSS，推动网络安全建设向服务驱动转变
为了应对数实融合趋势下的网络安全需求，2021年10月22日，腾讯安全发布了安全托管服务MSS，依托腾讯20多年的攻防实战经验和行业领先的情报感知能力，通过自研服务工作流编排系统，实现了服务过程的标准化 产业数字化驱动安全服务模式转变，安全托管助力企业安全建设“化繁为简” “依靠买硬件、买软件、堆人力的建设思路已经无法应对当今复杂的安全态势，企业的安全建设需要从产品驱动向服务驱动转变。” 基于腾讯安全托管服务MSS，数字广东在初期以红蓝攻防演练测试平台安全完善程度，重点时期负责安全值守与应急响应，最终取得重保期间0安全事件、0安全事故、0业务故障的成果，让全省70%政务系统运行无忧。 腾讯安全最新发布的托管服务MSS具备4大核心能力：基于攻击者视角下高强度防守对抗、KPI视角下的服务过程展示、攻防演练级的常态化运营分析、近实时的情报及威胁共享。 通过腾讯安全托管服务，企业日常安全工作复杂度极大降低，服务流程可查看、服务人员可管理、服务过程可跟踪，解决了传统安全建设中“过程不可见”和“结果不可控”的问题。
1.2K10编辑于 2022-03-18
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号