关于安全:怎么准备安全面试最高效不看后悔系列

前言:回顾我学习的时光里,我感觉最大的艰难是没有老司机带带我、没有技术气氛,只能本人单独摸索,甚至花很多工夫去收集各种网络教程、加各种群和社区,积极性很难始终放弃,这也是非信安强校或者非信安业余的同学们难堪之处。 ,我技术方面尽管比拟个别,比不上各位大佬,但我与其它平安技术号不同的是,我不分享什么技术,而是更违心去分享我作为平安行业新人的各种踩坑教训,以便能让大家少走一点弯路,有所感悟。下几篇文章我会说说我走浸透测试这条路的教训,明天就先讲讲我的无关实习的认识和怎么筹备面试吧。 要不要去实习?其实这个问题的答复,对大多数人来说都是毋庸置疑的吧,毕竟在真正的平安公司实习,无论你是无穷无尽地用扫描器写文档还是写 POC 打打杂,初看上去十分繁冗,然而这个别都是每位平安菜鸟进公司工作的第一步,这些经验都是十分有价值的,能够让你对平安工作的整体流程有所理解,也能够多意识很多平安方面的人脉。 大学的时候,我没有真正到公司实习过,只经验过一些我的项目和 CTF 较量。回想起来其实有点悔恨,次要在于三个方面:简历可说的货色不多,海投简历的时候容易在比照中被筛掉,技术面的答复不够理论或深度有余。但所幸,我 CTF 有些问题,也对 Web 平安方面有点可说的货色,面试筹备得比拟充沛,所以在技术面试的时候对我能答上的话题也能有话可说。 总的来说,如果你不是技术大牛,可能沉下心来将技术钻研得很深的话,或者不是 CTF 大牛,能在省级以上拿过比拟好的名次,最好还是从大二下学期开始筹备实习。我说了这么多如果你还不想实习的话,我…… 如何筹备面试?总结下本人的教训关上一个空白的记事本,思考并且逐个写下: 你会什么平安方面的技术,能够对技术进行细分,比如说一级是 Web 浸透,二级是 SQL 注入,三级是 MySQL注入,四级是如何发现、如何进行注入(技术细节)、如何提权等等。 你有什么相干的平安经验,包含 CTF 经验和实习或工作经验。 你最怕面试官问什么问题? 你可能对第三点有点疑难,然而这最能暴露出你的问题,能及时对你缺失的货色进行补救。 筹备一个简略的简历没什么教训的同学在写简历的时候,都会偏向于找一个特地酷炫的简历模板,实际上公司的 HR 什么简历款式没见过呢?在我看来,最好的简历是重点突出,简洁大气。应届生写简历最大的一个问题在于:工作教训较少甚至没有、不理解企业招聘。 一般来说,简历只须要有三个信息:个人信息、个人经历和其它信息。着重说一下个人经历吧,如果你有工作经验,那是最好不过了,你须要写的三点是在我的项目中你做了什么、怎么去做的(应用了什么技术)、最初有什么成绩。如果你没有工作经验,那么在筹备的时候你就须要有一些小的本人的经验,比方如何实现一个小 WAF、如何实现一个扫描器、如何对一个网站浸透等等,有 CTF 经验的写一下最好的两个名次和偏重的方向。对重点的信息,应用加粗重点标注。 为什么要如此谨慎呢?因为这里是面试官大概率会问到的中央。所以,写完这块后,站在面试官的角度去想,如果你面试这个人,你会问什么问题,依据面试人的答复,你会依据答复问什么问题……始终反诘本人,裸露本人的毛病及时补漏。另外一个方面,这也是疏导面试官到你善于的方面一个重要的办法,如果你很善于 SQL 注入,你就能够标重点,体现本人 SQL 注入的能力,如果你能对面试官的对于 SQL 注入的问题对答如流,我感觉这次技术面你就稳了。 最初,依据每个公司的 JD(职位要求),对简历进行微调,这块儿又是一个大坑了,开展要说好多,总之,投其所好就对了。 筹备一下面试的答复尽管你可能会很多货色,浸透的时候就是一把梭,然而面试的时候可不能间接 Google 查文档,万一问到你会的然而答复不出的就凉了,所以你还是须要筹备一下如何组织答复,问题能够看一下我的面试问题总结: https://shimo.im/docs/TdpXTY6... 在筹备答复的时候,写下来你的答复,并一直批改,想一想你答复这个问题后,面试官还会依据你答复的点问出什么问题。一直地进行斟酌过后,你会发现你在筹备的时候也会学习到很多货色,你的技术也会一直回升。 最初,让你的敌人或者同学对你进行一个小小的模仿面试,练练你的胆量,一旦公开谈话就很缓和的同学更加要多练啦!练好的话,面试官必定会很观赏你~ END根本的面试筹备就说这些,当你筹备好后就能够开始海投简历啦。不过,最好也是最快的办法,还是找平安行内的同学进行内推,在平安相干群里一问都会有很多同学十分乐意的。在前面我还会讲讲技术面的一些小技巧和一些大小厂商面试的经验,我是如何入门浸透测试的文章也在筹备中了,记得继续关注我噢!

August 20, 2021 · 1 min · jiezi

关于安全:金山办公助力信创产业生态发展与生态伙伴谋合力

随着 5G 网络、云计算、人工智能、大数据等前沿技术的一直成熟和落地,产业数字化、智能化倒退未然步入新的阶段。随着新技术的融入,办公数字化倒退获得肯定成就,国内企业行将迎来一波数字化倒退的低潮。而在信创产业的倒退过程之中,办公软件的降级无疑是推动信创生态进一步成熟的利器。 往年 7 月 16 日,由金山办公主办的 2021 开发者大会在长沙胜利举办。在这场大会上, 金山办公推出首个面向开发者的产品“文档中台”,并同时发表 “2021 信创‘大比武’根底办公利用开发赛道”(以下简称“大赛”)正式启动。本着凋谢生态,合力共赢的理念,联结生态合作伙伴独特推动信创产业翻新技术倒退和行业人才培养。 欠缺信创生态体系,凋谢交融倒退成为主旋律谋合力,共担当,信创产业倒退须要上下游厂商独特参加建设,晋升自主创新能力,这样才无望构建起衰弱的信创技术软硬件底层架构体系和全生命周期生态体系。而此次大赛的举办正是信创产业生态共同努力的后果,金山办公联结更多的合作伙伴,联想开天科技有限公司和北京数科网维技术有限责任公司作为联结主办方,独特保障本次大赛的顺利开展。 凋谢交融是当今企业倒退的主旋律,目前,金山办公在国内办公生态畛域曾经会集了 260 家生态合作伙伴,适配产品涵盖协同办公、输入法、邮箱、语音辨认、OA 厂商、数字签名等,推出的以 “web office” 、“在线预览”、“公文写作”等为代表的一系列信创产品和解决方案,曾经在国内办公生态体系建设中领有超过 150 多项翻新成绩。 在信开办公软件畛域,金山办公扮演者推动上下游零碎一直交融倒退的角色,也是“信创”畛域具备技术实力和品牌效应的领军型企业之一,并胜利入选 “2020 年度中国信创 TOP500” 榜单、“2021 信开办公软件企业 TOP15” 榜单,荣获 2020 值得关注的信创利用提供商第一名。 主办根底办公利用赛道,彰显企业社会责任担当为进一步推动信息技术利用翻新产业转型降级,疏导信创企业实现技术冲破与产品翻新,加强产业链供应链自主创新能力,中国电子工业标准化技术协会信息技术利用翻新工作委员会专家技术委员会倡议,由信创工委会组织首届信创“大比武”流动。流动于 2021 年 7 月正式启动,初赛正在热火朝天地进行中。 2021 信创“大比武”根底办公利用开发赛道由金山办公主办,以“青春自立 智启将来”为主题,参赛选手须要依据“技术规范文档”,围绕信创环境下文档办公利用需要,打造技术创新的参赛作品。 在赛程设置上,本次大赛由初赛、复赛和总决赛三个阶段组成,最终问题由复赛问题和决赛问题两局部组成,其中复赛问题占总成绩的 40%,决赛问题占总成绩的 60%。初赛赛题为“基于 WPS 加载项机制的文档结构化内容数据管理插件”,目前报名曾经开始,须要留神的是,9 月 10 日初赛报名及作品提交行将截止,感兴趣的敌人千万不要错过;而复赛和总决赛预计将会在 9 月和 10 月举办。 奖项设置如下: 除此之外,所有进入复赛的团队成员均有机会取得WPS超级会员卡 1 份,其中优良选手还将有机会优先入职金山办公,优良我的项目将优先取得金山办公单干资源机会。 本次大赛面向全社会凋谢,相干畛域的集体、高等院校、科研机构、企业单位、初创团队等人员均可报名参赛,参赛者欢送点击 2021 “信创大比武”根底办公利用赛官网(https://linux.wps.cn/xcdbw)报名。 面对将来,咱们有过有数的空想,但最终落在眼前的答案却只能有一个。当信创产业继续倒退,协同办公软件等工具价值失去了更多认可。大赛为开发者搭建好舞台,“青春自立 智启将来”,造就信创产业人才,推动信创产业凋敝倒退,30万奖金金山办公邀你来拿! 快戳链接立刻报名吧~https://pages.segmentfault.co...

August 20, 2021 · 1 min · jiezi

关于安全:全实践3天物联网安全课程不断电

简介:干货满满,全实际!5营连开|收尾之作!阿里云AIoT物联网平安核心训练营        报名倒计时了!!!    想晓得如何晋升物联网的安全性和可控性? 收费报名阿里云AIoT物联网平安中心线上课程 三节课,带你用实际的形式深刻物联网平安摸索 不再夸夸其谈 ! ! ! 课程纲要 阿里云IoT资深平安专家 3天干货详解 内容包含通过身份认证、数据加密、平安检测与经营等产品能力 实现端到端的平安、可信,全面晋升物联网平安防护程度 还有惊喜 8月9日-8月25日,上课还能收费取得50元天猫购物券! 1.报名2-5期共四个训练营 2.实现所有训练营的打卡工作 3.进入所有训练营钉群 限量400人!先到先得! 进入以下(物联网平安核心训练营)二维码即可查看2-5期报名通道 报名形式 点击链接:https://developer.aliyun.com/...\_4492491020.7.526c7080NVdgwq,立刻报名,播种飞速成长 版权申明:本文内容由阿里云实名注册用户自发奉献,版权归原作者所有,阿里云开发者社区不领有其著作权,亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容,填写侵权投诉表单进行举报,一经查实,本社区将立即删除涉嫌侵权内容。

August 18, 2021 · 1 min · jiezi

关于安全:腾讯安全运营中心集成UEBA能力助力企业保障内部网络安全

数字经济时代的到来,也随同着日益严厉的网络威逼。绝对于内部入侵,外部威逼危害性更大,也更加荫蔽,难以防备应答。据2019年考察数据显示,寰球企业因信息安全事件损失超过百亿,而其中超过60%的损失是由外部问题引起的。在寰球暴发的重大网络安全事件,大多数也是由员工违规或无心操作引发敏感数据外泄、身份被冒用等外部威逼而导致。且绝对于内部入侵来说,往往首先入侵、管制外部某台设施,再从外部发动攻打。其威逼危害性更大,也更加荫蔽,难以防备应答,外部平安威逼曾经成为了一个亟待解决的平安问题。 为帮忙企业更好的应答外部威逼,腾讯平安经营核心(SOC)推出了UEBA剖析能力,基于账号异样、设施异样、横向挪动和数据安全四大平安场景,帮忙客户高效、精确、及时的检测危险,从而晋升本身外部平安防护能力,无效升高外部威逼影响。 UEBA (User and Entity Behavior Analytics,用户实体行为剖析)作为目前异样发现的重要剖析技术日益受到关注。它联合办公、生产日志,第三方平安产品告警(如hids,nta等),专一于剖析用户和设施的危险。通过对用户和设施的危险检测和行为剖析,它可能及时、精确的感知外部平安情况。 而UEBA能力作为腾讯平安经营核心(SOC)的要害子系统,通过自建规定剖析引擎、画像检测引擎、机器学习检测引擎,对全网海量平安告警数据进行疾速剖析。为网络中的实体行为构建基线,再依据基线检测用户或实体偏离“失常”模式的高风险操作,从而检测网络中的平安短板或疑似攻击行为,帮忙企业升高外部威逼危险。 在UEBA能力的反对下,腾讯平安经营核心(SOC)辨认发现外部网络安全威逼、加强网络安全事件可见水平、升高网络安全团队治理老本等方面等能力大大增强。例如当员工因为正点钓鱼网站、简略口令被破解等导致失落登录帐号密码,或设施存在安全漏洞被入侵者管制,从而导致黑客利用破绽对内网进行一系列的横向渗透活动时。UEBA能够记录、剖析此类帐号异常情况,并依据该帐号的可疑行为进行剖析后及时告警;同时能够对终端用户或实体拜访敏感数据的状况进行剖析,在企业产生信息泄露事件之前及时发现威逼、打消危险。 不仅如此,UEBA能力还能够帮忙平安运维人员从海量日志中抽丝剥茧,高效解决海量告警,进行更细粒度的威逼检测,从而升高治理难度,进步告警准确率,无效升高网络安全团队治理老本。 总体来讲,腾讯平安经营核心(SOC)的UEBA能力目前曾经具备六大产品劣势: 第一,充分利用客户已购的,有针对性的平安产品进行告警,同时剖析出其中的高价值告警,为每一条告警绑定到一个用户、一台设施,不便平安运维人员研判; 第二,着重针对用户和实体进行评分,并构建起一套软关联、数据驱动搭建的评分框架,从而高效解决海量告警,去除误报影响; 第三,提供“智能工夫线”经营形式,通过将用户、账号、资产和利用上产生的各类异样和流动,以产生工夫先后关系串联起来,做继续的用户与实体异样行为检测; 第四,基于规定构建了全面的高频横向挪动规定,将用户从登录到登出的全副危险行为关联起来,实现准确形容歹意威逼横向挪动场景; 第五,通过规定剖析引擎、画像检测引擎、机器学习检测引擎,反对多种类型的检测问题; 第六,构建用户实体画像零碎,存储丰盛的数据指标,帮忙平安运维人员疾速研判危险。 在能够预感的未来,UEBA必将成为企业网络安全防护的核心技术,在升高外部平安威逼危险等方面施展重要作用。作为产业互联网安全领导品牌的腾讯平安,将持续施展本身的技术实力和实践经验,继续摸索更加健全的网络安全解决方案,助力企业应答内外部网络安全威逼挑战,为数字经济平安和高质量倒退保驾护航。

August 17, 2021 · 1 min · jiezi

关于安全:国务院最新发布关键信息基础设施安全保护条例9月1日起施行

中华人民共和国国务院令第745号 《要害信息基础设施平安爱护条例》曾经2021年4月27日国务院第133次常务会议通过,现予颁布,自2021年9月1日起实施。 总理 李克强2021年7月30日 要害信息基础设施平安爱护条例第一章 总 则第一条 为了保障要害信息基础设施平安,保护网络安全,依据《中华人民共和国网络安全法》,制订本条例。第二条 本条例所称要害信息基础设施,是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和畛域的,以及其余一旦受到毁坏、丢失性能或者数据泄露,可能严重危害国家平安、国计民生、公共利益的重要网络设施、信息系统等。第三条 在国家网信部门兼顾协调下,国务院公安部门负责领导监督要害信息基础设施平安爱护工作。国务院电信主管部门和其余无关部门按照本条例和无关法律、行政法规的规定,在各自职责范畴内负责要害信息基础设施平安爱护和监督管理工作。省级人民政府无关部门根据各自职责对要害信息基础设施施行平安爱护和监督管理。第四条 要害信息基础设施平安爱护保持综合协调、分工负责、依法爱护,强化和落实要害信息基础设施运营者(以下简称运营者)主体责任,充分发挥政府及社会各方面的作用,独特爱护要害信息基础设施平安。第五条 国家对要害信息基础设施履行重点保护,采取措施,监测、进攻、处理来源于中华人民共和国境内外的网络安全危险和威逼,爱护要害信息基础设施免受攻打、侵入、烦扰和毁坏,依法惩治危害要害信息基础设施平安的违法犯罪流动。任何集体和组织不得施行非法侵入、烦扰、毁坏要害信息基础设施的流动,不得危害要害信息基础设施平安。第六条 运营者按照本条例和无关法律、行政法规的规定以及国家标准的强制性要求,在网络安全等级爱护的根底上,采取技术保护措施和其余必要措施,应答网络安全事件,防备网络攻击和违法犯罪流动,保障要害信息基础设施平安稳固运行,保护数据的完整性、保密性和可用性。第七条 对在要害信息基础设施平安爱护工作中获得显著成绩或者作出突出贡献的单位和集体,依照国家有关规定给予表彰。 第二章 要害信息基础设施认定第八条 本条例第二条波及的重要行业和畛域的主管部门、监督管理部门是负责要害信息基础设施平安爱护工作的部门(以下简称爱护工作部门)。第九条 爱护工作部门联合本行业、本畛域理论,制订要害信息基础设施认定规定,并报国务院公安部门备案。制订认定规定该当次要思考下列因素:(一)网络设施、信息系统等对于本行业、本畛域要害外围业务的重要水平;(二)网络设施、信息系统等一旦受到毁坏、丢失性能或者数据泄露可能带来的危害水平;(三)对其余行业和畛域的关联性影响。第十条 爱护工作部门依据认定规定负责组织认定本行业、本畛域的要害信息基础设施,及时将认定后果告诉运营者,并通报国务院公安部门。第十一条 要害信息基础设施产生较大变动,可能影响其认定后果的,运营者该当及时将相干状况报告爱护工作部门。爱护工作部门自收到报告之日起3个月内实现从新认定,将认定后果告诉运营者,并通报国务院公安部门。 第三章 运营者责任任务第十二条 平安保护措施该当与要害信息基础设施同步布局、同步建设、同步应用。第十三条 运营者该当建立健全网络安全爱护制度和责任制,保障人力、财力、物力投入。运营者的次要负责人对要害信息基础设施平安爱护负总责,领导要害信息基础设施平安爱护和重大网络安全事件处理工作,组织钻研解决重大网络安全问题。第十四条 运营者该当设置专门平安管理机构,并对专门平安管理机构负责人和要害岗位人员进行平安背景审查。审查时,公安机关、国家平安机关该当予以帮助。第十五条 专门平安管理机构具体负责本单位的要害信息基础设施平安爱护工作,履行下列职责:(一)建立健全网络安全治理、评估考核制度,拟订要害信息基础设施平安爱护打算;(二)组织推动网络安全防护能力建设,发展网络安全监测、检测和危险评估;(三)依照国家及行业网络安全事件应急预案,制订本单位应急预案,定期发展应急演练,处理网络安全事件;(四)认定网络安全要害岗位,组织发展网络安全工作考核,提出处分和表彰倡议;(五)组织网络安全教育、培训;(六)履行个人信息和数据安全爱护责任,建立健全个人信息和数据安全爱护制度;(七)对要害信息基础设施设计、建设、运行、保护等服务施行平安治理;(八)依照规定报告网络安全事件和重要事项。第十六条 运营者该当保障专门平安管理机构的运行经费、装备相应的人员,发展与网络安全和信息化无关的决策该当有专门平安管理机构人员参加。第十七条 运营者该当自行或者委托网络安全服务机构对要害信息基础设施每年至多进行一次网络安全检测和危险评估,对发现的平安问题及时整改,并依照爱护工作部门要求报送状况。第十八条 要害信息基础设施产生重大网络安全事件或者发现重大网络安全威逼时,运营者该当依照无关规定向爱护工作部门、公安机关报告。产生要害信息基础设施整体中断运行或者次要性能故障、国家根底信息以及其余重要数据泄露、较大规模个人信息泄露、造成较大经济损失、守法信息较大范畴流传等特地重大网络安全事件或者发现特地重大网络安全威逼时,爱护工作部门该当在收到报告后,及时向国家网信部门、国务院公安部门报告。第十九条 运营者该当优先洽购平安可信的网络产品和服务;洽购网络产品和服务可能影响国家平安的,该当依照国家网络安全规定通过平安审查。第二十条 运营者洽购网络产品和服务,该当依照国家有关规定与网络产品和服务提供者签订平安窃密协定,明确提供者的技术支持和平安窃密任务与责任,并对任务与责任履行状况进行监督。第二十一条 运营者产生合并、分立、遣散等状况,该当及时报告爱护工作部门,并依照爱护工作部门的要求对要害信息基础设施进行处理,确保安全。 第四章 保障和促成第二十二条 爱护工作部门该当制订本行业、本畛域要害信息基础设施平安布局,明确爱护指标、根本要求、工作工作、具体措施。第二十三条 国家网信部门兼顾协调无关部门建设网络安全信息共享机制,及时汇总、研判、共享、公布网络安全威逼、破绽、事件等信息,促成无关部门、爱护工作部门、运营者以及网络安全服务机构等之间的网络安全信息共享。第二十四条 爱护工作部门该当建立健全本行业、本畛域的要害信息基础设施网络安全监测预警制度,及时把握本行业、本畛域要害信息基础设施运行状况、平安态势,预警通报网络安全威逼和隐患,领导做好平安防备工作。第二十五条 爱护工作部门该当依照国家网络安全事件应急预案的要求,建立健全本行业、本畛域的网络安全事件应急预案,定期组织应急演练;领导运营者做好网络安全事件应答处理,并依据须要组织提供技术支持与帮助。第二十六条 爱护工作部门该当定期组织发展本行业、本畛域要害信息基础设施网络安全查看检测,领导监督运营者及时整改安全隐患、欠缺安全措施。第二十七条 国家网信部门兼顾协调国务院公安部门、爱护工作部门对要害信息基础设施进行网络安全查看检测,提出改良措施。无关部门在发展要害信息基础设施网络安全查看时,该当增强协同配合、信息沟通,防止不必要的检查和穿插反复查看。查看工作不得收取费用,不得要求被查看单位购买指定品牌或者指定生产、销售单位的产品和服务。第二十八条 运营者对爱护工作部门发展的要害信息基础设施网络安全查看检测工作,以及公安、国家平安、窃密行政治理、明码治理等无关部门依法发展的要害信息基础设施网络安全查看工作该当予以配合。第二十九条 在要害信息基础设施平安爱护工作中,国家网信部门和国务院电信主管部门、国务院公安部门等该当依据爱护工作部门的须要,及时提供技术支持和帮助。第三十条 网信部门、公安机关、爱护工作部门等无关部门,网络安全服务机构及其工作人员对于在要害信息基础设施平安爱护工作中获取的信息,只能用于保护网络安全,并严格依照无关法律、行政法规的要求确保信息安全,不得泄露、发售或者非法向别人提供。第三十一条 未经国家网信部门、国务院公安部门批准或者爱护工作部门、运营者受权,任何集体和组织不得对要害信息基础设施施行破绽探测、渗透性测试等可能影响或者危害要害信息基础设施平安的流动。对根底电信网络施行破绽探测、渗透性测试等流动,该当当时向国务院电信主管部门报告。第三十二条 国家采取措施,优先保障能源、电信等要害信息基础设施平安运行。能源、电信行业该当采取措施,为其余行业和畛域的要害信息基础设施平安运行提供重点保障。第三十三条 公安机关、国家平安机关根据各自职责依法增强要害信息基础设施平安捍卫,防备打击针对和利用要害信息基础设施施行的违法犯罪流动。第三十四条 国家制订和欠缺要害信息基础设施平安规范,领导、标准要害信息基础设施平安爱护工作。第三十五条 国家采取措施,激励网络安全专门人才从事要害信息基础设施平安爱护工作;将运营者平安管理人员、平安技术人员培训纳入国家持续教育体系。第三十六条 国家反对要害信息基础设施平安防护技术创新和产业倒退,组织力量施行要害信息基础设施平安技术攻关。第三十七条 国家增强网络安全服务机构建设和治理,制订治理要求并加强监督领导,一直晋升服务机构能力程度,充分发挥其在要害信息基础设施平安爱护中的作用。第三十八条 国家增强网络安全军民交融,军地协同爱护要害信息基础设施平安。 第五章 法律责任第三十九条 运营者有下列情景之一的,由无关主管部门根据职责责令改过,给予正告;拒不改过或者导致危害网络安全等结果的,处10万元以上100万元以下罚款,对间接负责的主管人员处1万元以上10万元以下罚款:(一)在要害信息基础设施产生较大变动,可能影响其认定后果时未及时将相干状况报告爱护工作部门的;(二)平安保护措施未与要害信息基础设施同步布局、同步建设、同步应用的;(三)未建立健全网络安全爱护制度和责任制的;(四)未设置专门平安管理机构的;(五)未对专门平安管理机构负责人和要害岗位人员进行平安背景审查的;(六)发展与网络安全和信息化无关的决策没有专门平安管理机构人员参加的;(七)专门平安管理机构未履行本条例第十五条规定的职责的;(八)未对要害信息基础设施每年至多进行一次网络安全检测和危险评估,未对发现的平安问题及时整改,或者未依照爱护工作部门要求报送状况的;(九)洽购网络产品和服务,未依照国家有关规定与网络产品和服务提供者签订平安窃密协定的;(十)产生合并、分立、遣散等状况,未及时报告爱护工作部门,或者未依照爱护工作部门的要求对要害信息基础设施进行处理的。第四十条 运营者在要害信息基础设施产生重大网络安全事件或者发现重大网络安全威逼时,未依照无关规定向爱护工作部门、公安机关报告的,由爱护工作部门、公安机关根据职责责令改过,给予正告;拒不改过或者导致危害网络安全等结果的,处10万元以上100万元以下罚款,对间接负责的主管人员处1万元以上10万元以下罚款。第四十一条 运营者洽购可能影响国家平安的网络产品和服务,未依照国家网络安全规定进行平安审查的,由国家网信部门等无关主管部门根据职责责令改过,处洽购金额1倍以上10倍以下罚款,对间接负责的主管人员和其余间接责任人员处1万元以上10万元以下罚款。第四十二条 运营者对爱护工作部门发展的要害信息基础设施网络安全查看检测工作,以及公安、国家平安、窃密行政治理、明码治理等无关部门依法发展的要害信息基础设施网络安全查看工作不予配合的,由无关主管部门责令改过;拒不改过的,处5万元以上50万元以下罚款,对间接负责的主管人员和其余间接责任人员处1万元以上10万元以下罚款;情节严重的,依法追究相应法律责任。第四十三条 施行非法侵入、烦扰、毁坏要害信息基础设施,危害其平安的流动尚不构成犯罪的,按照《中华人民共和国网络安全法》无关规定,由公安机关没收守法所得,处5日以下扣留,能够并处5万元以上50万元以下罚款;情节较重的,处5日以上15日以下扣留,能够并处10万元以上100万元以下罚款。单位有前款行为的,由公安机关没收守法所得,处10万元以上100万元以下罚款,并对间接负责的主管人员和其余间接责任人员按照前款规定处罚。违反本条例第五条第二款和第三十一条规定,受到治安管理处罚的人员,5年内不得从事网络安全治理和网络经营要害岗位的工作;受到刑事处罚的人员,一生不得从事网络安全治理和网络经营要害岗位的工作。第四十四条 网信部门、公安机关、爱护工作部门和其余无关部门及其工作人员未履行要害信息基础设施平安爱护和监督管理职责或者玩忽职守、滥用职权、徇私舞弊的,依法对间接负责的主管人员和其余间接责任人员给予处罚。第四十五条 公安机关、爱护工作部门和其余无关部门在发展要害信息基础设施网络安全查看工作中收取费用,或者要求被查看单位购买指定品牌或者指定生产、销售单位的产品和服务的,由其下级机关责令改过,退还收取的费用;情节严重的,依法对间接负责的主管人员和其余间接责任人员给予处罚。第四十六条 网信部门、公安机关、爱护工作部门等无关部门、网络安全服务机构及其工作人员将在要害信息基础设施平安爱护工作中获取的信息用于其余用处,或者泄露、发售、非法向别人提供的,依法对间接负责的主管人员和其余间接责任人员给予处罚。第四十七条 要害信息基础设施产生重大和特地重大网络安全事件,经考察确定为责任事故的,除该当查明运营者责任并依法予以查究外,还应查明相干网络安全服务机构及无关部门的责任,对有尽职、失职及其他违法行为的,依法追究责任。第四十八条 电子政务要害信息基础设施的运营者不履行本条例规定的网络安全爱护任务的,按照《中华人民共和国网络安全法》无关规定予以解决。第四十九条 违反本条例规定,给别人造成侵害的,依法承当民事责任。违反本条例规定,形成违反治安管理行为的,依法给予治安管理处罚;构成犯罪的,依法追究刑事责任。 第六章 附 则第五十条 存储、解决波及国家机密信息的要害信息基础设施的平安爱护,还该当恪守窃密法律、行政法规的规定。要害信息基础设施中的明码应用和治理,还该当恪守相干法律、行政法规的规定。第五十一条 本条例自2021年9月1日起实施。 ...

August 17, 2021 · 1 min · jiezi

关于安全:IT咨询巨头埃森哲遭遇勒索攻击事件给了我们哪些启示

近日,寰球IT征询巨头财产500强公司埃森哲遭逢了LockBit勒索软件组织的勒索软件网络攻击。一个名为LockBit 2.0的勒索软件组织宣称从埃森哲窃取了6TB的数据,并要求领取5000万美元的赎金。 埃森哲在受到攻打后公布了电子邮件申明,称其在事件产生后立刻管制并隔离了受影响的服务器,并从备份中完全恢复了受影响的零碎。而最新消息显示,埃森哲并未领取赎金,勒索组织曾经公布了窃取的数据,但临时没有发现其中含有任何埃森哲公司的敏感信息。 (LockBit组织在BLOG上公开数据倒计时现已归零) 从埃森哲本次的遭逢,不难看出,欠缺的零碎备份计划在反抗勒索病毒攻打中的意义。事实上,欠缺的零碎备份加上充沛的危险检测,也是行业公认的反抗勒索病毒的第一道防线。 在备份零碎欠缺的状况下,企业能够在最短时间内复原零碎。而思考到勒索病毒的弱小破坏力,企业在进行零碎备份时应该做到尽量的充沛,通常能够遵循3-2-1的准则来施行备份,即重要数据须要3份残缺文件备份,一份原件加上两份拷贝;将文件存储在磁带、光盘、云贮存等至多两种不同的介质上;将一份文件异地保留。 除了备份零碎,在危险检测方面,企业端须要对服务组件进行破绽治理、基线查看等工作,来被动发现潜在的破绽危险,构建平安防线,并通过病毒查杀引擎实现主动防御。但这些工作往往须要投入大量的团队和资金,对一些中小型企业来说会造成不小的压力。 随着云计算技术的倒退,上云成为了企业在保障业务倒退的同时兼顾平安建设的最佳计划,许多实践证明云上的主机零碎人造能够反抗勒索病毒的毁坏,其中一个重要的起因就是云服务提供商为客户提供了绝对欠缺的备份计划,让受益用户能够绝对低成本的复原业务;而且,云服务商往往有业余平安团队7*24小时监控云上攻打流动,往往能够在攻打的初始阶段及时处理,从而大幅缩小了产生零碎瘫痪等灾难性事件的概率。 以腾讯云为例,在勒索病毒攻打产生之前,通过腾讯根底平安多种产品的协调配合能够实现危险检测与充沛备份并行,帮忙客户防患于未然。具体来看,针对私有云用户,腾讯平安能够提供以下多种平安产品组合,帮忙用户实现欠缺的数据备份以及危险检测: 1.云硬盘CBS:提供用于 CVM 的持久性数据块级存储服务; 2.平安托管服务:提供平安评估测评服务,以发现和修复网络弱点; 3.主机平安:提供基线检测与破绽检测修复服务; 4.破绽扫描服务:网络资产安全漏洞扫描修复服务。 而对于采纳公有云、混合云等简单网络环境的政企机构来说,须要笼罩从云到端的残缺平安进攻体系,防护工作绝对更加简单。可根据本身的业务需要灵便组合部署以下产品,实现无效的事先预防: 1.腾讯平安经营核心(SOC):协调治理现有平安防护产品和团队,提供决策参考; 2.腾讯高级威逼检测零碎(NTA):旁路流量剖析检测,实时正告黑客攻击行为; 3.腾讯零信赖iOA:确保对企业资源的可信拜访并升高企业数据泄露危险; 4.腾讯网络入侵防护系统(NIPS):和其余平安产品的实时联动阻断所有攻打连贯。 勒索病毒因其弱小的破坏力受到了行业的高度关注,但实质上勒索只是病毒入侵并获取到企业外围数据之后的一种变现模式,行业面临的勒索攻打,大体上曾经蕴含了所有的病毒入侵办法,如果某个企业不能进攻勒索攻打,同样也抵挡不住其余网络攻击。 因而,进攻勒索病毒更应该从企业网络安全的基础设施做起,在企业信息化建设的过程中,将数据备份、破绽治理、补丁更新、员工定期平安培训等工作列入重要日程,防患于未然永远强过亡羊补牢。

August 13, 2021 · 1 min · jiezi

关于安全:腾讯TSec-NTA被列入Gartner最新发布的新兴趋势网络检测和响应的最佳用例报告

日前,寰球权威信息技术钻研和顾问公司Gartner公布了题为《Emerging Trends: Top Use Cases for Network Detection and Response》(新兴趋势:网络检测和响应的最佳用例)的报告,腾讯平安高级威逼检测产品T-Sec NTA(御界)作为技术案例被列入其中。 另一份提及腾讯平安高级威逼检测产品T-Sec NTA(御界)的Gartner钻研报告,是往年3月公布的《Emerging Technologies: Adoption Growth Insights for Network Detection and Response》(新兴技术:网络检测和响应的采纳增长洞察)[2]。 报告指出,“基于用户采用率,NDR市场由四个外围用例驱动。为了使支出最大化,产品领导者应该进步能力,并将路线图工作集中在检测、搜查、取证和响应用例上”[1]。同时,报告还对NDR产品开发者提出了如下四点倡议: ■ “持续开发新的基于人工智能(AI)的检测办法,特地是构建额定的基于人工智能的引擎来检测加密流量中的攻打■ 评估搜寻能力在本身NDR解决方案中的整体重要性,以确认所将参加竞争的具体NDR市场畛域,从而调整产品上市打算以匹配本身投资■ 将取证纳入工作流程,以减少本身NDR解决方案的粘性■ 投资至多两种响应办法,至多其中一种办法应该与平安编排、自动化和响应(SOAR)产品集成” [1] 联合腾讯二十多年反抗黑灰产的教训,腾讯平安流量威逼检测与响应零碎(NDR)交融了T-Sec NTA(御界)高级威逼检测能力,以及T-Sec NIPS(腾讯天幕)网络边界防御能力,帮忙企业进行智能化平安进攻部署。 腾讯T-Sec NTA(御界)产品通过镜像形式采集企业网络边界流量,联合腾讯多年积攒的海量平安数据,通过大量利用人工智能等高级检测办法,使用数据模型、平安模型、感知算法模型辨认网络攻击及高级威逼(APT)。检测成果显著优于传统检测办法,并且反对与腾讯天幕联动,造成检测响应闭环。 T-Sec NTA(御界)提供针对数据泄露、明码平安、勒索病毒等多种平安场景专题剖析,联合大数据处理、加密流量检测等能力,提供全流量溯源剖析与取证,并且反对无缝与腾讯云平安经营核心连接,造成平安经营闭环。 另外,T-Sec NTA(御界)会集了腾讯平安20年的海量平安能力,累积文件样本>150亿,域名信用数据>10亿,IP信用外围>20亿,外围IOC数据>50万,每日检测域名或URL的能力>3亿。为了迅速剖析判断如此海量的数据源,T-Sec NTA(御界)集成AI技术能力,采纳深度学习交融模型利用时序特色和动态特色检测未知威逼,通过数以万计的测试样本验证,AI技术检测准确率达到99.67%,相比传统计划晋升20% 的检出率。 T-Sec NIPS(腾讯天幕)是以腾讯自研平安算力算法为底层外围能力,用于全局威逼检测与全网全进口拦挡的网络边界进攻计划。通过旁路部署形式,无变更无侵入地对网络4层会话进行实时阻断,并提供了阻断API,不便其余平安检测类产品调用,可能在不同业务场景下联动各个环节的平安产品,实现一点监测、全局联动、全网阻断。 目前,腾讯流量威逼检测与响应零碎(NDR)已服务政府、金融、互联网等行业客户,为多家头部企业提供网络安全防御能力。在和国内某头部银行的单干中,腾讯流量威逼检测与响应零碎(NDR)帮忙其胜利守护了3000多个云服务器和160个公共服务和网站,并通过警报相关性剖析将警报数量缩小76%,阻断率可达99.9%,显著进步了平安运维人员考察事件和解决警报的效率。 以后新一轮科技反动和产业改革正在减速演进,5G、人工智能、云计算等新技术不断涌现,为经济倒退注入新动能的同时,网络安全危险也日益严厉。面对日趋简单的安全形势,腾讯平安将一直积极探索网络安全倒退新途径,放慢技术创新,全面晋升网络安全保障能力,切实为政企数字化转型保驾护航,推动高质量倒退。 Source/起源:[1] Gartner, Emerging Trends: Top Use Cases for Network Detection and Response, Nat Smith,Christian Canales,30 July 2021 [2] Gartner, Emerging Technologies: Adoption Growth Insights for Network Detection and Response, Nat Smith et al., 24 March 2021 ...

August 13, 2021 · 1 min · jiezi

关于安全:新法实施在即企业如何渡过数据安全大关|产业安全观智库访谈

2018年5月,欧盟出台了GDPR,美国、新加坡、日本、印度等国家也疾速跟进,在寰球范畴内,数据安全立法工作一下子进入了快车道。 2018年9月,我国正式启动《数据安全法》立法工作。2020年6月,《数据安全法(草案)》实现审议。2020年7月,《数据安全法(草案)》公布。2021年6月,《数据安全法》正式公布。2021年9月1日,《数据安全法》开始实施。三年工夫,咱们独特见证了《数据安全法》的落地。9月1日,数据安全法正式施行,标记着数据安全和数据利用正式纳入国家治理体系。全新的法律法规会对企业平安防护工作产生重大影响,企业应该如何深入本身数据安全方面的进阶建设,匹配法律法规的新要求?进而又该如何将数据安全体系打造成企业的基因,成为其参加市场竞争的劣势? 本期产业安全观智库访谈,咱们以2021年北京工业互联网数据安全倒退论坛为背景,邀请到国家工业信息安全倒退钻研核心保障技术所副所长王墨、北京航空航天大学副研究员李博、腾讯平安副总裁黎巍、天融信科技集团股份有限公司副总裁唐宁、中国铁道迷信研究院团体有限公司评测核心等保测评部主任周泽岩、腾讯平安数据安全产线负责人崔卓,就《数据安全法》落地与利用、数据安全技术与产业倒退等进行深度探讨,为大家详解《数据安全法》的立法背景及久远影响。 Q:《数据安全法》出台的背景及外围目标是什么? 李博:我认为背景能够从三个方面来讲。 第一、 数据曾经成为新的生产因素,数据资源也是一种策略资源,它在国民经济中施展的作用也越来越大。相应的平安危险和挑战必定也会越来越多,这是一个大的背景。 第二、 从法律角度来讲,咱们更多关注数据作为一种策略资源,在国际竞争中也处在各国抢夺的焦点。 第三、《数据安全法》的出台也是出于我国本身的理论需要,从中国互联网倒退来看,尤其是数据在这里起到了至关重要的作用,但相应也产生了一些副作用,比方一些隐衷泄露、大数据杀熟等,也迫切需要通过立法来做相应的保障。 对于《数据安全法》出台的目标,从国家层面,因为有《国家安全法》这样一个上位法体系,《数据安全法》其实是针对数据安全畛域的一个补充法律。从企业层面,行业内都制订了各自的数据安全标准,但缺了一层国家根本法律,相当于补充了一个口子。 Q:数据安全专委会如何发展《数据安全法》相干工作? 数据安全专委会由北京工业互联网技术创新和产业倒退联盟发动,旨在充分发挥各单位的行业劣势、技术劣势、资源优势和人才劣势,搭建产学研用一体化的数据安全交换单干平台,放慢促成数据安全技术和产业高质量倒退。 王墨:明天在会上咱们发动设立数据安全专委会,心愿用整体化的劣势资源聚拢产学研,一体化推动数据安全技术和产业倒退。后续咱们将发展四个方面的工作: 第一、 政策规范方面的钻研,咱们会跟踪国内外一些比拟先进的政策、制度、法律法规的钻研,参加一些咱们国家顶层的政策文件、指导性文件的编制、及时跟踪整个行业的态势进行相干剖析,造成数据安全畛域的刊物编辑和出版。 第二、 技术方面的钻研,咱们会围绕数据安全,对提供监测、防护、共享、交易的利用,以及提供数据安全服务的工作,联结企业力量,一起发展技术钻研的工作。也会聚焦工业平安、工业互联网安全、车联网平安等这些畛域的特点,发展规范的研制。 第三、 发展评估评测工作,比方聚焦DSMM、DCMM、数据安全防护能力评估、数据跨境的防护能力评估,做好整个评估工作的对接。同时,咱们也会培养业余的评估队伍,在整个评估过程中贯通评估标准、测试验证。 第四、 整个数据安全产业的宣传与推广,包含数据安全技术与产品的体系建设,还有产业图谱、产业钻研的工作,会遴选一些优良的解决方案,发展试点示范。后续的过程中还会发展产品的推介,学术沙龙,高端论坛。 咱们也心愿借这个机会联结各方力量,独特把整个工作做好。后续还会筹备政策、工业互联网的工作组,心愿大家都能踊跃投入进来,为数据安全事业倒退添砖加瓦。 Q:数据安全产业是否将迎来“春天”? 唐宁:其实《网络安全法》、《数据安全法》之间是姊妹法的概念,不是上位法下位法。所以现阶段,我认为能够把数据安全市场和网络安全市场看成一体。 目前法律层面曾经落实,将来会有更多的下位法或相干的标准规范撑持。当初能够看到《数据安全法》要做的是数据分类分级的防护。无论是工业相干分类分级,还是教育、卫生,金融、运营商等数据分类分级,相干的防护性工作都曾经动起来了。这将大大地促成整个网络安全、数据安全市场的前景。 当初大家都在讲数据全生命周期的平安防护,这些工作须要做,但还不够。一方面环境的平安要做,一方面数据治理或平安治理要做。再者,数据全生命周期平安防护的随同保障、随同赋能、相干数据利用的平安防护也要做,只有这些货色做到了,数据安全的指标才可能达到,这实际上就是《数据安全法》的连环影响。 工信部也公布了3年高质量产业倒退布局,2023年网络安全整个市场是2500个亿,《数据安全法》从数据安全角度,给整个网络安全市场做了一次很好的加持,有等保2.0,又有《数据安全法》,不久的未来会有分保2.0进去,市场规模我感觉必定是没有问题的。 Q:典型行业和大型企业如何度过数据安全关? 王墨:针对工业互联网数据安全的三个思路 近年来,工信平安核心也高度重视数据安全的工作。在贴近工业企业,进行比拟粗疏的梳理和查看过程中,咱们发现了很多问题。 咱们围绕着数据安全的监测、防护、共享和交易等发展能力建设,当初曾经造成了一系列的平台和工具,都投入到了国家在数据安全撑持的能力建设以及查看工作中。围绕着“双安法”的落实,咱们也在踊跃钻研针对工业行业数据如何发展这种数据安全的工作,简略来说有几个思路。 首先,肯定要明确工业行业数据和工业数据的解决者概念的领域,能力更好更精确地发展后续工作。包含主体责任的落实、具体提出的平安要求。比方,工业数据界定为在工业畛域,产品和服务全生命周期中产生和利用的数据。工业数据处理者能够了解为在收集、存储、加工工业数据过程中,工业行业或是工业数据服务的提供者。 第二,工业企业有本身特色,衍生进去工业数据的分类分级。分类分级平安防护和整个工作机制落实也有本人的特色,比方分类分级方面,工业行业品种很多,因而工业数据品种很多,分类分级跟其余工作就会有不同的重点。另外在平安防护方面,工业企业的数据实时性比拟强,而且工业数据稳定性要求也会比拟高,包含多关联、闭环反馈,所以做防护解决方案的时候会更有针对性,须要依据行业特色和数据特点来制订。 第三,工作机制方面,“数安法”也提到了,当初工业数据的监管次要通过中央的工信主管部门和通信主管部门进行。工业企业产生的工业数据由中央的工信主管部门来领导。工业互联网平台的企业产生的数据由中央的通信主管部门来领导。简略来说,咱们国家数据安全产业事业刚刚起步,工信平安核心心愿同泛滥企业、科研院所交换研究,一起建立健全整个数据安全产业的倒退体系。 周泽岩:国铁团体长期布局数据安全建设 目前咱们国铁团体在数据安全畛域始终从事钻研工作,去年跟前年,国铁团体都立了数据安全治理方面的国铁团体重大课题。 不光是铁路上钻研机构参加,社会各界,比方清华大学、华北电力大学都有参加到钻研工作当中。所以在这方面工作的软科学钻研,咱们铁路始终在做。 落实在具体工作中,比如说12306,其实很早就采纳了相干的明码技术,对数据分级分类做了相干解决,并且也出过一些具体计划。 从国铁团体整体来讲,因为在天津武清建了一个主数据中心,目前比拟重要的是全路对立应用的信息系统,很多数据咱们也依照国家的要求进行上移,《数据安全法》和去年公安部公布的1966号文件当中也提到了重点数据上移的问题。 下一步《数据安全法》颁布后,包含落实数据的分级管理制度,除了12306里波及到的个人信息,铁路上重要的天文标识信息,客运、货运、以及一些经营治理相干的重要信息,下一步都须要做数据相干的归类、划分,依照《数据安全法》相干要求,推动预警机制、应急处理机制、相干培训等。以及《数据安全法》中谈到的作为企业应该提供的任务,都是下一步咱们须要重点关注的。 国铁团体多年以来继续跟国家的法律法规、地方政策保持一致,咱们也会在这个路线上继续后退、砥砺前行。 黎巍:打造数据安全体系是腾讯平安的策略外围 数据安全问题,对于每个企业来说都十分重要,早在10年前,腾讯外部对数据的平安就做了十分零碎的治理。那时候还没有GDPR,没有各种平安法规。因为腾讯很分明地晓得,咱们肩负着海量的高价值数据,关系到国计民生。首先,腾讯外部有一套十多年来在反抗中逐步造成齐备的体系。同时,几年前腾讯开始给企业提供服务当前,发现对于数据安全面临的问题,不仅是腾讯,各行各业都会遇到这样的问题。尤其是这两年,各种法律法规的促成,各种重大事件的驱动,企业对数据安全越发器重。 所以在腾讯的整个平安体系里,数据安全无论是在外部还是对外提供,都处于十分重要的策略外围地位。从腾讯平安的角度来看,有了云平台之后,也是一个机会,能够帮忙企业围绕数据安全的治理,造成一个数据安全核心承载数据安全的能力,让企业面对数据安全问题的时候,可管可控,可能及时发现,及时预警、及时处理。 对于腾讯来说,打造整个数据安全体系,是腾讯平安的策略外围,十分重要又极具挑战的。 Q:云平台、云计算能为数据安全、以及整个平安行业带来哪些增益? 黎巍:云的场景跟传统的IDC网络存储环境有十分大的区别。传统IDC外面,所有货色都在本人的可控下,那时候很多货色没有齐全联网,不和外界产生分割,也就没有平安问题产生。但随着产业的倒退,任何一家企业,即使是传统餐饮企业,它都会产生互联网数据。所谓产业互联网,就是各行各业都会最终实现联网。 所以在云的场景下,做平安必定要和外界产生分割。必然要产生分割的常态下,怎么去做平安?如果每个企业都要去建一个很简单的体系,对大部分企业来说是不事实的,因为要把平安体系搭建起来,须要企业团队、技术、产品各种各样资源的投入。而作为云服务商来说,自身是从底层来为企业构建一个基础设施。基础设施安不平安,是作为任何一个云厂商首先要思考的问题。所以对于传统企业来说,云的底座和基础设施就是补救企业在数字平安层面的短板。传统的企业上云当前,会发现起码有了一个最根本的底座。 长期来看,云是十分好的生态,能够帮忙企业节约投资老本,又能比拟好的取得平安防护能力。而作为云厂商,因为有云的买通,能够提供云的SaaS服务或者弹性服务,让企业数据很快接入,通过数据安全核心管控起来,具备所需的平安能力。所以云对于中小企业来讲,是更加低成本、更高效的解决方案。 写在最初总的来说,数据安全是万物互联背景下各个行业面临的长期课题。《数据安全法》的颁布既是挑战、更是时机,将来须要产学研用多方协同,共建可继续倒退的数据安全体系,开掘并开释数据安全市场的更多潜能。 「产业安全观智库访谈」是腾讯平安依靠中国产业互联网倒退联盟及平安业余委员会,策动的一档聚焦于产业平安、平安生态、平安产业倒退、平安与各产业交融等策略宏观维度的高端访谈栏目。 专栏文章:疫情和“新基建”双重驱动,平安产业倒退按下“减速键”发改委明确新基建范畴,产业平安如何做好这道“必答题”?如何建设与智慧城市相匹配的平安体系?两会要害政策解读,产业平安建设需成为“先行者”风生水起藏隐忧:电商行业的平安挑战与改革企业上云如何享受普惠平安红利?数字营销减速进入“下半场”,如何应答虚伪流量“顽疾”?持续增长的物联网行业,平安体系建设跟上了吗?游戏出海闯千亿市场,DDoS难关如何度过?

August 12, 2021 · 1 min · jiezi

关于安全:Quick-BI-功能炸弹即席分析模板市场企业微信免密登录等强势功能

简介: 2021年7月,Quick BI公共云版本迭代新性能:重磅推出即席剖析、模板市场,剖析门槛再升高;推出企业微信无缝对接,挪动端类目共性配置及治理晋升多端能力;数据建模配置交互降级至拖拽模式晋升效率,新增数据源并新增群空间文件上传能力;行列权限平安降级,配置更加灵便及精细化。-更少数智化转型、数据中台内容请退出阿里云数据中台交换群以及官网微信(文末扫描二维码) -阿里云数据中台官网 https://dp.alibaba.com/index Quick BI_——阿里云上客户都在用的BI产品(中国惟一入选Gartner ABI魔力象限BI),无缝对接各类云上数据库和自建数据库,大幅晋升数据分析和报表开发效率,0代码鼠标拖拽式操作交互,让业务人员也能轻松实现海量数据可视化剖析。_ 理解产品详情:https://www.aliyun.com/product/bigdata/bi 本次新性能迭代堪称跨了一大步01 即席剖析+行业模板 应用门槛再升高仪表板能力继续晋升:全新推出「模板市场」提供行业、最佳实际模板,涵盖互联网、批发、金融等多个行业,即插即用,一键助力企业一键复用行业专家教训推出行业模板市场:提供行业最佳实际看板,涵盖互联网、批发、金融等多个行业,即插即用,一键助力企业复用行业专家教训02 多端降级 助力挪动看数丰盛多端对接:再降级,推出「企业微信」无缝对接挪动端类目治理:报表类目共性可配实现企业挪动端千人千面看数体验03 配置提效 数据源扩大数据建模配置全面晋升:交互体验全面晋升,拖拽模式助力提效数据源继续丰盛:新增Oceanbase、Kylin数据源,群空间新增文件上传能力04 平安降级 权限管控力晋升行列权限管控平安降级:配置精细化及灵便度降级,针对简单组织的中大型企业,权限管控能力极大晋升具体请看下文细细说来:可视化剖析模块能力降级性能1: 全新推出「模板市场」(专业版特有性能)Quick BI团队提供行业、最佳实际模板,涵盖互联网、批发、金融等多个行业,即插即用;企业组织能够自定义企业模版,反对其余用户利用模版并进行自定义批改配置,一套剖析模版疾速复用至业务场景 模板详情见:https://bi.aliyun.com/template/nl/public 性能2:新增6套主题模版,并反对卡片背景、色彩吸色、卡片间距、突变模式、题目字号等配置;进步用户配置灵便度满足各业务方个性化视觉需要,新增更多酷炫模版升高配置门槛 性能3:新增备注、尾注性能,反对插入动静条件、汇总指标;多用于备注辅助信息和剖析见解,让仪表板可视更可读 性能4:查问控件联结行级权限,默认值可按行级权限失效;基于行级权限,生成查问控件默认值,让拜访端用户免切换,体验更敌对 重磅推出全新模块「即席剖析」(专业版特有性能)性能1:以表格模式展现,反对间接从数据面板内拖拽字段的维值生成表格;容许不同维度的拼装,组合造成分面,实现更多维的剖析场景 性能2:反对在表格区域内间接进行多种计算、排序、格式化等操作 性能3:反对间接将维值拖入控件区生成筛选条件,无需简单的条件配置 挪动端能力再降级,全面对接企业微信性能1:反对企业微信微利用配置,微信账号免密登陆拜访(专业版特有性能) 性能2:图表跳转整体优化,反对页面呼出;让交互更顺畅 性能3:反对类目目录可见范畴配置 数据源&数据建模全面降级性能1:群空间反对文件上传,新增数据源Oceanbase、Kylin性能2:数据建模交互降级,新增字段批量配置、新建计算字段援用工夫字段、字段抉择等能力;全面晋升数据建模交互体验,拖拽所见即所得的模式让建模更易读、易配置 管控力降级,让数据更平安性能1:行权限反对多条件配置、同时反对枚举值或标签受权等;反对多条件配置,灵便的适配组织权限场景,精细化的数据管控让数据更平安。多用于,简单组织企业,按区域划分、按业务模块划分数据所见范畴,实现不同的用户在同一个仪表板看到不同的业务数据后果,如:华北负责人只能看到华北区域相干数据,而总部负责人能够看到所有区域相干数据。 性能2:列权限反对字段是否可见及数据脱敏规定配置,让敏感字段管制更精密;多用于按部门划分数据字段范畴,如:财务部门可见老本字段,营销部门不可见老本字段。 更多理解Quick BI 能够查看https://www.aliyun.com/product/bigdata/bi Quick BI——阿里云上客户都在用的BI产品(中国惟一入选Gartner ABI魔力象限BI),无缝对接各类云上数据库和自建数据库,大幅晋升数据分析和报表开发效率,0代码鼠标拖拽式操作交互,让业务人员也能轻松实现海量数据可视化剖析。 数据中台是企业数智化的必经之路,阿里巴巴认为数据中台是集方法论、工具、组织于一体的,“快”、“准”、“全”、“统”、“通”的智能大数据体系。 目前正通过阿里云对外输入系列解决方案,包含通用数据中台解决方案、批发数据中台解决方案、金融数据中台解决方案、互联网数据中台解决方案、政务数据中台解决方案等细分场景。 其中阿里云数据中台产品矩阵是以Dataphin为基座,以Quick系列为业务场景化切入,包含: - Dataphin,一站式、智能化的数据构建及治理平台;- Quick BI,随时随地 智能决策;- Quick Audience,全方位洞察、全域营销、智能增长;- Quick A+, 跨多端全域利用体验剖析及洞察的一站式数据化经营平台;- Quick Stock, 智能货品经营平台;- Quick Decision,智能决策平台;官方站点: 数据中台官网 https://dp.alibaba.com 钉钉沟通群和微信公众号 版权申明:本文内容由阿里云实名注册用户自发奉献,版权归原作者所有,阿里云开发者社区不领有其著作权,亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容,填写侵权投诉表单进行举报,一经查实,本社区将立即删除涉嫌侵权内容。

August 11, 2021 · 1 min · jiezi

关于安全:政策密集发布-网络安全行业加速织就新图景

编者按网络安全畛域的国家顶层政策陆续公布,网络安全的国家战略地位失去进一步坚固。加之各中央政府也陆续将网络安全纳入“十四五”布局的重点建设领域,网络安全产业关上了新的增长空间。 与此同时,企业平安服务的洽购逻辑正产生扭转,企业的品牌口碑、行业影响力,乃至一些企业的组织构造也随之产生调整,一幅网络安全行业新图景正在减速“织就”。 本期产业平安TALK分享一篇来自《上海证券报》的文章,作者从产经的角度粗浅剖析了政策对网络安全产业的影响。 记者:温婷起源:上海证券报 网络安全行业,正迎来顶层布局及法律法规的密集公布。 7月份以来,《网络安全产业高质量倒退三年行动计划(2021-2023年)(征求意见稿)》(以下简称《行动计划》)公布,《网络安全审查方法(订正草案征求意见稿)》(以下简称《审查方法》)也在公开征求意见,《网络产品安全漏洞治理规定》和《数据安全法》将于9月1日正式实施。 工业和信息化部最新颁布的统计显示,往年上半年,网络信息安全产品和服务共实现支出732亿元,同比增长26.0%,增速较一季度进步1.2个百分点,更是超过《行动计划》中提出的15%年均增速指标。 政策推动之下,网络安全产业的新一轮景气周期正减速而至。 网络安全行业预期规模扩容依照《行动计划》的指标,到2023年,网络安全产业规模超过2500亿元,年复合增长率超过15%。相比2019年的布局,指标规模扩容了25%。 这一增速指标,让腾讯平安策略倒退核心行业平安专家组负责人陈颢明“眼前一亮”。 “《行动计划》提出,电信等重点行业网络安全投入占信息化投入比例要达10%。此前,网络安全在局部中央的平安倒退布局中有所提及,但这次征求意见稿,则是从全行业的角度进行了布局,对整个行业将有极大的推动作用。”他说。 和陈颢明一样,承受记者采访的多位业内人士示意,此次《行动计划》是继“等保2.0”(即“网络安全等级爱护制度2.0国家标准”)公布之后又一网络安全畛域的国家顶层政策,网络安全的国家战略地位失去进一步坚固。 2019年,工业和信息化部出台《对于促成网络安全产业倒退的领导意见》提出,力争到2025年,网络安全产业规模将超过2000亿元。 最新的《行动计划》则有新的指标:2023年,网络安全产业的布局指标将超过2500亿元。比照而言,不仅工夫提前了两年,指标规模也扩容了25%。 数据安全市场无望成为新蓝海。9月1日,《数据安全法》将正式实施。对此,奇安信团体总裁吴云坤示意,《数据安全法》作为数据畛域的“上位法”,确定了数据流转过程中组织、集体的平安责任和任务,明确了监管要求。 同时,《数据安全法》明确了政府、企业、社会相干管理者、运营者和经营者的数据安全爱护责任,打消数据流动的“灰色地带”,造成制约机制,及时遏制住与国计民生相干的数据随便共享和流转的不良势头。 “这将确保城市的治理运营者、要害基础设施的运营者、企业经营者等相干数据经营方,把数字化转型过程的平安作为首要前提,在数据采集、共享、流转和利用等环节中,加大对数据安全的投入,欠缺爱护体系,晋升数据安全能力和程度。”吴云坤示意。 布局一直出台,口头逐渐落实。2019年至今,工业和信息化部已责令2000多家违规APP运营商进行整改。2021年以来,包含作业精灵、极速体育、高旅纵横在内的约250款APP被下架解决。 7月下旬,在后期APP专项整治的根底上,工业和信息化部又启动了为期半年的互联网行业专项整治口头(下称“专项口头”),其中,扰乱市场秩序、侵害用户权利、威逼数据安全、违反资源和资质治理规定等是重点治理内容。 安恒信息相干负责人向上海证券报记者示意,政策红利为网络安全产业关上了新的增长空间,头部企业肩上的责任则在加码。一系列监管制度的出台,从政策层面强化了网络安全治理,对相干企业的产品和服务、系统化建设等提出了更高要求,促使网络安全企业继续晋升科研实力。 中央布局重点建设加码 网络安全也被中央政府纳入“十四五”布局的重点建设领域。在5G平安、云平安、AI和数据安全方面,具备要害畛域专项技术劣势的公司将大有可为。 日前举办的2021世界人工智能大会平安高端对话会上,上海市经信委软件和信息服务业处处长裘薇走漏,正和相干部委办协商,在往年公布的网络安全“十四五”布局以及行将公布的网络安全产业行动计划中,进一步明确政府和公共企事业单位在网络安全上的投入比例不低于10%。 此外,安徽省正组织编制“十四五”网络安全和信息化总体规划及网络内容建设、网络安全、信息化等专项规划;《浙江省数字经济倒退“十四五”布局》提出,增强重点行业网络安全防护,晋升网络安全态势感知、主动防御、监测预警、平安防护能力等;《广东省数据因素市场化配置改革口头计划》近日出炉,成为全国首份数据因素市场化配置改革口头计划,预计到2021年底,广东省内初步构建起对立协调的公共数据经营管理体系等。 华创证券公布研报称,在上游需要开释方面,政府和公共企事业单位为建设重点。产品需要上,联合我国正逐渐迈入被动平安进攻时代、“云大物移”蓬勃发展,对云平安、物联网平安等新场景解决方案需要较大,对可能融入大数据、人工智能技术晋升主动防御能力的产品有迫切需要。 相干网络安全上市公司高管示意,作为新基建的重要撑持,网络安全相干布局在上海、广东等地率先落地,将带动全国范畴加大倒退网络安全产业的趋势。“十四五”期间,网络安全产业将作为中央的撑持产业取得更多反对,产业汇集效应将更加显著。 “政策红利为网络安全产业关上了新的增长空间,地方性布局的陆续推出,将进一步激活网络安全产业的倒退。”安恒信息相干人士剖析称,近年来,我国云计算、大数据、物联网等新技术的疾速倒退,在推动新兴技术市场一直增长的同时,也催生了新的平安需要和新的利用场景。新技术、新场景下,防护对象扭转,企业网络边界逐步隐没,政府和企业网络信息安全防护理念产生较大变动,网络信息安全不再是被动的修补模式,而是与信息系统建设同步布局。尤其是多云共存、混合云为主的场景,使云平安等畛域取得更多关注。 将来,网络安全产业的机会将次要集中在哪些方面?陈颢明向记者剖析称,目前,不少地市将网络安全作为“十四五”布局的重点内容,继续搀扶网络安全行业,具备生态引领能力的领航企业将取得激励,有专精特新技术劣势的翻新企业将取得反对。 7月19日,工业和信息化部网站公示第三批专精特新“小伟人”企业名单,永信至诚等多家网络安全服务“小伟人”企业上榜。陈颢明示意,在5G平安、云平安、AI和数据安全方向,面向新设施、新因素的平安设施和产品服务,将领有广大的市场空间,具备要害畛域专项技术劣势的守业公司将大有可为。 龙头公司发展势头低落 从已公布的业绩预报看,大多数网络安全板块的上市公司上半年营收增速超过20%,显示了行业需要旺盛的趋势。网络安全龙头企业更是增势强劲。 记者梳理相干公司公告显示,往年上半年,启明星辰营业支出同比预增约60%,较2019年同期增长约37%;卫士通新签合同、销售收入及回款等指标均大幅回升,预计支出同比增长约95%;美亚柏科营收预增20%至35%,同期净利润预增100.35%至127.07%,公司军工、刑侦、企事业等细分行业新签订单均较去年同期增长;中孚信息实现营业支出约3.64亿元,同比增长约107%,在主机与网络安全产品、查看检测产品快速增长的根底上,数据安全产品高速增长,公司上半年预计将扭亏为盈;数字认证同样预计扭亏为盈,公司预计上半年实现营业支出2.9亿元至3.1亿元。 此外,数据安全市场的增长后劲也引发了不少公司的前瞻性布局。 中孚信息布局了数据分类分级、标识、防护、监管等产品,造成了数据全生命周期管控解决方案;北信源与华为在大数据与人工智能、互联网通信、挪动办公、数据安全、云计算等畛域深刻单干;安恒信息日前公布数据安全整体解决方案,蕴含CAPE数据全生命周期防护体系、数据安全咨询服务体系、AiLand数据安全岛、AiTrust零信赖解决方案、AiDSC数据安全管控平台、EDR与数据勒索防护等六大产品服务。 新变动构建行业新格局 在数字化转型过程中,企业心愿云服务的供应商可能同时提供云平安的服务。因事关网络安全,相干公司赴海内IPO的政策也有了新规定。 “新的监管政策下,不仅企业平安服务的洽购逻辑将产生扭转,企业的品牌口碑、行业影响力,乃至一些企业的组织构造也都将会产生调整。首席数据安全官、首席危险官等职务,将一直产生,并将施展要害职能。”陈颢明预测道。 据理解,在与客户沟通时,多家网络安全公司负责人曾经显著感触到企业对数据安全的关注度在大幅晋升。 陈颢明剖析称,不少企业正在找腾讯及其平安生态合作伙伴进行数据安全的布局和评估,波及企业生产、供应链和软硬件产品的平安治理和零碎开发的全过程平安,金融、电信、能源、交通类企业更为显著。 “在数字化转型过程中,企业心愿云服务的供应商可能同时提供云平安的服务。数据安全畛域的查看要求一直晋升,加密算法的更新改造,以及敏感数据的分类分级爱护等服务需要也在显著晋升。”陈颢明说。 此外,因事关网络安全,相干公司赴海内IPO的政策也有了新规定。《审查方法》对赴境外上市的公司作出了非凡规定,要求把握超过100万用户个人信息的运营者赴国外上市,必须向网络安全审查办公室申报网络安全审查,且在申报材料中应提供拟提交的IPO资料。 在审查关注的国家平安危险方面,针对赴国外上市行为新增了两条: 一是外围数据、重要数据或大量个人信息被窃取、泄露、毁损以及非法利用或入境的危险; 二是国外上市后外围数据、重要数据或大量个人信息被国外政府影响、管制、歹意利用的危险。 中国信息安全研究院副院长左晓栋,长期参加我国网络安全重大政策法规钻研起草工作。在他看来,即便没有网络安全审查制度,相干企业也应该器重这项工作。因为《数据安全法》第三十条曾经对重要数据处理者规定了“定期发展危险评估”的任务。《个人信息保护法(二审稿)》第五十四条也规定了“合规审计”的任务,第五十五条规定了“事先进行危险评估”的任务。 因而,能够明确的是,从现在起,所有的数据处理者,特地是把握了批量个人信息或重要数据的大型互联网企业、公共服务机构,以及曾经在国外上市的互联网企业,要自行组织或者委托业余机构对本企业数据处理的合规性,特地是其数据处理是否可能影响国家平安,放松发展自查。

August 10, 2021 · 1 min · jiezi

关于安全:从零开始学渗透XSS攻击

XSS攻打原理XSS攻打又称为跨站脚本攻打,其本质还是一个注入型的破绽,它是通过前端输出可执行的代码,让页面解析,从而执行攻击者想要进行的操作,其次要分型分为反射型XSS、存储型XSS、DOM型XSS,它通常与CSRF攻打打组合拳,施展更大威力。 反射型XSS反射型XSS又称为非长久型,次要是通过攻击者将含有XSS攻打代码片段的链接发送给指标,由指标点击后向服务器进行申请,从而服务器返回带有XSS代码片段的数据给指标,指标的浏览器解析了,就触发了XSS。 存储型XSS通常存在于博客、论坛的留言区,攻击者通过将XSS恶意代码增加至留言区,从而使其被插入到数据库中,在此之后,所有浏览该留言区的用户,都将被执行XSS代码,从而造成持续性的挫伤。 DOM型XSS这是反射型XSS攻打的一种非凡模式,它次要利用了网页DOM批改这个破绽,它是通过一个非凡的url(浏览器地址),指标点击后,在浏览器网页解析DOM的时候,触发其XSS代码,它是不与服务器端交互的,仅产生在客户端。 常见XSS攻打语句及绕过形式罕用语句 <script>alert(1)</script> // 调用JavaScript语句<img src=x onerror=alert(1)> // src是谬误的 就会调用error函数<a href=javascript:alert(1)> // 点击a即可触发 绕过形式1.通过大小写绕过 <Script>alert()</SCript>2.通过双写绕过 <SCriscriptpt>alert()</SCriscriptpt>3.通过编码绕过 <img src=x onerror="alert&#x28;1&#x29;">,其中编码有十六进 制、八进制、HTML编码、url编码... 在进行XSS注入测试的时候要关注标签的闭合,这跟sql语句的闭合是差不多的,不过这个变成了HTML标签。此外思路要发散,通过语句跟绕过形式的不同搭配来结构payload,比如说当浏览器对script进行了本义的时候,咱们能够尝试用其余标签来结构,当on被本义的时候,咱们能够采纳伪协定的形式结构即 javascript:,总之在构建payload的时候要发散思维。 分享结束 持续加油!

August 9, 2021 · 1 min · jiezi

关于安全:从零开始学渗透信息收集

前言在进行浸透测试之前,最重要的一步就是进行信息收集,只有你尽可能具体地把握了对手的信息,你进行测试的过程才会变得更加简略。何谓信息收集,在如此信息化的社会,每个人其实都像是电脑中的数据,更何况网站,咱们要做的信息收集,就是尽可能地收集指标的相干信息。 收集域名信息Whois查问Whois是一个协定,用于收集网络注册的一系列信息,能够间接上在线网站查找,也能够在Kali中查问,通过这些网站能够查到对于域名的服务商,拥有者,邮箱,电话等相干信息。 http://whois.chinaz.com/https://whois.aizhan.com/ 备案信息依据法律法规,在我国搭建网站是须要向无关部门备案的,咱们能够通过这点来查找相干备案信息罕用的网站有 https://www.tianyancha.com/https://site.ip138.com/ 收集子域名信息子域名即二级域名,当咱们指标网络规模较大的时候,咱们能够先从子域动手,罕用的办法有1.应用子域名收集工具,比方Layer子域名挖掘机,OneforALL,子域名收割机等等2.应用搜索引擎枚举,如 能够应用"site:qq.com"3.应用在线网站,如 https://site.ip138.com/https://hackertarget.com/find-dns-host-records/https://dnsdumpster.com/ 收集罕用端口信息通过扫描服务器凋谢的端口以及从端口判断服务器上的服务,即可隔靴搔痒,举荐应用工具Nmap 查找实在IP先通过ping指标主域,察看其解析状况,来判断是否启用了CDN或是利用在线网站进行全国多地区的ping操作,比照IP后果 而后就是要绕过CDN寻找实在IP 能够通过域名解析记录来剖析实在IP段能够通过ping子域名,因为往往是主站流量大才挂CDN也能够通过网络引擎搜寻钟馗之眼:https://www.zoomeye.orgShodan:https://www.shodan.ioFofa:https://fofa.so 指纹识别指纹就好是一个人的特色,举世无双的,在浸透测试中,只有疾速辨认出相应的Web容器或者CMS,能力查找相干破绽。举荐在线网站http://whatweb.bugscaner.com/...https://www.yunsee.cn/https://www.whatweb.net/ 收集敏感目录文件常用工具有 dirbuster 御剑扫描 等等 最初惯例要收集的信息根本就收集结束了,此外,还有社会工程学也在浸透测试中起着不小的作用。它能让咱们轻而易举地从员工口中挖掘出咱们须要的机密信息。信息收集能够说是浸透测试的第一步,也是十分重要的一步,要想全面并不容易,持续加油!

August 6, 2021 · 1 min · jiezi

关于安全:论-Erda-的安全之道

作者|陈建锋起源|尔达 Erda 公众号软件研发是一个简单的工程,不仅须要进行软件的设计、开发、测试、运维,还波及到大量的人力、物力治理。明天探讨的配角 - “平安”,在软件研发中是一个极易被忽视的主题,但相比代码 Bug 而言,平安问题一旦呈现,破坏力更大甚至是致命的。上面先给大家举些例子感受一下。 5 月 7 日,Colonial 油管(其管道为美国东海岸供给 45% 的汽油、柴油、航空燃料)遭逢了历史上最大的勒索软件攻打,在当地工夫 5 月 8 日被迫全线敞开,迟至 5 月 16 日才复原“失常经营”。 6 月 30 日某滴低调赴美上市。7 月 9 日网信网通报“某滴 25 款 APP 存在重大守法违规收集个人信息问题”。7 月 10 日国家互联网信息办公室公布对于《网络安全审查方法(订正草案征求意见稿)》公开征求意见的告诉。征求意见稿包含了“把握超过 100 万用户个人信息的运营者赴国外上市,必须向网络安全审查办公室申报网络安全审查。” 为什么平安是一个艰难平安问题和代码 Bug 一样,普遍存在于软件的全生命周期之中。计算机平安协会(CSI)曾对企业、政府机关、金融机构、医疗机构、大学等进行调研,咨询他们是怎么被平安威逼影响到的。在其收到的 522 份业余反馈答案惊人的统一,“来自外部”… 而且占比高达 80%。所以不用烦恼,很多时候你只是那 80% 外面的一份子而已。 《CSI Computer Crime & Security Survey》:http://i.cmpnet.com/v2.gocsi.com/pdf/CSIsurvey2008.pdf软件相干的平安问题体现和解决形式繁多。常见的平安问题十分零散: 如何正当的调配权限并高效治理如何保障代码权限和品质如何平安的对公网提供 Open API如何应用 HTTPS 平安传输协定如何保障隐衷数据安全如何疾速发现并修复安全漏洞…作为一个软件研发平台,遇到的平安挑战就更简单了: 多租户隔离:平台之上的多个我的项目、多个企业的资源如何托管能力做到既无效隔离,又高效共享?依赖治理:而今万物互联,如何治理好内部依赖(例如云数据库、三方零碎登录信息)防止要害认证信息泄露、避免付费服务被滥用导致资损?微服务治理:成千上万的微服务如何进行安全漏洞扫描?成千盈百的域名如何治理防止大门敞开?在很多我的项目中,平安都是一个独立的团队负责,平安工作往往是在软件研发根本实现后才开始。这样的单干形式会导致平安问题裸露较晚,修复付出的老本十分高,而且跨团队的鸿沟也减少了协同老本甚至文化冲突。在当下麻利模式为主的研发我的项目中,此种组织架构亟待降级。平安是企业客户最器重的事件,没有之一,它是企业的生命线,强调再多都无可非议。在咱们所服务的每一位客户心中,任何平安问题的修复都是第一优先级。综上所述,在 DevOps 、微服务和云原生流行的当下,旧调重弹的边缘化平安无疑会掣肘软件的生产速度和产品质量。那破解之道在何处呢? 破解之道 DevSecOps早在 2012 年 Gartner 就提出了 DevSecOps 理念,它是一种糅合了开发、平安、运维的全新模式。2016 年,Gartner 进一步公布《DevSecOps: How to Seamlessly Integrate Security into DevOps》报告,强调“须要将平安集成到 DevOps 链路上同时放弃麻利研发”。RSA Conference 从 2017 年开始设置 DevSecOps 研究专题,探讨主题涵盖了从技术实际到文化交融。 ...

August 6, 2021 · 2 min · jiezi

关于安全:从零开始学渗透SQL注入四

本文仅提供思路学习参考POST注入在咱们一般的上网生存中,登录页是咱们常常打交道的一个网页,而其原理个别都是通过POST办法将咱们的账号密码整体作为一个表单发送给后端数据库经校验后,用户登录。它其实只是数据提交型式的不同,应用的办法都是基于后面的Union,报错,工夫等等注入形式。是一个不错的温习机会。个别配合着抓包工具应用,这里举荐burpsuite。 靶场实战 任意输出username password 点击submit提交表单信息。(接下来都是在抓包工具中对参数进行批改) 在username处须要结构恒真语句 uname=a or 1=1--+&passwd=1&submit=Submit 返回页面出错,阐明不是数字型uname=a' or 1=1--+&passwd=1&submit=Submit 返回页面,登录胜利uname=a' or 1=2--+&passwd=1&submit=Submit 返回页面出错,登录失败 存在回显的话,那就能够用union查问来获取咱们须要的信息了。 1.先查看数据库版本和数据库名uname=a' union select database(),version()--+ 2.查看表名 uname=a' union select1,group_concat(table_name) from information_schema.tables where table_schema =database()--+ 3.获取列名 uname=a' union select 1,group_concat(column_name) from information_schema.columns where table_name ='users'--+ 4.获取具体信息 uname=a' union select 1,group_concat(username,password) from users--+ 至此,咱们想要获取的信息都获取到了,POST注入次要是配合抓包工具来进行更改参数,实质还是用着前几种办法!持续加油 参考链接https://blog.csdn.net/qq_4126...https://portswigger.net/burp

August 4, 2021 · 1 min · jiezi

关于安全:从零开始学渗透SQL注入三

经验了有回显信息的SQL注入(字符型,数字型),也见过了有错误信息提醒的布尔盲注和一般盲注,接下来就是更进一步的无回显,无报错的工夫盲注了! 原理在没有谬误回显和一般的回显信息后,咱们只能通过工夫盲注了,实质是通过sleep函数,当胜利时,服务器会执行sleep 休眠一段时间后再返回数据,通过观察浏览器发送申请到服务器返回数据的时间延迟,即可判断出是否存在工夫盲注 靶场实战 首先还是惯例套路,先判断是否存在注入点. ?id=1' and 1=1--+?id=1' and 1=2--+在经验屡次尝试页面均无变动,思考是否只返回这一个页面,尝试判断是否存在工夫盲注点 控制台network中察看返回?id=1 and if(1=1,sleep(4),1)--+ // 无反馈,换单引号结构?id=1' and if(1=1,sleep(1),1)--+?id=1' and if(1=1,sleep(5),1)--+?id=1' and if(1=1,sleep(6),1)--+ 阻塞1秒,查问2秒 阻塞5秒,查问2秒存在工夫注入点! 接下来就是惯例的盲注思路 次要扭转点在于 and if (xxx, sleep(5),1) 用if判断,察看network返回 分享结束,本文有点水,次要在于其实布尔盲注与工夫盲注的整体思路基本一致,要害还是看怎么灵便怎么来,持续加油。 靶场具体过程可看https://blog.csdn.net/qq_4126...

August 4, 2021 · 1 min · jiezi

关于安全:PyPI代码库又现恶意软件包腾讯安全威胁情报已收录专家提醒码农小心供应链攻击

据Jfrog科技博客报道,在 PyPI 存储库中发现几个恶意代码,攻击者试图植入后门、窃取信用卡信息、窃取浏览器敏感数据、截屏并上传到指定地址。相干恶意代码在从PyPI网站删除之前已被下载3万次,腾讯平安专家发现国内局部镜像库尚存在这些恶意代码,腾讯平安专家建议软件开发人员从PyPI 代码库下载资源时,留神进行平安审核,防止将恶意代码装置到本人的开发环境中。 事件背景 近年来,PyPI、GitHub等软件存储库屡次曝出软件供应链攻打事件:攻击者将内置后门的代码上传到公共存储库,其余开发人员如果不留神对代码进行平安审核,就可能将无害代码利用到本人的开发环境,继而在散发本人开发的软件时,将恶意程序流传给最终用户。 有问题的 Python 包,被发现应用 Base64 编码进行了混同:• pytagora (uploaded by leonora123)• pytagora2 (uploaded by leonora123)• noblesse (uploaded by xin1111)• genesisbot (uploaded by xin1111)• are (uploaded by xin1111)• suffer (uploaded by suffer)• noblesse2 (uploaded by suffer)• noblessev2 (uploaded by suffer) PyPI 是 Python Package Index 的缩写,是 Python 的官网第三方软件存储库,诸如pip 之类的包管理器实用程序依赖它作为包及其依赖项的默认源。将恶意代码上传到官网存储库,会导致依赖这些源(或镜像源)部署开发环境的软件开发者在无心中将恶意代码流传进来。从而形成典型的软件供应链攻打。 据理解,PyPI、Github及其他公共代码存储库自身并不对代码内容进行审核,任何开发人员均可注册,并上传代码。这种机制相似于其余社交媒体平台,平台方并不对内容安全性负责。 腾讯平安专家建议软件开发人员在应用PyPI、Github等公共代码库分享的代码之前,对代码内容进行审阅,防止装置恶意代码。腾讯平安已将上述存在恶意代码的文件拉黑,帮忙软件开发人员检测危险。 歹意样本剖析:恶意代码应用base64形式进行编码保留,次要为暗藏歹意后门相应性能。 下图中的后门代码,试图连贯172.16.60.80:9009,而后执行从socket中读取的Python代码。 恶意代码通过查问sqlite数据库窃取Chrome保留的敏感信息,进一步获取浏览器中保留的所有账号和登录明码。 对电脑屏幕截屏窃取敏感信息。 将偷盗的上述敏感数据上传到如下接口地址:hxxps://discordapp.com/api/webhooks/725066562536472720/dj6bPPENAE5SxFzMRB6m7FEPwIbrWkH_5PlSR6RG99pY73wjJ9dVoZTkOrvOQ04cZybR 腾讯平安解决方案:PyPI恶意代码包威逼数据已退出腾讯平安威逼情报数据库,赋能给腾讯全系列平安产品,客户能够通过订阅腾讯平安威逼情报产品,让全网安全设备同步具备相应的威逼检测、进攻、阻断能力。举荐政企客户在私有云中部署腾讯云防火墙、腾讯主机平安(云镜)等平安产品检测进攻相干威逼。 腾讯主机平安(云镜)反对对PyPI恶意代码包落地文件进行检测革除,客户可登录腾讯云->主机平安控制台,查看病毒木马告警信息,将歹意木马一键隔离或删除。举荐政企客户通过腾讯主机平安的破绽治理、基线治理性能对网络资产进行安全漏洞和弱口令检测。 腾讯iOA、腾讯电脑管家已反对查杀拦挡相干恶意软件包下载。 ...

August 4, 2021 · 1 min · jiezi

关于安全:GartnerVPT技术原理-如何确定网络攻击面上的风险优先级

无论公司规模大小,您都永远没有足够的资源来解决网络攻击面上的每一个破绽。确定优先级至关重要。平安团队须要理解企业环境中的破绽:各种规模的组织都正被其网络中曾经存在的大量破绽所笼罩。而且,随着古代网络的扩大化和多样化,这个数字仍在飞速增长——这导致了一个一直扩大的、动静的攻击面。负责平安的领导须要理解企业环境中的破绽,并应用这些数据来确定其团队工作的优先级。然而有一个问题:咱们明天解决的破绽比以往任何时候都多。事实上,破绽的数量在过来几年里简直减少了两倍[ 来自Tenable钻研报告]。 传统的办法正在变得落后:仅在2019年,就披露了17,313个新的破绽。这意味着,平安团队均匀每天都面临着47个新的破绽。因为资源和工夫的不足,他们须要一种简略的优先级断定办法来思考优先要修复哪些破绽。许多组织正在应用传统的办法,如常见破绽评分零碎(CVSS)来尝试对修复破绽进行优先级排序。大多数企业尝试修复所有高分和要害破绽(CVSS得分7及以上)。有些企业可能会抉择只集中关注要害破绽(CVSS评分 为9分及以上)。 “CVSS旨在辨认破绽的技术严重性。相同,人们仿佛想晓得的是,破绽或缺点给他们带来的危险,或者是他们面对破绽应该有如何的反应速度。——卡内基梅隆大学[ 来自“Towards Improving CVSS”——卡内基梅隆大学软件工程研究所,2018年12月]” CVSS将太多的破绽归类为高危破绽和重大破绽:依据Tenable钻研报告,56%的破绽的CVSS评分为7或更高,因而被认为是高危或重大破绽(见图1)。这意味着,对于每10万个破绽,CVSS规定平安团队必须修复其中的5.6万个破绽。因而,不难看出,如果应用CVSS,工作负荷就会迅速失控,尤其是思考到大多数大型企业都有数百万个破绽。 图1:CVSS将大多数破绽评分为高破绽或重大破绽更重要的是,CVSS是一种齐全有效的破绽修复优先级参考办法。这是因为CVSS是没有危险属性的。因为大多数CVSS分数是在破绽发现后的两周内调配的,因而该分数仅理论性的参考了破绽可能带来的危险。这会导致平安团队的大部分精力被节约在谬误的破绽上。更蹩脚的是,他们漠视了许多对业务形成间接威逼的要害破绽。 CVSS是辨别实在危险的一个较差的指标:即便您的团队可能解决所有得分7分及以上的破绽,目前也只有不到四分之一(24%)的可利用的破绽(见图2)。换句话说,如果您应用CVSS7+的策略来确定危险管理工作的优先级,示意您正在节约团队76%的工夫去修复短期内简直没有危险的破绽。 图2:基于CVSS根本分数的可利用性剖析更蹩脚的是,将近一半具备短期内可被利用性的破绽(44%),CVSS根本得分低于7(见图2)。然而,基于CVSS7+的策略,您可能会齐全疏忽这些高风险破绽。 攻击面正在扩充:攻击面也在扩充,造成了一个被攻击者利用的缺口。除了传统的IT资产之外,古代攻击面也须要您思考云环境和OT环境中的弱点。问题是,当攻击者正在扫描所有这些环境,以找到最简略的攻打办法时,传统的破绽治理办法仅限于扫描传统IT环境,因而您永远不会发现云资产和OT资产中的任何弱点。 基于危险的破绽治理办法是很有必要的:基于危险的破绽治理能够帮忙平安团队在企业环境中处理破绽。他们不能齐全依赖于CVSS,而是能够将其与几十个根本的破绽特色联合起来,以确定其严重性。而后,能够将所有这些数据与其余要害危险指标分割起来,包含受影响资产的重大水平、威逼和利用情报,以及对以后和将来可能产生的攻击者流动的评估。此剖析的后果可使平安团队可能集中关注最重要的破绽和资产。他们不会把工夫节约在利用率低的破绽上,而是能够解决对业务形成危险最大的问题。 将数据转化为决策:无效确定每个破绽对组织造成的危险级别所需的数据和剖析量不能是由人类独自实现的,因而须要通过自动化来扩大此过程。这种自动化甚至能够包含基于机器学习的技术,这些技术能够依据过来和以后对于该破绽、资产和攻击者流动的信息,来预测在不久的未来该破绽被利用的可能性。此剖析将在几秒钟内为组织的每个破绽取得危险分数,使平安团队可能首先关注最重要的问题。 利用迷信的数据预测危险:Tenable钻研报告剖析了11万个破绽,以构建基于机器学习的模型,这是 Tenable.io(在云端)和Tenable.sc(在本地)固有的能力。预测优先级是基于破绽被用于网络攻击的概率对破绽进行评分。该模型思考了危险的150多个方面,包含来自这7个数据源的破绽特色:• 传统威逼形式• CVSS• 美国国家破绽库• 数据库• 传统攻打• 有破绽的软件• EXP• 传统威逼起源 通过预测优先级,平安团队能够通过首先关注最有可能被利用的3%的破绽,从而显著进步其修复效率和修复有效性。 文章内容译自Tenable:《Whitepaper-How to Prioritize Risk Across the Cyberattack Surface》

August 4, 2021 · 1 min · jiezi

关于安全:拒绝裸奔为-Elasticsearch-设置账号密码qbit

前言2019 年 5 月 21 日,Elastic 官网博客发文称,ES 6.8 和 7.1 收费凋谢根本的平安性能。包含: TLS 性能,可对通信进行加密文件和原生 Realm,可用于创立和治理用户基于角色的访问控制,可用于管制用户对集群 API 和索引的拜访权限;通过针对 Kibana Spaces 的平安性能,还可容许在 Kibana 中实现多租户官网博文:Elasticsearch 平安性能现收费提供铭毅天下解读: Elasticsearch 7.1收费平安性能全景认知阮一鸣《Elasticsearch核心技术与实战》有对平安性能的视频解说本文对 Elasticsearch v7.13 可用ES 平安的几个层面集群身份认证与用户鉴权(账号密码)集群外部平安通信(9300)集群与内部间的平安通信(https)本文只说最根本的账号密码ES 内置用户:https://www.elastic.co/guide/...步骤关上配置文件 elasticsearch.yml,批改或增加以下内容 xpack.security.enabled: true重启 elasticsearch sudo systemctl restart elasticsearch生成明码 # 主动生成(须记住明码!!)/usr/share/elasticsearch/bin/elasticsearch-setup-passwords auto# 手动生成/usr/share/elasticsearch/bin/elasticsearch-setup-passwords interactive本文出自 qbit snap

August 4, 2021 · 1 min · jiezi

关于安全:从零开始学渗透SQL注入二

上篇文章曾经介绍了最简略粗犷的SQL注入,它是基于页面有回显所以能够迅速获取咱们想要获取的,然而对于初学者来说,闭合的判断还是要纯熟起来。这篇文章,我就要介绍另外一类型的SQL注入,布尔型注入 注入介绍什么是布尔型注入,顾名思义,咱们须要利用页面返回的正确与否来获取咱们想要的信息,这类注入是因为网页没有回显信息,只能通过其页面是否失常进行判断,而其中又分为 盲注 和 报错注入 因为布尔盲注是非常耗时的一个操作,所以个别应用工具,而报错注入是基于报错信息来获取咱们想要信息的操作,并不耗时,所以着重介绍。 布尔盲注布尔盲注说白了就是穷举法,始终试错,通过试错来找到咱们想要的数据,所以十分耗时,接下来是它的思路:1.首先是猜想数据库的长度length(database()) = 1... 从1开始,直到页面失常显示,那个数字就是它的长度。2.数据库的名字,个别取字符或者ASCII left(database(),1)='a' 数字从1-8 因为长度为8,left函数的数字是截断的个数,左边是匹配的字符,如 1=s, 2=se , 3=ser ...3.数据库的表数量,(select count(table_name) from information_schema.tables where table_schema =database())=1....4.表的长度,length((select table_name from information_schema.tables where table_schema =database() limit0,1))=1... limit函数就是限度表的个数0示意地位,第二个表就是1,以此类推。5.表的名字 ,left((select table_name from information_schema.tables where table_schema =database() limit0,1),1)='a'6.表中字段数量 (select count(column_name) from information_schema.columns where table_name ='users')=1...7.具体字段的长度 length((select column_name from information_schema.columns where table_name ='users' limit0,1))=1...8.具体字段的名字 left((select column_name from information_schema.columns where table_name ='users' limit0,1),1)='a'...9.字段的内容 left((select id from users limit0,1),1)='1'...至此,终于查完了,能够感触到工程量的盛大,所以个别都是用工具跑的。 报错注入其实对于那种没有回显信息的网页,然而有报错信息提醒的网页,咱们往往能够通过报错注入来获取咱们想要的信息。其非凡之处在于利用某些非凡的函数,来显示在报错页面。 ...

August 2, 2021 · 1 min · jiezi

关于安全:从零开始学渗透SQL-注入一

本文只提供思路参考学习注入破绽注入破绽作为OWASP Top 10之一,它是一个非常广泛的破绽,攻击者注入恶意代码后,能引起很重大的结果,而SQL注入又是其中的大头,作为初识平安的小白,这是一个很好的学习方向。 SQL注入顾名思义 是因为开发人员编写的SQL语句不强壮,从而使得你能在Web端构建本人的非凡SQL语句导致能从前端拜访到后端的数据库,从而取得数据库的一系列信息的攻击行为。 SQL注入类型总体分为字符型和数字型 $query="select username,email from member where id=$id"; // 数字型 未在id处增加特殊符号$query="select username,email from member where id='$id'"; //字符串型,在id处加以单引号闭合SQL注入总体思路依据网址抓包等确定是否有查问参数找注入点并判断是否能进行注入进行数据爆破实战复现1.进入网址,发现它的url是以查问信息结尾的,id 就是查问参数。由此判断能够结构SQL语句 2.查找注入点并判断是否能进行注入罕用办法先是增加单引号造成SQL语句出错 /index1.php?id=1' //等价于select username from member where id = '1'' 字符串型(还可能是其余特殊符号)select username from memeber where id = 1' 数字型观察报错,应为字符串型SQL注入 而后 构建非凡语句 ?id=1' and' 1 '=' 1 (留神标签的闭合) 此处是恒为真的表达式,所以预计页面正确显示。 而后构建非凡语句?id=1' and' 1 '=' 2 此处是恒为假的表达式,预计页面不会正确显示,然而不会报错。 两个恒等式 的差别体现阐明了此处是能够进行sql注入的 3.进行数据爆破在得悉SQL注入破绽存在后,咱们即可进行系列操作。 首先是通过order by 猜想表中字段数。构建语句 ' order by 5--+ // --+是正文,能疏忽前面的特殊字符闭合,用二分法猜数字 ...

August 1, 2021 · 1 min · jiezi

关于安全:腾讯安全月报丨腾讯安全入选多个权威研报数据安全专委会成立零信任规范发布……

腾讯平安7月文章精选腾讯启动“安心农品打算”,搀扶100个地标农产品品牌中国区块链年度报告公布,腾讯竞争力排名第一腾讯平安联结成立数据安全专委会腾讯(主机平安)被列入Gartner公布的《云工作负载爱护平台市场指南》报告腾讯平安入选《IDC MarketScape:中国批发信贷风控解决方案市场厂商评估报告》腾讯云取得沙利文头豹研究院“中国区平安托管服务最佳客户价值奖”腾讯平安公布数据安全合规能力图谱拥抱云原生,腾讯公布TCSS容器平安服务腾讯牵头的业内首部《零信赖零碎技术规范》正式公布可信云大会上,腾讯平安解锁多项新认证腾讯零信赖获Omdia报告认可腾讯云数据安全中台入选2021先锋实际案例腾讯平安三项成绩入选《2021网信自主翻新成绩举荐手册》

August 1, 2021 · 1 min · jiezi

关于安全:零零信安王宇通过基于VPT的风险管理-用20的时间去解决80的风险

7月29日,ISC 2021大会迎来了“技术日”主题,在这一天的“从新定义安服——解构将来安服蓝图论坛”中,来自于初创企业——零零信安的创始人兼CEO王宇为大家带来了“基于VPT(弱点优先级技术)的风险管理服务”的主题演讲,围绕Gartner的“基于危险的弱点治理”关键技术点以及Tenable的实际开展,并分享了本人针对这方面的思考以及零零信安的解决方案。 王宇在演讲伊始先引出了危险、弱点和破绽,并指出他们之间的关系——破绽属于弱点的一部分,弱点属于危险的一部分。在这三个词汇中,危险和破绽是最为常见的,而对于“弱点”方面提及绝对较少,而这也是王宇此次演讲主题中“弱点优先级技术”的重点。 “家喻户晓,HVV中有三个大杀器,别离是0day、钓鱼和基于信息泄露所引发的其余攻打,在这之中,他们所利用的不仅仅只是破绽,还有弱点的利用。“王宇谈道。 在王宇看来,在信息安全的攻防层面看,其中一个次要的工作内容就是防备不法黑客的攻打,而黑客的攻打之所以会胜利,它的背地所体现的,则是防守方必然存在一个或多个弱点。因而,王宇认为这外面的关注点应重点放在能够让黑客攻击胜利背地的弱点发现上。 ”国内的信息安全曾经有了20余年的历史,只管晚期就开始关注破绽,并推出了破绽扫描等产品,但实际上,对于破绽和弱点的问题至今仍没有失去很好的解决。“王宇在现场还援用了Whitehat Security的一组数据,据统计截止到2021年5月,北美地区的均匀破绽修复工夫为205天,公共事业部门中66%的利用存在至多一个可利用破绽。尽管在我国还没有相干的数据统计,但王宇认为在数据层面尤其是在均匀破绽修复工夫上应是相差不多的。Gartner“基于危险的弱点治理”的五大关键点 Gartner在2018年提出了”合乎Carta方法论的弱点治理“我的项目,在通过三年的积淀和欠缺后,最终应用了一个更适宜的名称——”基于危险的弱点治理“我的项目。 对于这一项目标关键技术点,王宇将其总结为五点: 1、危险和弱点不仅仅只是破绽。就像王宇在一开始所讲的那样,破绽只是弱点的一部分,弱点自身还会包含诸如弱口令的解决、配置的不欠缺、信息的泄露等等,而这些弱点都是危险的一部分。 2、危险永远不可能100%被解决,须要进行优先级的辨别。王宇示意,“对于很多管理者而言,都会冀望所有的破绽都能够被解决掉,但事实中这个可能性是不存在的。每年光是被发现的通用型破绽都有超过1万个,更何况还有那些事件型的破绽了。” 王宇指出,在事实中,一些大的单位,它的要害业务零碎都在10-20万甚至更高的数量级。当咱们把超过1万个新暴发的通用型破绽和几十万数量级的一个重要业务零碎联合在一起看的时候,咱们就会发现基本不可能做到去把所有的危险都解决到位。 3、找到须要优先处理的危险,从而显著升高危险。这一点在王宇看来,就是要害中的要害。哪些危险的优先级高,那么处理的优先级也应更高,长期以来这仿佛是大家的共识,并没什么特地,然而王宇特别强调,“这里须要突出优先级的概念,因为并不是说破绽的等级高,它的优先级就高。” 王宇谈道,依照以后的CVE和CVSS断定规定看,会更多地将可被用于发动近程攻打的破绽定位为高风险,但在理论中,很多破绽并不是非法黑客所喜爱应用的,反而是一些信息收集类或是一些中危险的破绽会被更多的利用。这也是为什么无论是针对基于ATT&CK还是基于七步杀伤链的角度上看,都未必肯定是高风险破绽才会被攻击者更多的利用。 因而,在定义哪些是应该优先处理的危险时,不能仅针对破绽的等级来解决。 4、利用现有的扫描数据和流程。信息安全建设到目前曾经经验了几十年的事件,没有必要再去从新进行建设。 5、利用VPT(弱点优先级技术)工具。通过破绽扫描、浸透测试、配置核查等技术或工具来发现弱点,而后进行评估、优先级排序、工作流程、处理形式和成果、自动化措施等串行在一起,造成整个风险管理的闭环和迭代晋升。VPT的要害能力——不在没有危险的破绽上浪费时间 那么如何将基于危险的弱点治理通过工具、技术和服务伎俩来进行落地呢?王宇在这里援用了Tenable的方法论,次要有以下三点: 1、提供整个攻打面上所有资产和弱点视图 这个无需多言,要做好网络安全,摸清家底都是必须要做的。与此同时还要排查潜在的危险点,对于攻击者而言,在发动攻打之前也会这样操作。 2、不要在没有危险的破绽上浪费时间 即便一个破绽的评分很高,但如果不能被间接利用,那么就无需去花大量的工夫优先解决,反而是一些评分较低甚至是没有评分的却有可能成为更大的弱点。比方企业的邮件列表、重要的组织架构、员工的个人信息数据等,这些都有可能会裸露在互联网上,这些不会有破绽评分的弱点,反倒可能会造成一个重要的危险。 王宇指出,就以后而言,我国在威逼情报方面做的很多的工作,但同时,在破绽、弱点相干的情报方面做得还不够,Tenable的风险管理为什么做的不错?就是因为它曾经领有了上万亿的弱点情报数据,将这些弱点情报充沛的利用好,咱们就能够晓得哪些破绽、弱点更值得去关注和优先解决。 3、动静的解决、响应0day和1day破绽 针对实际业务环境,被动治理和自动化调用工具、策略、流程,最大水平进步应答效率和成果。王宇在这里分享了一个本人的领会,此前某客户在开发或更新业务零碎时会采纳这样一个流程——开发人员在上线前会将代码放入代码仓库,随后平安人员会通过工具对其进行审计,在审计实现后交给开发人员来进行更替。这个过程乍一看没什么问题,但在代码量很大、开发或更新的业务零碎很多、所波及的外围业务资产很多的状况下,这个流程的效率就会非常低,消耗的人力财力也会十分高,那么是否可能通过自动化将这个流程固化就很重要。用20%的工夫去解决80%的弱点与危险问题 在参考了Gartner和Tenable的方法论之后,王宇也分享了本人对于如何做好基于危险的弱点治理的思路,归纳起来其实也是三个局部: 1、做好全面精确的全网资产测绘,保障风险管理无死角。 2、建设服务客户业务的自动化风险管理计划,最大化提高效率和成果。 3、建设全国和寰球破绽情报和信息泄露情报库,为优先级分类提供根据;同时提供符合国情和政治要求的HVV、重保和实战化平安检测,以达到空谷传声的成果。 在这里,王宇重点强调了第3点,对于要建设的弱点情报库、破绽情报库而言,同威逼情报库最大的区别在于关注点不同,威逼情报关注的是被攻打后能不能检测进去,而弱点情报或破绽情报更关注的则是被攻打的可能性有多大。 这三个局部整合在一起,也就造成了零零信安的基于弱点的风险管理解决方案,将弱点治理起来,将优先级提出来是这个解决方案的外围关键词,只有这样才可能令企业用户用20%的工夫去解决80%的问题,这也是零零信安从创建之日起始终保持的整体思路。 “心愿通过咱们的解决方案,可能为企业和平安服务人员去解决掉那80%的要害弱点与危险问题。”转载起源:https://mp.weixin.qq.com/s/Pi...

July 30, 2021 · 1 min · jiezi

关于安全:活动延期通知-731-阿里云-Serverless-Developer-Meetup-杭州站本周六见

简介:虽迟但到!本周六咱们流动持续...... 延期告诉各位开发者大家好,受强台风“烟花”的影响,预计24日14时浙江将有大到暴雨。为了各位的出行平安,原定于 7.24 (上周六)13:30-17:30 举办的 Serverless Developer Meetup 杭州站流动将延期至 7月31日(本周六)13:30-17:30 议题和地点不变。为您带来不便,十分道歉!期待本周六的技术分享,咱们准时恭候您的到来,各位小伙伴下周见! 流动报名炽热继续中此次沙龙特地邀请来自阿里云、初创互联网公司、开源中国 Gitee 的技术专家和独立开发者,分析 Serverless 的典型利用场景和案例,分享初创企业落地 Serverless 踩坑教训和播种,破解 Serverless 弹性伸缩和跨云部署难题,现场公布开源我的项目 Serverless Devs 全新性能。收费报名即可来现场与 Serverless 技术大咖实操 Serverless。让咱们一起把握云计算将来方向,共享 Serverless 带来的技术红利!还有全新单元 Serverless Workshop 首次倒闭,招集 30 位 “爱入手” 的开发者! 流动工夫:7 月 31 日  13:30 - 17:30 流动地点:浙江省杭州市良睦路 999 号乐佳国内 1-3-7 特洛伊星 参会收益Serverless Devs 全新性能公布,像淘宝一样享受 Serverless初创互联网公司 Serverless 落地和踩坑全记录架构师视角:Serverless 利用典型场景及案例分析如何破解 Serverless 弹性伸缩和跨云部署难题?Serverless Workshop 杭州站首次倒闭更有精美礼物等你来拿 此次流动咱们会全程直播 观看形式 :浏览器关上直播间地址:_https://developer.aliyun.com/live/247101_ 流动详情 因为此次不可抗力起因推延流动,咱们深表致歉,若有任何问题均可在 Serverless 公众号对话框留言或扫码至咱们的钉群中,谢谢您的体谅! 版权申明:本文内容由阿里云实名注册用户自发奉献,版权归原作者所有,阿里云开发者社区不领有其著作权,亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容,填写侵权投诉表单进行举报,一经查实,本社区将立即删除涉嫌侵权内容。

July 30, 2021 · 1 min · jiezi

关于安全:计算机网络安全威胁建模-IDCF

上一篇文章具体介绍了在软件开发生命周期中的计算机网络安全流动,(计算机网络安全:软件开发周期中的流动 | IDCF),并简略列举了每个流动的内容和作用。本文内容会针对上文提及的一些计算机网络安全流动进行详解。因为平安需要评估和履行涉及面较广,而且不同畛域的内容也有所不同。为了更加专一于DevSecOps这个话题,咱们将从另外一个流动开始介绍。 本文专一于威逼建模 (Threat Modeling) 这个在软件交付的设计阶段的计算机网络安全流动。威逼建模起源于1960年代,一群为了个人利益挖掘安全漏洞的人。1977年,基于IT的威逼建模方法论被Christopher发表,过后的建模是基于架构模式的概念进行的。随着IT的倒退威逼建模的办法,例如:攻打树(Attack Tree),STRIDE,OCTAVE等被逐步建设。 随着方法论的成熟,很多帮助开发设计人员做威逼建模的工具也越来越多。因为开发模式的一直演进,这个曾在软件架构师和设计者的技能,越来越向开发者转移。心愿能在帮组大家进步平安设计技能的同时,能更早的将平安流动退出到软件开发周期中。 因为威逼建模波及内容宽泛,为了更高效的分享,在此分享的内容绝对精简。抉择了一些简略易懂的模型和办法。在文章最初会举荐一些材料,如果大家对威逼建模有着浓重的趣味能够进行参考。本章节的内容会依照如下的题目开展介绍: 为什么要做威逼建模威逼建模的步骤威逼建模的办法威逼建模的工具威逼建模在麻利中的利用理解为什么要做威逼建模,读者首先要理解的是软件开发中存在着哪些威逼,这些威逼会造成什么样的影响。首先让咱们理解一下从以下几个威逼起源。 威逼起源具体介绍脚本小子这种往往没有任何明确目标,单纯好奇驱使的个体。应用网络上能够公开下载的歹意脚本软件,对某个网站或者资源进行试探性攻打。可能自身没有平安的专业技能,抱着试验性质进行测试,非意向性的造成毁坏。外部威逼目标可疑的,或因为忽略,不纯熟对外部组织造成机密文件泄露,盗取。对公司利益和名誉造成侵害。例如:在论坛上发表或纰漏非批准的信息导致客户埋怨甚至与公司终止合同。利用一些网络安全的伎俩,窃取公司机密信息并团结竞争对手进行倒卖以从中获利。立功组织有组织有纪律,业余的黑客。往往是被某个组织雇佣以达到某种盈利目标。例如:勒索软件,对操作系统或者网络存储的硬盘进行加密,勒索受害者领取电子钞票 (Bitcoin) 以换取解密文件。高级继续威逼这种比拟针对一些特定的行业,业界特务,政治操纵,专利盗取等。可能普遍存在与国家之间,在这里就不深入探讨了。在商战中也比拟常见,为谋取利益的某种竞争手段。激进黑客激进黑客们的目标往往是为了吸引大众对某些问题的关注,歹意的裸露一些信息引起媒体的关注。以上举的是一些比拟典型的例子。依据不同的场景可能呈现不同的威逼。而威逼建模是基于开发的软件进行剖析和定位,以达到避免某种特定的威逼起源对公司或集体造成的负面影响。将危险和老本管制在能够承受的范畴之内。通过威逼建模的形式,提前的定位到开发中要解决的破绽或者问题。 威逼建模的步骤首先威逼建模产生的工夫点比拟重要,如果零碎的设计还没有开始或者零碎间的交互还没有定义,这个时候做威逼建模没有足够的信息来撑持,所以失去的后果也不会现实。如果是一个新的我的项目,那么最好要在MVP的范畴定义清晰,系统结构设计完结的时候做威逼建模。如果是对一个已存在的零碎做降级或者变更,倡议在变更需要明确后,比方sprint打算会议之后进行威逼建模。找到正确的工夫点后,就能够依照一下的步骤来进行威逼建模了。 以下几个步骤能够离开进行也能够在同一个工作坊里进行,这取决于可调配给威逼建模的工夫,或者要定位系统的复杂度等。在做威逼建模之前,最好做一些筹备工作,短缺的准备会让工作坊更无效的进行。比方,定义该软件的威逼起源,威逼建模的范畴,信赖边界的定义等。另外平安危险的范畴有时候也取决部署和运行的环境,国家的隐衷法律条款和数据的机密性等因素。必要的话能够在工作坊中邀请相干的专家参加进来,防止信息不清晰导致的困惑。 威逼建模的办法每个建模的办法都有着独特的劣势,取决于咱们在建造什么,应用什么样的粒度。抉择最适宜的形式,会让建模更加顺利。充沛的筹备,理解应用场景,建模的范畴,连贯形式,网络和信赖边界,针对软件特点的威逼起源。这些必要的筹备工作,能够让威逼建模事倍功半。在信息不清晰的状况下进行建模可能会是竹篮打水一场空(Garbage-in, Garbage-out)。所以咱们在这里特别强调筹备工作的重要性,心愿大家能更高效的进行威逼建模。接下来咱们将威逼建模的办法分成几段来论述。 STRIDE 是一种威逼模型,由微软的两位平安专家建设的。其中蕴含以下6种分类。STRIDE是这些分类的首字母的缩写,有助于记忆这个模型。在这种模式下,将零碎架构通过数据流程图示意进去,而后对每一次数据交互,数据存储和流程进行STRIDE建模剖析。能够很无效的将设计中没有思考的安全控制找进去。 攻打树(Attack Tree)这种形式能够针对特定要爱护的资产进行攻打模式的剖析,模仿黑客的思维形式,为了达到某种目标或者造成某种影响,能够通过什么样的路径来进行。这样能够更好的检测安全控制的深度和广度。这种形式进行威逼建模往往须要对攻打的形式办法有粗浅的意识。而且须要留神的是,清晰的定位根部节点十分重要攻打库(Libraries)亦或攻打模式,利用好这种形式能够十分无效的定位系统中的威逼,前提是攻打库中形容的场景和软件开发的目标统一。个别组织能够针对场景定位攻打模式,但往往须要比拟长时间的验证和查看。在这种模式下,取决于开发团队对场景相熟水平,这种威逼建模更细化和明确。比拟常见的是利用现有的攻打库,CAPEC整顿了500多种攻打模式,MITRE ATT&CK也有十分成熟的库能够利用。 查看清单(Checklist)这是最简略的一种建模形式,开发人员依据平安专家制订的威逼清单上的内容逐个进行查看,确认在其软件场景中的适用性。这种形式比拟适宜素来没有做过威逼建模的团队,在没有平安专家参加的状况下独立实现建模。不同于之前威逼建模的办法,这种形式会局限于清单上的内容。以上介绍都是针对甄别威逼的办法进行介绍的,那么咱们通过建模流动生成的威逼列表之后,还须要对威逼的危险进行排序或者减少安全控制的性能来加重危险。微软的威逼建模文档外面有对加重危险这一块儿做介绍,因为这种形式比拟典型,也容易上手,首先就是针对威逼产生的可能性进行剖析,这里的可能性就是攻击者利用这个威逼的难度,破费的工夫和摆布的资金等等。 另外就是对威逼造成的影响进行剖析,也就是说威逼产生后对公司或者客户造成什么样的影响和损失。最终通过这两个维度判断危险的等级来排序。当然还有其余的危险剖析的模型和工具,例如DREAD等,这些模型的抉择往往与公司的平安人员的技能,平安成熟度和重要度挂钩。 威逼建模的工具在这里的工具是能够对威逼建模起到辅助作用的图形工具或者能够依据绘制的数据流程图生成相应的威逼。但工具往往不能清晰的定位到软件特定的场景,导致生成的威逼列表过多,有很多假阳性的威逼,须要花工夫进行进一步的筛选。在这里举荐微软开源的威逼建模工具,但这个工具只能在Windows操纵零碎下装置应用。 另外OWASP社区开发的threat Dragon能够在多个操纵零碎下应用。举荐的这两种工具都是辅助建模人员勾画数据流程图,信赖边界来设定威逼场景。还有一些非开源的工具不在这里一一介绍了。大家能够在网上找到适宜本人组织的工具,在工具的抉择上要留神兼容性,灵活性和假阳性的概率等问题,找到一个得心应手的工具能够让威逼建模变得更无效。 最初威逼建模在麻利中的利用,是大家比拟关注的问题。总结起来次要有两类担心: 麻利宣言讲的是沟通胜于文档,威逼建模的是文档化的一个过程。威逼建模更实用于瀑布模式,在有特定的设计阶段的状况下进行。那么接下来我来帮忙大家剖析一下这两类担心,并给出一些在麻利中利用的场景。 第一类担心是指的文档化这个问题,其实通过介绍大家应该理解威逼建模是个多人流动,在建模过程中生成的文档是由一组人员探讨而来的。这正是麻利中所强调的通过沟通和探讨,在麻利的团队外面的威逼建模应该有更多的团队成员退出到探讨外面。最终的文档应该是通过探讨后的一个结论性文档,在后续的开发测试中起着疏导的作用。第二类担心是指在高速,频繁的迭代外面如何将威逼建模这种流动加进去,这与迭代中的设计流动相似,取决于平安设计在此迭代中的重要性和麻利的运行模式。例如在第0个迭代,我的项目初期的筹备过程中要做的是定义我的项目的范畴的MVP(最小可行产品)和该产品的设计,这是一个非常适合做威逼建模的阶段。但其实在迭代运行的过程中也可能遇到产品设计的变动,这个时候就须要精确定位到设计中的变动,对于变动的局部进行威逼建模。常见的做法是通过查看清单来确定是否须要在该迭代做威逼建模,如果须要就要在迭代中的待办事项中记录,并且连接在迭代打算的流动之后进行。JIRA有插件能够实现通过查看清单形式建设待办事项的性能,将这个性能很好的利用能够帮助团队制订一些规定,防止漏掉迭代中应该做的流动。心愿大家能通过这篇文章对威逼建模有初步的意识,也欢送大家与公众号互动,多多探讨麻利和DevOps中平安流动的利用。给出一些反馈,独特成长。谢谢。 参考文献: The STRIDE Threat Model https://docs.microsoft.com/en...Book Threat Modeling: Design for Security by Adam ShostackCAPEC https://capec.mitre.org/data/...MITRE ATT&CK https://attack.mitre.org/微软威逼建模 https://www.microsoft.com/en-...OWASP Threat Dragon https://owasp.org/www-project...起源:DevSecOps SIG作者:Nick Yu 申明:文章取得作者受权在IDCF社区公众号(devopshub)转发。优质内容共享给思否平台的技术伙伴,如原作者有其余思考请分割小编删除,致谢。 7月每周四晚8点,【冬哥有话说】研发效力工具专场,公众号留言“效力”可获取地址 7月8日,LEANSOFT-周文洋《微软DevOps工具链的 "爱恨情仇"(Azure DevOps)》7月15日,阿里云智能高级产品专家-陈逊《复杂型研发合作模式下的效力晋升实际》7月22日,极狐(GitLab)解决⽅案架构师-张扬分享《基础设施即代码的⾃动化测试摸索》7月29日,字节跳动产品经理-胡贤彬分享《自动化测试,如何做到「攻防兼备」?》8月5日,声网 AgoraCICD System负责人-王志分享《从0到1打造软件交付质量保证的闭环》

July 30, 2021 · 1 min · jiezi

关于安全:CWE发布2021年最危险的25种软件缺陷

摘要:CWE最危险的25种软件缺陷,是NVD过来两年中遇到的最常见和影响最大的问题批示性的列表。 CWE Top25 能够帮忙开发人员、测试人员和用户,以及项目经理、平安钻研人员和教育工作者深刻理解最重大和以后的安全漏洞。本文分享自华为云社区《CWE公布2021年最危险的25种软件缺陷》,作者: Uncle_Tom。 1. CWE 4.5公布7月20日,CWE公布了往年的第二个版本CWE 4.5版本。相比CWE 4.4, 这次新增4个缺点和1个视图,还对缺点的名称、形容和关系等做了139处重要改变。 次要的改变有: 对不再应用的CWE编号,在CWE的名称前加上了“DEPRECATED: ”。这样使用者能够不必再看状态,就能够晓得这个CWE编号曾经停止使用了;举例: 记录CWE变更记录的节点“Content_History”,扩大到了顶层节点Views, Categories, 和Weaknesses。这样能够分明的看到每个节点在CWE版本演变过程中的变动状况。对于CWE节点的介绍能够参考《话说CWE 4.2的新视图》;语言枚举(LanguageNameEnumeration)的语言中,减少了Rust, 这样在利用平台(Applicable_Platform)和样例(Demonstrative_Example)节点就减少了Rust语言。 目前CWE枚举的语言有29中之多,基本上涵盖了咱们业界的次要开发语言。从这个变动也能够看到Rust语言在业界的利用越来越多了;<xs:simpleType name="LanguageNameEnumeration"> <xs:annotation> <xs:documentation>The LanguageNameEnumeration simple type contains a list of values corresponding to different source code languages.</xs:documentation> </xs:annotation> <xs:restriction base="xs:string"> <xs:enumeration value="Ada"/> <xs:enumeration value="ASP"/> <xs:enumeration value="ASP.NET"/> <xs:enumeration value="Basic"/> <xs:enumeration value="C"/> <xs:enumeration value="C++"/> <xs:enumeration value="C#"/> <xs:enumeration value="COBOL"/> <xs:enumeration value="Fortran"/> <xs:enumeration value="F#"/> <xs:enumeration value="Go"/> <xs:enumeration value="HTML"/> <xs:enumeration value="Java"/> <xs:enumeration value="JavaScript"/> <xs:enumeration value="JSP"/> <xs:enumeration value="Objective-C"/> <xs:enumeration value="Pascal"/> <xs:enumeration value="Perl"/> <xs:enumeration value="PHP"/> <xs:enumeration value="Python"/> <xs:enumeration value="Ruby"/> <xs:enumeration value="Rust"/> <xs:enumeration value="Shell"/> <xs:enumeration value="SQL"/> <xs:enumeration value="Swift"/> <xs:enumeration value="VB.NET"/> <xs:enumeration value="Verilog"/> <xs:enumeration value="VHDL"/> <xs:enumeration value="XML"/> <xs:enumeration value="Other"/> </xs:restriction> </xs:simpleType>减少了图像(<img>)节点, 这样能够CWE中通过图片援用来更好的对问题进行形容;例如:CWE-1339 Insufficient Precision or Accuracy of a Real Number 在阐明 Jean-Michel Muller实数精度计算问题时,通过图的形式展现数据的变动,让人更容易了解问题。 ...

July 27, 2021 · 2 min · jiezi

关于安全:小白学安全的-3-个正经建议入门和转行的记得收藏呀

明天不聊别的,给大家聊一下我认为学平安当中最重要的三点,尤其是针对新人来说。 酷爱致力解决问题的能力先说酷爱。 有的同学是一开始就酷爱,所以选业余的时候就抉择了网络安全业余;有的同学是误打误撞,比如说我就是,大学其实选的是机电业余,起初被调剂到了网络安全业余,属于典型的后知后觉型。 一开始,和大多数新人一样,我认为网络安全好难学,班外面的好多同学也认为好难学,能转业余的就转,只有不能转的才留了下来。 十几年前的网络安全业余远没有当初这么冷落,很多学校都是作为边缘业余来录的。和我同届的高中同学,我意识的当中,没有被动抉择网络安全业余的。 所以,我对平安的酷爱,纯正是通过先天刻意练习的。 很多同学可能会不解,酷爱也能练习? 当然。 当我发现这个业余找到工作,国家也越来越器重,能养活本人,能不再伸手向父母要钱的时候,酷爱就一点点的来了。随着年纪的增长,我越来越喜爱这个业余了,不是因为它充斥魅力,而是它让我的生存变得越来越好。 对,我是个俗人。 一开始,这很难,因为通过两次高考的打击,我的厌学情绪特地强烈,以至于我大学的时候好几门专业课都挂科了,同学们可能很难设想。 真实情况就是这样,所以很多新人给我埋怨说,“编程好难啊,总是学着忘着,我该怎么办?”我晓得起因在哪?你对编程还不够酷爱! 当我拿到第一笔实习工资的时候,2500 元,我记得清清楚楚,过后心里乐开了花,晓得吗?人生第一次一次性地挣到这么多钱!拿到工资就连忙给父母打了一通电话,对,当初回想起过后的场景还是有点热泪盈眶的。 尽管电话里没有喊出那句:“爸妈,你们的儿子终于挣钱了,终于不必再伸手找你们要钱了!”但其实,心里面早曾经喊了几千遍! 同学们可能很难设想,2200 元的实习工资,能有那么冲动!能,对于过后的我来说。 有了酷爱,你天然就会去致力!这是瓜熟蒂落的一件事件。 但往往很多时候,咱们会迷茫,不晓得该往哪里去致力,不晓得本人的劲往哪里使! 我也有过。当我拿着 2200 元的实习工资快乐的屁颠屁颠的时候,身边的一些共事,尤其是一些苏州的本地人,来实习基本就不是为了挣钱,而是给本人一些历练的机会而已。 印象很粗浅。我问过一个共事,“你拿到工资后干嘛呀?” “加油啊!这点钱还能做什么!”这个答复对我的冲击感特地强烈,有那么一刻,我感觉致力毫无意义。 但起初我想明确了。 原来,人与人之间的差距是与生俱来的!你只有致力地追赶,才有可能把这些差距放大;而一旦你进行致力,差距就会被越拉越大! 想明确了之后,我就去一个叫编程入门网的网站上抄 Demo,每天一有工夫我就去抄。对于那时候的我来说,看书晋升得太慢,只有通过实战,我能力疾速地晋升。 起初,从前辈们那里又理解到,公司接下来会十分依赖一个前端框架,我就硬着头皮去钻研源码,并利用闲暇工夫做了一个局域网性质的聊天工具。 learn by doing,就是我的教训心得,它让我急速地成长,很快就在技术上当先了同一批进公司的新人。 让你的代码量从 100 行到 1000 行,再到 10000 行,再到 10 万行,你就不会再有那种“学的时候能学会,做的时候不会做”的感觉了。 当然了,在敲代码的过程中,你要学会思考,为什么人家要这样实现,为什么不能换一种办法?举个很简略的例子,人家用的 ArrayList,你能不能用 LinkedList?人家用的插入排序,你能不能用冒泡排序? 在那段横蛮成长的过程中,我的确很少看书。但最近两年,我读了很多经典的书,比如说《网络安全与黑客攻防》、《Kali高级浸透测试》、《SQL注入攻打与进攻》、《天龙八部》等等等等,另外我还整顿了一个网络安全必读的经典书单,你点开珍藏下。 读书能够让你晓得为什么要这样做,背地的原理是什么。 再加上大量的输入,就让我对编程的思考更加粗浅了。 大家想一想,网络安全最外围的竞争力是什么? 解决问题的能力,是我认为最外围的竞争力。 当一个问题摆在你背后,你不能大刀阔斧呀!你酷爱,你致力,最终是要解决问题的,你做不到的话,就只能被扣上“夸夸其谈”的帽子了。 解决问题的过程能够分为三步: 透彻了解问题是什么?导致问题呈现的根本原因是什么?找到最佳的解决方案。一开始,因为不足编程教训,咱们很可能连问题到底是什么都搞不清楚。而解决一个 bug 的首要条件是要可能重现问题,然而编程和其余很多事件都不大一样,有些 bug 是很难重现的。 所以对于新人来说,一开始遇到问题的时候,只能面向搜索引擎,去看看他人有没有遇到相似的问题,有没有解决方案,而后套用一下,看能不能把问题给解决了。 问题解决不了的时候,想问领导,想问大佬,能不能手把手教一教啊! 有一说一,我一开始也是这样的。但慢慢地,我就会去思考,为什么会呈现这个问题,这个问题的底层逻辑是什么,除了这种解决方案,还有没有其余更好的呢?要不本人再花点工夫去钻研一下? 当你有了敢一个人去解决问题的胆量后,其实曾经证实你提高了,因为只有撑持你的根底扎实了,你才会有这样的胆量。 最初,总结一下我认为十分重要的货色吧。 酷爱、致力,解决问题的能力,除此之外,你还应该器重基本功: 编程能力:大量地练习、会 debug,谋求高质量的代码;基础知识:操作系统、计算机网络、数据结构与算法;抽象思维:事实是物理的,而程序是虚构的,这个转化的过程,须要极强的抽象思维能力。尤其是浸透测试这块,肯定要趁早开始筹谋,如果打算去大厂的话,要趁早把这块刷起来,我这里有一份美团技术大佬的刷题笔记,你能够作为参考,对浸透测试的同学会很有帮忙。 多说一句,往年的网络安全业余真的特地卷,就连我的二舅家的一个妹妹都要被动报网络安全业余,刚刚我舅给我打电话的时候我都有点小惊呆了!

July 26, 2021 · 1 min · jiezi

关于安全:如何保证-Serverless-业务部署更新的一致性

简介:每一个工具的诞生,都要有一个成长的过程,Serverless Devs 正在一直的成长。从我做 Serverless 工具开始,就常常会遇到有人问这样一个问题:如何保障Serverless业务部署更新的一致性。 所谓的一致性在这里指的是:咱们通过工具在本地进行我的项目部署,此时再有人通过其余路径(例如控制台等),对我的项目进行过更新等操作,此时我再在本地进行我的项目部署,是不是会间接笼罩? 例如,当用户 A 在本地更新了业务,因为一些非凡状况,导致呈现了一个线上异常情况“x”,此时用户 B 从新更新,将这个内容修复了,然而 B 没有及时同步给 A 这个事件,A 又更新了新的性能,间接笼罩了 B的内容,这个时候之前的异样 x 又呈现了,如果此时在 A 更新的时候,能够感知到线上资源曾经变动,那么这种事件就不会再次发生。 目前基于 Serverless Devs 的阿里云函数计算组件,曾经反对了线上“异动”的感知能力,包含了以下几个状况: 本地新建并部署一个线上没有的资源本地部署实现,线上更新,本地再次部署本地新建并部署一个线上曾经有的资源试验筹备通过s init创立一个函数(抉择Alibaba Cloud Serverless, 抉择HTTP Function - Python3 Example): 此时咱们查看一下s.yaml: 该我的项目部署到线上之后的体现就是在cn-hangzhou区创立一个fc-deploy-service服务,以及http-trigger-function函数 本地新建并部署一个线上没有的资源此时,咱们确定一下线上并没有对应资源,所以咱们部署一下: 部署实现,很顺利: 关上浏览器,查看反馈给咱们的自定义地址: 此时,咱们能够在本地,更新一下这个函数代码: 保留部署: 实现之后,再查看线上资源: 整个过程,还是比拟贴近传统的根本流程,也没有触发线上异动,算是中规中矩的现实过程。 本地部署实现,线上更新,本地再次部署此时,咱们对线上资源进行变更,首先在控制台找到函数: 批改代码,并部署。 部署实现之后,咱们刷新一下方才的地址: 能够看到曾经更新。此时,咱们再从本地进行部署: 能够看到,零碎曾经感知到咱们的代码变动,此时,咱们抉择yes,实现之后在查看线上资源: 此处须要额定阐明的是,只有是函数计算的服务,函数,触发器发生变化,此处都能够进行感知,不论是配置还是代码。 本地新建并部署一个线上曾经有的资源此时,咱们再进行最初的试验,咱们将本地我的项目删除,从新建设。而后执行部署,因为刚刚试验过的起因,咱们曾经在线上存在了这些资源,所以此时算是部署一个线上的资源。 此时能够看到,零碎感知到这个资源本地没部署过,线上并且曾经存在,所以此时须要确定是否笼罩。 总结代码在其余场景被更新,须要咱们在以后失去感知,这个事件其实是十分重要的,和代码的平安公布密不可少。而此时,通过Serverless Devs是能够做到的。 那么问题来了,如果我曾经有了一个我的项目,我想集成到cd流程,我不想呈现交互式操作,应该如何解决呢? 此时咱们提供一个--use-local参数,用来强行笼罩线上配置,通过这样的指令就能够实现无交互的,本地优先。 ...

July 26, 2021 · 1 min · jiezi

关于安全:网络安全视角看吴亦凡事件教科书级的中间人攻击

前言:沸腾起伏数个日夜,竹与签错综复杂的爱恨情仇终于尘埃落定,在2021年7月22日晚的警方通告中,始终潜藏着的骗子刘某浮出水面。 依据警方通告,这位骗子小号泛滥,先装作其余受益女性联系了都美竹,而后又装作都美竹去联系吴亦凡,最初装作吴亦凡的工作室来联系都美竹。这样一来,两边对不上的陈说全都正当起来。吃瓜大众认为是竹 vs 签,其实是竹 vs 骗子 vs 签,纷纷大跌眼镜:这剧本还能这么写吗? 其实,在网络安全畛域中,这种骗术有一个专有名字,曰「中间人攻打」(Man-in-the-middle attack, MitM)。网络的实质是连贯,你上网的时候就是在连贯另一台计算机,你和这台计算机之间说了什么都是窃密的,别的计算机不晓得。 然而,有一些好人会操纵计算机插入你们之间,你和另一台计算机都没觉察联系的对方曾经换了人,那么,你们之间的通信就会被这台“第三者”计算机截获,甚至还会被篡改。上面请驰名艺术家冯巩老师演示一下中间人攻打的经典场景: 中间人攻打离咱们很远吗?并不,去咖啡厅连 Wi-Fi、关上新邮件,甚至失常上网时,都可能受到中间人攻打。 当公共 Wi-Fi 路由器没有被无效加密的时候,黑客能够攻入 Wi-Fi 路由器中,如果有人连着 Wi-Fi 拜访一个银行网站,就可能会跳转到黑客筹备好的假网站,如果输出本人的银行账号密码,黑客就会失去敏感信息。 当你关上一封新邮件的时候,要留神这封邮件是否在钓鱼,以及它是否在以紧急情况的名义让你填写账号密码,这很可能是一封骗取个人信息的邮件。对于钓鱼邮件你该戳这里(戳后面蓝字就对了)。 上网也不平安。黑客会通过 HTTPS 坑骗、DNS 坑骗、SSH 劫持等伎俩,让你拜访被黑客管制的网站。被黑客管制的网站可能是个彻头彻尾的假站,也可能是真网站但注入了一段歹意 js 代码。但不论怎么样,在你输出账号密码时,黑客的服务器就会收到你的信息。 咱们该当如何防备中间人攻打?中间人攻打的形式有很多,因而防备伎俩也不少。需确保网站是 https 结尾,不要疏忽浏览器报警,尽量不要应用公共 Wi-Fi,防备歹意电子邮件。 此外,咱们也能够抉择一个有防护性能的公共 DNS 服务,如 OneDNS 的家庭版(OneDNS 指路:复制这个链接 https://onedns.net 到浏览器),从而拦挡可疑网站,也能免于 DNS 劫持。 上网冲浪别只顾着吃瓜,学习一点爱护本人和家人隐衷的新姿态,很有必要。

July 24, 2021 · 1 min · jiezi

关于安全:技术解码-腾讯云SRT弱网优化

随着互联网基础设施和硬件设施的一直倒退。宽广直播观众对于直播观看的清晰度,延时等方面的体验要求越来越高,直播也随之进入了低提早高码率的时代,直播传输技术也面临着越来越高的要求和挑战。腾讯视频云为此在全链路上针对流媒体传输不断深入优化,使得在各大重要赛事上具备了高牢靠、低提早、高画质和音质的需要,同时跟客户,比方斗鱼,深厚次单干,不光在服务端,在APP端也进行了SRT的单干,和赛事一样从源头上保障稳固。 在直播过程中因网络丢包,会造成各种丢帧,会造成各端卡顿甚至花屏,给观众造成很不好的观看体验,针对链路丢包,SRT是如何解决的呢? SRT采纳的是ACK+ NACK的解决方案。每隔10ms,SRT接管方会发送一个"失常"ACK包,将以后接管buffer中间断的最大包序号通知发送方,发送方收到"失常'ACK包后,会确认数据,将发送窗口前移,同时发送ACKACK,接管方根据T(ackack) - T(ack)来计算链路rtt。对于高码率的链路,每10ms确认一次可能会不及时,为此,SRT每收到64个包,便会额定回复一个LITEACK,用来疾速确认数据,尽可能快的让发送窗口挪动。 每次收包时,SRT会计算以后的"乱序度"。举个例子,如下图所示: 上图以后时刻的"乱序度"为2,当发现丢包须要重传时,SRT会提早2个包发送NACK,用来缩小一部分因为UDP乱序导致的有效重传。 家喻户晓,TCP一个窗口内的数据包通常会一次性无距离的发送,容易造成流量突发。Pacing机制通过平滑发送距离,来避免该问题。 SRT是依据带宽评估来调整发送距离的。能够从输出的速率采样,或者由用户设置最大带宽(maxBW),并留出一部分重传带宽(overheadBW),两者之和作为最大的传输速率。 如上图所示,若maxBW为800Kbps,overheadBW为200Kbps,链路最大带宽限度为1Mbps,按每个包大小1Kb计算,SRT会依照1ms的距离平滑发送。 基于以上个性,腾讯视频云将SRT作为传输层之上的协定,能够将任何基于tcp的应用层协定革新为基于SRT的应用层协定,腾讯和斗鱼一起抉择rtmp over SRT尝试在APP端利用SRT,针对弱网主播进行源头的优化。 在斗鱼户外版块首次尝试应用SRT后,RTMP推流和SRT推流比照如下: 某长期丢包的户外主播,关上SRT开关后,推流,播放的卡顿如下:

July 23, 2021 · 1 min · jiezi

关于安全:计算机网络安全软件开发周期中的活动-IDCF

本文从软件开发生命周期中的平安流动来介绍计算机网络安全。从组织层面来讲,平安团队往往是在交互团队之外,因为平安团队要关注的不仅仅是软件交付这一个层面。例如,服务经营平安,供应链平安(在计算机领域中这里指的是,云厂商或者软件硬件供应商),对于隐衷规定的制订,法律法规的合规性,配合审计,软件资质和ISO相干规范证实的施行等。 所以在我的了解中DevSecOps并不是将平安团队合并到交付团队当中,而是赋能交付团队平安的能力,将平安流动前置。这样不仅仅能够大大的升高修复平安危险的老本,也能够让平安团队的工作变得更加容易。 在很多组织外面,平安危险和安全漏洞被视为软件品质的一个衡量标准,所以在软件交付验证阶段会有平安品质验证这一个环节。依据这个实践为根底,也就呈现了将平安测试和破绽扫描嵌入到主动公布流程中,甚至作为终止部署的一个重要掂量指标。 随着各个国家对平安的器重,越来越多个人隐私法律的出台,很多客户也开始缓缓关注软件供应商的平安能力和平安资质,以其作为决定性的考量指标。因为畛域的不同,平安在软件开发中的器重水平也不同。 这也导致了平安的施行在不同畛域的差别。在银行,财务,医疗和国有机构等畛域,如果没有可控平安机制,软件开发甚至无奈进行。各个领域对于合规性的要求不一样,危险的管控形式也有所辨别。 所以业界出了很多规范和框架来帮忙各个组织来实现平安管控,例如: NIST CSF, ISO/IEC 27001, FISMA, HIPPA, PCI DSS等。合规于这些规范就成为了掂量一个组织平安能力的其中一个因素。很多软件企业,供应商也为此投入了大量的精力来证实本人的合规性,进步其在市场中的竞争力。其中NIST是目前业界利用最广,最权威的平安机构,由美国联邦政府发动,为推动计算机网络安全最佳实际和倒退为目标成立的。因而本文将会参照NIST的规范进行分享。 在软件开发中,无论利用的是麻利还是瀑布模式,都存在需要剖析,设计,开发,测试,部署和运维这几个阶段。交付周期的长短并不影响平安在开发周期中的流动的内容。此文章专一探讨软件开发周期中的平安流动,对于各个流动如何在不同开发模式中利用会在不同的章节进行具体探讨。以下表格中列举了各个阶段平安流动对应关系。 软件生产阶段NIST平安软件开发框架平安流动需要剖析平安需要,隐衷需要,危险视为其一部分平安需要评估和履行设计查看软件设计,验证平安需要和危险与其合规性威逼建模(Threat Modeling)开发验证第三方软件遵从平安需要,查看/剖析源代码来定位破绽动态代码扫描(SAST),第三方模块检测 (SCA)测试测试可执行代码来定位破绽,验证与平安需要的合规性动静检测(DAST/IAST),浸透测试(Penetration Testing)部署配置编译和构建流程来改善可执行代码的平安配置验证,安全门运维破绽报告的响应(继续的定位和确立破绽,评估并将补救所有破绽进行优先级排序,剖析破绽并且定位其根本原因)平安响应程序,安全监控,运行环境平安防护(防火墙)平安需要评估和履行:简略的说就是将平安团队制订好的,标准化的软件平安能力作为软件开发需要的一部分,有很多组织把平安需要作为非功能性需要或者技术债来履行,在此不想评判其办法的好坏。主观的角度剖析,平安需要往往是从ISO/IEC等规范或者危险信息演化出的技术解决方案或安全控制伎俩。作为软件性能的残缺组成部分,应该适当的被定位和排序。依据在周期内要实现的软件性能范畴,平安的需要的范畴也会随之变动。威逼建模:这是个在设计阶段经常容易被疏忽的一个重要环节,它并不是针对某一个畛域的平安实际。因为平安需要笼罩的范畴比拟宽泛,而且会依据畛域的不同而变动。而威逼建模则是针对软件设计计划中的威逼的定位,危险的剖析。这种有针对性的剖析会大大降低前期因平安问题重构的危险,也会帮忙该软件建设本人的危险体系。勾画浸透测试的范畴。动态代码扫描(SAST):这是帮助开发人员实现平安编码标准的重要组成部分,例如很多不标准的编码会影响程序的品质,不平安的编码标准会导致程序漏洞百出。不经意的为黑客留下程序的后门。第三方模块检测 (SCA):咱们很多的代码都是利用现有的框架来实现的,并且为了实现疾速开发,引入了很多性能包/库。很多开发者并没有意识到,这些框架,包/库都存在一些危险。因为重大的依赖关系,这些甚至会成为咱们没法轻易解决的致命破绽。另外很多框架和库中也存在一些援用许可的问题,提前的检测并解决这些问题变得至关重要。动静检测(DAST/IAST):在这里我将DAST和IAST放在一块儿,因为检测其目标类似。都会对正在执行的程序进行负面问题剖析,模仿攻打。以便于定位在动态检测无奈定位的问题。浸透测试(Penetration Testing):这个是一个行业,很多平安专家,平安考察人员的必备技能。很多人会问,咱们既然有了SAST, DAST/IAST为什么还要有浸透测试?其实DAST/IAST的工具的倒退曾经十分贴近浸透测试所具备的能力了,然而还是没有能齐全达到由测试者的手动挖掘的能力。所以大部分企业会在倒退本人外部浸透测试者能力的同时,通常会雇佣外界比拟业余的浸透测试公司来履行这个环节。因为他们的业余能力会真正的帮组验证软件应答外界攻击者威逼的能力。配置验证,安全门:在这里咱们指的是有自动化部署能力的状况下,依据安全部门设定的规章制度,对软件部署过程中品质把控的方法。能够是通过某些条件制订的终止部署束缚。也特地是在基础设施即代码(IaC)中的基础设施部署和变更时,平安的强化和标准。在这里提出一个新的概念:平安标准即代码。前期会在这个系列的章节中具体介绍。平安响应程序:这个程序指的是流程上,如何响应安全事件。这与客户反对的事件响应相似。但不同然而平安方面的响应,在解决问题的同时须要退出法律/合规部门,重大的状况须要公司高层对客户的回应。特地是波及到公司信用问题的时候。安全监控,运行环境平安防护(防火墙):这对开发人员来讲可能并不是很相熟。但却又是平安畛域十分重要的一部分。当初越来越多的开发人员开始接触和配置利用防火墙(WAF)对网络应用程序进行爱护。这阐明随着平安的左移,开发人员须要关注的运维层面的平安问题也会越来越多。另外,安全监控是很大的一个话题。这个话题,我会依据大家对其的趣味水平决定是否出一个专题来探讨。在此大家须要理解的是,无论是在云环境还是在传统环境下,安全监控是一个很业余的生态体系,不仅用于帮助定位问题,而且在安全事件中组阻隔影响起着重要的作用。参考文献英文原文:https://csrc.nist.gov/publica... 起源:DevSecOps SIG作者:Nick Yu 申明:文章取得作者受权在IDCF社区公众号(devopshub)转发。优质内容共享给思否平台的技术伙伴,如原作者有其余思考请分割小编删除,致谢。 7月每周四晚8点,【冬哥有话说】研发效力工具专场,公众号留言“效力”可获取地址 7月8日,LEANSOFT-周文洋《微软DevOps工具链的 "爱恨情仇"(Azure DevOps)》7月15日,阿里云智能高级产品专家-陈逊《复杂型研发合作模式下的效力晋升实际》7月22日,极狐(GitLab)解决⽅案架构师-张扬分享《基础设施即代码的⾃动化测试摸索》7月29日,字节跳动产品经理-胡贤彬分享《自动化测试,如何做到「攻防兼备」?》8月5日,声网 AgoraCICD System负责人-王志分享《从0到1打造软件交付质量保证的闭环》

July 23, 2021 · 1 min · jiezi

关于安全:客户故事借助钉钉宜搭奶茶店也开始用黑科技管理门店了

简介:投诉解决的速度变快了——这是7分甜消费者在这个初夏最直观的感触,借助钉钉宜搭的低代码能力实现的数字化治理,过来7分甜的许多治理痛点,当初正被一一攻克。 投诉解决的速度变快了——这是7分甜消费者在这个初夏最直观的感触,借助钉钉宜搭的低代码能力实现的数字化治理,过来7分甜的许多治理痛点,当初正被一一攻克。 一方小小的奶茶批发门店,内里乾坤万千。7分甜成立于2005年,总部位于苏州,是杯装杨枝甘露的创造者,旗下领有超过1000家批发门店。 随同着业务倒退过程的减速,7分甜的审批场景也日趋增多,过来单纯依赖于纸质文件或者靠各类电子表单治理的流程裸露进去的繁琐弊病也日趋显著。 处于高速倒退的7分甜,呈现了越来越多须要多表单合作的业务。然而,7分甜的客户和团队处于不同的利用平台,往往解决一个问题要切换多个端口,信息不能直通,使得办公合作老本高企。与此同时,公司每年还要实现许多大型项目,工夫紧、工作重,对数字化降级的需要也变得日益迫切。 一场数字化变身剑拔弩张。 数字化变身的外围:数据互通7分甜想到的是构建一个低成本的挪动办公平台。钉钉免费软件、高性价比的智能硬件产品组合,以及软硬一体化、疾速上线的服务计划率先进入了7分甜的视线。紧接着,7分甜团队留神到了钉钉旗下的云钉低代码利用构建平台——钉钉宜搭。 企业业务数字化最重要的外围就是数据互通。钉钉宜搭为7分甜带来了“表单+流程+报表”的一站式解决方案,让数据和报表真正成为管理者的外围武器。 在从表单到流程再到报表过程中,钉钉宜搭推出的黑科技性能“Excel一键转利用”则在两头帮忙7分甜实现利用的疾速生成。 “Excel一键转利用”,能够疾速地将过来已有的不同表单生成利用,并公布在对立的工作台上。这让7分甜从过来Excel填报的录入数据形式间接变为手机端提交,同时还能够进行权限设置性能,保障数据安全,增加同步审批流程等,让不同的员工取得高深莫测、疾速间接的工作体验。 通过“表单+流程+报表”的一站式解决方案,7分甜疾速地感触到了变动。7分甜 CIO Michael示意,“最让我惊喜的就是联通组织内外实现业务在线”。 以开店服务为例,过来7分甜的加盟服务小程序在其余平台,组织架构和业务管理在钉钉,每天做业务管理都须要切换平台,应用宜搭之后,多个平台平滑协同,前端平台提交音讯,两头应用宜搭进行数据和业务链接,在钉钉内通过APN穿件代办,代办内的嵌入审批流程,整个过程非常晦涩高效。 图注:7分甜开店服务工作台 数字化变身的成果:降本提效以后,通过钉钉宜搭打造的工作台已帮忙7分甜实现了5个业务场景的数字化。 之前须要花1个月能力上线的数字化利用,通过宜搭在2周内就可实现建设。过来须要3个月能力开发的零碎,通过宜搭仅须要1个月左右,让7分甜极大地实现了降本提效。 例如,7分甜基于宜搭在钉钉组织工作台建设利用,1个技术部门员工仅仅花了30个工作日,就打造了7分甜的加盟商开店服务整个后端流程,顺利完成业务上线。 除了零碎开发成本的锐减外,通过钉钉宜搭,7分甜也直观感触到了业务数字化带来的治理提效。7分甜的门店治理波及到全国各地,业务场景非常复杂也升高着7分甜的管理效率,同时多场景的零碎交错也带来了治理危险。 而当初通过宜搭搭建的7分甜工作台,实现了业务零碎间数据互通,能够无效帮忙7分甜疏解过来治理上的诸多无奈题。 当初7分甜员工到职办结到职手续后,所有账号权限一键发出,保障了公司的信息安全;多零碎业务表单合一置入工作台,能够疾速帮员工实现业务需要,晋升工作效率;在宜搭打造的工作台上,七分甜的内部客户和外部员工能够针对指定场景实现多端链接,数据互通,免登拜访,为他们节俭了工夫,也便于数据的高效积淀。 宜搭曾经成为7分甜应用最多的超级工具,下一步,7分甜还筹备将倒退到10个以上的业务场景数字化。Michael感叹:“久远讲,宜搭将是咱们重构生产关系的外围武器。” 欢送钉钉扫码关注“宜搭”服务窗 理解更多宜搭产品培训、最新性能和客户案例 版权申明:本文内容由阿里云实名注册用户自发奉献,版权归原作者所有,阿里云开发者社区不领有其著作权,亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容,填写侵权投诉表单进行举报,一经查实,本社区将立即删除涉嫌侵权内容。

July 22, 2021 · 1 min · jiezi

关于安全:论漏洞管理平台的自我修养

对于企业外部的平安负责人来说,破绽治理就像一个无底洞。新的利用一直上线,老零碎更新版本,让破绽源源不断。短暂下来,如同破绽无穷无尽,怎么都修不完。破绽开掘和破绽治理就像一个无底洞,是一个永远不能填平的坑。破绽治理这个概念业界提出来也是有很久了,然而始终没有特地好的实际案例。总结起来导致这样的状况的起因次要有以下5个方面: 1、破绽的起源多平安管理工作最重要的一点,就是一直的发现本身弱点并增强本身,所以用各种伎俩发现本身网络的弱点,是至关重要的一环。随着企业平安建设的不断深入,破绽发现的渠道变得越来越多。包含:系统漏洞扫描器、web破绽扫描器、代码审计零碎、基线查看工具、POC破绽验证脚本、人工浸透测试、甚至自建或第三方代管的SRC。 2、修复波及人员多整个破绽平安治理的破绽发现、破绽验证、破绽修复、破绽跟踪和验收等工作环节中,会有各类岗位上的人员参加。包含:第三方平安厂商平安服务外包人员、外部平安治理团队、外部的产品研发团队、第三方产品研发团队、平安负责人和安全部门上级领导。与各个环节的人员沟通协调的工作相当简单,耗费相当多的精力。 3、工作后果数据杂在企业平安治理的过程中,安全漏洞治理是简单繁琐、让人头痛的事件,破绽录入、跟进、解决、验证、修复实现整个循坏下来。期间会呈现有数的文档,包含破绽阐明文档、破绽验证文档、破绽修复倡议文档、各类破绽修复的过程文档和各个环节的沟通信息。会呈现成千上万的信息。这须要好的办法与技巧,不然着实让人充斥疲乏与无力感。 4、对接厂商和品牌多第三方的平安服务始终是平安管理工作投入最多的局部。破绽开掘的工作波及的范畴多,波及的厂商和人员多、波及到的设施类型也多。外包工作的治理繁冗,如何迷信的评估厂商的能力须要残缺的数据撑持。 5、平安治理平台多态势感知、SOC、SIEM等零碎都须要大量的数据。大多数是围绕着流量、日志、告警为外围的平台,然而破绽的治理数据维度多,起源杂,要将该类数据纳入到对立治理平台波及的工作非常的多,保护起来也非常复杂。想要做好自动化调度更是波及的工作内容简约。 在具体的破绽管理工作中,咱们面临的问题远远不止上述这些。那么一个好的破绽治理平台须要具备哪些自我涵养,能力解决上述问题呢?笔者认为一款好的破绽治理平台应该具备以下几个特色:全面且凋谢、自动化和流程化、及时响应和数据撑持决策,用于应答上述的问题。 1、全面且凋谢:全面收录破绽相干的数据,做到一个平台笼罩所有破绽相干的数据。第一:具备资产探测能力,能够全方位的笼罩管辖资产,不脱漏任何可能存在的薄弱环节。不论是硬件还是软件,不论是利用还是数据,这些都须要通过明确的资产台账记录,并调配明确的平安责任人。保障破绽检测对象笼罩全面; 第二:对各类起源的破绽秉持凋谢态度,承受所有品牌和各种类型起源的破绽数据,包含破绽扫描器、基线检测、代码审计、灰盒检测工具、危险评估、浸透测试、众测、企业SRC等平台数据。数据起源笼罩全面; 第三:对为企业做浸透测试、代码审计、破绽扫描、基线检测的三方平安服务厂商凋谢并建设对应身份的账号,便于三方平安服务厂商基于破绽治理平台工作。并能够通过破绽管理系统对立下发各类破绽检测工作至第三方服务商,造成更加高效的合作形式,提高效率、方便管理; 第四:可将资产和破绽数据对外部的对立平安治理平台凋谢,提供为对立平安治理平台输出资产和破绽相干数据的能力。 2、自动化和流程化:第一,主动调度:具备能够自动化调度各类扫描器,主动收集破绽数据。让数据收集的工作不再只是通过表格传递,让数据能够有历史根据,不便查找和后续的破绽治理; 第二,主动工作:正当的周期扫描不仅能够帮忙公司更快发现破绽,还能够帮忙他们大大降低网络危险。具备灵便的制订打算工作的能力,可依据破绽验证和修复节奏来制订打算工作,让破绽扫描工作低调静默执行; 第三,处理流程:将破绽通过客户现有的工作流程下发,尽可能让平安治理团队和其余业务部门的配合工作可同步到企业外部的工作流程中去,不另开流程让破绽治理平台低调运行,不让客户外部配合成本增加。 3、及时响应:第一:及时的1day破绽响应能力,可疾速通过资产台账各类指纹条件进行过滤,定位受影响资产,及时决策; 第二:通过SAAS化的破绽响应核心疾速通报和同步新破绽的POC,帮助客户疾速验证破绽是否存在于企业外部资产中。披露了破绽利用详情的重大破绽,其对应的POC响应时长不能超过24小时,从而更加及时的应答新型破绽。 4、数据撑持决策:第一:所有破绽数据能够清晰的统计出,待验证、待修复、待验收等各项要害指标,也能够基于业务场景、系统管理部门、问题处理时长等各种维度统计破绽各项数据。以便平安团队基于数据推动和汇报工作。让破绽管理工作的决策有理可循,有据可依; 第二:通过平台发放第三方外包人员账号,浸透测试、破绽扫描、基线检测、危险评估、代码审计这一类的平安服务工作的成绩数据都录入到零碎,可更好的查看工作进度。也能够通过平台输入对立的报告文档。品种泛滥的平安服务周期性强,数据文档多,判断一个服务商的工作成绩是否好,不再只是通过几次优良体现、主观感触和关系亲疏来判断,而是能够基于累计的整体数据综合评估,有理有据; 第三:资产数据、破绽数据联合业务场景更加综合的剖析得出哪些局部须要增强进攻策略,基于业务重要性和破绽严重性判断,调整破绽修复策略的优先级。 总结:一个好的平台能够让破绽管理工作更加轻松无效,让更多的精力投入到如何增强破绽开掘能力和进步安全事件响应能力的建设下来。

July 19, 2021 · 1 min · jiezi

关于安全:腾讯安全ApkPecker上线DEXVMP自动化脱壳服务

近日,腾讯平安科恩实验室ApkPecker上线了自动化脱壳服务,帮忙平安人员更好地进行平安审计。通过大规模测试结果显示, ApkPecker的脱壳成功率超过了85%。 挪动利用脱壳是挪动利用逆向及歹意利用剖析最根本的操作,次要为在挪动利用平安审计和病毒剖析的过程中,帮忙平安人员脱掉利用的壳代码,从而去剖析其要害代码。挪动利用脱壳有助于开发者及时发现利用开发代码自身存在的平安问题以及审查发现歹意行为。企业尤其是规模较大的企业常常须要采纳第三方供应链提供的利用平安开发及加固服务,平安人员须要对其安全性进行校验,挪动利用脱壳就是其中的必经步骤。 惯例而言,平安人员个别采纳手动形式进行脱壳,一是受制于平安钻研人员自身程度的高下,二是其中有大量重复性工作,消耗企业平安人力。而市面上现有的主动脱壳工具不能解决DEX虚拟化的加固计划,并且厂商自定义的解释器会定期更换Opcode映射表,导致很多主动脱壳服务无奈残缺无效的还原DEX代码。 基于这个洞察,腾讯平安科恩实验室依据多年平安攻防钻研教训,推出先进的自动化脱壳计划,反对复原常见的DEX加密和指令抽取等类型的加固。同时,针对厂商的DEX虚拟化爱护(DEX-VMP), ApkPecker也进行了针对性脱壳和复原。 ApkPecker在确定厂商字节码格局的根底上,通过AI学习厂商解释器二进制中opcode handler的运行时行为,从而自动化复原出厂商解释器的opcode语义,还原出原始Dalvik字节码,并重写DEX文件。ApkPekcer的脱壳计划解决了opcode handler辨认的难点,自动化还原被DEX-VMP爱护的代码,进步了脱壳的残缺度和自动化水平。通过大规模测试结果显示,ApkPecker的脱壳成功率超过了85%。 (ApkPecker对指令抽取和DEX-VMP的脱壳成果) ApkPecker是腾讯平安科恩实验室研发的一款全自动的Android 利用破绽扫描工具,该零碎通过Android利用生命周期建模和利用攻击面建模,采纳静态数据流剖析和污点剖析的技术,进步破绽发现的准确率。ApkPecker可能输入高质量破绽扫描报告,提供高品质破绽信息以及破绽触发残缺门路,精准定位破绽并提供修复倡议,帮忙挪动平安人员解决现有痛点,晋升利用安全性。 此次上线的自动化APK脱壳服务,也是其整体能力的又一次降级。Apkpecke致力于成为平安钻研人员的数字助手,宽广挪动利用开发商能够借助ApkPecker对各种挪动利用危险进行无力的进攻,建设从APP开发到用户交互的产品全生命周期的平安治理,发展平安危险检测与管制,为用户的手机信息、财产平安保驾护航。

July 19, 2021 · 1 min · jiezi

关于安全:新模板推荐目标军令状假期通知书…签名确认仪式满满

简介:钉钉宜搭模板市场上线2款全新模板:告诉签名(教育版)教育版和告诉签名(企业版)反对带手写性能的文书确认!在企业销售团队发动一个销售铁军们手写签名确认的销售指标军令状 生产团队发动一个一线生产职工手写签名确认的平安责任书 行政\人事团队发动一个邀请员工们个体手写签名确认的流动倡议书 …… 想一下,这些带上大家亲手签名的军令状、责任书、倡议书, 是不是既能不便大家明确指标,还能进步士气,削减一份团队指标共创的责任感! 在学校老师们向学生家长发动一个节假日平安告诉, 发动各种校园流动倡议书, 发送一个能够签名确认的任务书, …… 想一下,这些带上家长签名确认的通知书,倡议书和任务书,是不是更能晋升告诉、工作、倡导自身重要性! 重要的是,通过模板来实现的手写签名告诉确认是齐全无纸化,老本非常低! 同时,这样的模板还能帮忙流动发起者看到确认数据! 模板特点内置了多个场景文本模板,不便创建者参考并间接取用反对自定义模板图片背景反对自定义模板内容文本反对手写签名性能反对长图下载,邀请分享等性能反对利用管理者通过数据看板进行统计治理教育版入口https://www.aliwork.com/newApp.html?spm=a1z332.10384403.0.0.5f8e5d872whkYG#/template/TPL\_HDKDDG45KFYXSWM5Y751?\_k=gnvlw4 实用场景:节假日平安、安顿等告诉;学生作业单签名;各类流动倡议书等 企业版入口https://www.aliwork.com/newApp.html?spm=a1z332.10384403.0.0.5f8e5d872whkYG#/template/TPL\_ICNQY1ST8N8PP4MN36CI?\_k=0uwg4o 实用场景:业绩等指标确认书、平安生产等责任书、各类业务倡议书、阶段性业绩展现等业务战报…… 当初,试试自定义你的告诉签名利用吧!版权申明:本文内容由阿里云实名注册用户自发奉献,版权归原作者所有,阿里云开发者社区不领有其著作权,亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容,填写侵权投诉表单进行举报,一经查实,本社区将立即删除涉嫌侵权内容。

July 19, 2021 · 1 min · jiezi

关于安全:阿里云混合云-Apsara-Stack-重磅升级为政企搭建上云高速

简介:随着云计算技术的一直演进,产业互联网的继续降级,政企从全面上云进入全速重构的数字化新基建的时代。旨在更全面的为云化各阶段政企服务,7月14日,阿里云混合云产品总监谢宁正式发表 Apsara Stack 重磅降级:企业版能力全面降级、麻利版场景化新品公布,为政企搭建上云高速。观看发布会:https://yqh.aliyun.com/live/apsara\_stack\_new\_release 更多混合云资讯:https://www.aliyun.com/solution/hybridcloud 随着云计算技术的一直演进,产业互联网的继续降级,政企从全面上云进入全速重构的数字化新基建的时代。旨在更全面的为云化各阶段政企服务,7月14日,阿里云混合云产品总监谢宁 正式发表Apsara Stack 重磅降级:企业版能力全面降级、麻利版场景化新品公布,为政企搭建上云高速。 企业版能力全面降级1) 一云多芯 + 一云多Region:阿里云混合云能够用同一套云架构,反对不同品种的芯片和硬件服务器,用软件能力屏蔽掉硬件的差别,使利用可能无感知的疾速上云,满足客户多样化的硬件平台选型需要,同时反对多种芯片的服务器在一朵云内进行混合部署。针对大型客户多数据中心扩散在不同物理区域然而须要对立治理的业务场景,一云多Region通过部署地位物理扩散,资源管理对立集中的模式,兼顾了区域化部署和全局管控的业务需要。 平安合规能力:国内首家通过商用明码利用安全性评估的云平台 3) 全场景灾备能力:阿里云混合云将两地三核心的容灾模式再降级,针对金融级客户的极致灾备要求,推出了同城三机房的容灾能力,通过实现数据库的三机房的工程化部署,实现了容灾场景下RPO=0和主动切换的能力,最终保障了单机房呈现机房级故障的额状况下,实现要害业务齐全无损。这个能力已胜利利用到国内某银行客户,并通过了实战演练。 麻利版场景化新品公布全新公布的麻利版,聚焦典型场景:数据库/云原生PaaS/大数据;轻量化输入:反对3台服务器起步,小时级交付;灵便兼容:反对虚拟化部署和客户网络,更易被集成。 发布会上,阿里云数据库高级产品专家陈招尚、阿里云云原生资深产品专家唐睿别离对麻利版数据库场景(DBStack)和麻利版云原生PaaS场景(CNStack),就行业趋势、产品劣势、典型场景和最佳实际等维度进行了深度解读。 麻利版数据库场景(DBStack)产品矩阵 麻利版云原生PaaS场景(CNStack)产品矩阵 历经10多年的疾速倒退,云计算未然从一项新兴技术逐渐演变为数字经济重要基础设施。稳固平安、凋谢智能的混合云是政企客户数字化转型的必由之路。 阿里云混合云(Apsara Stack)首个全自研原生混合云,与阿里云公共云同宗同源、通过大规模商用验证、历经多年双11考验,是阿里云建管用一体化的全栈混合云平台,助力企业级客户全栈建云、智能管云、极致用云。 谢宁示意:阿里云混合云心愿通过一直的技术创新和服务能力优化,帮忙客户更高效、更平安的上云,成为政企数智化翻新的同行者。 版权申明:本文内容由阿里云实名注册用户自发奉献,版权归原作者所有,阿里云开发者社区不领有其著作权,亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容,填写侵权投诉表单进行举报,一经查实,本社区将立即删除涉嫌侵权内容。

July 19, 2021 · 1 min · jiezi

关于安全:你连对外接口签名都不知道有时间还是要学习学习

背景周三,18:00。 小明扭了扭微微发酸的脖子,揉了揉盯着屏幕有些干涩的眼睛。 终于忙完了,邻近上班,整个人心也变得放松起来。 “对接方须要咱们提供新的服务,下周二上线,需要我发你了,很简略的。” 产品经理发过来一条音讯,突破了这份美妙。 “我可去他的吧,每次需要都是快下班就来了。”小明未免心里嘀咕了起来,不过手上可没停。 “好的,我先看下需要。” 回复完后,点开了需要文档,的确很简略。 为内部对接方提供一个新增商户的接口。放弃和外部控台新增商户统一。的确不太难,小明想了想,外部控台新增商户尽管不是本人做的,然而接口应该能够间接复用,代码应该也能复用。 不过本人以前没做过内部对接,不晓得有没有其余的坑。 下周二上线,那么下周一就须要让提测,让测试染指进来。 小明点开了日历,明天周三,本人接口文档编写,具体设计,编码和自测的工夫只剩两天。 原本应该是短缺的,不过平时还会有各种工作琐事须要解决,会升高整体的工作效率。 还是先问共事要下以前的代码和文档吧。 看着工夫曾经超过了下班时间,小明叹了一口气。 接口文档文档编写周四,9:30。 小明来到公司就开始着手解决接口文档的编写,有以前的文档根底,写起来还是很快的。 不过对外的接口还是有些不同,小明依照本人的了解加上了 traceId,requestTime 等字段,便于问题的排查和定位。 于是根本的接口就写好了: 申请参数: 序号参数形容是否必填阐明1traceId惟一标识是用于惟一定位一笔申请,32 位字符串2requestTime申请参数是申请工夫,yyyyMMddHHmmssSSS 17 位工夫戳3username用户名是最长 64 位字符串4password明码是最长 128 位字符串, md5 加密5address地址否最长 128 位字符串响应参数: 序号参数形容是否必填阐明1respCode响应编码是000000 示意胜利,其余见响应编码枚举2respDesc响应形容是申请工夫,yyyyMMddHHmmssSSS 17 位工夫戳3userId用户标识是32 位字符串,胜利创立后用户的惟一标识小明具体的写下了整个接口的申请形式,注意事项,以及对应的各种枚举值等。 并且把根本的具体设计文档也整顿了一下。 1762 个字,小明看了看总字数,香甜的笑了笑。 这份文档,显然没有需要文档那么简洁。 一低头,曾经 11:30 了,好家伙,工夫过得真快。 于是预订了下午 14:00 的会议室,筹备和产品经理,测试,项目经理过一下文档。 文档评审会议室 14:00。 小明按时来到会议室,提前插好投影仪,等着大家的到来。 “我昨天提的需要简略吧。”,未见其人先问其声,产品经理刚到门口就笑着走了进来。 “是的,还好。” 接着,项目经理和测试也一起走了进来。 “快点过需要文档吧”,项目经理说道。 小明清了清嗓子,讲了下整体的我的项目背景。并且把本人的具体设计和接口文档过了一遍。 过的时候,产品经理抬头在做其余的事件,这些细节并不需要关怀。 测试听的比拟认真,不停的提出本人的疑难,前面须要本人进行验证。 “还有其余问题吗?”,小明本人一个人不停说了半个多小时,感觉有些干燥。 “我没什么问题了”,测试说,“我最关怀的就是什么时候能够提测?” “下周一吧”,小明顿了顿,“我预计要会后能力开始编码。” “那还好”,测试回道,并示意本人没有其余疑难。 “你这个文档写的挺具体的”,项目经理略带称许的眼光看了下小明,“不过有一个问题,你这个接口连签名都没有。” “签名,什么签名?”,小明有点懵。 “你连对外接口签名都不会晓得?有工夫还是要学习学习。”,项目经理显然有些悲观。 “好了,不说这些了。”,产品经理这时退出了谈话,“这么简略的需要下周二上没问题吧?” “应该没问题,只有按时提测就行”,测试看向了小明。 ...

July 15, 2021 · 2 min · jiezi

关于安全:工信部三年行动计划公布安全产业迎来重大发展机遇

7月12日,工信部官网公布了《网络安全产业高质量倒退三年行动计划(2021-2023年)(征求意见稿)》(以下简称《行动计划》)。提出了在产业规模、技术创新、企业倒退、需要开释、人才培养、生态培养等方面的倒退指标。其中明确提到至2023年,网络安全产业规模超过2500亿元,年复合增长率超过15%。 一、国家政策加码,信息安全产业整体受害继2016年底《国家网络空间平安策略》公布施行以来,《网络安全法》、《数据安全法》、《个人信息保护法(草案)》等重大法规相继公布,网络安全已被作为国家平安工作进行部署。此次《行动计划》是等级爱护2.0规定之后又一网络安全畛域国家顶层布局政策,不仅明确了将来三年网络安全产业倒退指标,而且从产业供应强化口头、平安需要牵引口头、产交融作深入口头、人才队伍建设口头、产业生态优化口头等多个维度,部署了19项重点工作。 目前我国信息安全产业整体规模与欧美国家有较大差距,国内网络安全占信息化的投入比例约为3%,而欧美等发达国家均在10%以上,局部超过15%,这与我国当初的经济位置和数字经济倒退的现状也不合乎。《行动计划》的公布阐明网络安全的国家战略地位进一步失去必定,将无力助推我国信息安全产业规模的快速增长,拉近与欧美国家差距,对于网络安全企业和机构,以及产业平安生态的各方组织都将迎来难得的倒退红利。 二、网络安全估算大幅减少,明确重点行业投入比例此次《行动计划》在“需要开释”倒退指标中明确具体布局,电信等重点行业网络安全投入占信息化投入比例达10%;重点行业畛域平安利用全面提速,中小企业网络安全能力显著晋升,要害行业基础设施网络安全防护程度一直进步。 近年来各行各业的数字化水平一直减速,产业互联网的平安威逼也变得更加荫蔽、简单、更具破坏性。此前腾讯公布的《2020产业平安报告》中讲到,产业平安已成为企业的生命线,关乎企业生存,同时,产业平安还关乎企业倒退,数字化贯通企业研发、生产、流通、服务等全过程,无不波及平安需要,平安曾经逐步成为企业的外围竞争力之一。近两年频发的国外电信巨头遭黑客攻击、车企工业数据透露等安全事件,再一次印证了在数字化倒退过程中平安建设投入的重要性和紧迫性。 《口头报告》不仅提到领导电信、互联网等重点行业企业加大网络安全投入,推动网络安全与信息化同步布局、同步建设和同步应用,健全网络安全治理和技术保障体系。同时也顺便提及推动中小企业增强网络安全能力建设,施行中小企业“平安上云”专项口头,建设网络安全经营服务中心,面向中小企业提供高质量、低成本、集约化的网络安全产品和服务。更加全面地推动产业中各规模企业主体增强平安能力建设,开释平安需要。 三、新兴技术畛域是投入重点近年来各种新技术催生了各类新型平安需要,这也正是《行动计划》指出的网络安全供应层面要增强投入的重点畛域。 《行动计划》在“产业供应强化口头”中具体提到,针对5G、云计算、人工智能等新兴技术畛域,减速推动原生平安、智能编排、内生平安、动静访问控制、可信计算等技术产品研发和推广落地。针对工业互联网,强化大流量平安剖析、破绽开掘与治理、数据交融剖析、协定标识解析等能力。针对车联网和物联网,推动内生联合的轻量级终端平安产品或中间件,以及通信安全、身份认证、平台平安等防护计划利用。推动联邦学习、多方平安技术、隐衷计算、密态计算、平安检索、多阈协同追踪等数据安全技术钻研利用。同时还顺便强调了翻新平安服务模式,增强平安企业技术产品的云化能力,推动云化平安产品利用,激励综合实力强的平安企业倒退弹性、灵便的云模式网络安全服务。 四、反对优良网络安全企业“做大做强”在“企业倒退”指标中,《行动计划》激励根底较强的网络安全企业上市,反对领航企业通过策略投资形式整合资源,做大做强,晋升网络安全生态引领能力,同时一批面向车联网、工业互联网、物联网、智慧城市等新赛道的“专精特新”中小企业群体迅速成长,网络安全产品、服务、解决方案单项冠军企业数量逐渐壮大。 《寰球网络安全企业竞争力钻研报告》显示,寰球网络安全百强企业中,美国企业占据58席,独占半壁江山,中国17席,虽名列第二,但差距显著,我国网络安全产业在市场需求和产业能力方面则绝对落后。随着数字经济的一直倒退,我国无望呈现一批更具行业影响力、甚至世界影响力的标杆型网络安全公司。 基于此指标,将通过产交融作深入口头,加大产业基金投入力度和歪斜、疏导资本精准反对企业倒退。发动网络安全产业资本赋能工程,从产交融作机制、服务、保险等方面作出明确落地打算。 此外,《行动计划》中还提到了“人才队伍建设口头”以及“产业生态优化口头”共6项重要工作,包含继续推动网络安全校企单干、造就高素质网络安全人才;疏导网络安全产业会聚,踊跃推动北京、湖南长沙国家网络安全产业园区建设,放慢国家网络安全产业园区布局。 此次工信部公布《网络安全产业高质量倒退三年行动计划(征求意见稿)》,是深刻贯彻党中央、国务院对于制作强国和网络强国的战略决策部署,落实“十四五”布局无关要求的重要动作。随着这项布局的落地,置信会给整个平安产业带来微小的扭转和倒退。 请点击理解《行动计划》具体内容。

July 14, 2021 · 1 min · jiezi

关于安全:Quick-Audience组织和工作空间功能解读

简介:Quick Audience实现了权限零碎全面降级,能够解决团体企业不同品牌、不同经营组织,不同消费者经营的诉求,精细化保障企业数据拜访平安,晋升管控的灵便度-更多对于数智化转型、数据中台内容请退出阿里云数据中台交换群—数智俱乐部 和关注官网微信公总号(文末扫描二维码或点此退出) -阿里云数据中台官网 https://dp.alibaba.com/index 近期,Quick Audience实现了权限零碎全面降级,能够解决团体企业不同品牌、不同经营组织,不同消费者经营的诉求,精细化保障企业数据拜访平安,晋升管控的灵便度。 Quick Audience整个零碎分为组织治理和工作空间两层。一个组织能够蕴含多个工作空间,而每个工作空间的数据是隔离的。 组织层面,组织管理员领有零碎最高权限,可操作治理所有空间的数据和性能。空间层面,分为管理员、开发者、分析师、及自定义角色,权限作用范畴均限定在本空间内。 理论利用中,若团体存在多个品牌,多品牌之间须要进行数据隔离,倡议间接将Quick Audience零碎中的“组织“对应“团体”,各“工作空间”对应团体上司的各个“品牌”。由团体管理人员在零碎的组织层面进行表权限管控和下放,实现不同的工作空间可见不同的原始表数据,同时各空间也有肯定的操作自主性,能够进行空间人员的经营管控。 在根据团体的数据进行剖析的同时也能够绑定品牌自有数据源进行数据分析。 若无品牌数据隔离场景,则无需划分多个工作空间,仅在默认空间内操作即可。 上面将从数据管控和人员管控两方面进行具体介绍。 1、数据管控,仅组织管理员可操作,在管理中心/组织治理/数据受权中设置,实现流程如下: 首先实现数据源的创立 点击数据的操作性能,进行权限设置通过表权限、行权限、列权限实现不同水平的数据管控。 若某张数据表专属于某个工作空间,可通过表权限实现设置。 若一张会员表中,既有品牌A的会员数据也有品牌B的会员数据,可通过行级权限性能对指定字段进行行过滤。 若会员表中局部标签列专属于某个工作空间,则能够通过列权限进行设置。行、列权限能够同时应用,实现数据精准管控。 2、人员管控,分为组织和工作空间两种场景。 组织管理员可进行全局管控,在管理中心/组织治理/组织成员中设置,次要实现组织成员的增删和角色的批改操作。 空间管理员只可对本空间内的成员进行管控,在管理中心/工作空间/空间成员治理中设置,次要实现空间成员的增减、角色治理、用户组设置。 相干产品:全域消费者经营平台QuickAudience 数据中台是企业数智化的必经之路,阿里巴巴认为数据中台是集方法论、工具、组织于一体的,“快”、“准”、“全”、“统”、“通”的智能大数据体系。 目前正通过阿里云对外输入系列解决方案,包含通用数据中台解决方案、批发数据中台解决方案、金融数据中台解决方案、互联网数据中台解决方案、政务数据中台解决方案等细分场景。 其中阿里云数据中台产品矩阵是以Dataphin为基座,以Quick系列为业务场景化切入,包含: - Dataphin,一站式、智能化的数据构建及治理平台;- Quick BI,随时随地 智能决策;- Quick Audience,全方位洞察、全域营销、智能增长;- Quick A+, 跨多端全域利用体验剖析及洞察的一站式数据化经营平台;- Quick Stock, 智能货品经营平台;- Quick Decision,智能决策平台;官方站点: 数据中台官网 https://dp.alibaba.com 钉钉沟通群和微信公众号 版权申明:本文内容由阿里云实名注册用户自发奉献,版权归原作者所有,阿里云开发者社区不领有其著作权,亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容,填写侵权投诉表单进行举报,一经查实,本社区将立即删除涉嫌侵权内容。

July 14, 2021 · 1 min · jiezi

关于安全:剖析供应链攻击的防范

摘要:近来供应链攻打频发,供应链攻打和勒索软件攻打正成为黑客谋利的重要伎俩,照成的社会危害微小。如何能力无效的防备供应链攻打,正成为软件供应商须要思考的问题,Google的SLSA供应链完整性框架,给了咱们很多无益的参考。本文分享自华为云社区《供应链攻打的防备》,原文作者:Uncle_Tom 。 1. 历史上最大的勒索软件攻打7月2日勒索组织REvil,攻打了一家来自瑞典的IT治理服务提供商(managed service providers(MSP)) – Kaseya。 Kaseya的VSA(虚构系统管理)是一个基于云的治理服务提供商(MSP)平台,该平台为客户提供了一套基于Web的新一代自动化IT系统管理解决方案。MSP通过建设本人的网络运作核心(Network Operating Center(NOC))来为企业提供 24×7×365 的系统管理服务的业务。MSP能够实现对客户的IT零碎的进行近程的治理、实时的监控、对企业零碎运作状况进行统计,以及执行补丁治理等。 Kaseya在寰球曾经领有了超过10000家客户,其中包含50%以上的寰球100强IT治理服务提供商及各大龙头企业,别离来自银行业、金融业、零售业、贸易业、教育机构、政府机构、医疗机构和交通运输业等畛域。寰球有超过1300万台以上的终端和设施通过Kaseya的软件进行治理。 REvil利用零日破绽(CVE-2021-30116)攻陷MSP平台之后,向VSA外部推送了歹意更新,在企业网上部署了勒索软件,导致Kaseya蒙受工具链攻打。REvil声称锁定了超过一百万个零碎,并违心就通用解密器进行谈判,起价为7000万美元,这是迄今为止开价最高的赎金。 REvil频繁作案: 2020年5月,REvil宣称破译了唐纳德·特朗普公司用于爱护其数据的椭圆曲线密码术,并为他们偷盗的数据索要4200万美元的赎金。2021年3月18日,REvil从属公司在网络上宣称,他们已从跨国硬件和电子公司宏碁装置勒索软件并盗取大量数据,并为此索取5000万美元的赎金。2021年3月27日,REvil攻打哈里斯联盟,并在其博客上公布了联盟的多份财务文件。2021年4月,REvil窃取了广达电脑行将推出的苹果产品的打算,并威逼要公开公布这些打算,除非他们收到5000万美元作为赎金。2021年5月30日,寰球最大肉类供应商JBS受到REvil勒索软件的攻打,该公司不得不将所有美国牛肉工厂临时敞开,并中断了家禽和猪肉工厂的经营。最终,JBS还是向REvil领取了1100万美元的比特币赎金。2021年6月11日,寰球再生能源巨擘Invenergy证实其作业系统受到了勒索软件的攻打,REvil宣称对此事负责。2. 近来供应链攻打频繁2020/12,SolarWinds旗下软件被用于供应链攻打SolarWinds公司开办于1999年,总部位于美国德克萨斯州奥斯汀,在多个国家设有销售和产品开发办事处,次要生产销售网络和零碎监测治理类的软件产品,为寰球30万家客户服务,笼罩了政府、军事、教育等大量重要机构和超过9成的世界500强企业,出名客户清单包含:《美国财产》500强企业中的425家;美国十大电信公司;美军所有五个分支;五角大楼,美国国务院,NASA,NSA,美国邮政局,NOAA,美国司法部和总统办公室;美国前五名会计师事务;寰球数百所大学等。据析大概有超过250 家美国联邦机构和企业受到影响,其中包含美国财政部、美国NTIA,美国平安公司FireEye等,能够算得上是2020年最具影响力的供应链攻打事件了。2020/12,黑客组织FIN11利用AccellionFTA服务器的多个0day破绽攻打寰球上百家企业黑客利用4个平安缺点攻打AccellionFTA服务器(FTA服务器是一款在2000年时代开发的文件共享工具,可使企业以简略的形式和员工以及客户共享文件),装置了一个名为“DEWMODE”的webshell,之后用于下载存储在受害者FTA设施上的文件。Accellion公司在新闻稿中指出,”在约300个FTA客户端中,受害者不到100人,而其中不到25集体蒙受重大的数据盗取事件。在这25个客户中,某些客户的FTA文件分享服务器遭攻打后收到了勒索留言。攻击者发送邮件要求领取比特币,或者在由Clop勒索团伙经营的网站上公开受害者数据。2021/03,国际航空电信公司(SITA)受到供应链攻打国际航空电信公司(SITA)占据寰球90%航空份额的通信和IT厂商,存储在该公司位于美国服务器中的乘客信息遭“高度简单的攻打”。受攻打的服务器位于亚特拉大,属于SITA乘客服务零碎(SITAPSS)。SITAPSS经营该零碎是为了解决航空乘客信息,为SITA多家总部位于欧盟的企业所有。星空联盟(国际航空公司联盟)的航空公司成员包含汉莎航空、新西兰航空和新加坡航空以及OneWorld成员国泰航空、芬兰航空、日本航空和马来西亚航空公司曾经开始和受影响用户通信,并示意,韩国航空公司济州航空的乘客数据也遭攻陷。3. 供应链攻打供应链攻打是一种以软件开发人员和供应商为指标的一种威逼, 攻击者通过感化非法利用来散发恶意软件来拜访源代码、构建过程或更新机制从而达到对开发人员和供应商进行攻打的目标。 软件供应链可划分为开发、交付、运行三个大的环节,每个环节都可能会引入供应链平安危险从而蒙受攻打,上游环节的平安问题会传递到上游环节并被放大。 黑客往往通过攻陷某出名官网的服务器,篡改其服务器上所提供的软件源代码,使得这些软件在被用户下载后装置时触发歹意行为。这些携带恶意代码的软件来自受信赖的散发渠道,携带着相应的供应商数字签名,使得恶意程序的隐蔽性大大加强,平安检测难度加大。 当攻击者通过供应链攻打散播的恶意软件是以加密技术锁住零碎材料,并藉此勒索企业,就形成了勒索软件攻打。通常当供应链攻打和勒索软件攻打被一起应用时,会造成更大的危害。 例如,对于Kaseya的攻打,平安公司Huntress Labs在Reddit上公布了一篇帖子,具体介绍Kaseya VSA入侵的工作原理,该木马软件以Kaseya VSA Agent Hot-fix的模式公布,通过Kaseya的MSP治理平台,将补丁散发到Kaseya用于客户治理的虚拟机VSA上,从而实现恶意软件对客户要害信息的加密和勒索。 供应链攻打的典型攻打办法《2020年中国网络安全报告》称供应链攻打已成为2020年最具影响力的高级威逼之一。 4. 供应链攻打的防备4.1. Google的SLSA供应链完整性框架6月16日,Google在平安博客上发表了一篇《Introducing SLSA, an End-to-End Framework for Supply Chain Integrity》博客,介绍了一个叫SLSA(莎莎(读音salsa))的用来检测端到端供应链完整性的框架。 SLSA解决的问题: 软件生产商想要爱护他们的供应链,但不晓得具体如何;软件消费者心愿理解并限度他们蒙受供应链攻打的危险,但没有方法这样做;独自的工件签名只能避免咱们关怀的攻打的一个子集SLSA制订的规范是软件生产者和消费者的领导准则: 软件生产者能够遵循这些准则来使他们的软件更加平安;软件消费者能够依据软件包的平安情况做出决定。SLSA是一套可逐渐采纳的平安指南,由行业共识建设。SLSA是用来避免一般供应链攻打,明确列举了开发过程中各个环节可能受到的攻打,并将这些攻击点标注为A到H共8个攻击点;同时对开发过程中的三个输入中间件:原码(source)、依赖(dependency)和包(package)通过安全等级的划分来体现供应链的完整性强度。SLSA的四个级别旨在增量和可操作,并避免特定的完整性攻打。SLSA 4代表现实的最终状态,较低的级别代表具备相应完整性保障的里程碑。 4.2. 开发过程供应链威逼开发过程供应链威逼图图中的相干定义特例: 蕴含源码的zip包是一个包,不是源。因为这个文件是由其余源码构建产生的。例如一个git提交的zip文件.开发过程供应链威逼形容4.3. SLSA的安全级别中间件的SLSA级别形容了其间接供应链的完整性强度,次要有四个SLSA级别。SLSA 4是以后最高级别,代表现实的终极状态。SLSA 1–3提供较低的平安保障,但更容易满足要求。依据Google的教训,实现SLSA 4可能须要很多年和大量的致力,因而两头里程碑是重要的。 级别定义4.4. SLSA安全级别的要求SLSA给达到每个级别定义了实现要求,具体如下: 4.5. 利用举例下图是SLSA给出的利用举例,能够看到每个交付的中间件都有一个本身的hash值和出处的定义,从而保障整个中间件的可追溯和可验证。 5. 总结供应链攻打正成为危害最大的网络威逼之一,且产生的频率正在回升;供应链攻打因为领有上游的正式公布渠道和无效的签名,作为上游的使用者防备艰难;作为软件的开发者,在做好开源软件缺陷的治理之外,还要进步本身的风险管理能力,可能辨认开发过程中歹意的变动,并触发追究和防范措施;Google的SLSA供应链完整性框架,全面的思考了供应链的各个环节可能引入的平安威逼,提供了避免供应链攻打的一种无效的办法;Google的SLSA供应链完整性框架,能够成为咱们开发过程中防备供应链攻打的一个很好的借鉴;6. 参考微软平安供应链攻打Google:IntroducingSLSA,anEnd-to-EndFrameworkforSupplyChainIntegrity2021-07-05勒索组织REvil发动供应链攻打,索要7000万美元赎金2021-03-07大规模供应链攻打攻陷了数家航空公司2020-12-16SolarWinds旗下软件被用于供应链攻打事件剖析洞见RSA2021|备受热捧的“供应链攻打”如何进攻?5-ways-your-software-supply-chain-is-out-to-get-you-part-5-hostile-takeoverrsa翻新沙盒盘点-apiiro-代码危险平台top-5-tips-to-prevent-the-solarwinds-solorigate-attack解读6种最常见的软件供应链攻打类型点击关注,第一工夫理解华为云陈腐技术~

July 13, 2021 · 1 min · jiezi

关于安全:开发者联盟生态市场-企业特惠GO第2期服务市场专题-海量福利来袭

开发者联盟生态市场是围绕华为终端生态,打造的一站式软硬件产品及服务交易平台,本季服务市场特惠专题将于7月13日炽热开启,精选80+特惠服务类商品供企业抉择,帮忙企业解决常见业务难题,助力企业稳固高效倒退。 多重福利领先看 7月13日—8月13日 企业服务类领券满300减100 运维安全类热门产品最低0.1元体验 定制服务领券8折特惠 最高1000元福利券放送,新购满额更有豪礼等您来领! >>>>解锁福利1 优惠福利限时派送,店铺领券更优惠! 精选超值企业服务套餐,培训与认证、企业服务、运维服务、平安服务、主题开发服务、定制服务等帮忙企业降低成本,助力企业高效稳固倒退。 点击进入特惠服务市场专区>>> >>>>解锁福利2 新购满额送豪礼 流动期间生产实付满1000元起即可赢取以下超值豪礼。车载风扇、HUAWEI Nova迷你小音箱、HUAWEI智能体脂秤2 Pro 共33份,数量无限,送完即止!https://communityfile-drcn.op... “新购满额送豪礼”流动规定: 1、流动对象: 参加"企业特惠GO流动第2期—服务市场专题”的新购买用户 2、流动工夫: 2021年7月13日-2021年8月13日; 3、参加形式: 流动期间,累计新购实付付费金额达到肯定额度,可兑换相应的实物礼品,详情征询生态市场小助手 4、付费阐明: 付费金额指订单金额剔除折扣、优惠券、退订订单等,即用户该笔订单理论付现金额,新购、变更订单金额可参加流动,续费订单金额不参加此流动,兑换实物处分的订单不容许退订; 5、礼品申报: 请您在流动完结后5个工作日内填写问卷,反馈您的收货地址;如果过期没有反馈,将勾销发放资格; 6、礼品寄送工夫: 礼品预计在流动完结后30个工作日内寄出,如遇到产品缺货发货日期可能延后,或发放等价值礼品; 7、礼品阐明: 付费金额依照流动期间内累计实付金额计算,将于流动完结后对立统计并兑换相应礼品,处分不可与其余流动叠加,即同一用户仅可兑换一个礼品(付费金额阶梯内所对应的礼品),色彩随机。礼品数量无限,送完即止(共计33份,依照每个付费金额阶梯内,用户理论付费金额从高至低进行排序发放,如遇雷同付费金额则默认按工夫先后发放),具体规定如下: 8、所有加入本流动的华为开发者联盟注册用户,已认可并批准恪守《华为开发者联盟生态市场用户协定》《商品协定》 9、本次流动由华为开发者联盟综合评审,流动最终解释权归华为开发者联盟所有 订单实现后请扫码提交信息 赶快珍藏这份超值服务市场购买清单,锁定你的专属福利,立刻下单抢购! 原文链接:https://developer.huawei.com/...原作者:生态市场小助手

July 12, 2021 · 1 min · jiezi

关于安全:统一服务门户让运维不再成为背锅侠和救火队

以后企业根本已具备较为残缺的运维服务团队以及运维业余工具,然而企业管理者普遍认为运维就是“被动救火队”,对其器重水平非常低,一说到运维就会想到“背锅侠”、“救火队”,如何把运维工作从压力转化为价值,从运维工作转型到经营,是每个运维团队管理者始终在思考的痛点问题。 01 运维和经营工作的区别在哪里? 运维更多的是被动式“维持”,面向基础设施、面向软硬件,保障系统的“稳固”、“平安”和“牢靠”。经营更多的是主动式“经营”,面向业务、服务和用户,关注的是提供服务的“体验”、“效率”和“效益”。 02 在多云零碎架构下的服务经营工作企业次要存在哪些问题? 云资源申请等工作线下操作,不足自助服务,用户体验差; 服务审批流程与云治理平台割裂,资源交付线下手工实现,未实现主动交付,资源供应效率低; 未对服务进行标准化,无奈实现服务的计量计费,无奈无效管控效益; 缺失服务考核评估体系,服务满意度低。 如何在以后企业多云零碎架构下实现从运维到经营转型? 咱们基于多年云治理平台建设教训,以及对企业客户服务经营需要的了解,认为云治理平台的“对立服务门户”是企业从运维到服务经营的重要抓手,通过将云服务自助化、流程化、自动化、标准化及服务满意度评估治理来标准日常服务经营工作,进步服务效率和服务质量,晋升用户服务体验,无效管控效益。 服务自助化-各业务部门通过“对立服务门户”自助申请计算、网络、存储、运维操作等云服务; 服务流程化-各种云服务申请、变更、退订等主动匹配相应审批流程,直观展示审批各环节信息; 服务自动化-服务申请审批通过,平台主动执行并交付计算、网络、存储资源及运维操作后果; 服务标准化-标准化计算、网络、存储、运维操作等产品,以服务模式公布到“对立服务门户”; 服务满意度评估-服务评估治理对各类服务能力的应用状况进行评估,打造一个“主观、残缺、详实”的考核评估体系。 通过“对立服务门户”进步基础设施资源的利用率,实现按需调配、即需即用、无效共享,解决了各业务部门碎片化服务的痛点。打造“四化一评估”的服务经营全生命周期闭环管控的残缺服务体系,助力企业从运维到经营胜利转型。 对于BeyondCMP云治理平台: BeyondCMP 云治理平台针对多云和混合云环境的云基础设施等资源管理,提供“云治理+云服务+云经营+云监控”四位一体的中立云治理服务,以统一化形式帮忙企业用户实现多云资源的调配和治理,自动化和自助化的服务交付,精细化和可视化的老本经营剖析,帮忙企业从传统环境平滑迁徙到多云环境,放弃企业云架构零碎的继续优化。 点击BoCloud博云理解更多解决方案 注:内容由BoCloud博云原创,未经容许不得转发

July 7, 2021 · 1 min · jiezi

关于安全:EE-519-Speech

Out: Mar 30 2019Due: Apr 13 2019EE 519: Speech Recognition andProcessing for MultimediaSpring 2019Homework 5There are 2 problems in this homework, with several questions. Please make sure to show the details of working foreach question. Answers without any justification may not receive credit.Return: A PDF file with your solutions, including any code you wrote (in an Appendix at the end of your file) and anyplots asked. Your Matlab source files, which we should be able to run.All your files should be uploaded to the corresponding dropbox in the D2L platform. If you make multiple submissions,only the last one will be evaluated.Problem 1Solve questions (a), (b) of this problem either by hand or implementing Viterbi algorithm in Matlab.Consider a 5-state HMM with parameters used to model a sequence of voiced (V ) and unvoiced (U) sounds. Assumeequal transition probabilities and equal initial state probabilities:aij = 0.2 i, j = 1, 2, 3, 4, 5 i = 0.2 ?i = 1, 2, 3, 4, 5The observation probabilities areState 1 State 2 State 3 State 4 State 5P(V ) 0.2 0.6 0.8 0.25 0.2P(U) 0.8 0.4 0.2 0.75 0.8We observe the sequence O = V V UUUV V V UU.(a) What is the most probable state sequence Q?(b) What is the joint probability of the observation sequence and the most probable state sequence P = P(O, Q?|)?(c) What is the probability that the observation sequence was generated only by State 1?(d) What is the average number of steps in a given HMM state? Note that at every “step” the model emits a singleobservation.Problem 2For this Problem, you will implement an ASR system for recognition of isolated spoken digits following the HMM/GMMparadigm. To that end, you will use the same dataset you used in HW4, together with the MFCCs youcreated. For your convenience, the MFCCs are provided in the file mfccs hw4.mat, but you are welcome to useyour own features from HW4. In mfccs hw4.mat you will find four objects, each one containing the recordings ofone speaker. For example, mfcc jackson is a cell array where mfcc jackson{i}{j} is a 2D array with the MFCCsfor the j-th Jackson’s recording for the digit i1. You will need to download the Matlab toolboxes found onhttps://www.cs.ubc.ca/~murphy... and add them to your path.Note: There are a few functions in those toolboxes which have the same names with built-in Matlab functions. Thismay cause problems if you want to use the corresponding built-in function. For example, to use the built-in functionassert, you can just rename the corresponding function in KPMtools to assert2.m.You will run three experiments:(i) Speaker-dependent ASR (unique speaker): You will partition randomly Jackson’s recordings into training (70%)and test (30%) sets keeping them balanced in terms of the different classes (digits). You will train the ASR systemusing your training set and evaluate on the test set.(ii) Speaker-dependent ASR (multiple speakers): You will partition randomly all the recordings into training (70%)and test (30%) sets keeping them balanced in terms of the different classes (digits). You will train the ASR system1using your training set and evaluate on the test set.(iii) Speaker-independent ASR: You will use all the Jackson’s recordings as your test set and all the other recordings asyour training set (leave-one-speaker-out scenario). You will train the ASR system using your training set and evaluateon the test set.PART 1: Initialization(a) Because of the limited vocabulary (only 10 words), instead of phonemes or triphones, we can use the entirewords as the fundamental linguistic units that will be modeled through HMMs. So, 10 models need to be trained,each one with Ndstates, with d = 0, 1, · · · , 9, corresponding to the digits 0, 1, · · · , 9. Because of the different acousticcomplexity of each word, Nd will not be the same ?d. For example, the word five sounds more complex than theword two, so we will use more states to model the former. Using the CMU Pronouncing Dictionary1, find the numberof phonemes that each word of your vocabulary is composed of. For example, the phonetic representation of the wordsix is S IH K S, so the word is composed of 4 phonemes. Use 4 states for the words with one phoneme (if such aword exists in your vocabulary). For each additional phoneme, add one state. For example, the word six should bemodeled by an HMM with 4+3=7 states, so N6 = 7. Report the values of Nd, d = 0, 1, · · · , 9.(b) You will use left-right, linear HMMs, like the one shown in Figure 1.Figure 1: 5-state linear HMM.Given this topology, what is a reasonable initialization of the transition matrixa11 a12 a13 a14a21 a22 a23 a24a31 a32 a33 a34a41 a42 a43 a44for a 4-state HMM? What about a 6-state HMM? For the initial state probabilities, you will usei =(1 i = 1 (1st state)0 otherwise(c) A possible observation at a given state of the HMM is a vector of 13 MFCCs. The probability of an observationat a given state will be modeled by a Gaussian Mixture Model (GMM) with 3 13-dimensional Gaussians. In orderto initialize the models, you will need a set of data from which the sample means and covariances will be estimated.Because of the topology used, it is not reasonable to assume that all the available features from a recording are generatedfrom any state of the HMM with equal probability. Instead, the first few MFCC vectors (first few frames) areexpected to be gererated from the first state of the HMM, the subsequent few vectors from the second state, etc. Arather crude first estimation is to assume that each recording for the digit d is uniformly partitioned into Nd(almost)equal parts where each part has about Nf /Nd MFCC vectors (frames). Remember from the notation used in HW4that Nf is the number of frames for a particular recording. Following this procedure for all the trainining recordingsand all the digits, you will have the data samples needed for the initialization of the distributions modeling all thestates of the 10 HMMs. Report the number of data samples you got through this process for the states 1, 2, · · · , 7 ofthe HMM corresponding to the digit 6. Report those 7 numbers for the speaker-independent setting. What about thedigit 3? Using a diagonal covariance matrix for each Gaussian, at this point you have everything you need to initializeyour models with the function mixgauss init.Note: If you cannot uniformly partition your data as described, you can initialize your models using all the availabletraining data for a particular digit to initialize all the states and continue to the next steps. That way, you may evenget a higher accuracy!1http://www.speech.cs.cmu.edu/...2PART 2: TrainingThe parameters of the models are obtained as their Maximum Likelihood estimations. Since a closed-form solutiondoes not exist, in practice this is done through the Expectation-Maximization algorithm. Use the function mhmm emfor that purpose, giving the right inputs, as explained in the comments of the function. You can leave the argumentsthres and max iter to their default values. Continue using diagonal covariance matrices. Running this function foreach HMM, you will have the log likelihoods, as well as the trained parameters of the HMMs and the GMMs.(a) Plot, at the same graph, the log likelihood as a function of the iteration number (of the EM algorithm) for the10 models for the speaker-independent setting.(b) Here, you will verify that the GMMs have been suitably trained in order to model the true underlying distributionof the training data in the 13-dimensional space of MFCCs. To do so, use Viterbi algorithm to find the most probablestate sequence for all the recordings of the training set. For that step, you will need the functions mixgauss prob andviterbi path. After this, for the digit 6, collect all the feature vectors (MFCCs) which have been mapped to thei-th state of the corresponding HMM. Plot the histogram of the 2nd MFCC, for the 3rd state of the correspondingHMM. Plot, additionally, the probability distribution corresponding to that state, as modeled by the trained GMMs.Of course, the GMMs you have used are composed of 13-dimensional Gaussians. How can you generate your plotonly for the 2nd MFCC (1-dimensional)? For your plot, you can implement your own functions or you can use thePlot GM function found here: https://www.mathworks.com/mat... Yourplots should correspond to the speaker-independent setting. Does this probability distribution represent the underlyingsample distribution as visualized by the histogram?PART 3: Evaluation(a) For each recording in the test set, find the probability that the sequence of observations (MFCCs) of the particularrecording was generated by each one of the 10 trained HMMs, using the function mhmm logprob. Assign to the recordingthe digit corresponding to the HMM which gave the maximum probablility. For the three experiments (i), (ii), (iii)report the accuracy of your system.Accuracy = number of correctly classified recordingstotal number of recordingsAdditionally, for the experiment (iii), report the F1 score for each one of the 10 classes (digits).F1(d) = 2 Precision(d) · Recall(d)Precision(d) + Recall(d)Precision(d) = number of correctly classified recordings in class dnumber of recordings classified in class dRecall(d) = number of correctly classified recordings in class dtotal number of recordings in class d(b) - extra credit For the experiment (iii), pick two digits d and ?d. For d, pick 3 recordings correctly classified andplot the most probable trajectory of the observations (MFCCs) in the space of HMM states (for the HMM modelingd). In other words, your x-axis should be time (or frame index) and the y-axis should be the index of the HMM state(1, 2, · · ·). To do so, you will need the functions mixgauss prob and viterbi path like in Part 2, Question b. Dothe same for 3 recordings of d. Now, pick one of the 3 recordings of d and plot the most probable trajectory of theobservations (MFCCs) in the space of HMM states for the HMM modeling d. (3+3+1=7 plots are asked totally inthis question)PART 4: Architecture and Parameter Tuning - OptionalIf you want, try different parameters (e.g. number of states, number of Gaussians, full vs diagonal covariance matrices,ergodic vs linear HMMs, etc) and report the accuracy you got with your optimal configuration. WX:codehelp ...

July 5, 2021 · 8 min · jiezi

关于安全:IOS-联真机签名解决方案

一、指标咱们之前介绍过 IOS 某电商App签名算法解析(二) Frida RPC调用和 IOS Theos Tweak 之 HelloWorld 。 那么他们搭配起来能解决什么问题呢? 在Android联真机签名计划中,咱们提到过Frida rpc计划的毛病: frida不是很稳固,偶然会解体出退frida启动须要连PC (不过这个毛病曾经被 Xcube frida脚本长久化 给解决了)那么在Ios下有没有相似Xposed的东东? 是的,就是 Tweak。 二、步骤GCDWebServerGCDWebServer 是一个基于 GCD 的轻量级服务器框架,用于内嵌到 MacOS或者iOS 零碎的利用中,提供 HTTP 的服务。 他的代码在这里 https://github.com/swisspol/GCDWebServer 咱们先创立一个 Tweak工程 fenfeiNewMac:ldqtweakrpc fenfei$ nic.plNIC 2.0 - New Instance Creator------------------------------ [1.] iphone/activator_event [2.] iphone/activator_listener [3.] iphone/application_modern [4.] iphone/application_swift [5.] iphone/cydget [6.] iphone/flipswitch_switch [7.] iphone/framework [8.] iphone/library [9.] iphone/notification_center_widget [10.] iphone/notification_center_widget-7up [11.] iphone/preference_bundle_modern [12.] iphone/theme [13.] iphone/tool [14.] iphone/tool_swift [15.] iphone/tweak [16.] iphone/tweak_with_simple_preferences [17.] iphone/xpc_serviceChoose a Template (required): 15Project Name (required): ldqsignPackage Name [com.yourcompany.ldqsign]: Author/Maintainer Name [fenfei]: fenfei[iphone/tweak] MobileSubstrate Bundle filter [com.apple.springboard]: XX4iPhoneInstantiating iphone/tweak in ldqsign/...Done.而后把github上下载的代码复制到工程目录 ...

July 5, 2021 · 2 min · jiezi

关于安全:国家网信办滴滴出行-下架整改

网信中国微信公众号音讯:依据举报,经检测核实,“滴滴出行”App存在重大守法违规收集应用个人信息问题。国家互联网信息办公室根据《中华人民共和国网络安全法》相干规定,告诉利用商店下架“滴滴出行”App,要求滴滴出行科技有限公司严格依照法律要求,参照国家有关规范,认真整改存在的问题,切实保障宽广用户集体信息安全。 特此通报。 国家互联网信息办公室 2021年7月4日文章转载至:'中国青年网' https://baijiahao.baidu.com/s... 想要理解更多的前沿新闻和技术请扫码找我征询。

July 5, 2021 · 1 min · jiezi

关于安全:重点解析MTH5001

projectMarch 14, 20191 MTH5001: Introduction to Computer Programming 2018/191.1 Final Report Project: "Networks"1.1.1 Instructions:First, please type your name and student number into the Markdown cell below:Name:Student number:You must write your answers in this Jupyter Notebook, using either Markdown or Pythoncode as appropriate. (You should create new code and/or Markdown cells in the appropriateplaces, so that your answers are clearly visible.)Your code must be well documented. As a rough guide, you should aim to include one line ofcomments for each line of code (but you may include more or fewer comments depending on thesituation). You should also use sensible variable names, so that your code is as clear as possible.If your code works but is unduly difficult to read, then you may lose marks.For this project, you will need to use the Python package NetworkX extensively. However, totest your coding skills, in certain questions you will be restricted to using only specific functions.These restrictions are made clear below (see questions 4 and 8).1.1.2 Submission deadline:You must submit your work via QMPlus (to the "Final Report Project" assignment in the "FinalReport Project" section).The submission deadline is 11:55pm on Monday 29 April, 2019. Late submissions will bepenalised according to the School’s guidelines.Your lecturers will respond to project-related emails until 5:00pm on Friday 26 April, 2019,only. You should aim to have your project finished by this time.1.1.3 Marking:The project is worth 70% of your final mark for this module.The total number of marks available for the project is 100.Attempt all parts of all questions.When writing up your project, good writing style is even more important than in writtenexams. According to the advice in the student handbook,1To get full marks in any assessed work (tests or exams) you must normally not onlygive the right answers but also explain your working clearly and give reasons for youranswers by writing legible and grammatically correct English sentences. Mathematicsis about logic and reasoned arguments and the only way to present a reasoned andlogical argument is by writing about it clearly. Your writing may include numbers andother mathematical symbols, but they are not enough on their own. You should copythe writing style used in good mathematical textbooks, such as those recommendedfor your modules. You can expect to lose marks for poor writing (incorrect grammarand spelling) as well as for poor mathematics (incorrect or unclear logic).1.1.4 Plagiarism warning:Your work will be tested for plagiarism, which is an assessment offence, according to the School’spolicy on Plagiarism. In particular, while only academic staff will make a judgement on whetherplagiarism has occurred in a piece of work, we will use the plagiarism detection software "Turnitin"to help us assess how much of work matches other sources. You will have the opportunityto upload your work, see the Turnitin result, and edit your work accordingly before finalisingyour submission.You may summarise relevant parts of books, online notes, or other resources, as you see fit.However, you must use your own words as far as possible (within reason, e.g. you would not beexpected to change the wording of a well-known theorem), and you must reference any sourcesthat you use. Similarly, if you decide to work with other students on parts of the project, thenyou must write up your work individually. You should also note that most of the questions arepersonalised in the sense that you will need to import and manipulate data that will be unique toyou (i.e. no other student will have the same data).1.2 Background informationIn this project you will learn about a field of mathematics called graph theory. A graph (or network)is simply a a collection of nodes (or vertices), which may or may not be joined by edges.(Note that this is not the same as the ’graph’ of a function.)Graphs can represent all sorts of real-world (and, indeed, mathematical) objects, e.g. social networks (nodes represent people, edges represent ’friendship’), molecules in chemistry/physics (nodes represent atoms, edges represent bonds), communications networks, e.g. the internet (nodes represent computers/devices, edges representconnections).In this project we will only consider undirected graphs (see the above Wikipedia link for adefinition).Conventiently, Python has a package, called NetworkX, for constructing and analysing graphs.Let’s look at an example. Below we create the famous Petersen graph and use some basic NetworkXfunctions to learn a bit about it.In [1]: # import NetworkX and other useful packagesimport numpy as npimport numpy.linalg as laimport matplotlib.pyplot as pltimport networkx as nx2 ...

July 1, 2021 · 13 min · jiezi

关于安全:借你一双慧眼-Frida-Native-Trace

一、指标李老板: 奋飞呀,最近没怎么更新呀? 奋飞: 最近的KPI定的合不合理你心里没点AC数?我当初内卷到周三就开始写周报了,不然被新来的就给卷就业了。 遐想在古典PC互联网时代,咱也是 OD、IDA 玩的很溜的。 一日饮酒乐甚,突发奇想,IDA辨认出所有函数,而后导出来给OD,给这些函数下断点,触发之后先打日志,再主动勾销断点。这样程序运行的流程不就进去了? 理论跑起来发现,有些函数会频繁被调用,这样导致程序容易假死或者解体,所以还须要有个不便的过滤措施,过滤掉频繁调用的函数。 搞出了PEStalker之后,程序的运行流程就无所遁形了。 不过时代变了,挪动互联网时代的AppStalker怎么搞? 二、步骤frida-trace大胡子其实和咱们想到一块去了,他搞了个frida-trace,能够一次性监控一堆函数地址。 而后还能打印出比拟丑陋的树状图,不仅能够显示调用流程,还能显示调用档次。并且贴心的把不同线程调用后果用不同的色彩辨别开了。 当初就缺个数据源,把IDA的辨认后果导出来了。 trace_nativeshttps://github.com/Pr0214/trace_natives 是的,大佬曾经写好了,咱们又能够白嫖了。 跑起来下载traceNatives.py 放到ida的 plugins门路下, 我是mac放在了 /Applications/IDA Pro 7.0/idabin/plugins 目录Pr0214可能用的是IDA 7.x+ 和 python 3.x 的环境, 在我的 IDA7.0和python2下须要微调下代码# search_result = [f"-a '{so_name}!{offset}'" for offset in search_result]search_result = ["-a '{}!{}'".format(so_name,offset) for offset in search_result]# with open(save_path, "w", encoding="utf-8")as F:with open(save_path, "w")as F:# print(f"frida-trace -UF -O {save_path}")print("frida-trace -UF -O {} !".format(save_path))IDA关上之前http://91fans.com.cn/post/ldqsignone/ 里的 libxxbitmapkit.so, Edit -> Plugins -> traceNatives 。 而后在剖析目录上面会生成 libxxbitmapkit_16250177xx.txt 这就是frida-trace要导入的数据了先把某电商程序的App跑起来,而后命令frida-trace -UF -O /Users/fenfei/Desktop/xx/armeabi-v7a_9_4_6/libjdbitmapkit_1625017920.txt跑起来即可,请留神 这里不要呈现中文门路, 可能我的 frida-trace 是在python2.7下跑的,呈现中文门路就会载入失败。 ...

June 30, 2021 · 2 min · jiezi

关于安全:FIT1045-Algorithms

FIT1045 Algorithms and programming in Python, S1-2019Assignment 1 (value 12%)Due: Friday 12th Apr 2019, 11:55 pm.ObjectivesThe objectives of this assignment are: To demonstrate the ability to implement algorithms using basic data structures and operations on them. To gain experience in designing an algorithm for a given problem description and implementing thatalgorithm in Python.Submission Procedure Put you name and student ID on each page of your solution.Save your files into a zip file called yourFirstName yourLastName.zipSubmit your zip file containing your solution to Moodle.Your assignment will not be accepted unless it is a readable zip file.Important Note: Please ensure that you have read and understood the university’s policies on plagiarismand collusion available at http://www.monash.edu.au/students/policies/academic-integrity.html. Youwill be required to agree to these policies when you submit your assignment.Marks: This assignment will be marked both by the correctness of your code and by an interview withyour lab demonstrator, to assess your understanding. This means that although the quality of your code(commenting, decomposition, good variable names etc.) will not be marked directly, it will help to write cleancode so that it is easier for you to understand and explain.This assignment has a total of 30 marks and contributes to 12% of your final mark. Late submission will have10% off the total assignment marks per day (including weekends) deducted from your assignment mark. (In thecase of Assignment 1, this means that a late assignment will lose 3 marks for each day (including weekends)).Assignments submitted 7 days after the due date will normally not be accepted.Detailed marking guides can be found at the end of each task. Marks are subtracted when you are unable toexplain your code via a code walk-through in the assessment interview. Readable code is the basis of aconvincing code walk-through.1Task 1: Race to Pi (12 Marks)BackgroundThe ratio of a circle’s circumference to its diameter, usually denoted by the Greek letter , is an extremelyimportant constant in mathematical computations. Unfortunately, the exact value of cannot be storedexplicitly in a computer, because it is irrational, i.e., it does not correspond to any ratio between two integervalues. To help us out, there are many different ways to approximate , most of which based on computing afinite prefix of an infinite sum or product. For instance:via a solution to the basel problem: derived from the taylor expansion of 1/(1 + x): via the wallis algorithm: via the spigot algorithm: Each of these sums (or the product in case of 3.) converges to the respective value on the left-hand-side of theequals sign. That is for every desired precision > 0, the absolute difference between the left-hand-side and thesum/product on the right-hand-side is guaranteed to be less than if a sufficient number of terms is computed.Thus, they are all valid ways to compute . However, the speed of convergence, i.e., the number of terms thathave to be computed to reach a desired precision is different for each method. (Note that in case of wallis andspigot every expression in parenthesis is considered one term; e.g., the first term of the wallis product equals4/3, the third term of the spigot sum equals 2/15.) In this task, we will determine which of the above methodsis preferable from this perspective.InstructionsCreate a Python module called pi.py. Within that module:a) Write four different functions for approximating corresponding to the four different approaches listedabove (the functions must be called basel, taylor, wallis, and spigot). Each of these functions mustobey the following input/output specification:Input: a float parameter precision which specifies the precision to which should be calculated, i.e.,the absolute difference of the approximation to the Python constant pi.Output: two values (x,n) such that x is the first approximation to with an absolute difference frompi of at most precision, and n is the number of terms of the sum/product that were computed inthe process.For example, if the input was 0.1, then the function should continue to compute terms of the series untilthe approximation x to is less than 0.1 away from the Python constant pi (see more detailed examplesbelow).b) Write another function called race(precision, algorithms) that can be used to compare the convergencespeed of different approximation algorithms via the following input/output specification:Input: a float parameter precision and a list of Python functions algorithms.Output: a list of integer pairs [(i1, n1), (i2, n2),..., (ik,nk)] such that– for each pair (i,n) in the list, n is the number of steps that the i-th algorithm takes to approximate within the given precision– the list is in ascending order with respect to the number of steps (the second number of the pair)with ties resolved arbitrarily.Note that the input to race are functions and not strings. That is, in principle race can be used forevaluating arbitrary functions for approximating , not only the four covered here.c) Write a function print results which takes as input the output of the function race and prints theresults in a human readable format. Each line of the output should be “Algorithm i finished in nsteps” where i is first element of the integer pair, and n is the second.The only two import statements allowed in your module are from math import pi and from math importsqrt. Note that the subtasks can be solved independently and the given order (a, b, c) is only a recommendation.2Examplesa) Calling wallis(0.2) returns (2.972154195011337, 4) as the result of approximating with2.972154195011337 = 2 termsusing 4 terms because pi - 2.972154195011337 < 0.2 and non of the three prior wallis approximationssatisfies this condition.b) Calling basel(0.1) returns (3.04936163598207, 10) as the result of approximating withusing 10 terms because pi - 3.04936163598207 < 0.1 and non of the nine prior basel approximationssatisfies this condition.c) Calling taylor(0.2) returns (3.3396825396825403, 5) as the result of approximating with3.3396825396825403 = 4using 5 terms because pi - 3.3396825396825403 < 0.2 and non of the four prior taylor approximationssatisfies this condition.d) Calling spigot(0.1) returns (3.0476190476190474, 4) as the result of approximating with3.0476190476190474 = 2 using 4 terms because pi - 3.0476190476190474 < 0.1 and non of the prior three spigot approximationssatisfies this condition.e) Calling race(0.01, [taylor, wallis, basel]) returns [(2,78),(3,96),(1,100)] because functions taylor,basel, and wallis need 100, 96, and 78 terms, respectively, to approximate within the required precisionof 0.01.f) Calling print results([(2,78),(3,96),(1,100)]) printsAlgorithm 2 finished in 78 stepsAlgorithm 3 finished in 96 stepsAlgorithm 1 finished in 100 stepsMarking Guide (total 12 marks)Marks are given for the correct behaviour of the different functions:(a) 2 marks each for basel, taylor, wallis, and spigot(b) 3 marks for race(c) 1 mark for print resultsAll functions are assessed independently. For instance, even if function race does not always produce the correctoutput, function print results can still be marked as correct.3Task 2: Reversi (18 Marks)BackgroundReversi is a game for two players (Black and White), which is played on a squared board of 8 rows/columnswith stones that are white on one side and black on the other. In the beginning of the game, stones of Player 1(B) and Player 2 (W) are placed in a cross arrangement at the center of the board as shown in Table ??. Thenthe players take turns placing stones on empty fields on the board with their colour facing up according to thefollowing rules:All opponent’s stones that are enclosed in a straight line (horizontal, vertical, or diagonal) between thenewly placed stone and another stone of the same color are flipped (see Table).A move is only valid if it turns at least one opponent’s stone.If a player has no valid moves, their turn is skipped (see example in Table).The game ends when both players have no legal moves.When the game ends, each player scores points equal to the number of stones which have their colour face up,and the player with a higher score wins (draw if scores equal). In this task you will create a Python programthat allows one or two players to play a game of Reversi.Table 1: Initial board state at the beginning of game.Player 1 (B) has the first move.Table 2: Board state after Player 1 (B) played “e6”as her first move.a b c d e f g hTable 3: Valid moves (indicated by) for Player 2(W) following “e6” from Player 1.Table 4: Board state with no valid move for Player 2(W), who, in case it is her turn, has to pass back toPlayer 1 (B), whose only valid move is “e1”.InstructionsCreate a python module reversi.py. The only import statement allowed in your module is import copy. Yourmodule must at least contain the nine functions described in the subtasks below, but you are allowed, and infact, encouraged, to implement additional functions as you deem appropriate.4a) Create three functions new board(), print board(board), and score(board) that represent the basic elementsof Reversi as follows. The function new board() takes no parameters and returns a fresh boardconfiguration representing the Reversi starting position. The other two functions each take as input a boardconfiguration. The function score(board) returns as output a pair of integers (s1, s2) where s1 representsthe number of stones of Player 1 in the given board configuration and s2 represents the number of stones ofPlayer 2. The function print board(board) has no return value but prints the given board configurationin human-readable form to the console (in particular, all rows of the board must be printed in separate linesof the console and labelled by their names 1, 2, . . . and all columns must be properly aligned and labelled bytheir names a, b, . . . — similar to the illustrations above). For these and all other functions of this task, aboard configuration must be represented as a list of lists in the following way: A board configuration is a list of length 8, the elements of which represent the rows of the board fromtop to bottom: the first element represents the topmost row of the board, row 1, the second representsrow 2, etc.. Each row, i.e., each element of a list representing a board configuration, is also a list of length 8. Theseinner lists represent the rows of the board from left to right: the first element represents the field in theleftmost column, Column A, the second element represents the field in second column, Column B, etc. Each field, i.e., each element of the inner lists representing the rows, is an integer from the set {0, 1, 2}representing the state of that field: 0 represents an empty square, 1 represents a square with a Blackstone, and 2 represents a square with a White stone.See example ?? for an illustration of this representation of a board configuration.b) Create three functions enclosing(board, player, pos, direct), valid moves(board, player), andnext state(board, player, pos) that represent the rules of Reversi according to the following specifi-cations. A board position is represented by a pair (r, c) where r and c are each integers from the rangerange(8) representing a row index and a column index, respectively. For instance, the position “b3” isrepresented by (2, 1). The row and column order of the “b3” style and the specification of positionis reversed. This is because it is natural to constuct lists of lists in such a way that the outer listscorrespond to rows, and the inner list positions corerspond to column positions, so we reference themwith row first, then column. This row, column convention is quite common across maths and computerscience. A direction is represented by a pair (dr, dc) where dr and dc are each integers from the set {-1, 0,1}. For instance, “horizontal to the left” is described by (0, -1), “diagonal to the right and down” isdescribed by (1, 1), and so on). The function enclosing(board, player, pos, dir) represents whether putting a player’s stone ona given position would enclose a straight line of opponent’s stones in a given direction:Input: A board configuration board, an integer player from the set {1, 2}, a board position posand a direction dir.Output: True if board contains a stone of player in direction dir from position pos and all positionson the straight line between that stone and pos contain stones of the other player, and there is atleast one stone belonging to the other player on the straight line; False otherwise. The function valid moves(board, player) has:Input: A board configuration board as well as an integer player from the set {1, 2}.Output: A list of board positions (represented as pairs of integers as described above) [(r1, c1),(r2, c2), ..., (rk, ck)] such that the elements of that list correspond to all valid positions thatPlayer player is allowed to drop a stone on in the given input configuration board (in particular,the list is empty if the player has not valid moves in the given board). The function next state(board, player, pos) has:Input: A board configuration board as well as an integer player from the set {1, 2} and a board positionrepresenting the move of Player player to place one of their stones on the board configurationboard on the field described by pos.Output: A pair (next board, next player) such that next board is the board configuration resultingfrom Player player placing a stone on position pos on the input board configuration board,and next player is an integer from the set {0, 1, 2} corresponding to the player who gets tomove next or 0 in case the game ends after the input move is carried out.5c) Create functions position(string), run two players() and run single player() that put all of theabove together and that allow one or two players to play a game of Reversi through the console as follows. The function position(string) accepts as input any string string (e.g., "b5" or "Genghis Khan")and has as output the board position (r, c) described by the string or None in case the string doesnot correspond to a valid board position. Running run two players() should repeatedly do the following until the user selects to stop:1: Print the current board state2: Ask the player whose turn it is to input a position to drop a stone (in the format "d4"). The playercan also choose to quit by entering "q"3: Your program should then respond in one of the following ways:– If the move is not valid, print "invalid move"– If the move is valid, place the move on the board.4: If the game ended (no valid move remaining for either player), print the game result and exit5: If the game did not end, the current player’s turn is over. It is now the other player’s turn Running run single player() should behave identical to run two players() except that all movesof Player 2 are carried out automatically such that the resulting board configuration has the maximalscore for Player 2 (among all their valid moves).Examplesa) Calling score(new board()) returns (2, 2) because the score in the starting configuration is 2 for Player(B) and 2 for player 2 (W).b) Calling enclosing(new board(), 1, (4, 5), (0, -1)) returns True because Player 1 can enclose oneopponent’s stone to the left when placing a stone on field “f5”. In contrast, there is no straight line ofopponent’s stones to enclose on the diagonal line to the bottom right. Therefore, enclosing(new board(),1, (4, 5), (1, 1)) returns False.c) Calling next state(new board(), 1, (4, 5)) will return (next board, 2) where next board is the boardconfiguration[[0,0,0,0,0,0,0,0],[0,0,0,0,0,0,0,0],[0,0,0,0,0,0,0,0],[0,0,0,2,1,0,0,0],[0,0,0,1,1,1,0,0],[0,0,0,0,0,0,0,0],[0,0,0,0,0,0,0,0],[0,0,0,0,0,0,0,0]]because that is the configuration resulting from Player 1 putting a stone on field “f5” (encoded by integerpair (4, 5)) in the starting configuration, and Player 2 has the next move afterwards.d) Calling valid moves(next state(new board(), 1, (4, 5))[0], 2) returns the list [(3, 5), (5, 3),(5, 5)] or any of its permutations (list with same elements but different order) because the valid moves ofPlayer 2 after Player 1 played “f5” in Turn 1 are “d6”, “f4”, and “f6”.e) Calling position("e3") returns the pair (2, 4) because that is the internal representation of board position“e3”. Calling position("l1"), position("a0"), or position("Genghis Khan") all return None becauseall these input do not correspond to valid board positions.Marking Guide (total 18 marks)Marks are given for the correct behaviour of the different functions:a) 1 mark each for new board, print board, and scoreb) 4 marks for enclosing, 3 marks for valid moves, and 2 marks next statec) 1 mark for position, 2 marks for run two players and 3 marks for run single playerAll functions are assessed independently to the degree possible. For instance, even if function valid moves doesnot always produce the correct output, function run two players can still be marked as correct. WX:codehelp

June 29, 2021 · 13 min · jiezi

关于安全:内网无法使用微信QQ钉钉飞书windows共享不安全怎么办

一下班就失联,这个状况形容在内网办公的打工人,再适合不过了。在内网隔离的网络环境下能无效隔绝大部分的网络攻击,但同时也就义了效率,特地是沟通交流和文件共享。首先是沟通。 单位内网无奈登录微信,更别说应用钉钉、飞书之类的支流互联网社交软件,工作沟通只能通过Email、电话,或私有化的IM工具,在互联网开着“跑车”高效办公的时候,内网再怎么 “策马加鞭”,也还是追赶不上。其次是文件共享。单位内网通常应用Windows共享、U盘拷贝、搭建FTP等形式传输文件,不过猖獗的勒索病毒曾经让很多单位为Windows共享与U盘划上句号,而FTP的治理难度,预计很多IT管理员早就想换掉了。 那么问题来了,内网无奈应用微信、QQ、钉钉、飞书,而应用windows共享又极易被攻打,怎么办? 答案是云盒子企业云盘,私有化部署,将文档集中存储在云端,通过正当的权限调配和管控,实现文件外部共享;同时云盒子企业云盘自带IM模块实现外部沟通。多元化文件治理与合作性能节俭集成对接的步骤,一套即满足文件共享与沟通需要。V6 IM:易用平安的企业沟通场合在企业外部,即时通讯工具的根本属性不再是“聊天”,而是承载了一个人与人、部门与部门、公司与公司之间的线上连贯和合作的载体,各自构建专业化、垂直化的职场社交网络。云盒子企业云盘自主研发的V6客户端,实现云盘界面与IM界面剥离,独立应用,是对于内网隔离和国产化环境的单位,是刚需的文档治理、合作工具。云盒子 V6 IM个性:▶简洁易用,设置聊天、联系人和群组模块,满足人员沟通和群组沟通的需要;▶聊天信息浏览后主动标记已读,直观理解沟通进度;▶独创“云胖”表情包,为工作沟通削减趣味性;▶云盘文件拖拽到IM分享,保留人员文档权限,保障分享平安;▶已发文件可进行预览、关上、转发、撤回、另存为和关上文件所在目录的操作,增强后续工作的连接性;▶文件漫游存储,永不过期,毋庸要求对方重发,不用放心文件失落;▶已发文件在云盘被批改,IM联动更新,缩小重复上传和下载的两头步骤,效率更高。文件共享,云盒子比FTP好用 100倍云盒子替换传统的FTP、邮件和U盘共享,帮忙内网办公的企业领有更平安易用的文档共享形式。文件集中存储后,通过12级细颗粒度的权限或密级体系将企业数据和人员划分对应权限,员工严格依据权限调取文件。正式环境应用Linux零碎,不应用任何高危端口,从而极大升高了勒索病毒中毒危险。除了平安沟通与文件分享,云盒子还提供CAD在线预览、Office协同编辑、Email、微信文件主动同步、文件审批、催办等合作性能,即便企业在内网无奈应用微信、钉钉、飞书,也能通过云盒子给企业提供一个平安沟通,实时合作的文档办公平台。

June 29, 2021 · 1 min · jiezi

关于安全:阿里云无影云电脑千万级补贴助力广东省企业居家办公

简介:阿里云将向广东省企业收费提供1000万无影云电脑的资源,声援1000家企业居家办公。企业能够通过无影云电脑疾速建设平安、高性能、低成本的企业桌面办公体系,保障企业业务的失常进行。企业最多可申领10台无影云电脑,并收费应用2个月。近期,疫情在广东暴发,为管制疫情态势,放弃平安的社交间隔,很多企业抉择居家办公,这对企业的业务推动是一大挑战。 局部企业居家办公需依赖员工的个人电脑,而企业对于业务数据安全有很高的要求,同时,面对这种变动,IT资产无奈弹性治理,会导致当初的经营压力与当前的资源闲置。 因而,阿里云将向广东省企业收费提供1000万无影云电脑的资源,声援1000家企业居家办公。企业能够通过无影云电脑疾速建设平安、高性能、低成本的企业桌面办公体系,保障企业业务的失常进行。企业最多可申领10台无影云电脑,并收费应用2个月。 无影云电脑无影是阿里巴巴公布的第一台云电脑,基于阿里云2.0阶段的云端一体架构。一站式云控制台能够提供分钟级配置,实现随时随地云上办公。在算力、平安、老本、麻利、凋谢等方面,具备超过传统PC的劣势。 阿里云总裁张建锋在2021阿里云峰会上发表无影云电脑启动大规模商用 “无影云电脑疫情补贴”流动详情流动地址:https://www.aliyun.com/activity/daily/eds 关上上方链接,广东省企业需先实现实名认证可填写疫情补贴申请表,5个工作日内将反馈审核后果,之后即可在线收费支付10台云电脑,并收费应用2个月。 现反对疫情补贴的是无影云桌面通用办公型4核8G,实用于多种办公场景,如近程办公、多分支机构、平安OA、短期应用、业余制图。 可能解决 按需弹性创立租用,可能有效应对短期、长期桌面需要;以虚构桌面代替传统的PC,能够轻松解决各地IT资产治理问题;桌面内容显示通过协定仅做像素级传输,且通过加密解决;保障数据不落地的安全性,无效防止设计成绩被歹意拷贝。更多细节,尽在下图 广东加油!一起加油! 版权申明:本文内容由阿里云实名注册用户自发奉献,版权归原作者所有,阿里云开发者社区不领有其著作权,亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容,填写侵权投诉表单进行举报,一经查实,本社区将立即删除涉嫌侵权内容。

June 28, 2021 · 1 min · jiezi

关于安全:20位大佬勾勒出一个中国网络安全江湖

“人才既饱和,又匮乏。”某业内人士如此评估平安行业的现状,下层人才匮乏,上层人才饱和。国家对信息安全业余开设的严格管理下,中国信息安全科班出身的人才并不多。 但在如此不充沛的资源条件下,仍然诞生了一批又一批顶尖的平安人。当平安畛域的改革以温吞又强有力的形式到来,他们从校园走出,全身心地投入到了网络安全这块神秘的麦田。如果说根据策略打法能够将企业分门别派,那么企业中的“人”也可根据某些个性剖析其法则。现将相干高管以本科院校所在的城市地区进行梳理、辨别,大抵分为七大派别:西安系、合肥系、哈尔滨系、上海系、杭州系、武汉系、北京系。这些城市的高校造就的学子,散落在各个领域的平安圈。七大门派,或以研发、或以科研、或以治理、或以投资、或以策略,成为热门的守业军团,也成为泛滥科技企业高管的孵化摇篮。在带着中国网络安全登顶的征途中,他们有汗有泪,有现实有高光,在平安这一母题下一直打磨、锻炼,为平安注入时代力量。

June 28, 2021 · 1 min · jiezi

关于安全:INFO-2222-Computing-Security

INFO 2222 Computing 2 Usability andSecurity (Final Exam)Semester 1 – Main, 2020 You are asked to design a desktop web application that enables final exams to be administeredremotely for University of Sydney School of Computer Science. It should mimic aconventional physical closed book exam as closely as possible. The website should allowlecturers or examiners to upload a copy of the exam paper or set the questions directly into theapplication, set the duration of the exam and invigilate the exam.The exams at the School usually comes in two question formats – programming questions andessay questions where students write paragraphs of text that includes equations and codesnippets to explain their answer. A major challenge to online examination is academicmisconduct. This includes, but is not limited to plagiarism, contract cheating andimpersonation. Your proposed design should attempt to minimise the possibility of academicmisconduct without detection.You should submit a single report answering the questions below. As a report, it should not betitled with the question titles, however you may find that your sections follow the questionsbelow. You should submit your report as a single PDF document. Your responses to thesequestions are expected to be technical, not merely a high-level overview.The report should not exceed the word limit of 5000 words. This does not include appendices,figures and tables. You are not required to reach this word count limit, but you should includeas much detail as you feel is appropriate for the question. Your student identification number(SID) should be written on the left header of the document. The file should be named [SID].pdf. ...

June 26, 2021 · 5 min · jiezi

关于安全:讲解CO3326-Computer-security安全

Computing and Information Systems/CreativeComputingCO3326 Computer securityCoursework assignment 2 2018–19IMPORTANT: all students have been allocated a unique set ofdata to use for this coursework assignment. You can obtain this usingyour Student Reference Number (SRN) from the following URL:http://foley.gold.ac.uk/cw19/api/cw2/{srn}. For example, if your SRN is877665544, you would obtain your data from http://foley.gold.ac.uk/cw19/api/cw2/877665544. If you have difficulties obtaining your assignment data, pleaseemail us at: intcomp@gold.ac.ukThis coursework assignment is designed to help you enrich your learning experienceand to encourage self-study and creativity. Chapter 9 (pages 95-103) of thesubject guide, including the suggested supplementary reading, will help you incompleting this assignment. You should read the coursework assignment verycarefully and pay particular attention to the Submission requirements.You are expected to submit two files: a report and a results sheet. Thereport counts as 60% of your coursework assignment mark, in which you areexpected to answer the questions below. The results sheet counts as 40% of yourmark, in which you are expected to summarise the results of your calculations ina specific format. Please use the cipher text and keys provided when answeringthe questions and when compiling the results sheet.To complete the coursework assignment, it will make your life easier if you writea program. You are welcome to use any programming language.1Coursework assignment 2This coursework assignment takes a practical example for the El Gamal publickey cryptosystem. The notation is similar to the one used in your subject guide(section 9.4, pages 99 - 101). IMPORTANT: To answer the questions below,please use the coursework 2 assignment data that you obtained using your SRN.Question 1 Verify whether p is an actual prime (i.e. not just a probableprime). Provide a brief explanation and include the method from your code, aswell as the runtime.Question 2 What is the computational complexity of your primality check?Presumably, you have a loop; how many steps does it take relative to p? Includethe code where you calculate this.Question 3 Discuss briefly how you can go about optimising the primalitycheck, including a code snippet.Question 4 Verify whether g is a generator for p. Provide a brief explanationand include the method from your code, as well as the runtime. Hint: As p is a16-digit prime, the definition from your subject guide is not a practical way toverify whether g is a generator. You will have to research on how El Gamal isimplemented in practice (for example in Open SSL) – you will find that p is aspecial kind of prime.Question 5 Considering that a is Alice’s private key and b is Bob’s privatekey, compute their public keys and show how they can generate the same sharedkey. Include a brief explanation and the relevant code snippet.Question 6 Decrypt the provided cipher text which has been encrypted withthe shared key that you computed in Question 5. Include a brief explanationand the relevant code snippet.Question 7 Suppose Alice and Bob want to generate a new set of keys. Theydecide that they should use a 17-digit prime instead. How would they go onabout generating a new p and a corresponding generator g? Provide a briefexplanation and include the relevant code snippet, as well as its runtime.Question 8 Generate a new set of private and public keys for Alice and Bob,using the p and g you generated in Question 7. Encrypt your SRN with theshared key. Include a brief explanation and the relevant code snippet.2Submission requirementsREMINDER: It is important that your submitted coursework assignment isyour own individual work and, for the most part, written in your own words. Youmust provide appropriate in-text citation for both paraphrase and quotation, witha detailed reference section at the end of your coursework. Copying, plagiarismand unaccredited and wholesale reproduction of material from books or fromany online source is unacceptable, and will be penalised (see our guide on howto avoid plagiarism on the VLE).You should upload two single files only. These must not be placed in a folder,zipped, etc.The report should be submitted as a PDF document following a strict namingscheme: YourName_{srn}_CO3326cw2.pdf. For example, Steve Jobs with SRN877665544 would submit SteveJobs_877665544_CO3326cw2.pdf.The results sheet should be submitted as a JSON file with a strictformat and strict naming scheme. This summarises the results of yourcalculations and will be automatically checked by an algorithm, so payparticular attention to its format. The name of the file should beYourName_{srn}_CO3326cw2.json; for example, Steve Jobs with SRN877665544 would submit SteveJobs_877665544_CO3326cw2.json.ExampleYou have obtained your coursework assignment data in the following format(this is an example for illustration):{"srn": "877665544","name": "Steve Jobs","exercise1": {"p": "2685735182215187","g": "2","a": "3628281929","b": "5915661551","cipherText": {"encoded": "65462432711955","base64": "O4mpDEUT"}}}3For this, Steve Jobs would submit the following JSON, which reflects a correctsolution:{"srn": "877665544","name": "Steve Jobs","exercise1": {"p": "2685735182215187","g": "2","a": "3628281929","b": "5915661551","x": "1611247168640770","y": "1057465508852156","k": "1133299385179611","cipherText": {"encoded": "65462432711955","base64": "O4mpDEUT"},"plainText": {"encoded": "427071729268","base64": "Y291bnQ=","text": "count"}},"exercise2": {"p": "44685735181995023","g": "5","a": "4628273483","b": "6915587579","x": "3934012106049896","y": "6387156331543282","k": "16887845058447247","cipherText": {"encoded": "27261997930282270","base64": "YNqkhoB9Hg=="},"plainText": {"encoded": "877665544","base64": "NFAdCA=="}}}4ExplanationThe srn and name fields are self-explanatory. exercise1 is relevant for questions1 to 6 from the report. exercise2 contains the results of questions 7 and 8. Thenotation is similar to the notation used in section 9.4, pages 99 - 101, in thesubject guide: p is the prime, g is the generator, a is Alice’s private key, b isBob’s private key, x is Alice’s public key, y is Bob’s public key, k is the resultingshared secret key.In Exercise 1 the plain text has been encoded with Base64, which has beentransformed to a number. If you are using Java, there are utilities provided byApache or Google, among others, to do these operations. Similar libraries existin other programming languages. If you struggle with these operations or youwould like to double-check your results, you can use the web API calls below.For Base64 encoding/decoding you can use the following:http://foley.gold.ac.uk/cw19/api/cw2/encode?text=counthttp://foley.gold.ac.uk/cw19/api/cw2/decode?base64=Y291bnQ=For text encoding/decoding to/from numbers, you can use the following:http://foley.gold.ac.uk/cw19/api/cw2/toNumber?text=Y291bnQ=http://foley.gold.ac.uk/cw19/api/cw2/toText?number=427071729268obviously replacing count, Y291bnQ= and 427071729268 with the text or numberyou want to encode/decode.In both the plainText and cipherText, the encoded is a number, the text is anEnglish dictionary word and the base64 is a Base64-encoded text. As in exercise2you have a number to encrypt (your SRN), the text field is irrelevant.Final noteYou can use the example solution above as a template, which is a well-formedJSON, and replace the values with your data and calculation results. As theJSON will be evaluated by an algorithm, every quote, comma, colon, curlybrace upper/lower case is crucial. Please pay attention to these. It wouldbe a shame to lose a potential 40% of the total marks for this courseworkassignment because of a misplaced comma or a missing quote. There areonline tools you can use for JSON formatting and validation (for examplehttps://jsonformatter.curiousconcept.com), so double-check that your JSON issyntactically correct.[END OF COURSEWORK ASSIGNMENT 2]WX:codehelp ...

June 25, 2021 · 6 min · jiezi

关于安全:如何用增长的思维做提效

简介:本文将探讨一种尚未被实际过的方法论,即是否将“增长黑客”实践作用到研发过程的改良上,从而实现更牢靠的定向效力优化? 埋点作为记录用户行为的惯例伎俩,随同着前端技术的倒退早已历经春秋,不过直到“ 增长黑客 ”系列实践呈现,才真正让埋点剖析变得外延丰盛且有章可循。 与产品畛域的“增长”相似,“提效”始终是研发畛域里长盛不衰的主旋律。在软件研发过程中,随同着我的项目发展,同样会以事件的模式记录下许多与代码库、流水线、工作相干的行为数据。这些数据的起源虽与页面埋点不尽相同,其实质用处却有许多可类比之处。然而当产品经理们纷纷开始通过埋点的实时数据争分夺秒调整市场营销策略时,研发团队的 TL 和 PM 们仍然只能应用统计办法+汇总指标为主导的预先剖析伎俩,在每个版本和迭代实现后对团队效力进行回顾和评估,并乐此不疲地议论如何将迭代周期从一个月缩短到两周,从而取得“更快的反馈”。 本文将探讨一种尚未被实际过的方法论,即是否将“增长黑客”实践作用到研发过程的改良上,从而实现更牢靠的定向效力优化? 一、研发团队的北极星指标 在进行增长指标制订之前,团队往往须要先确定一项可能反映团队胜利状况且易观测的“北极星指标”,譬如销售额、签单率、沉闷用户数等等。对于研发团队来说,要害的指标次要是需要实现时长、性能缺陷率、用户满意度,诸如此类。以“需要实现时长”为例,这是一个绝对主观且间接反映开发团队响应用户需要速度的指标,即一个需要从提出到最终交付可用,所须要经验的均匀工夫长度。 接下来咱们定义一个绝对现实的需要交付过程,并参考产品流量剖析的“转化漏斗”构造示意进去: 相应的,将我的项目中的所有需要都增加进来,能够绘制出相似这样的“需要交付门路图”(示例,理论阶段划分应该更丰盛): 尽管略显毛糙,但通过这种展示形式咱们的确可能追回不少在平常只统计后果数据的图表里失落了的信息。譬如同样是两个花 10 天实现的需要,一个开发用了 7 天,另一个开发只用了 1 天,其余工夫花在了期待测试上,它们的差别在交付门路图上就能被清晰的辨别进去。 这样做的另几项益处包含: 即便一个须要还未最终交付,而是被阻滞在了某个环节、或者呈现了返工,也可能在第一工夫以异样流量的模式显著的展示在门路图上,从而及时引起 TL 和 PM 的关注。 岂但能直观的看出总体的各阶段交付停顿状况,也能从单个需要角度查看流经的每个节点,并找到其余状况相似的需要,便于剖析它们的共性特色。用于预先剖析时,可做交付后果的反向追溯,譬如查阅未按时交付的需要流经此前各节点的比例。基于以上参照,咱们能够得出以研发需要价值转化的“效力黑客”模型(对应增长黑客的 AARRR 模型): 有了北极星指标和可视化的门路,接下来的关键在于用数据领导效力改良。 二、时间轴上的 AB 测试 并非所有客户都值得投入大量力量来维系,增长团队总是优先专一于高价值客户的留存。在进行效力改良时也该当首先辨认差别,而后因材施教。 正如增长团队罕用的“ RFM 模型”客户分类办法,针对研发需要,同样能够通过与效力相干的正交维度来分类出可采纳不同应答措施的需要汇合,譬如“ RIW 模型”: A(Activity)需要的近期活跃度(相干事件频率)I(Importance)需要的重要水平(优先级、间隔打算实现的剩余时间)W(Workload)需要关联的已投入开发工作量(譬如代码批改行数) 三个维度能将所有样本分为 8 组,这个粒度非常适合圈定重点,同时又防止信息太多适度发散。而抉择以上三组属性,不仅是因为它们具备较高区分度,还因为这几项指标的观测值都较容易取得且可能高频更新,从而在研发过程中及时发现异常样本并进行纠偏。 软件研发是一项脑力劳动为主的流动,影响研发效力的因素包含且不限于开发者的集体能力、团队气氛、公司文化、我的项目进度压力、成员间的默契度、内部沟通老本、相干流程工具等等,其中绝大部分都是无奈简略用数值化掂量的主观成分。尽管以往提及研发提效时,咱们会出于技术可控的角度,着重议论平台能力、研发流程、工具反对等“疗程短,见效快”的办法,但真实世界的研发提效伎俩要丰盛得多。既能够采纳技术工程伎俩,如晋升构建速度、简化上线流程、改良公布工具;也能够采纳组织文化伎俩,譬如优化奖惩策略、建立先进标杆、调整人力构造、晋升员工福利、增强技能培训等等。那么到底哪种提效办法才最适宜研发团队呢? 对此,增长实践早就给出了答案,不管黑白猫,只有抓住老鼠就是好猫:做个 AB 测试。 与面向产品用户的 AB 测试不同,进行我的项目研发时,不能间接以单个需要为粒度进行 AB 测试(不便于项目管理),相比之下,团队或者迭代都是比拟适合的 AB 粒度。具体的 AB 办法大家一点也会不生疏,譬如让两个我的项目团队采取不同的提效策略,比照成果,相似于“试点”和“样板间”。或者让同一个团队在不同的迭代里别离尝试一些新的提效办法,而后依据成果来决定保留或放弃,这就是在“时间轴上做的 AB 测试”。 喏,一个新概念就这么被发明进去了,不过当初还放弃苏醒着的读者很快就会发现,这也不是什么陈腐的主见,迭代回顾和改良会议不就是做这事件的嘛!其实不尽然。以往迭代回顾时的可剖析数据次要是迭代燃尽图和需要/缺点累积图,反映的是整体的趋势状况,“整体均值”往往会覆盖部分问题,这是达不到“ AB 测试”严谨性要求的。而前述的“需要转化门路”和“ RIW 散布”状况恰好可能补救上迭代过程细节,为效力改良的办法提供领导根据。 ...

June 24, 2021 · 1 min · jiezi

关于安全:frida调试不了怎么办着急在线等

一、指标frida越来越风行,针对他的检测也越来越多了,什么特色串检测,TracerPid检测,双过程爱护。搞的咱们茶饭不思,啤酒都不香了。 明天的指标是数字壳的调试,双过程爱护。 二、步骤侦测下火力-f spawn模式启动App, 提醒: frida -U -f com.asiainfo.app -l test.js --no-pauseProcess crashed: Illegal instruction卒...... 先启动App,再attach下来,提醒 frida -U -l test.js com.asiainfo.appFailed to spawn: ambiguous name; it matches: com.asiainfo.app (pid: 18486), com.asiainfo.app (pid: 18632)搞事件呢,一个App启动两个过程干嘛? 不怕,咱们有雕牌超白。 frida -U -l test.js -p 18486Attaching...Failed to attach: unable to access process with pid 18632 due to system restrictions; try `sudo sysctl kernel.yama.ptrace_scope=0`, or run Frida as root歇了,为啥指定了过程id还是挂不上? cat /proc/18486/status | grep TracerPid TracerPid: 18634原来 18486 曾经被子过程 18634 给挂上了,起初的frida就挂不上了。 ...

June 23, 2021 · 2 min · jiezi

关于安全:BUSS6002

BUSS6002 Assignment 1Due Date: Tuesday 16 April 2019Value: 15% of the total markInstructions Required Submission Items:ONE written report (PDF format). submitted via Canvas. Assignments > Report Submission (Assignment 1)ONE Jupyter Notebook .ipynb submitted via Canvas. Assignments > Upload Your Code File (Assignment 1)The assignment is due at 12:00pm (noon) on Tuesday, 16 April 2019. Thelate penalty for the assignment is 5% of the assigned mark per day, startingafter 12:00pm on the due date. The closing date Tuesday, 23 April 2019,12:00pm (noon) is the last date on which an assessment will be accepted formarking.As per anonymous marking policy, please include your Students ID only in thereport and do NOT include your name. The name of the report and code filemust follow: SID_BUSS6002_Assignment1_S12019.Your answers shall be provided as a word-processed report giving fullexplanation and interpretation of any results you obtain. Output withoutexplanation will receive zero marks. You are required to also submit yourcode that can reproduce your reported results, as reproducibility is a keycomponent to data science. Not submitting your code will lead to a loss of50% of the assignment mark.Be warned that plagiarism between individuals is always obvious to themarkers of the assignment and can be easily detected by Turnitin.Presentation of the assignment is part of the assignment. There will be 10marks for the presentation of your report and code submission.The report should be NOT more than 10 pages including text, figures, tables,small sections of inserted code etc. Think about the best and most structuredway to present your work, summarise the procedures implemented, supportyour results/findings and prove the originality of your work. You will provideyour code as a separate submission to the report; however, you may insertsmall sections of your code into the report when necessary.Your code submission has no length limit, however marks are assigned forcode presentation, so make your code as concise as possible and addcomments when necessary to explain the functionality of your code segments.Make sure to remove any unnecessary code and ensure that your code canbe run without error.Numbers with decimals should be reported to the third-decimal point.TasksSuppose the year is 2010 and you are working as a Data Scientist for an investmentfirm. The firm is assessing locations for investing in housing redevelopment in theUnited States. The firm has selected Ames, Iowa as a candidate location. As aconsequence, the firm would need to purchase existing houses, which would bedemolished to make space for the development.In order to estimate the costs involved the firm needs to know the current value ofthe houses that it needs to purchase. You are working on a data science projectaiming to build a model to estimate the house prices.The Ames City Assessor’s Office has been collecting data since 2006 on housesales and the characteristics of each house that was sold. You have been givenaccess to a copy of original database “housing.db”, which is an SQLite file. TheAssessor’s Office have also provided you with a data dictionary“housing_data_description.txt”.You can download the dataset and detailed dataset description from the BUSS6002Canvas site.Question 1To start your analysis, you wish to build a prototype model that will be demonstratedto a wider team. Therefore it needs to be easily understood by non-experts, meaningthat you can only use a few variables.To save you time, an experienced member of your team suggests to you that fromtheir experience the above ground living area, basement size and the age of thehouse are most useful variables.Perform EDA to determine which two of these features are most useful. Carefullyexplain your selection criteria and present the results to justify your choice.Requirements:a. To most accurately reflect the conditions under which the firm will purchasethe houses you should limit your analysis to houses that are sold undernormal conditions.b. Remove observations that contain one or more missing variables.Question 2Suppose you are interested in using the above ground living area and basement sizeto estimate the price of a home.a. Build a linear regression model WITHOUT an intercept term (MODEL1), writedown the mathematical model and report the regression output.b. Build a linear regression model WITH an intercept term (MODEL2), write downthe mathematical model and report the regression output.c. Compare the performance of the two models and explain the role and impactof the intercept termd. Pick either MODEL1 or MODEL2 that you think is preferable and performresidual diagnostics to measure the goodness of fit. Report your findings.Question 3The models you have built so far provide an approximate estimate of house prices.However, to accurately estimate the costs of the redevelopment plan you must beable to estimate house prices as accurately as possible.Your goal is now to improve your model as much as possible through featureengineering and feature selection.Instructions:a. Your model should have a minimum R-Squared of 77%. If your modellingcannot achieve a R-Squared of 77%, report the best model you obtain.b. Justify your choice of feature engineering strategies using domain knowledgeor EDA and present your results.c. Compare your new model with the preferable model in Question 2 withrespect to Adjusted R-Squared. Explain why you should use Adjusted RSquaredhere to compare the two models.d. Provide analysis to justify why your new model is more reasonable.Question 4Suppose you have finished your analysis, now you need to report to your managerand reflect on what you have experimented with in your data science project:a. Provide a reflection of how you have utilized the data science process modelto arrive at modeling and model evaluation based on how you answered theprevious three questions. Choose only one process model (CRISP-DM orSnail Shell) to answer this question. Explain how each part of the questionsaligns with the different phases of the process model you choose to answerthe question.a. The firm is also considering redevelopment projects in other locations.Comment on whether the model you have built can or cannot be applied inother locations. Justify your answer.Marking OutlineQuestions MarksQuestion 1 20 marksQuestion 2 20 marksQuestion 3 40 marksQuestion 4 10 marksReport and Code Presentation 10 marksWX:codehelp ...

June 22, 2021 · 5 min · jiezi

关于安全:2021年中国信创生态研究报告全面解答什么是信创

尽管很多人天天都在说信创,但信创到底是什?现有的信创生态又倒退到什么境地?将来信创产业发力点又在哪?想必大家都比拟迷茫,急需一份残缺的、权威的,具备指导意义的报告对这些问题进行一一解答。《2021年中国信创生态钻研报告》由中国软件为、中国软件行业协会、海比研究院联结公布。该报告全篇110页,具体介绍了信创产业详情,涵盖了信创生态、信创需要侧剖析、信创供应侧剖析,论述了信创存在问题并对将来发展趋势。云盒子小编对报告外围观点进行简略的概括:1、信创市场是技术+政策的双驱动型市场,不仅受政策影响,但技术先进性、成熟度、自主可控更加重要2、信创畛域将重塑中国市场重利用、轻技术的传统格局,放慢技术驱动型推动 3、信创用户在政府、制作、物流、金融、电信、跨行业、医疗等行业需要更多 4、用户对信创产品的技术水平认知存在显著误差 5、IaaS、数据库、低代码、企业应用软件、解决方案、网络设施是信创理论洽购热点畛域。6、信创生态存在重大的供需不均衡问题,平安、基础设施、硬件层面问题尤其重大 7、超过三成厂商和用户均认为兼容性、可扩展性和产品性能是现阶段信创生态的次要短板 置信不久的将来,中国企业将通过晋升要害外围畛域的技术水平,不断丰富信创生态上中下游供应链,IT国产代替走向正规,跳出受制于人的场面,促成我国经济进入高质量倒退新常态。云盒子放慢适配国产化操作系统、数据库、中间件的步调,并在往年6月正式推出云盒子V6版本,全面国产化兼容。

June 21, 2021 · 1 min · jiezi

关于安全:如何构建企业出海的免疫力深入解读阿里云CDN安全能力

随着信息技术疾速倒退与利用,产业数字化和智能化趋势正日益加深,企业信息安全与防护被晋升到前所有未有的高度。阿里云CDN通过10多年的技术倒退工夫,已逐渐构筑一个边缘+云的平安网络平面防护体系,蕴含了全链路平安传输、常见攻打类型的边缘进攻、企业级独享资源部署、运维以及内容平安保障机制,为企业打造平安出海的网络经营环境。在CDN平安防护存在两个外围场景:拥塞带宽和耗尽资源。对于拥塞无限带宽入口这类攻打,实质上要在流量上Hold住。CDN人造具备丰盛的节点资源,应用分布式的网络将攻打扩散到不同的边缘节点,同时在近源荡涤后返回服务端。对于耗尽无限资源这类攻打,实质上要做到攻打的疾速可见,并且可能把相应特色进行阻断。单纯依附CDN不能特地无效的解决问题,须要通过CDN节点上的配置,实现智能精准检测DDoS攻打,并自动化调度攻打到DDoS高防进行流量荡涤,这时候须要用户购买高防抗DDoS的产品。 基于阿里云CDN+云平安构建的边缘平安体系 基于阿里云CDN构建的边缘平安体系,其外围能力仍是减速,但又不止于减速。减速是整体计划的根底,依靠于阿里云全站减速平台,通过自动化动静拆散,智能路由选路,公有协定传输等核心技术,晋升静动静混合站点的全站减速成果。在减速根底之上,为客户提供丰盛的边缘应用层平安、网络层DDoS进攻、内容防篡改、全链路HTTPS传输,高可用平安,平安合规 6大方面平安能力,从客户业务流量进入CDN产品体系,始终到回到客户源站,全链路提供平安保障,保障企业互联网业务的平安减速。边缘平安防护阿里云CDN通过构建残缺的企业级边缘平安能力,包含DDoS缓解,WAF,频次管制,IP/区域封禁,机器流量治理,精准访问控制等,做到从网络层到应用层的全栈防护。在不就义网站减速性能的同时,全面保障客户在线业务的稳定性和安全性。每年,阿里云平安监测到云上DDoS攻打产生近百万次,应用层DDoS(CC攻打)成为常见的攻打类型,攻打手法也更为多变简单;同时,Web利用平安相干的问题仍然占据十分大的比重,从用户信息泄露到羊毛党的狂欢,无时无刻不在考验着每一个行业、每一个Web利用的平安水位。为了让承载数据传输的网络平台更加安全可靠,阿里云CDN始终一直夯实平安上的能力。 DDoS缓解CDN与DDoS高防产品能够实现联动,在散发场景中能够通过CDN进行散发。在DDoS攻打产生时,能够将产生DDoS攻打区域的流量调度到DDoS高防去荡涤,无效爱护业务的服务质量。通过联动计划能够无效荡涤海量DDoS攻打,完满进攻SYN 、ACK 、ICMP 、UDP 、NTP 、SSDP 、DNS等Flood 型攻打。同时,基于阿里云飞天平台的计算能力和深度学习算法,智能预判DDoS攻打,平滑切换为DDoS高防,且不影响业务运行。机器流量治理面对网络爬虫的歹意爬取,CDN平台基于阿里巴巴团体业务积淀的歹意IP库、歹意指纹库等,通过贴近业务危险的机器学习能力和定制化爬虫模型进行精准反抗,升高爬虫、自动化工具对网站业务的影响,保障企业的数据安全,保护企业的外围商业价值。频次管制当网站蒙受歹意CC攻打并响应迟缓时,通过频次管制性能,能够秒级阻断拜访该网站的申请,晋升网站的安全性。频次管制爱护您的网站 URL免受超出设定阈值的可疑申请的影响。它反对丰盛的监测对象,并配以自定义规定,来定义适合的拜访阈值。一旦达到设定的申请阈值,就会触发自定义响应,通过多样化的伎俩(如阻断或者质询)来解决过于频繁的拜访申请。IP/区域封禁配置IP黑白名单来实现对访客身份的辨认和过滤,从而限度拜访CDN资源的用户,晋升CDN的安全性。另外还能配置国家的黑白名单,帮忙您一键阻断来自指定区域的拜访申请,解决局部地区高发的歹意申请问题。精准访问控制容许自定义匹配条件,施行精准的访问控制。匹配条件可能查看常见的HTTP字段(如IP、URL、header等),来满足业务场景的定制化需要。该性能通过反对丰盛的申请字段,定义多样化的匹配条件,来形容所要捕捉的拜访申请。一旦申请被匹配,就会触发规定所定义的操作,如质询、察看、阻断等,做到精准的拜访准入。WAF因为CDN的分布式架构,用户通过拜访就近边缘节点获取内容,通过这样的跳板,无效地暗藏源站IP,从而合成源站的拜访压力。当大规模歹意攻打来袭时,边缘节点能够做为第一道防线,不仅大大扩散攻打强度,还能够通过上述的多种平安能力实现边缘的防护。阿里云CDN 还集成云WAF能力,实现源站最初一层的防护。WAF 会对回源的业务流量进行歹意特色辨认及防护,将失常平安的流量回源到服务器,进而防止网站服务器被歹意入侵,保障企业业务的外围数据安全,解决因歹意攻打导致的服务器性能异样问题。CDN WAF提供虚构补丁,针对网站被曝光的最新破绽,最大可能地提供疾速修复规定,并依靠云平安,疾速实现破绽响应和修复。 防篡改能力阿里云CDN提供企业级全链路HTTPS+节点内容防篡改能力,保障客户从源站到客户端全链路的传输平安。在链路传输层面,通过HTTPS协定保障链接不可被两头源劫持,在节点上能够对源站文件进行一致性验证,如果发现内容不统一会将内容删除,从新回源拉取,如果内容统一才会进行散发。整套解决方案可能在源站、链路端、CDN节点、客户端全链路保障内容的安全性,提供更高的平安传输保障。 资源独享 晋升企业安全系数针对大型企业等具备强平安需要的业务场景,阿里云CDN提供独享资源计划:反对客户通过平安减速节点实现物理隔离,齐全独自构建,深度集成平安性能,提供单节点高级高防能力;提供独享IP资源,保障业务平安危险隔离,不会在他人受到攻打时被影响;反对单用户独立调度域,用户之间DNS攻打互不影响,百万QPS的DNS Flood防护。 坚守内容与平台的“生产”平安底线阿里云基于人工智能及海量样本集,深度学习训练辨认模型,精准辨认通过CDN减速的图片中的涉黄场景,并可依据用户理论的管控需要,提供多层次的辨认与灵便管控计划。整体鉴黄准确率超过99%,可代替90%以上的人工审核,大幅度降低违规危险。通过简化平安减速架构,让运维人员更便捷地进行一站式自助配置与API管控,实现日常攻打的监控告警、全链路排查、主动防护与实时全景数据日志查看。同时大型流动期间的护航与重保响应制度,能够辅助企业应用一起抵挡平安危险,爱护零碎安稳。 阿里云CDN平台还通过了国家信息安全等级爱护2.0三级、ISO9001、PCI-DSS等合规认证,在网络安全、数据安全、服务平安等方面测评取得世界权威认可。 行业利用案例企业网站——航空大促亚洲某便宜航空公司,在每个季度会举办一次大型机票促销流动,借助于阿里云CDN+WAF的架构,能够实现对刷票类申请的疾速封禁,通过长期继续剖析大促期间的占座状况,将占座率压到了比拟低的程度,保障业务营收的稳固。游戏公司-游戏出海中国游戏公司出海大军中,有一匹怀才不遇的黑马。这家企业应用阿里云DCDN来整合超大规模的用户体验,容许用户将其源服务器的所有边界网关协定(BGP)网络资源替换为单个操作网络,将源服务器的带宽老本升高了50%以上。

June 18, 2021 · 1 min · jiezi

关于安全:IOS-Theos-Tweak-之-HelloWorld

一、指标Theos是什么? 是一套跨平台的开发工具套件,不仅能够开发Ios,Mac、Windows和Linux也能够的哦,开源收费。 Tweak是什么? 能够了解成动态链接库,有搞过Windows下dll注入的同学应该能够秒懂了。Android的同学能够把它了解成IOS下的Xposed。 HelloWorld是什么? 是萌新程序员的信奉,在一个平台写下HelloWorld,证实我来了。 二、步骤Mac下装置Theos1、检测是否有 /opt目录,没有就新建一个 # 先切换到root权限sudo sucd /mkdir optcd /opt2、 在新建的/opt目录下clone我的项目源码 git clone --recursive https://github.com/theos/theos.git3、关上 ~/.bash_profile文件,增加以下四行 # theosexport THEOS=/opt/theosexport PATH=$THEOS/bin:$PATH# iPhone手机的ssh地址export THEOS_DEVICE_IP=localhostexport THEOS_DEVICE_PORT=22224、依照 之前的文章 Ios逆向环境搭建 (一) 配置好 SSH。 是的就这样就够了。 (可能还须要 ldid 和 dpkg-deb,用brew装下) HelloWorld开始创立一个 Tweak模板 # 创立模板命令 nic.pl 相似新建一个空工程nic.pl------------------------------ [1.] iphone/activator_event [2.] iphone/application_modern [3.] iphone/cydget [4.] iphone/flipswitch_switch [5.] iphone/framework [6.] iphone/ios7_notification_center_widget [7.] iphone/library [8.] iphone/notification_center_widget [9.] iphone/preference_bundle_modern [10.] iphone/tool [11.] iphone/tweak [12.] iphone/xpc_service# 抉择 11 iphone/tweak ,我之前装的是 11, 最新的是 15Choose a Template (required): 11# 输出工程名称Project Name (required): helloworld# 输出工程包名Package Name [com.yourcompany.helloworld]: com.fefei.helloworld# 作者必须是我了Author/Maintainer Name [fenfei]: fenfei# 要hook的程序包名,咱们这里正好要hook springboard[iphone/tweak] MobileSubstrate Bundle filter [com.apple.springboard]:# 开发实现之后,装置好了咱们的tweak,要重启的app名称,个别都是咱们要hook的app的主程序名称,这里是 SpringBoard[iphone/tweak] List of applications to terminate upon installation (space-separated, '-' for none) [SpringBoard]: Instantiating iphone/tweak in helloworld/...Done.这就搞定了 ...

June 18, 2021 · 1 min · jiezi

关于安全:讲解-MultiAgent-Interaction

SubjectMulti-Agent InteractionWe want to develop a multi-agent system whose role is to reconstruct a Puzzle according to the cognitiveapproach. In the modeling that we propose to you, each agent represents a cell of this Puzzle whose size is n * n.To simplify, in the first step, we will retain n = 5. Each box is numbered, from 1 to n * n, and occupies a spacein this Puzzle (see Fig1.). For example box number 4, represented below by a gray star (row 1 column 4),should normally be found at the end of the game at position (1, 2), if we want the Puzzle to be correctlyreconstructed . Initially, this box can be at any position, for example (1,4), as shown in the figure below.To move these boxes, each agent can perform jumps. For example, to go from position (1, 4) to position (1, 2)several movements for the "star" cell are possible depending on whether or not its adjacent cells are occupied.The following two figures (2 and 3) describe two possible movements of this box. In Figure 2, the star squaremoves directly from right to left to reach its final position since no square is in front of it. FIG. 3 describesanother situation in which the star box is forced to bypass the “circled cross” box which is in its path, passingthrough the box (2,4), in order to reach its final position.Fig1.Fig2.  Fig3.The first step is to model this system using the multi-agent approach. ...

June 17, 2021 · 2 min · jiezi

关于安全:讲解COMP-1043-UO-Problem

UO Problem Solving and ProgrammingProgramming Assignment 3IntroductionThis document describes the first assignment for Problem Solving and Programming.The assignment is intended to provide you with the opportunity to put into practice what you have learnt in the course by applying your knowledge and skills to implement a game of Blackjack.This document is a kind of specification of the required end product that will be generated by implementing the assignment. Like many specifications, it is written in English and hence will contain some imperfectly specified parts. Please make sure you seek clarification if you are not clear on any aspect of this assignment.Assignment OverviewYou are required to write a Python program that allows a player to play a game of Blackjack against the computer. The program will allow a player to play as many games of Blackjack as they wish. ...

June 16, 2021 · 37 min · jiezi

关于安全:为什么电商卖家需要物流查询API

如果电商企业想将业务晋升到一个新的程度,则应思考接入物流查问API。物流查问API提供了很多益处,并且能够为电商企业带来弱小的竞争劣势。对于不理解什么是API的读者,我将会先从API的定义及性能开始解说,如果是理解API的读者,能够间接跳去浏览7个物流查问API带来的重要益处 API是什么?API是应用程序编程接口的简称。API接口容许不同的程序立刻互相通信。API的作用就像桥接独自的孤岛(程序)并容许流量(平安信息)从一个孤岛挪动到另一个孤岛的桥梁一样。 API将程序组合在一起,并容许它们替换数据,实现性能整合。 电商企业很可能每天会应用各式各样的API。常见API示例有文章底部的社交共享按钮。这些按钮容许电商企业在社交媒体(微博、微信、抖音)上分享内容。当电商企业容许不同的网站和应用程序向本人的数据库中增加事件时,也会用到API。 API通常用于网站/程序登录、付款、分享内容和聚合内容等方面。然而API对于改善快递运输流程也十分有用。物流查问API能为企业用户带来很多益处。 疾速比拟物流公司选项物流查问API可让电商企业比拟所有物流公司给定的运送费率。这使电商企业能够立刻查看可用选项并抉择最合适的公司。当然,这最终缩小了手动比拟不同选项的老本和工夫。 升高运费物流查问API提供与物流公司协商的价格。因为这些第三方物流查问API服务商代表的不只是一家公司,因而能够为电商企业提供极大的折扣。一些第三方物流查问API服务商能够为电商企业节俭40%的包装费用和近30%的物流费用。这些折扣可帮忙电商企业削减经营老本并更无效地开展业务。它们还使电商企业能够将节俭的钱返回给客户,从而进步客户的满意度。 升高放弃付款的概率在付款步骤中,电商企业可能会失去许多客户。这种放弃付款问题的很大一部分起因是运输问题引起的。如果购物者不喜爱商家的送货形式,则约有一半的购物者会放弃购物。60%的生产将转向另一家商店以找到更适合的运输形式。通过应用物流查问API的快递公司改良选项和费率,电商企业能够为客户提供更多的物流抉择。这样能够避免他们放弃下单并转向竞争对手。 主动验证地址物流查问API能够主动检查和验证地址。这样能够避免因为包裹运送到不存在或不正确的地址而产生的额定运输费用和交货延误。货物运送到正确的地址对于升高物流老本和建设客户的品牌忠诚度来说很重要。必须从新交付退回的包裹或发送新包裹,这对电商企业来说是老本昂扬的。此外,运输问题会升高客户对电商企业的信赖。据调查显示,大概有70%的客户购买了在承诺日期后2天内未交付的商品,那么未来在该商家处购物的可能性就会升高50%。平安且疾速地交付包裹可爱护电商企业的名誉和将来回头客的支出。 集成物流实时跟踪物流查问API可让电商企业无缝地将物流实时跟踪增加到电子邮件或短信中。这使电商企业、物流公司以及客户都能够随时随地取得物流节点信息。这能够使放心交货状态的客户释怀。通过应用物流查问API提供实时物流信息,电商企业能够缩小无关物流状态的征询问题。这样能够节俭客户反对工夫的收入,让员工将精力放在更重要的事件上。 削减客服工作通过应用物流查问API自动化运输的许多方面,电商企业能够缩小员工在繁琐的运输工作上破费的工夫。应用物流查问API,电商企业能够在物流公司和客户之间主动传递信息。否则,电商企业将不得不让员工破费更多工夫来获取和传播这些物流信息。 进步工作效率因为物流查问API缩小了繁琐的治理工作所需的工夫和金钱,所以电商企业能够将这些资源从新集中在对业务真正有用的事件上。应用物流查问API,企业能够简化外部流程。电商企业能够自动化执行高度规范和反复的工作。这样能够节俭出很多工夫和金钱,而电商企业能够将这些工夫和金钱用于更重要的事件上。确定电商企业的外围业务需要。https://api.kuaidi100.com/blo... 7款国内外治理和跟踪快递物流的物流查问API工具 生鲜食材供应商圣迪乐村的快递老本管制办法-快递查问接口案例

June 16, 2021 · 1 min · jiezi

关于安全:Fridasyscallinterceptor

一、指标当初很多App不讲武德了,为了避免 openat 、read、kill 等等底层函数被hook,罗唆就间接通过syscall的形式来做零碎调用,导致无奈hook。 应答这种状况有两种计划: 刷机重写零碎调用表来拦挡内核调用inline Hook SWI/SVC指令咱们明天采纳第二种办法,用frida来实现 内联汇编SWI/SVC做零碎调用, syscallfrida inline hookhook syscallfrida ArmWriterfrida typescript project二、步骤inline Hook 原理. 备份SWI/SVC局部的指令,重写成为跳转指令 . 跳转到咱们新的代码空间,把之前备份的指令执行一下。而后执行咱们本人的逻辑。 (打印参数之类的) . 跳回原程序空间,持续往下跑 重写成为跳转指令这次hook应用 frida ArmWriter 来实现,用 putBranchAddress 函数写个跳转指令,须要花20个字节,咱们先看看批改之前的状况。 // 咱们定位的锚是 svc指令, 0x9374C1F8 它后面还有8个字节的指令这里一并替换const address = syscallAddress.sub(8);// 备份这20个字节,马上它们就要被替换了const instructions = address.readByteArray(20);if (instructions == null) { throw new Error(`Unable to read instructions at address ${address}.`);}// 把旧的20个字节打印进去console.log(" ==== old instructions ==== " + address);console.log(instructions);// 开始替换成跳转指令,跳转的地址是 createCallback 外面创立的新的代码空间地址。Memory.patchCode(address, 20, function (code) { let writer = null; writer = new ArmWriter(code, { pc: address }); writer.putBranchAddress(createCallback(callback, instructions, address.add(20), syscallAddress)); writer.flush();});// 把新的指令打进去比照下console.log(" ==== new instructions ==== " + address);const instructionsNew = address.readByteArray(20);console.log(instructionsNew);跑一下后果 ...

June 15, 2021 · 2 min · jiezi

关于安全:网络安全逐渐成为程序员的必备技能

不晓得大家有没有发现。现在,曝光某些出名公司信息泄露的事件频率越来越高。与之对应的,网络安全问题也越来越受到重视。从百度指数摘录了两张图给大家分享下能够看到,对网络安全相干的信息和关注度在逐步走高,特地是近几年的几次大型数据泄露等安全事件引起了不小的舆论轰动。 其实排除一些特定框架中的特定平安问题,具备普遍性的平安问题也不少。其中最常见的就属以下几种,我感觉咱们每一位程序员应该都要晓得如何尽量避免这些常见问题的产生。1.SQL注入2.跨站脚本攻打(XSS)3.跨站申请伪造(CSRF)4.越权破绽1. SQL注入SQL注入应该是最多人晓得的一个平安问题。起因是因为SQL语句的编写是通过字符串拼接进行的,包含参数。那么一旦用户输出的参数扭转了整个语句的含意,执行SQL语句的后果就变得不可预期了。比方, SELECT * FROM user WHERE id = ‘1 or 1 = ‘1’ 。加粗局部就是用户输出的内容。 如果下面的这段SQL语句被执行,用户信息就全副泄露了。 SQL注入还有很多变种,比方成心让语句执行报错之类,从错误信息中获取重要信息。 如何防备呢?只有防止SQL拼接,应用参数化的形式执行SQL即可。比方下面这个例子,如果@id参数的数据类型是int,那么「or 1=‘1」天然无奈转换成int类型。 2. 跨站脚本攻打(XSS) XSS最常呈现在一些内容型站点上,因为他次要针对的是依据服务端数据动静渲染html的页面。 比方,当我在某个社区回复帖子的时候,成心输出了「楼主牛逼~</div><script>alert(250)</script>」。如果服务端没有做好相应的解决,间接把内容一成不变的存到了数据库,那么当帖子翻到我的回复所在的楼层,就会在显示“楼主牛逼”字样的同时呈现一个提醒“250”的弹窗。 当然,只是弹个窗没啥意思。如果脚本中获取用户本地的cookie信息上传到指定服务器,那么其他人就能够利用该用户的cookie登陆他的账号了,想想就有点后怕。 如何防备呢?要么就是过滤掉这种html标签,因为大多数场景纯文本就能满足。如果切实有富文本的需要,能够进行一次本义,作为字符来存储,防止将html标签间接保留下来。 跨站申请伪造(CSRF)CSRF就是利用浏览器的缓存以及网站的登陆状态记忆性能,通过歹意脚本向你刚拜访过的网站发动申请,让网站误认为是你自己在操作。 比方,你刚拜访过某银行网站,甚至正在另一个标签页里关上着这个银行网站。而后此时不小心点又开了一个钓鱼网站,页面外面的脚本发动向该银行网站的转帐申请,你的银行账户就莫名其妙少了一笔钱。(当然当初的银行网站都思考了这个问题) 如何防备呢?作为网站的开发者,最简略的形式就是对referer做判断,看发动该申请的起源是否可信。当然更好的形式是给每一个失常登陆的用户调配一个token,用户发动的每次申请都对这个token做一下有效性验证。 越权破绽「越权」顾名思义,就是超过应有的权限。比方,某个电商网站查看订单信息的url是http://www.dianshang.com/orde...这样的格局,如果我手动把url最初的数字批改成10002发动申请,如果服务端没有校验以后登陆人的信息,那么这个10002的订单信息就被越权获取了。 如何防备呢?次要有两点。 做好权限校验,不要偷懒。 编号或者id类的数据,防止程序减少。还有一个额定的益处是,防止竞争对手猜到你们的实在订单数。 其实还有很多平安问题,比方领取破绽(领取金额未校验)、上传攻打等等。然而解决起来的大体思路上和下面提到的这4个是相似的。为了便于大家了解以及在编码时更具安全意识,我给大家提炼了一些思路。 只有是内部输出的数据,肯定要做好全面的校验,确保解决并返回的数据是合乎预期的。 代码的实现尽量减少多余的内部交互。 错误处理的时候,肯定不要将技术层面的异样信息抛出到用户端,特地是堆栈信息。 如果这些还嫌多,记不住。那么脑子里记住一个词——「严进严出」。 扫描下方二维码收费支付10G浸透精美课程先到先得!!!

June 15, 2021 · 1 min · jiezi

关于安全:Frida在windows上的玩法

一、指标frida玩了很久,andriod和ios下都玩的不错。不过飞哥其实是混windows出道的,那frida能不能剖析winPE呢? 明天介绍下Windows下的玩法,要点如下: Hook Windows Api批改参数和返回值被动调用Windows Api二、步骤关上可爱的MFC写个demo小程序,明码是 1234 ,输出正确提醒 "明码正确"。 Hook MessageBoxAvar pMessageBoxA = Module.findExportByName("user32.dll", 'MessageBoxA')Interceptor.attach(pMessageBoxA, { onEnter: function (args, state) { console.log("[+] MessageBoxA"); console.log("¦- hWnd: " + args[0]); console.log("¦- lpText: " + Memory.readAnsiString(args[1])); console.log("¦- lpCaption: " + Memory.readAnsiString(args[2])); console.log("¦- uType: " + args[3] + "\n"); }, onLeave: function (retval, state) { }});急不可待了,良久没有玩windows,跑一下,咱们输出 "1234" 批改入参和返回值console.log("[!] Hooking lpText: 真的对吗");this.lpText = Memory.allocAnsiString("真的对吗"); // Allocate new heap ANSI stringargs[1] = this.lpText; // Replace lpText pointer在跑一下,真的对吗? ...

June 9, 2021 · 1 min · jiezi

关于安全:引导消费策略

一、广告广告-最简略的流量变现办法流量或影响力是广告的根底,只有有流量的中央,就有流量变现的后劲,自然而然就会有广告。公开材料显示,字节跳动2020年的广告营收约1750亿,曾经是国内最大的靠广告盈利的公司。 二、实物/虚构商品的售卖实物商品的售卖次要指电商卖货。次要代表有淘宝(C2C、B2C),网易严选(B2C)。赚取差价利润或设置交易服务费等。 虚构商品的售卖例如书、影、音、常识内容付费等等。在发达国家,音乐图书等都有一套成熟的商业机制,付费成为一种常态。而在国内,人人都习惯了信息是收费的,实现内容付费还有很长的路要走。如网易云音乐,尽管月活达1.81亿,付费用户只有1600万,2020年付费率为8.8%,三年亏损50亿,内容老本高居不下-版权费用虚高。但每一年的在线音乐付费用户数都在高速增长,次要是因为网易云音乐的音乐社区模式使用户粘性高,平台领有更多的用户时长以及丰盛的UGC内容(用户原创内容)使网易云音乐在音乐服务付费率增速达到第一、付费用户也在一直增长。将来的发展趋势也还是在于深刻开掘其余服务内容,进步用户的付费志愿,造成更加衰弱的商业模式上。 三、平台佣金抽成次要指平台通过收取服务佣金来盈利以直播平台虎牙为例,付费用户为590万,较上季度付费用户数量下滑,但总收入增长了,即单个用户的付费程度有肯定的进步。付费用户均匀收入增长次要得益于内容吸引力的加强、用户的体验晋升以及产品性能的降级;直播的次要盈利形式就是用户充值,大略占比为平台盈利的92%。虎牙是以“综合性游戏相干服务的一站式平台”,在4月底壕掷20亿买下LPL中国大陆地区独家转播、分销权,游戏直播作为了一项次要吸引新用户的伎俩,可类比2019年B站8亿买下了LPL三年的S赛(某大型系列较量)的独播权,是B站为了进军直播界引进新用户做的尝试。 通过游戏直播的形式吸引新用户后,虎牙直播通过走“游戏电竞+泛娱乐”的一专多能的路线,拓宽了用户的生产渠道,单靠游戏直播内容很难将用户价值最大化,繁多的主播对于观众的转换能力无限,例如游戏分区的观众非常容易在娱乐直播板块进行生产。通常来讲娱乐分区的主播在吸引打上的能力上要远超过游戏板块,所以虎牙直播通过鼎力吸引人走向娱乐板块的形式在净利润上超过了斗鱼直播。既然虎牙直播的次要支出来自于用户打赏,那么剖析虎牙打赏礼物的形式即可得出虎牙直播的次要变现模式了。 通过用户的角度而言,是怎么一步一步被疏导上生产的路线呢?首先对于用户需要进行简略的剖析。相比观看视频,为什么一部分人群会更喜爱看直播呢?他们须要的是实时的互动感,观看直播通过发送弹幕的模式使用户有实时参与感和互动感,并且能够拉进主播与观众之间的距离感。和所有的疏导付费一样,第一步是破冰,发明了一个“白嫖党”会想要生产的气氛,次要是通过一些伎俩例如第一点:主播PK性能,减少奖赏机制。博得PK的人能够制订惩办等性能减少粉丝在直播间的参与感,PK的胜利与否取决于送礼总数量,而且这里的礼物包含了收费礼物,让观众更容易参加到互动中来,当产生了互动这一后果时便加强了用户的粘性。第二点为粉丝牌机制,粉丝牌采纳打卡降级制度,每天给主播打赏礼物即可缓缓降级,否则一段时间后粉丝牌等级会缓缓升高,对有粉丝牌和没有粉丝牌做了显著的辨别,开明粉丝牌的门槛很低,个别是1块或流动区间为1毛钱,促使用户开明粉丝牌,且等级越高的粉丝牌色彩越醒目,即在直播间内的存在感越高,通过粉丝牌的设置,让用户行程每天打赏礼物的习惯,也是晋升用户粘性的伎俩之一。第三点为抽奖礼物模式,即某种礼物是抽奖礼物,一块钱的礼物可能会抽出几百一千块的礼物,抽到的礼物默认会送给主播,然而为了激励更多人进行抽奖,很多主播如果抽到了高额礼物将会返现给用户,吸引了很多用户参加抽奖。第四点为大部分游戏主播都会做的:抽奖流动,即主播设置奖品为XXX现金、手机、小礼品等等,而参加抽奖的形式为送出一份须要付费的礼物,礼物金额个别都很小,基数大时,总会有人想要尝试一下本人心仪的主播抽出的礼品,也为一项刺激用户首次进行付费的形式。 上述为生产破冰,后续为了继续生产,设立了“贵族”机制,虚构礼物存在的意义即为满足精力上的虚荣感,不仅满足于作为一个一般观众的用户会通过生产更多的形式来让本人领有出人头地的体验,或是让本人领有和主播更好的互动体验,而且开明贵族是有时限性的,开明不同等级的贵族只能维持一个月,如果要维持就须要“续费”的操作。这一项机制就是虎牙直播使一般付过费的用户转换为继续付费用户的伎俩之一。 四、增值服务增值服务指:基本功能收费,高级性能免费。例如各大会员制(视频会员、QQ会员),游戏道具等。在付费的疏导上:趁势而为,借势而动尤为重要,在这里着重介绍一下,登门坎效应。这个效应是美国社会心理学家弗里德曼与弗雷瑟于1966年做的“无压力的屈服——登门坎技术”的现场实验中提出的。1966年,美国心理学家曾作过一个试验:实验者让助手到两个居民区劝人在房前竖一块写有“小心驾驶”的大标语牌。在第一个居民区向人们间接提出这个要求,后果受到很多居民的回绝,承受的仅为被要求者的17%。在第二个居民区,先申请各居民在一份赞成平安行驶的请愿书上签字,这是很容易做到的小小要求,简直所有的被要求者都照办了。几周后再向他们提出竖牌的要求,后果接受者竟占被要求者的55%。从这个试验能够看出,如果单刀直入给用户提要求,用户很大概率会去回绝违反本人志愿的事。但如果一开始跟他们提一些比拟容易接受的小要求,成果则大大不同。 更重要的是,一旦用户开始依照运营者的志愿从事了一些简略的事件之后,便会越陷越深。他们本人会开始认同本人做的事件。正如下面的例子一样,在平安行驶的请愿书上签字后,承受竖牌要求的人数比例显著晋升。而如果一旦他们回绝,便会产生本人是关怀社会福利者的知觉、自我概念或态度。如果他回绝起初的更大要求,就会呈现认知上的不协调,于是复原协调的外部压力就会支使他持续干上来或做出更多的帮忙,并使态度拓扭转成为长久的。 懂得了这个办法,所有对于产品的付费转化都能够用这种形式来解决。比方很多程序会退出短周期少金额的应用,或者是首次充会员低至XX折,都是为了疏导你进行首次生产,实现了首次低消后维持后续的生产则会容易的多 最简略的从游戏的角度而言,一款游戏失常付费点大概有10~20个,这些付费点撑持着游戏的根底营收起源,付费点则围绕着玩家的成长设计。在所有的付费点上最重要的就是玩家的首冲率,这将间接关乎这款游戏的付费率。 所以,疏导用户进行付费转化的时候,如果遇到困难,能够尝试逐渐拆解的办法,让用户一步一步的朝着你所设计的付费方向致力。 五、金融运作次要运作形式为:金融借贷、账期、积淀资金、资金池、旁氏大发。代表产品:破费(借贷)、摩拜(积淀资金)、拍拍贷(资金池)

June 7, 2021 · 1 min · jiezi

关于安全:全球最大肉类加工商被黑停摆勒索病毒还要荼毒多少行业

全球性的大型勒索病毒事件正在暴发,且逐步以星期为计量单位。当地工夫5月31日,寰球最大的肉类供应商JBS公开示意,公司服务器受到黑客有组织的攻打,寰球多个分部已敞开计算机网络,美国的肉类批发价格曾经呈现上涨。本就受到疫情冲击的寰球食品供应链雪上加霜。而仅仅在三周之前,美国最大的成品油管道运营商Colonial Pipeline受到勒索软件攻打……央视报道JBS网络攻击事件 工人复工工厂停产,寰球食品供应链动荡这一次被黑客攻击的JBS公司是寰球最大的肉类加工商,据报道,去年公司向寰球进口的肉类价值总额136亿美元,中国占到其中的近三分之一。JBS也是寰球最大的肉食加工企业,年营收超过500亿美元,在财产寰球500强中排名第191位,其在寰球20多个国家领有肉类加工工厂,寰球员工多达24万余人。JBS全球化的业务布局,让本次网络攻击引发了蝴蝶效应。JBS示意,目前阶段次要受影响的市场是北美和澳大利亚。据报道,JBS在美国的所有牛肉工厂全都被迫复工,而据行业人士预计,JBS大抵管制着美国20%的牛和猪的屠宰产能。攻打事件导致的复工对美国肉类市场曾经产生显著影响。美国农业部数据显示,周二,美国肉类加工商的牛的屠宰量较上一周缩小了22%;猪的屠宰量较上周缩小了20%。另外,批发价格也都有相应的上涨。而在加拿大,也有一些JBS工厂复工。JBS也是澳大利亚最大的肉类加工商,而当地的数千名员工曾经在周一和周二间断复工两天。尽管目前没有间接证据示意事件的始作俑者是“勒索病毒”,但依据攻击者在周末攻打公司零碎的抉择,很有可能波及勒索软件。而相似的事件在往年上半年曾经不足为奇。《2021上半年勒索病毒趋势报告及防护计划倡议》中显示,只管2021年上半年相比去年同期间,勒索病毒的攻打态势稍有降落,但勒索事件依然频发,仅2021年第一季度,就产生了多起国内知名企业被勒索的案件,并且赎金继续刷新纪录。 下一次会瞄准哪个行业?可能没有一个行业能确保在勒索病毒的侵袭下幸免于难。从目前曾经产生的安全事件中察看,任何集体、组织、机构简直都在勒索病毒的射程范畴内。从最后的零星恶作剧,到当初频发的歹意攻打,勒索病毒为何可能如“野草”般生命力倔强,肆意成长?《报告》也做了具体的阐释:首先,勒索病毒加密伎俩简单,解密老本高;其次,应用电子货币领取赎金,变现快、追踪难;最初,勒索软件服务化的呈现,让攻击者不须要任何常识,只有领取大量的租金就能够发展勒索软件的非法勾当,大大降低了勒索软件的门槛,推动了勒索软件大规模暴发。依据市面较为高发的勒索病毒特色,《报告》将勒索病毒的流传伎俩分为6个方向:弱口令攻打、U盘蠕虫、软件供应链攻打、零碎/软件破绽、“无文件”攻打技术、RaaS。勒索病毒团伙在利用这些流传伎俩入侵指标零碎后,会利用工具将失陷网络的秘密数据上传到服务器,而后施行勒索。随着寰球数字化的一直减速,越来越多企业将业务迁徙到云端。因为企业用户数据价值较高,但很多企业对于云上网络安全态势并没有足够的筹备。因而在将来一段时间,针对企业用户进行定向攻打,将是勒索病毒的重要指标之一。而且随着技术的遍及、勒索病毒产业链的成熟,病毒也将变得更加多样化、高频化。但一个显著的共识是:大宗型商品和社会基础设施是勒索病毒的重点指标。腾讯网络安全专家李铁军示意,“近两年来,咱们通过观察发现网络攻击的指标曾经越来越清晰,首当其冲的就是手握大量业务数据的企业。谁把握的数据价值越高,谁就越容易受到黑客攻击。” 是否领取赎金,不应成为解决问题的惟一门路因为解开被加密文件付出的代价极高,因而当勒索行为产生之时,留给企业的抉择往往只有缴纳赎金或者复原重建唯二门路可选。统计数据显示,过来几年,寰球范畴内因黑客攻击而领取的赎金总额一直上涨,在去年更是显著飙升311%,靠近了3.5亿美元。而更多的威逼暗藏在3.5亿美元之后:缴纳赎金仍无奈解密、无奈确保是否还有其余破绽、坐地起价……面对层出不穷的勒索病毒,无论是企业还是个人用户,都应该器重网络安全措施,做好事先防备。腾讯平安倡议企业应遵循“三不三要”准则构建事先进攻体系。除此之外,针对性地部署安全措施也是应答之法。企业用户应全网装置部署终端平安管理软件,举荐应用腾讯零信赖无边界拜访控制系统(iOA);针对一些大中型企业,倡议采纳腾讯高级威逼检测零碎(NTA)监测内网危险。同时,企业用户还可通过订阅腾讯平安威逼情报产品,让全网所有安全设备同步具备和腾讯平安产品统一的威逼发现、进攻和革除能力。

June 3, 2021 · 1 min · jiezi

关于安全:健康教育结课作文

part1:恋情是一种情感。恋爱、恋情,是一种情感,个体与个体(少数指人)之间的强烈的依恋、亲热、向往,以及自私并且无所不尽其心的情感。在当下社会中,限度恋情的因素越来越少,这种情感能够不受 part2:婚姻是一种契约。法律契约、道德契约 婚姻首先是一种法律契约。它给了婚姻为这段感情投入的财产物质的保障。最间接的,翻遍整部婚姻法,外面没有一句话是提及恋情的。婚姻法从头到尾能够总结为一个字,那就是钱。在什么什么状况下,谁谁谁应该分多少钱。这就是婚姻法。 其次,婚姻是一种道德和情感契约。男女双方结了婚,便是给对方一个保障,如同婚礼上的誓言:某某,你是否违心娶某某某为妻,爱她忠于她,无论贫贱,贫困,年老,苍老,你都与她长相厮守,共度白头。某某,你是否违心嫁某某某为妻,爱他忠于他,无论贫贱,贫困,年老,苍老,你都与他长相厮守,共度白头。然而,离婚率日益升高的当下,誓言在许多时候也仅仅是誓言。婚姻只是单方对这段感情的认可可见,婚姻是 结婚是为了恋情么?普通人或者认为是,但理论并不是。如果你是为了恋情,那你不须要结婚。什么叫恋情。所谓恋情,就是你对她梦寐以求,时时刻刻都想和她在一起。而她也对你梦寐以求,时时刻刻都想和你在一起。不结婚,你们天天在一起。结了婚,你们还是天天在一起。既然你们都这么黏糊了,那还结婚干啥?结婚并不能给恋情保质,相同,婚姻被公认为恋情的坟墓。 翻遍整部婚姻法,外面没有一句话是提及恋情的。婚姻法从头到尾能够总结为一个字,那就是钱。在什么什么状况下,谁谁谁应该分多少钱。这就是婚姻法。 所以婚姻的实质,是契约。 婚姻实质是契约没有错。然而人是感情动物,婚姻同样是人在感情方面的最高认证。 Part3:家庭是一种社会构造从质上看,婚姻只代表夫妻单方的一种关系,而家庭却是家庭成员之间有组织的社会构造。 有学者认为婚姻和家庭具备“量”与“质”的辩证关系,从量上看,婚姻只是夫妻单方的联合,而家庭除了夫妻单方之外,还有夫妻单方各自的家庭成员的形成局部;从质上看,婚姻只代表夫妻单方的一种关系,而家庭却是家庭成员之间有组织的社会构造。因而,婚姻是家庭的根底,但不见得是家庭成立的一项标记。 家庭和婚姻之间无疑有着十分亲密的分割。没有婚姻的根底,就没有真正的家庭。但它们不是同一个概念。家庭的造成,除了婚姻必须有根底外,还必须有血缘关系和独特生存这两个根本条件。也就是说,家庭的诞生,须要有三个基本要素:婚姻、血缘关系和独特生存。 婚姻不是家庭造成的标记 当社会规范容许(包含默认)时,两名独身成年女子和妇女被迫(无论是机密的还是公开的)过性生活并互相来往为了满足单方的身材须要,或者仅仅因为他们彼此喜爱,不想有孩子,甚至不想生存在一起。这种婚姻永远不会产生家庭。一对新婚夫妇开始生存在一起。但他们不想要孩子,只想享受“两个世界”的生存。这种婚姻也不形成家庭,只形成一个家庭。咱们能够说他们建设了家庭,但咱们不能说他们有家庭。如果咱们将上一个例子中的婚姻视为“家庭婚姻”(法律确认),那么上一个例子中的婚姻模式能够称为“非家庭婚姻”(法律不认可)。“家庭婚姻”能够分为最常见的“家庭婚姻”和不寻常的,但显然存在“不家庭婚姻” 。目前,“不家庭婚姻”已被社会规范所承受(这是封建时代相对不容许的“不孝三世,没有将来”)。然而,“不带家属婚姻”依然是一个热门问题。在婚姻摘要中,“婚姻”和“家庭”是两个不同的概念。它们是密切相关的,但外延毕竟是不同的。从实质上讲,婚姻只是成年男女之间互相来往的一种社会规范性关系,家庭的造成不仅要有“婚姻关系”的根底,而且要有“血缘关系”和“独特生存”两个基本要素。因而,在古代社会,婚姻的造成并不意味着家庭的呈现。

June 2, 2021 · 1 min · jiezi

关于安全:阿里云混合云的政企上云新路径

简介:寰球范畴内,混合云已成为企业用云最心愿采纳的模式。作为云上翻新的重要基础设施,阿里云混合云重磅亮相2021阿里云峰会。5月28日上午的主论坛上,阿里云智能根底产品事业部高级研究员蒋江伟发表了【随需部署、高效治理的云】宗旨演讲,深度解读了混合云“一云多Region,一云多芯”的业务策略、更全面的企业级平台个性和更灵便的专有部署模式,并强调指出:飞天混合云(Apsara Stack)作为建管用一体化的混合云平台,是政企数字翻新新门路。5月28日 - 29日,以“云上翻新”为主题的2021阿里云峰会于北京国家会议核心胜利举办。本次峰会,阿里云作为中国和亚太地区的云计算领军者旨在为企业数字转型提供新思路、新策略、新产品、新计划,帮忙客户开展“云上翻新”的全景图。 作为云上翻新的重要基础设施,阿里云混合云重磅亮相2021阿里云峰会。5月28日上午的主论坛上,阿里云智能根底产品事业部高级研究员蒋江伟发表了【随需部署、高效治理的云】宗旨演讲,深度解读了混合云“一云多Region,一云多芯”的业务策略、更全面的企业级平台个性和更灵便的专有部署模式,并强调指出:飞天混合云(Apsara Stack)作为建管用一体化的混合云平台,是政企数字翻新新门路。 平安和稳固是政企上云及云上翻新时思考的重中之重,阿里云混合云在兼顾获取公共云的弹性算力同时,还能够通过专有云保障客户业务平安无忧。针对不同利用场景提供同城双机房、同城三机房、异地主备、异地多活、一云多Region等多种容灾解决方案。混合云“一云多Region”解决方案可满足大型总分型企业“分级云、总部强管控”的多region的架构需要,并反对每个总公司的核心Region和分支公司的单元Region之间的容灾、备份。 随着企业对于服务器底层架构提出更加多元化需要,“一云多芯”的降级应运而生,“阿里云自研的飞天操作系统能够将芯片等底层硬件‘屏蔽’,兼容各种硬件,企业不用再顾虑底层硬件的复杂性,间接应用到规范的计算服务。”目前可反对x86、ARM等多种芯片架构,联合第三代神龙架构,满足更多行业、更多场景的云服务需要。 就在日前,国内首个针对云平台的商用明码利用安全性评估(以下简称密评)后果出炉,凭借自研飞天云操作系统的全方位平安能力,阿里云专有云成为国内首家通过商用明码利用安全性评估的云平台,意味着客户在阿里云上能享受到更平安、合规的云服务。 同时,在本次新金融和能源行业分论坛上,阿里云能源行业解决方案总监吴杰和阿里云交付技术部资深解决方案架构师黄欢欢各自分享了混合云在能源和新金融行业的落地实际。 早在2014年阿里云就推出了与公共云采纳同一架构、同宗同源,也是国内首个大规模商用的全自研原生混合云。通过7年多的倒退,阿里云帮助各级政府构建了18家省级、100多家市级政务云,并与数百家银行和大型央企开展数字化转型单干。 从企业上云到云上翻新,云计算扭转的不仅仅是研发模式,更是扭转了商业模式,乃至改革行业经营模式。 混合云时代已来,让咱们独特见证云上翻新的力量! 阿里云混合云为政企提供量身打造的混合云解决方案 从建好云、管好云、用好云三大维度提供客户视角的一体化云平台服务 更多产品详情,欢送返回【混合云官网】 版权申明:本文内容由阿里云实名注册用户自发奉献,版权归原作者所有,阿里云开发者社区不领有其著作权,亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容,填写侵权投诉表单进行举报,一经查实,本社区将立即删除涉嫌侵权内容。

June 2, 2021 · 1 min · jiezi

关于安全:重庆要得

以后寰球信息产业减速博弈工业互联网成为业内关注焦点从实际探索期迈入疾速成长阶段重庆国家重要核心城市重要古代制造业基地国家“一带一路”重要策略节点踊跃推动工业互联网翻新倒退着力打造“智造重镇”、“智慧名城” 浪潮工业互联网聚焦6大要害行业畛域 提供全云化、全场景的制造业智能化转型解决方案冲破三大核心技术 着力打造世界级工业互联网平台 当浪潮“预”见重庆智能预将来“一带一路”工业互联网总部暨寰球技术创新核心年度发布会来了! 聚焦智能算法剖析畛域工业智能联结翻新实验室将在这里成立公布泛滥政府、行业专家学者也将独特对话以预测为引领驱动工业互联网翻新减速5月28日重庆,要得!

May 31, 2021 · 1 min · jiezi

关于安全:开发者大会开发者社区活动获奖攻略

简介:开发者大会—开发者社区活动已拉开帷幕,5.29日线下流动正式开启动!线上流动即刻发车!!超多小游戏,超多奖品,让你边玩边学习!什么?放心游戏太难??别放心,小编特意整顿超具体获奖攻略!快上车!攻略一:即刻参加——开发者的夏天,做一名“代码诗人”1、参加形式:点击此处参加“开发者的夏天”流动 2、流动内容:炫技的时刻来啦! 线上线下可同时加入,用代码表白你的想法,能够是表白、心声、宿愿、指标、吐槽等等,不限开发语言,不限代码长短,精简最佳,做这个夏天最浪漫的开发者! 3、获奖秘籍在表中输出属于你的代码,咱们将评比最乏味有料的代码,取得“代码诗人”名称并得开发者社区双肩包一个哦!快来快来! 攻略二:26日开始——游园社区,做工作,抽大奖!1、参加形式:点击此处参加“游园社区”流动 2、流动内容流动蕴含大数据、数据库、人工智能、云原生、弹性计算、效力研发 六大方向 每个方向都存在4个工作,每个工作对应一个碎片 3、获奖秘籍**做工作,领徽章,抽大奖! 抉择任一畛域,每实现一个工作可获一个勋章碎片,集齐1个勋章有一次抽奖资格,每人限一次抽奖机会,同人只可抽取一次!奖品多多!阿里云定制ET公仔、魔方USB转换器、便携电脑支架、无线鼠标、充电宝、单动圈耳机**。。。超多奖品等你来拿! 攻略三:29号国家会议核心——线下攻略1、参加形式于5月29日到国家会议核心参加 2、流动内容流动一、开发者社区游园会 参加线下社区游园活动,在趣味中更深层理解社区 流动二、“疯狂答题”闯关夺宝 开发者峰会现场,参加linux、python、Java任意一门测试,达到指定分数可支付相应礼品。限一人加入一次考试。 **流动三、入手训练营: 30分钟打造云端一体语音播报音箱 **阿里云IoT技术大牛亲临,现场操作教学演示,手把手教你打造“云端一体语音播报音箱”,还能DIY方言版哦! 流动四、入手训练营:云效云原生 DevOps 入手训练营 入手训练一——5分钟云效Codeup智能平安编码体验 入手训练二——5分钟云效云原生开发部署体验实现“趣味换脸” 入手体验三——体验三 5分钟“趣味换脸” 云效云原生开发部署体验 现场依据README文档操作 流动五、钉钉开放平台体验 服务1700万+组织的利用开发平台——钉钉,为你提供弱小丰盛的原生凋谢能力,带你疾速体验高效的企业级利用开发方式。关注咱们,一起参加,让咱们一起凋敝企业应用生态!现场还有机会支付奖品哦! 流动六、利用开发 用宜搭一搭就行 2周能力实现的利用开发,用宜搭2小时解决!钉钉宜搭是阿里自研的云钉一体化低代码利用构建平台。用宜搭,让你的企业专属利用构建更简略。来现场,参加体验! 3、获奖秘籍流动一、开发者社区游园会 参加线下社区游园活动 流动二、“疯狂答题”闯关夺宝 扫码参加上面任意一门测试,达到指定分数可现场抓娃娃、更有机会得阿里动物园盲盒或阿里云ET公仔 **流动三、入手训练营: 30分钟打造云端一体语音播报音箱 **参加打造“云端一体语音播报音箱”,即有机会现场支付HaaS开发板! **流动四、入手训练营:云效云原生 DevOps 入手训练营 参加体验入手训练,即有机会支付云效定制T恤、Git超大鼠标垫,100%领奖**。深度体验者云效定制机械键盘现场带走! **流动五、钉钉开放平台体验 **关注平台,现场即有机会支付小奖品哦! 流动六、利用开发 用宜搭一搭就行 来现场,参加体验,领走宜搭定制小礼物哦,先到先得! [注:报名已满不要紧,点击此处可关注现场直播~](https://summit.aliyun.com/202... 大会入场需凭借您报名后收到的短信签到二维码入场哦~攻略四:29号当天关注阿里云开发者公众号还有抽奖机会!1、参加形式 关注公众号: 3、获奖秘籍 只需关注,即可参加抽奖!超多惊喜等你来拿 每个流动都精心筹备了超多惊喜,让你在游园中学习的同时,还能播种属于开发者社区给你的“专属夏天的礼物” 快来吧!!咱们在5月29日北京国家会议核心等着你! 版权申明:本文内容由阿里云实名注册用户自发奉献,版权归原作者所有,阿里云开发者社区不领有其著作权,亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容,填写侵权投诉表单进行举报,一经查实,本社区将立即删除涉嫌侵权内容。

May 31, 2021 · 1 min · jiezi

关于安全:某酒店App-signappcode签名解析一-带壳分析-r0tracer

一、指标 明天的指标是这个sign和appcode 二、步骤Jadx没法上了app加了某梆的企业版,Jadx示意无能为力了。 FRIDA-DEXDumpDexDump进去,木有找到无效的信息。 Wallbreaker葫芦娃的Wallbreaker能够做些带壳剖析,不过这个样本,用Frida的Spawn模式能够载入,Attach模式会失败。而间接用Objection确无奈载入。导致用不了Wallbreaker。 r0tracer明天的新敌人是肉丝大佬的 r0tracer https://github.com/r0ysue/r0tracer r0tracer能够依据黑白名单批量追踪类的所有办法。 咱们来尝试追踪一下蕴含 sign 的类或者办法 function main() { Java.perform(function () { console.Purple("r0tracer begin ... !") /* //以下三种模式,勾销正文某一行以开启 */ //A. 繁难trace单个函数 // traceClass("javax.crypto.Cipher") //B. 黑白名单trace多个函数,第一个参数是白名单(蕴含关键字),第二个参数是黑名单(不蕴含的关键字) // hook("javax.crypto.Cipher", "$"); hook("sign", "$"); //C. 报某个类找不到时,将某个类名填写到第三个参数,比方找不到com.roysue.check类。(前两个参数仍旧是黑白名单) // hook("com.roysue.check"," ","com.roysue.check"); })}Spawn模式启动App $ frida -U -f com.platexx.boxxoota -l r0tracer.js --no-pause -o saveLog1.txt输入 Spawned `com.platexx.boxxoota`. Resuming main thread! [MI NOTE Pro::com.platexx.boxxoota]-> r0tracer begin ... !startBegin Search Class...Found Class => Tracing Method : com.wxxotel.app.service.signservice.OpenSignService.execute [1 overload(s)]Tracing Method : com.wxxotel.app.service.signservice.OpenSignService.getPath [1 overload(s)]Tracing Method : com.wxxotel.app.service.signservice.OpenSignService.$init [1 overload(s)]木有啥有用的信息,咱们换个 试试 Sign ...

May 31, 2021 · 2 min · jiezi

关于安全:某站App签名算法解析一

一、指标咱们来剖析某站 App的sign签名算法,先搜寻一下 游戏 ,抓包后果: 二、步骤这个sign仍然是32位的字符串都9020年了,这种规模用户的App应该是不会裸奔在java层了,咱们就间接一点,在so外面搜寻 sign= 惋惜没有后果…… 藏起来的货色肯定是重要的货色so层导出函数给java层调用,有两种办法,一种是动态注册,间接会体现在so的导出表里。 一种是RegisterNatives来动静注册,这种就比拟费解了,从导出表里看不到痕迹。 所以咱们Hook下RegisterNatives,看看它藏了什么? // hook register 打印动静注册的函数地址function hook_register(){ // libart.so 所有导出函数表 var symbols = Module.enumerateSymbolsSync("libart.so"); var addr_register = null; for(var i = 0; i < symbols.length; i++){ var symbol = symbols[i]; var method_name = symbol.name; if(method_name.indexOf("art") >= 0){ if(method_name.indexOf("_ZN3art3JNI15RegisterNativesEP7_JNIEnvP7_jclassPK15JNINativeMethodi") >= 0){ addr_register = symbol.address; } } } // 开始hook if(addr_register){ Interceptor.attach(addr_register, { onEnter: function(args){ var methods = ptr(args[2]); var method_count = args[3]; console.log("[RegisterNatives] method_count:", method_count); for(var i = 0; i < method_count; i++){ var fn_ptr = methods.add(i * Process.pointerSize * 3 + Process.pointerSize * 2).readPointer(); var find_module = Process.findModuleByAddress(fn_ptr); if(i == 0){ console.log("module name", find_module.name); console.log("module base", find_module.base); } console.log("\t method_name:", methods.add(i * Process.pointerSize * 3).readPointer().readCString(), "method_sign:", methods.add(i * Process.pointerSize * 3 + Process.pointerSize).readPointer().readCString(), "method_fnPtr:", fn_ptr, "method offset:", fn_ptr.sub(find_module.base)); } }, onLeave(retval){ } }) }}挂上我可爱的frida,跑起来…… ...

May 29, 2021 · 3 min · jiezi

关于安全:国内首家阿里云专有云通过商用密码应用安全性评估

简介:阿里云凭借自研飞天云操作系统的全方位平安能力,成为国内首家通过云平台密评的云厂商。近日,国内首个针对云平台的商用明码利用安全性评估(以下简称密评)后果出炉。阿里云凭借自研飞天云操作系统的全方位平安能力,成为国内首家通过云平台密评的云厂商,这意味着客户在阿里云上能享受到更平安、合规的云服务。 据悉,本次评估根据国标GB/T 39786-2021《信息安全技术信息系统明码利用根本要求》进行,由国家明码局受权的评估机构(智慧云测)从明码技术利用、密钥治理和平安管理制度等多个维度对阿里云专有云平台进行综合测评,最终后果为满足规范的第3级要求。 明码是保障网络与信息安全的核心技术和根底撑持。随着云计算的引入,很多信息系统迁徙到云上,由此带来了新的明码利用需要。 相较于单个利用,云上客户零碎所依赖的云平台波及的产品和服务泛滥,底层组件革新简单,云平台的整体明码撑持能力不是单个产品或服务能力的简略叠加,而是须要依赖全局架构的精美设计,在多个云服务层面实现数据全链路的机密性和完整性爱护。因而,此次平台级测评对整体架构提出了更高的要求,对密评规范在云平台落地利用具备示范意义。 此次测评根据规范对阿里云专有云平台明码利用的合规性、正确性、有效性进行了全面的量化评估,通过流量抓包、加密算法剖析等技术手段进行了验证。 据悉,阿里云专有云全面反对国密算法,提供了平台密钥治理、平台证书治理、平台接入认证治理三大零碎,用于云上密钥的体系化治理及全生命周期治理,为用户提供数据全链路加密、基于明码技术的身份认证等全方位的明码能力撑持,无力保障政企数据安全。 作为撑持政企数字化转型的技术基础设施,阿里云专有云Apsara Stack已助力近700个客户进行数字化转型,遍布政务、金融、能源、制作、交通等重要行业。中保车服就基于阿里云专有云构建了保险行业灾备云服务,实现RPO<30分钟,RTO≤ 1小时,达到灾备5级建设规范和信息安全等保3级的平安规范。 通过本次评估,阿里云晋升了专有云平台及其云产品的合规能力,增强了云平台的安全性,进一步保障了云上业务零碎的数据机密性和完整性,可能为宽广政企、金融客户密评合规革新提供无力保障。 “阿里云始终器重明码规范工作,亲密关注明码畛域相干技术标准要求,并依照密评规范要求对云平台进行了继续、彻底的革新,使云平台在底座架构的要害数据链路上可能合乎密评规范要求。”阿里云专有云负责人谢宁示意。 阿里云混合云为政企提供量身打造的混合云解决方案 从建好云、管好云、用好云三大维度提供客户视角的一体化云平台服务 更多混合云资讯,返回【混合云官网】 版权申明:本文内容由阿里云实名注册用户自发奉献,版权归原作者所有,阿里云开发者社区不领有其著作权,亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容,填写侵权投诉表单进行举报,一经查实,本社区将立即删除涉嫌侵权内容。

May 24, 2021 · 1 min · jiezi

关于安全:安全之心一文读懂可信计算

简介: 信 or 不信,这是个问题可信计算TC (Trusted Computing)业界新宠,越来越被高频提到实质是发明可信执行环境的芯片级平安防护计划 然而,江湖流传 TA 的传说却鲜少有人见过真身阿里云作为亚太区最早布局可信计算的云厂商明天咱们一起来聊聊 TA 是谁? 一、环境可信“把大象放入冰箱须要几步”如何通过“信赖链”建设可信执行环境能够分为三步来了解它 可信根可信链度量/验证第一步可信根:芯片级、底层、不可篡改 芯片级硬件的不可篡改性决定了其能够作为最高等级平安的根底再将硬件层平安虚构映透传整个指标环境造成软硬联合的平安体系 一台电脑组件来自五湖四海包含他的主板芯片当你关上电脑的时候可能同时唤醒了暗藏在启动链路上的后门Rootkit/Bootkit 可信硬件的插入病毒无奈篡改零碎原设计疾速发现Rootkit/Bootkit并及时处理 可信根对密钥等私密数据进行物理爱护参加建设并保障可信链的传递对可信芯片进行平安调用 面对深度暗藏且难以觉察的威逼须要来自底层的爱护保障下层的不可篡改性 此处引入一个比喻来加深一下了解 工人把半成品交给下一个工人为了工作顺利完成首先须要保障工作链条是在可信的前提下推动着…… 办法一 每个工人在交出去之前查看下一个工人是否为外部人士 注:第一个工人很重要如果其身份造假前面的工作都是谬误的此时第一位工人就是信赖根其参加建设并决定可信链的传递 办法二 流水线放弃流动每一次交付都记录下来 注:每次交付的记录自身很重要保障这个记录不被篡改记录就像密钥一样存储在可信根 把 TA 作为整个平安的可信终点对不可控的软硬件实体实现治理 那么问题来了如何实现从可信终点到利用、到网络的透传? 两步并作一步:信赖链与验证/度量后果说好的三步变两步此处我失去了一点你的信赖 此处,咱们又故作神秘的引入一个历史故事 战国“策” 秦攻打赵魏信陵君心愿魏王收兵营救 信陵君通过通关密文进了魏王殿通过使者找到了魏王妃通过魏王妃拿到兵符(一半的玉佩)通过兵符配对(与将军手里的兵符符合胜利) ![上传中...]() 历史上的信陵君胜利调用兵力这是一个中性的信赖关系的传递因为其未经验证不可信的人实现了整体关系的传递 如果关系链终点和传递过程通过验证与及时异样行为治理兵符并不会这么轻易被拿走所以验证/度量后果的重要性不容忽视 同样是这个故事咱们换成当代可信环境下验证思考会有不同的终局当信陵君进魏王殿守卫发现其并非白名单成员 再比方信陵君见到魏王妃王妃验证目标:你要偷兵符上报魏王 或者最初就算信陵君拿到兵符魏王有及时发现兵符失落的敏感机制并及时甚至提前通报将军“谁拿着兵符来找你就杀了他” 这是有可信根参加的通过度量值比对的可信链 可信计算的外围性能是基于可信硬件建设主动免疫机制外围流程是可信根通过可信链链接各利用过程通过度量值比对将信赖关系逐步扩大至整机乃至网络 二、隐世高手可信计算神龙见首不见尾?历史上实在产生的“窃符救赵”更贴近传统IT架构下平安产品和服务的部署想要实现可信计算环境并不容易 一个绝对重要的计算环境为了保障处于可信环境至多须要面对以下问题 懂芯片懂硬件懂固件懂虚构技术懂可信链懂软硬联合懂…… 一边是啥也不懂很难一边是啥都懂了的阿里云 当初阿里云“拿捏住了”这个点:可信内置在基础设施中云治理物理机运行环境可信阿里云能够按需对云虚构服务器提供可信服务BIOS、疏导程序、操作系统内核、应用程序加载等进行度量/验证不须要用户洽购组件 1、零碎可信:云上物理机和虚拟机运行环境即操作系统的可信2、利用可信:云上治理利用和用户侧利用可信 三、平安可信云环境比以往任何计算环境都须要平安可信场景一 数据上云数据不在本人眼前而在近程存储用户须要确认近程的存储环境是否可信 可信前:存储之后货色被黑了 可信后:近程证实能够近程确认贮存/计算环境可行性 场景二 APT等高等级攻打威逼一直降级 黑客疯狂攻打伎俩变幻莫测惊叫“这是什么新伎俩” 单点进攻传统平安思路照搬到云环境必然面临水土不服的困境 可信计算计划则是将防护前置这也是更有前瞻性的平安技术任你变幻无穷,我以不变应万变 ...

May 14, 2021 · 1 min · jiezi

关于安全:云上快报-分布式架构引领核心系统架构转型新趋势

简介:近日,国内权威IT钻研与参谋征询公司 Gartner 公布【Market Guide for Cloud Infrastructure and Platform Services,China】,阿里云混合云凭借平安、稳固、智能、凋谢的产品能力失去业内高度认可,全线产品强势入选【中国云基础设施和平台服务市场指南】,是政企客户数字化转型的首选云平台。近日,国内权威IT钻研与参谋征询公司 Gartner 公布【Market Guide for Cloud Infrastructure and Platform Services,China】,阿里云混合云凭借平安、稳固、智能、凋谢的产品能力失去业内高度认可,全线产品强势入选【中国云基础设施和平台服务市场指南】,是政企客户数字化转型的首选云平台。 指南中分析师倡议通过分布式云解决客户公有云、混合云以及网络边缘建设的挑战。对于私有化部署,在采纳分布式云之前,I&O主管须要评估其部署规模需要。分析师特地指出,阿里云混合云可提供两种适应不同部署规模的产品 — 企业版和麻利版,笼罩从小型客户到大型客户不同需要,满足以后采纳分布式架构的大趋势。 早在2014年阿里云就推出了与公共云采纳同一架构、同宗同源,也是国内首个大规模商用的全自研原生混合云。通过7年多的倒退,阿里云帮助各级政府构建了18家省级、100多家市级政务云,并与数百家银行和大型央企开展数字化转型单干。 阿里云混合云(Alibaba Clould Hybird Cloud),为政企客户提供量身打造的混合云解决方案,从建好云、管好云、用好云三大维度提供客户视角的一体化云平台服务,作为目前业界利用规模最大,具备丰盛利用场景的践行者,是政企数字化转型的技术基础设施。次要产品蕴含专有云企业版,专有云麻利版,一体机系列,云效平台。 此次被重点提及的企业版和麻利版: 专有云企业版,面向中大型业务规模的全栈云平台,采纳和公共云统一架构,可满足客户在本地数据中心运行与阿里云公共云雷同产品及服务的需要,并可构建政企大规模行业云。产品劣势:超大规模、深耕行业、一应俱全、平安稳固。 专有云麻利版,为云化初期客户提供小型化混合云平台,缩小初期投资老本,升高上云门槛,更轻量便捷地上云。同时反对与阿里云公共云、专有云企业版、一体机造成一朵云,提供核心+分支+边缘的多级云平台。产品劣势:疾速小型化部署、灵便兼容、高性能平安容器云。 目前,阿里云混合云已服务了数百家政府和企业级客户,累计在线容量超过数十万台,最大单点规模超过5000台,涵盖政府、金融、能源、制作等全行业。致力于让政务服务更便捷!让金融更普惠!让能源更高效!让交通更智慧! 阿里云混合云为客户提供“全栈一体化原生云平台”,作为政企数智化转型的技术基础设施,将持续继续迭代云平台的能力,保持凋谢拥抱被集成,携手生态搭档赋能政企客户实现数字化和智能化转型。 阿里云混合云为政企提供量身打造的混合云解决方案 从建好云、管好云、用好云三大维度提供客户视角的一体化云平台服务 更多混合云资讯,返回【混合云官网】 版权申明:本文内容由阿里云实名注册用户自发奉献,版权归原作者所有,阿里云开发者社区不领有其著作权,亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容,填写侵权投诉表单进行举报,一经查实,本社区将立即删除涉嫌侵权内容。

May 12, 2021 · 1 min · jiezi

关于安全:阿里云数据中台全新产品DataTrust聚焦企业数据安全保障

简介:DataTrust(隐衷加强计算产品)是基于阿里云底层多项根底平安能力,通过阿里云数据中台丰盛的客户业务实际,构建的一款为企业数据安全流通的产品。随着包含批发、制作、金融等多行业数字化转型减速推动,数据的价值正在被越来越多的企业宽泛认知,国家亦出台多项政策,明确数据因素的基础性、战略性位置,要求增强数据资源整合、利用于平安治理,晋升数据资源价值。 同时,面对继续扩充的平安威逼维度和行业监管要求,企业对数据安全的防护力度要求也在一直加码,亟需一套残缺的数据安全产品,实现不同场景应答的数据安全爱护。 响应国家及市场要求,近日,阿里云数据中台产品矩阵之一的隐衷加强计算产品DataTrust正式对外公布。 记者理解到,DataTrust依靠阿里云底层多项根底平安能力,及阿里云数据中台丰盛的利用场景实际,可能在保障数据安全的前提下实现多方数据联结剖析、联结训练、联结预测,实现数据价值的流通,为企业提供立足数据业务原生的数据安全流通解决方案。 可用不可见 保障数据多方计算平安 营销投放是批发企业最常面对的商业场景之一。 批发企业抉择一个媒介渠道进行营销投放时,为了保障绝对最优投放成果,往往须要提供本身已笼罩市场数据与渠道数据穿插计算剖析,并进行模型训练和预测,以确保此次营销投放确实可能触达指标市场。 但在这个过程中,企业往往又不心愿本身市场数据被媒介渠道获悉,因而在数据处理过程中,须要有个“平安环境”,做到在数据不流通的前提下实现数据价值的流通,达到包含数据分析、匹配、分层等动作都局限在“平安环境”范畴内产生,待数据处理实现后,间接产生数据后果,以不便后续基于业务场景的间接应用。 “平安环境”的作用就在于,可能让企业和平台都在无奈获悉对方根底数据的前提下,实现数据业务剖析及数据利用,做到数据的可用不可见。 而Datatrust就充当了“平安环境”角色,基于业内当先的隐衷加强技术,它可能为数据参加多方构建一个对立的数据安全融通环境,实现ID去标识化、特色标签爱护、商业数据保护等多方面目标——此外,DataTrust通过一体化的应用交互和体验,大大降低了企业应用门槛,同时数据处理动作和流程可能被清晰表白。 目前,DataTrust产品能力已通过阿里云数据中台在多个行业取得实际,尤其是在“智能营销”“智能广告举荐”等场景,取得企业极大认可。 多维核心技术 数据安全背地的多重把关 为什么DataTrust一经推出就能禁受多行业不同数据安全场景挑战?除了依附阿里云数据中台在批发、金融、互联网等多个细分行业解决方案的切入外,更重要的一点还在于,其内嵌的四大核心技术,可针对不同行业数据安全规范及企业个性化数据隐衷需要,给予特定匹配。 比方,批发企业在数据安全层面外围保障数据合规应用及防透露(隐衷爱护),须要充沛恪守包含《网络安全法》《电商法》《消费者保护法》等法律法规的要求;但在金融或者医疗行业,有更高的基于行业的数据安全保障规范,因而在这些行业,在数据安全技术上也必须提出更高要求。 据介绍,DataTrust现阶段已领有四大隐衷加强计算核心技术。 一、可信执行环境(Trusted Execution Environment,TEE) TEE是硬件中的一个独立的平安环境,与操作系统并行运行。硬件自身保障TEE中代码和数据的机密性和完整性,也就是说,TEE是硬件服务提供商利用硬件在事实世界中结构的平安计算环境。 利用TEE实现隐衷加强计算的过程能够通过下图形容。 · 步骤1:各个参与方将本人的数据x通过平安链路传输给TEE; · 步骤2:TEE在保障机密性和完整性的条件下实现计算工作; · 步骤3:TEE通过平安链路将计算结果发送给各个参与方。 目前,DataTrust利用英特尔的软件防护扩大(Software Guard Extensions,SGX)作为TEE。 SGX是Intel CPU提供的一组指令集和内存拜访机制,应用程序能够通过这组指令集和内存拜访机制实现一个被称为安全区(Enclave)的容器,在应用程序的地址空间中划分出一个被爱护的区域,为容器内的代码和数据提供机密性和完整性爱护,免受领有非凡权限的恶意软件的毁坏。 二、平安多方计算(Secure Multi-Party Computation,MPC) MPC是密码学中的定义,意为在无可信计算方的状况下,多个参与方各自持有机密输出实现对某个函数的计算,但每个参与方最终只能失去计算结果和能从本人输出和计算结果中推出的信息,其余信息均可失去爱护。 平安多方计算的定义能够通过下图形容。 DataTrust目前反对专用MPC协定隐衷汇合求交(Private Set Intersection,PSI)实现两方数据的平安匹配;同时,反对上亿级别输出的PSI协定,并依据单次匹配、周期性匹配、增量匹配等理论业务场景提供不同类型PSI协定的反对。 三、联邦学习(Federated Learning,FL) 联邦学习是一种多个参与方在保障各自原始公有数据不出数据方定义的公有边界的前提下,合作实现某项机器学习工作的机器学习模式。 依据隐衷平安诉求与训练效率的不同,能够通过MPC、同态加密(Homomorphic Encryption,HE)、差分隐衷(定义见下)等多种形式实现联邦学习。 DataTrust反对基于差分隐衷的联邦学习,相应技术计划在保障成果和性能的前提下,领有平安上的实践撑持。值得注意的是,DataTrust反对的联邦学习算法已笼罩神经网络和决策树等罕用算法。 四、差分隐衷(Differential Privacy,DP) DP是一种基于对数据引入随机扰动,并从实践层面度量随机扰动所带来的隐衷爱护水平的隐衷爱护办法。依据随机扰动形式的不同,DP分为在原始数据层面进行随机扰动的本地差分隐衷(Local Differential Privacy,LDP)和在计算结果层面进行随机扰动的核心差分隐衷(Central Differential Privacy,CDP)。 DataTrust在FL层面利用DP实现训练/预测过程中的个人隐私爱护,并综合应用CDP/LDP技术,以反对不同的学习/预测工作。 须要留神的是,DataTrust的多套核心技术并非变化无穷,而是可能根据企业日益丰盛的数据安全场景,进行降级更迭,同时还将持续引入更多行业当先的隐衷加强计算技术,充盈产品底层能力,“继续响应政策数据监管要求,适应市场数据安全诉求,将保障数据安全的能力全量凋谢给有须要的企业,将会是DataTrust将来相当长时间内的战略目标。”DataTrust产品负责人如是说。 数据中台是企业数智化的必经之路,阿里巴巴认为数据中台是集方法论、工具、组织于一体的,“快”、“准”、“全”、“统”、“通”的智能大数据体系。 目前正通过阿里云对外输入系列解决方案,包含通用数据中台解决方案、批发数据中台解决方案、金融数据中台解决方案、互联网数据中台解决方案、政务数据中台解决方案等细分场景。 其中阿里云数据中台产品矩阵是以Dataphin为基座,以Quick系列为业务场景化切入,包含: - Dataphin,一站式、智能化的数据构建及治理平台;- Quick BI,随时随地 智能决策;- Quick Audience,全方位洞察、全域营销、智能增长;- Quick A+, 跨多端全域利用体验剖析及洞察的一站式数据化经营平台;- Quick Stock, 智能货品经营平台;- Quick Decision,智能决策平台;官方站点: ...

April 29, 2021 · 1 min · jiezi

关于存储:阿里云原生多模数据库Lindorm联合东软云科技赋能车联网数字化运营运维创新升级

简介:阿里云原生多模数据库Lindorm与东软云科技推出联结解决方案,共建面向未来的车联网数字化经营运维云平台。目前,该联结解决方案已在东软睿驰、江铃汽车、长城汽车等客户中失去广泛应用和实际落地。作者:许力 阿里云原生多模数据库Lindorm与东软云科技推出联结解决方案,共建面向未来的车联网数字化经营运维云平台。东软云科技阿里车联网云可能提供海量实时监控车辆、驾驶行为、第三方交通天气等数据源数据存储交融,撑持车厂、服务提供商等客户经营大量驾驶人用户数据,疾速建设驾驶行为分析模型,面向保险、车厂、商业车队、智慧城市等畛域提供数据经营与剖析服务。目前,该联结解决方案已在东软睿驰、江铃汽车、长城汽车等客户中失去广泛应用和实际落地。 东软团体深耕车载业务近30年,为国内外出名汽车厂商、Tier1客户提供从操作系统开发、核心技术受权到车载利用定制包含车载信息娱乐零碎定制化服务及测试服务、仪表定制化开发、HMI定制化开发、车身控制系统软件开发、导航&DB编译服务、车联网、车载测试的整体智能座舱软件解决方案和服务。作为阿里云MSP合作伙伴,东软领有近300名ACP工程师,卓越的云架构设计、上云迁徙、云上施行、云上运维,以及银行级别的平安保障和云优化服务能力。可能提供基于阿里云的车联网云上服务,为车联网解决方案的经营保驾护航。 随着智能网联汽车翻新场景和相干业务不断丰富,在线车辆采集上传云端的数据量激增,数据品种和构造多样化,目前罕用数据存储技术伎俩局限于利用多种开源数据库(Opentsdb、HBase、Solr等)自建数据库存储系统集群,建设、应用、运维老本随数据量和业务场景疾速减少,急需业余、高性价比、免运维的数据库存储计划。 阿里云原生多模数据库Lindorm致力于提供“存得起,看得见”的非结构化、半结构化的数据存储与解决解决方案,宽泛服务于阿里巴巴团体外部和内部用户,特地是物联网、车联网等智能、互联零碎海量数据存储,具备高性价比存储、凋谢生态兼容、多引擎异构数据交融等能力。Lindorm凭借以下劣势为东软车联网业务构建了海量数据云存储一站服务平台。 车联网海量监控数据存储老本最低,依附自研数据压缩存储、冷热拆散、存算拆散技术将时序监控数据存储老本降到极致;完满对接HBase、OpenTSDB、InfluxDB、PhoneixQL、CassandraQL等大多数支流数据存储生态接口,数据迁徙、生态共生计划最齐备;提供时序、宽表、索引、文件等多种引擎合作存储能力,为客户屏蔽多类型、异构数据处理复杂性问题;企业级稳定性保障、大于99.99%数据可靠性保障,免运维,业余技术团队售后反对。 基于东软云科技阿里车联网数字化经营运维云平台,客户可能使用车联大数据进行智能剖析,提供车况剖析、用户画像剖析及出行剖析,从而向车厂研发部、质量部提供业务决策依据,帮忙车厂深刻洞察用户,晋升经营效率,实现精准营销以及业务翻新。具体利用场景如下: 车厂产品改革及品质监控:通过对车联网大数据的采集剖析,从经济性、环境、可靠性、安全性、故障等方面开掘数据价值,从而向车厂研发部、质量部提供业务决策依据,用于整车厂产品改革。车主驾驶评估及出行助手:依据车主驾驶习惯特色,晋升车辆行车效率,最大水平缩小车主顾虑,为车主提供驾驶评估和平安领导,提供出行帮忙,促成汽车品牌智能化服务转型。汽车后市场服务:整合车联大数据中的人、车数据,依据不同行业客户的特点,提供定制化的共性服务,充分体现“自有数据经营”的价值。精准营销:基于线下地位的数据采集,通过人与地理位置的联合、变动、频次等状态,实现人群标签划分、线下场景捕获,提供精准的用户画像,帮忙车厂深刻洞察用户,晋升经营效率,实现精准营销以及业务翻新。 除此之外,东软云科技阿里车联网联结计划还能提供人、车、出行多维度剖析,晋升车厂决策及经营能力撑持,典型利用场景包含: 车况剖析:提供车辆性能剖析和故障剖析,为车厂研发部门、洽购部门、品质部门提供车况剖析,包含燃油经济性、怠速、故障剖析、性能剖析等,从而晋升整车厂的决策能力,为车厂各生产设计环节带来价值。用户画像:基于购车履历、用车频度、流动区域的剖析,帮忙车厂洞察购车人群散布,生产偏好等,为车辆销售定位、销售策略提供主观的参考根据,从而实现精准营销以及业务翻新。出行剖析:整合车辆行驶过程中的时空数据,对车辆行车数据和危险行为进行辨认并加以刻画,提供驾驶行为剖析、车辆危险画像、路线轨迹洞察,综合反映车辆行驶习惯及危险,为车厂主观理解车辆出行情况提供数据撑持。 东软云科技云解决方案和服务事业部 副总经理傅春江示意:“数据是车联网赋能车厂和车联网服务提供商晋升客户体验,构建技术竞争力的要害,阿里云原生多模数据库Lindorm具备极具竞争力的数据存储性价比和技术劣势,做到了让车联网数据存得起、看得见!”依据IDC预测,2023年寰球智慧城市技术投资将达到1894.6亿美元,作为智慧城市核心零碎之一的车联网经营运维撑持数据存储也将同步疾速减少,东软云科技阿里云联结解决方案围绕车联网零碎建设数据存储痛点问题,强强联合共建行业撑持数字基础设施。 版权申明:本文内容由阿里云实名注册用户自发奉献,版权归原作者所有,阿里云开发者社区不领有其著作权,亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容,填写侵权投诉表单进行举报,一经查实,本社区将立即删除涉嫌侵权内容。

April 23, 2021 · 1 min · jiezi

关于敏捷开发:2021研发效能实践案例征集大赛

简介:由阿里云云效主办的2021研发效力实际案例征集大赛正式启动,专门为企业CTO、研发(TL、一线研发人员)、运维、产品人筹备的实际案例展现平台,期待各位报名参加; 咱们晓得效力晋升,就是要利用零碎办法实际和工具,通过它们改良技术、工程能力和合作、翻新行为,带动研发效力的晋升,最终实现减速业务倒退、引领业务翻新等业务指标。 如何升高产品的迭代老本,进步企业的创新能力?如何解决业务日益简单,在开发中遇到越来越多的传统行业软件开发中所面临的问题?如何借助低代码能力,使企业用户无需编码即可实现企业应用的罕用性能,大量编码,缩小IT投入扩大出更多功能?如何通过云原生技术,实现Serverless ,CI\CD,Devops,帮忙企业构建和运行可弹性扩大的利用?如何扭转在我的项目中变动快,需要繁琐,沟通艰难等问题,做到真正麻利?以上问题是否引起你的共鸣?由阿里云云效主办的2021研发效力实际案例征集大赛正式启动,专门为企业CTO、研发(TL、一线研发人员)、运维、产品人筹备的实际案例展现平台,期待各位报名参加; 本次案例征集大赛围绕"In cloud,Be agile"外围主题开展,面向全社会公开征集在技术、工程、合作、项目管理、业务翻新以及研发效力等畛域的优良实际案例。 咱们欢送国内外各位专家们与大家分享各个领域的前沿技术,用各大公司在生产环境中的成功实践案例通知业界同路人,如何从on cloud到in cloud,帮忙企业从不仅仅是领有一朵云,更能用好云、倒退于云,麻利于云; 一、你能取得什么?1、评比10个优质案例,发放团建基金1k 2、荣誉:阿里巴巴研发效力当先实际案例成果奖 入选案例的集体或团队荣获“阿里巴巴研发效力当先实际案例成果奖” 3、借助研发效力峰会平台,提供展现案例机会,助力优质精品案例流传 4、纳入ALPD系列电子书或纸质书籍案例中 二、案例征集流动规定:流动工夫:截止日期2021年5月31日 面向人群:企业CTO、研发(TL、一线研发人员)、运维、产品 1、流动规定:来自互联网科技领域,研发技术、治理实际及业务翻新案例,具体范畴如下: • 技术:互联网架构、畛域驱动设计、高效和高质量编码、低代码实际 • 工程:CI/CD、DevOps、云原生实际、Serverless • 合作及项目管理:精益麻利实际、需要剖析和需要治理、我的项目及多项目管理 • 业务翻新:指标治理、业务翻新、黑客增长 • 研发效力:效力度量、效力晋升 2、案例内容构造:• 遵循业余、案例落地实际的准则,案例须要从案例背景、指标、解决方案、解决了什么问题、前后比照剖析、案例启发、案例对组织的价值意义等多个维度进行结构化提炼,从而达到让读者或听者受害的目标; 案例名称* 分享者集体介绍* 案例分享概述*向听众形容200-300字的案例简述,为大家带来哪些最佳实际。 案例背景* 此案例为了解决什么问题?解决方案?预期指标?解决了什么问题? 胜利(或教训)要点* 胜利经验总结,哪些技术或实际做好了才促使 案例启发* 提炼出该案例(或我的项目)的价值意义、方法论 点击提交案例3、注意事项 :谢绝广告、市场化公关内容,遵循100%案例钻研学习为主旨 提交案例的同时,请提交“受权证实”,请确保您投稿的内容不波及任何泄密和侵权行为。凡波及窃密内容的局部须由作者自行处理,上传文件时请把案例和受权证实合并压缩成后缀为zip的压缩文件 三、案例评比流程第一阶段在线提交——第二阶段初步评审——第三阶段热度+专家评比——第四阶段颁奖 四、举荐机制如果在您心目中有其它十分适合的案例,欢送向组委会举荐(请尽可能详述被推荐人的个人信息与可分享的话题信息,发送至邮箱:biting.bt@alibaba-inc.com) 版权申明:本文内容由阿里云实名注册用户自发奉献,版权归原作者所有,阿里云开发者社区不领有其著作权,亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容,填写侵权投诉表单进行举报,一经查实,本社区将立即删除涉嫌侵权内容。

April 22, 2021 · 1 min · jiezi

关于安全:零起点入门教程1分钟极简操作新手也能搭应用

简介:【零起点入门系列教程】将会带给大家从业务视角登程由浅入深地学习用宜搭实现利用搭建。即使是没有任何代码根底的老手只有跟着系列课程,从0开始缓缓修炼,也能找到胜利搭建利用的乐趣。明天第一讲,1分钟开箱即用,打造一款专属利用。【零起点入门系列教程】将会带给大家从业务视角登程由浅入深地学习用宜搭实现利用搭建。即使是没有任何代码根底的老手只有跟着系列课程,从0开始缓缓修炼,也能找到胜利搭建利用的乐趣。明天第一讲,1分钟开箱即用,打造一款专属利用。 在日常工作中,你是否感觉以下场景似曾相识? 花大量工夫在Excel/纸质表单上做数据统计,工作繁琐,还老出错,怎么办?想将手上的业务线上化,但没估算、没开发、没资源,怎么办?企业外部零碎彼此之间都是独立的,想突破“信息孤岛”,怎么办?数字经济时代催生了越来越多的场景化、个性化需要,以往这类需要须要装备足够的资源和业余的开发人员能力实现,这对企业以及非专业开发人员来说,是无奈超越的鸿沟。 但现在,技术的提高大大降低了利用创立的老本,以ERP为核心的时代已成为过来。低代码平台的衰亡,即通过0代码或者大量代码就能够疾速构建出一款贴合业务需要的专属利用,让个体的需要失去了尊重和满足,普通人都能具备利用开发的能力,这是行业的改革,也是对创新者的福利。 _1、_宜搭简介宜搭是阿里巴巴自研的低代码利用构建平台,通过可视化拖拽的形式,传统模式下须要两周能力实现开发的利用,用宜搭2小时就能实现。 业余软件对于理论的工作而言,性能冗余,价格不菲,还要求助公司业余开发去做。宜搭让人人都能够成为开发者,通过利落拽就能搭建本人的利用,像积木拼搭一样,小的审批,大的门户零碎,本人就能搞定。 对于不会代码的普通人而言,也不必求人,还能体验当开发者的乐趣。对于业余的开发者而言,用宜搭能够解脱反复低效的工作模式,把精力集中在更有价值的事件上。宜搭还提供了适宜各行各业的收费利用模板,开箱即用,一分钟就能打造一款专属利用。 _2、_6步搭建一个利用用宜搭搭建利用仅需6步,如下图所示 —Step1—进入宜搭 通过钉钉的主导航栏来拜访到宜搭,进入到宜搭首页 —Step2—切换到模板核心实现模板创立 在模板核心列表中,抉择合乎本人业务场景的一些利用,比方hr服务中心,启用利用的同时,给利用命名为hr服务中心,点击“确定”实现利用模板的创立。 —Step3—进入后盾治理 利用创立结束之后会进入到利用的后盾治理,在后盾治理外面去编辑这些利用,以及页面的内容。比方咱们要批改员工信息录入这张表单里的一些字段,如下图所示,能够点击右上角的编辑进入到以后页面的表单设计器当中,在表单设计当中去拖拽、批改这些组件的排列地位,也能够去拖动一些组件,作为表单的一些额定的输出项。 —Step4—保留并公布 如下图所示,确认页面设计没有问题之后,点击右上角的保留,实现页面的设计,点击左上角的 hr服务中心返回到用户端治理去上线利用,并且公布利用到指定的钉钉工作台分组下,如平安停工。 —Step5—上线利用 —Step6—查看利用数据 返回OA工作台,平安停工分组下,就能看到hr服务中心这个业务,点击进入到hr核心的业务,就能够以用户的视角去拜访提交一些利用数据。 宜搭提供了超过100项图形化的开发组件,表单流程数据能力笼罩了绝大多数场景需要,集成了阿里云原生+钉原生能力,升高企业数字化门槛。 _3、_理解一下宜搭的倒退历程2017年3月,宜搭在阿里巴巴外部正式上线,在三年多的工夫里,外部共计搭建了12700多个利用,其中99%的利用都是由HR、财务等没有开发教训的员工自行搭建的。据统计,这些用宜搭搭建的利用,累计为阿里巴巴节约近10万人日的资源投入。 2019年宜搭正式对外商用,宜搭已累计服务客户超过6000家,笼罩新批发、医疗、生产制作、能源、教育、酒店6大行业。 2020年春节期间,宜搭以低代码、疾速搭建利用的劣势,第一工夫助力各级政府及企业疾速实现疫情防控和治理,累计搭建2000多个疫情利用,均匀每个利用仅需1.5天即上线。 2021年1月,钉钉6.0发布会正式发表宜搭与钉钉交融,让钉钉上的1700万组织,4亿用户搭建钉原生利用更简略。为每个企业,每个职能部门,每个角色提供疾速搭建利用的平台能力,让工作中的每件事件都可被数字化。 \>>>>点击收看视频版课程 欢送钉钉扫码关注“宜搭”服务窗,理解更多宜搭产品培训、最新性能和客户案例 版权申明:本文内容由阿里云实名注册用户自发奉献,版权归原作者所有,阿里云开发者社区不领有其著作权,亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容,填写侵权投诉表单进行举报,一经查实,本社区将立即删除涉嫌侵权内容。

April 22, 2021 · 1 min · jiezi

关于安全:加密原理详解对称式加密VS非对称式加密

一、前言在理解加密原理前,咱们来看看这样一个故事。 小红和小明是情侣,一天,小红给小明发短信说:“敬爱的,我银行卡上没有钱了,你给我转1万块吧。”有过上当受骗经验的人都晓得这有可能是小偷偷了小红手提包,而后拿手机发的短信。不过咱们小明学过加密原理,于是他回复说:“你间接拿我的银行卡刷吧,明码加上咱们第一次约会的日期就是663156。”很显著,只有小明和小红晓得他们第一次约会是什么时候,假如是2008年4月1号,那么小红就能够依据计算663156-200841=462315失去银行卡明码,就能够生产了。 这就是加密的实质,将信息与密钥相加失去加密后的信息。只有晓得密钥的人才能解密。 二、什么是秘钥既然加密须要密钥,那么密钥是什么呢? 密钥是作用于加密时的一串明码,通过密钥进行信息加密,传输,达到接收者和监听者,因为接收者也有密钥,所以接收者能够依据密钥进行解密。从而避免通信信息泄露。 三、什么是对称加密前言讲的故事就是一个对称式加密,小明和小红都晓得第一次约会的日期。所以传统的对称式加密须要通信单方都保留同一份密钥,通过这份密钥进行加密和解密。所以非对称加密也称为单密钥加密。 对称加密的劣势在于加解密速度快,然而安全性较低,密钥一旦泄露,所有的加密信息都会被破解。同时密钥的传输和窃密也成为难题。为了解决密钥传输的问题,呈现通过密钥替换建设共享密钥的技术。具体如何建设共享密钥呢?咱们往下看。 3.1 建设共享密匙在小明、小红和小偷的三人世界中,因为小明是学过加密原理的,晓得迪菲–赫尔曼密钥替换(Diffie-Hellman Key Exchange),所以他晓得如何建设共享密钥。 3.1.1 颜料混合花样:接下来咱们看看如何通过颜料混合花样建设共享密钥吧。 假如在房间中有小明、小红和小偷三个人,每个人各自领有雷同色彩的颜料。在房间的正中间也有这些颜料。接下来,小明要和小红建设共享密钥了。此时,小明对大家说:“我要用蓝色。”而后小明从本人的颜料里抉择了黄色,这个黄色就是小明的私钥,小红和小偷都不晓得。小明将本人的私钥黄色与公钥蓝色混合后,失去了一种不能分解的色彩,咱们就叫“小明-蓝色”吧(尽管大家都晓得黄+蓝变绿,然而这里咱们为了晓得是谁的混合色,还是以名字加公钥色彩来称说),而后小明将“小明-蓝色”颁布了进去。同样,小红听到了小明说用蓝色后,也抉择了本人的私钥红色与公钥蓝色混合,失去了“小红-蓝色”并颁布了进去。 此时,房间中小明、小红、小偷三人都晓得了几个信息。 1.他们都用了蓝色 2.小明颁布了“小明-蓝色”(小红和小偷不晓得是什么颜料与蓝色的混合) 3.小红颁布了“小红-蓝色”(小红和小偷不晓得是什么颜料与蓝色的混合) 接下来,见证奇观的时刻到了,小明拿到“小红-蓝色”与本人的私钥“黄色”混合,失去“小红-蓝色-小明”的新颜料。同样的,小红拿到“小明-蓝色”与本人的私钥“红色”混合,失去“小明-蓝色-小红”。大家发现了吗?“小红-蓝色-小明”和“小明-蓝色-小红”是截然不同的色彩。而小偷不晓得小明和小红的私钥色彩,无奈混合出与他们雷同的色彩。 至此,共享密钥建立起来了。在理解了共享密钥的建设过程后,咱们将辞别实体颜料,采纳数字的形式来建设共享密钥。 注:大家可能想到了,小偷能够依据本人的颜料与公钥“蓝色”混合,尝试得出“小明-蓝色”和“小红-蓝色”。这样的办法称之为穷举法,也就是尝试所有的可能性,进行信息破解,所以加密算法在实践上都是能够通过穷举法破解的,只不过实际上,超级计算机都须要计算万亿年能力穷举出所有可能性。 3.1.2 乘法花样:首先,咱们假如乘法如同颜料混合一样,是不能分解的,看看如何用乘法与数字建设共享密钥。 小明公开了一个数字5,而后小明抉择了一个私人数字4,而后利用乘法将两者混合起来,失去“小明-5”(20),接下来小红也抉择了一个私人数字7失去“小红-5”(35),小明拿到35*4=140,小红拿到20*7=140。共享密钥建立实现。 大家也发现了,小偷晓得20,35,5这三个数字后,用除法就能算出小明和小红的私钥。所以,接下来咱们将理解理论应用中的如何应用乘法花样来避免私钥被计算出来的。 3.2 迪菲–赫尔曼密钥替换算法咱们都晓得幂运算,然而要让计算机计算就比拟难了。所以,咱们会用幂运算作为建设共享密钥的乘法花样。同时,咱们还要理解钟算的原理,这里的钟能够了解成咱们常常看到的时钟,咱们常见的时钟最大是12,如果以后是10点,过了4个小时后,就变成了下午2点。也就是(10+4)mod12=2。理解了钟算和幂运算后,就开始进入正题吧。 还是小明、小红和小偷的房间,小明申明了钟为11,幂运算的底为2,接下来小明和小红别离抉择了本人的私钥4和7。 第一步,小明混合本人的“小明-11,2”失去,小红混合本人的“小红-11,2”失去。 第二步,小明拿到“小红-11,2”(7)进行计算,小红拿到“小明-11,2”(5)进行计算。 大家留神到了吗,小明和小红建设了共享密钥3,而小偷无奈依据已知的11,2,5,7这几个数字计算出密钥或小明小红的私钥。有了共享密钥后,小明和小红就能够平安进行加密传输了。 3.3 AES对称加密过程AES 的全称是 Advanced Encryption Standard ,是最风行的对称加密算法,其加解密速度快。AES反对128位,192位,256位三种长度的密钥,密钥越长安全性越高。AES加密时会把明文切分成许多小块的明文,而后对每块明文独自加密,将加密后的密文传送进来,接管方再将密文切块解密,失去明文。 如下图所示: 上一步中小明和小红曾经协商好了密钥3。接下来就能够通过对称加密进行通信了。 在小明、小红和小偷的房间中,小明想把明码“462315”通知小红,于是: 第一步:将明码依照一位的长度进行切分(理论中通常按128位进行切分);就变成了“4”“6”“2”“3”“1”“5”; 第二步:对每块明文通过密钥3进行加密,后果就是“795648”,而后小明通知小红和小偷:“我的明码是795648”; 第三步:小红拿到密文后,对密文进行切块,对每块通过密钥3进行解密,就失去了正确的明码“462315”,而小偷因为不晓得密钥,就无奈解密出正确的信息。 四、什么是非对称加密在对称加密中,加密和解密应用的是同一份密钥。所以,在非对称加密中,加密和解密应用的是不同的密钥。非对称加密中的密钥分为公钥和私钥。公钥顾名思义就是公开的,任何人都能够通过公钥进行信息加密,然而只有用户私钥的人才能实现信息解密。非对称加密带来了一个益处,防止了对称式加密须要传输和保留同一份密钥的苦楚。 当初最风行的非对称加密算法就是RSA加密算法,具体是怎么做的呢,咱们持续往下看。 4.1 AES对称加密过程维基百科是这么解释的:RSA加密算法是一种非对称加密算法,在公开密钥加密和电子商业中被宽泛应用。RSA是由罗纳德·李维斯特(Ron Rivest)、阿迪·萨莫尔(Adi Shamir)和伦纳德·阿德曼(Leonard Adleman)在1977年一起提出的。过后他们三人都在麻省理工学院工作。RSA 就是他们三人姓氏结尾字母拼在一起组成的。 后面咱们讲了如何通过钟算和幂函数建设不可逆(计算机能够通过穷举法计算出私钥,理论场景中就算是超级计算机也要计算几万亿年之久)的共享密钥。因为小红是小明的女朋友,小今天天在小红背后给她讲RSA加密算法的原理,所以小红也晓得怎么得出本人的公钥和私钥。接下来咱们一起跟着小红的脚步,看看RSA加密的公钥和私钥是怎么计算出来的。 第一步:小红抉择了两个很大的质数p和q,这里为了便于计算,抉择2和11; 第二步:计算p和q的乘积n=p*q=2*11=22; 第三部:计算n的欧拉函数(n)=(p-1)*(q-1)=10; 第四步:抉择一个小于(n)且与(n)互质的整数e,{1,3,7,9},这里抉择e=7; 第五步:计算e对于(n)的模反元素(ed mode (n) = 1)d,d=3 到这里小红就失去了他本人的公钥(n,e)和私钥(n,d)。其中n就是钟大小,e和d就是幂函数的幂。接下来就通过计算出来的公钥和私钥进行数据的加解密。 还是小明、小红和小偷三个人,小红对大家说,我的公钥是(22,7),小明晓得了小红的公钥后,想讲本人的信息“14”通知小红,于是就用小红公开的公钥进行加密。 具体步骤如下: 第一步:小明依据要加密的信息14进行计算,失去加密后的信息20,而后将20通知小红和小偷; 第二步:小红有本人的私钥,将加密信息20进行解密,,失去了小明想传递给小红的信息。而小偷呢,晓得22,7,20,然而不晓得小红的密钥(22,3),无奈解密出正确的信息。 RSA加密算法在数字签名中也施展着微小的作用,假如小偷能够混充小红,说小红的公钥是(22,9),而小明不晓得是小偷假扮的,依照小偷的公钥加密后,后果被小偷解密了。数字签名的作用就是避免信息被篡改,小红说她的公钥是(22,7)的同时,应用私钥给这段信息(通常应用MD5值计算签名)加上签名,小明失去公钥(22,7)和签名13,小明拿到签名后利用公钥计算出信息是否被篡改。 五、加密的理论作用本文应用的很小的数来进行加密原理的解说,为了是读者能够不便进行计算。在理论应用中(n,e)都是特地大的数,其中n的长度都在768以上,1024长度被认为是根本平安的。 (1230186684530117755130494958384962720772853569595334792197322452151726400507263657518745202199786469389956474942774063845925192557326303453731548268507917026122142913461670429214311602221240479274737794080665351419597459856902143413= 33478071698956898786044169848212690817704794983713768568912431388982883793878002287614711652531743087737814467999489 × 36746043666799590428244633799627952632279158164343087642676032283815739666511279233373417143396810270092798736308917)六、总结最初总结一下,首先咱们通过一个欺骗短信的例子,引出了加密的原理就是信息+密钥,密钥就是对信息进行加解密的一串数字。而后通过颜料混合花样形象的演示了如何建设共享密钥。在应用乘法建设共享密钥的过程中,学习了钟算和幂运算,接着咱们理解了RSA加密算法的过程,通过两个质数生成公钥和私钥,最初,咱们依据公钥进行信息加密,再通过私钥实现信息解密。 ...

April 21, 2021 · 1 min · jiezi

关于安全:云效飞流Flow项目版本管理的最佳实践

简介:飞流Flow的最佳实际(应用阿里云云效)为了更好地应用飞流Flow,接下来将联合阿里云云效来解说飞流Flow的最佳实际目录 一、分支规约 二、版本号规约 2.1 主版本号(首位版本号) 2.2 次版本号(迭代号) 2.3 小版本号 三、云效飞流Flow的最佳实际(应用阿里云云效) 3.1 总体流程图 3.2 弓行同学与阿吉同学的最佳实际 3.2.1 性能分支(feature分支)的创立 3.2.2 流水线的创立 3.2.3 日常环境公布 3.2.4 预发环境公布 3.2.5 危险分支下线 3.2.6 生产环境公布 3.2.7 生产环境公布:写基线 四、FAQ 一、分支规约 二、版本号规约 在最佳实际中,咱们罕用的版本号为三位数版本号,其形成如下: V主版本号.次版本号.小版本号 eg:V1.0.0、V1.5.0、V1.13.1等 2.1 主版本号(首位版本号) 主版本号,也叫首位版本号、顶位版本号,即V后第一个版本号。主版本号个别代表我的项目的期数与产品方向。除非我的项目合同扭转、大规模api不兼容、产品方向扭转、底层架构降级等状况外不轻易更新。 另外,我的项目未正式公布、未正式孵化、未正式上线,则首位版本号为0,一期公布,则为V1,二期公布则为V2。 2.2 次版本号(迭代号) 次版本号,也叫迭代号,个别代表某个迭代公布的性能汇合(一个迭代发布会蕴含若干个性能更新)。 如V1.1.0:第一期我的项目第一迭代公布版本、V1.2.0:第一期第二迭代公布版本、第一期第十八个迭代公布版本:V1.18.0。 2.3 小版本号 小版本号,是为了某些小性能的长期上线,热修复的长期上线设置的小迭代,通常不蕴含大的功能性更新,经常是围绕某个性能点进行降级或者某个bug的修复进行上线。 三、飞流Flow的最佳实际(应用阿里云云效) 为了更好地应用飞流Flow,接下来将联合阿里云云效来解说飞流Flow的最佳实际 3.1 总体流程图 下图为最乐观模式下的飞流Flow模型图,能够见到,release分支是多个feature的集成版本。同时,release又能够通过流水线进行组织,应用在不同的我的项目环境构建下。 3.2 弓行同学与阿吉同学的最佳实际 这里要邀请出两位同学进行接下来的解说,他们是【弓行】同学与【阿吉】同学。 3.2.1 性能分支(feature分支)的创立 项目组布局了迭代V1.1.0,迭代backlogs包含 某个bug的修复【弓行同学】 function1 性能的开发【阿吉同学】 function2 性能的开发【弓行同学】 迭代开始时,弓行同学与阿吉同学将会基于master创立三条性能分支,避免三条分支的性能代码相互耦合。 实现分支创立后,版本库中的分支状况便如下图所示,各负责开发的同学能够在各分支上进行开发而不相互影响。 3.2.2 流水线的创立 ...

April 20, 2021 · 1 min · jiezi

关于安全:现代信息安全之-多表代换密码

多表代换明码ABCDEFGHIJKLM0123456789101112NOPQRSTUVWXYZ13141516171819202122232425首先将明文M分为由n个字母形成的分组M1,M2,...,Mj,每个分组Mi的加密为: Ci ≡ AMi + B(mod N) 其中(A, B)是秘钥,A是n*n的可逆矩阵。 每个密文Ci的解密为: Mi ≡ A-1(Ci - B)(mod N) 例子设n=3,N=26,明文为“YOUR PIN NO IS FOUR ONE TWO SIX” $$A=\begin{Bmatrix} 11 & 2 & 19 \\ 5 & 23 & 25 \\ 20 & 7 & 17 \end{Bmatrix}$$ $$B=\begin{Bmatrix} 0 \\ 0 \\ 0 \end{Bmatrix}$$ 加密将明文按每三个字母从新分组:“YOU RPI NNO ISF OUR ONE TWO SIX”。 代换为数字示意: M1 = 24 14 20M2 = 17 15 8M3 = 13 13 14M4 = 8 18 5M5 = 14 20 17M6 = 14 13 4M7 = 19 22 14M8 = 18 8 23 ...

April 18, 2021 · 2 min · jiezi

关于安全:使用JWT封号踢人强制用户退出到底怎么实现

JSON Web Token(JWT)作为目前最风行的跨域认证计划大家都不生疏了吧。很多零碎都在应用JWT代替session认证,这两者有啥区别呢?简言之,JWT是将认证后的数据保留在客户端,session是保留在服务器端。应用JWT代替session认证后,服务器不必保护session,分布式环境下不须要单点存储session。因为JWT的自解释性,只有验证JWT是否非法就OK啦。大大晋升了零碎的可扩展性,特地适宜当下微服务大行其道的大环境。退出一个然而。。。老板想要实现踢人,封号怎么办呢?第一个想法就是颁布jwt时,把jwt存到一个核心redis中。每次拜访验证jwt时看看redis里是否有这个token,没有这个token就认证失败。踢人封号只用把用户关联的jwt删除掉就ok了!就能够欢快的回家抱媳妇了(道歉可能你没有)。且慢,这么玩齐全违反了jwt的初衷,服务器又变了有状态了,何苦脱裤子放屁呢,间接用session不就完了?讲真的jwt的设计也不太适宜这样的场景。 那如果咱们非要实现强制用户登出要怎么办呢?能够采纳相似oauth2.0协定中的做法,认证后颁布2个token,access token和refresh token。 access token拜访令牌为一个JWT,设置一个较短的过期工夫,比方1小时。拜访令牌每次调用后端服务都须要携带,往返网络的频率十分高,裸露的可能性就越大,设置较短的过期工夫也能够升高平安危险。refresh token刷新令牌,能够不为JWT,设置一个较长的过期工夫,比方1个月。刷新令牌次要用来换取新的access token。因为其仅在拜访令牌要生效或曾经生效时才会被传递给服务端,较长的过期工夫并不会有太大的平安危险。颁发token的时候,仅将刷新令牌保留在redis并设置过期工夫。当应用刷新令牌换取新的拜访令牌时,须要判断redis里是否存在该刷新令牌,如果不存在,则刷新失败,用户就须要从新登录。客户端要长时间保护登录态,就须要当拜访令牌生效后,主动应用刷新令牌获取新的拜访令牌。或者在拜访令牌生效之前,提前刷新令牌。当初咱们想要踢人,只须要将用户相干的刷新令牌从redis里删除。以后的拜访令牌生效后,天然也没有方法再刷新令牌了。从而达到强制用户登出的目标。这么设计有个缺点就是强制用户登出不是及时的。须要有一个期待拜访令牌过期的工夫。如果心愿及时性高点,能够将拜访令牌的过期工夫设置短一点,但刷新token的频率就会升高。这个须要依据本人的业务进行衡量。每次调用服务api时依然是原汁原味的jwt无状态认证,无需拜访任何核心存储。仅在刷新拜访令牌的时候须要拜访核心存储。也算是一种折中的计划。 欢送关注作者的github我的项目,学习微服务:一个反对多店铺的电商零碎,基于Spring Boot的微服务构架https://github.com/ikeyit/ike...一个基于React的电商治理后盾https://github.com/ikeyit/ike...

April 17, 2021 · 1 min · jiezi

关于devops:CODING-首届金融科技技术交流闭门会议顺利召开

近期,由腾讯云旗下一站式 DevOps 开发平台 CODING 和中国 DevOps 社区主办的深圳第十一届 Meetup 圆满结束,会上三位专家分享了本人独到的行业见解,腾讯云 CODING DevOps 产品经理陈信州,在会上公布了题为《WePack 产品团队测试实际摸索》的精彩演讲。与往届不同,本次流动 CODING 新增了金融科技技术交换闭门会议环节,邀请了腾讯、安全银行、深圳农商行、OPPO 金融、北方基金、大疆等数十位行业大咖光临腾讯滨海大厦共享 DevOps 盛宴。 ▲ 参观腾讯滨海大厦展厅合影 ▲ 闭门会议现场 以下为闭门会议亮点内容分享—— DevSecOps,DevOps 模式下软件开发的平安之锁互联网时代,网络信息安全是永恒的话题,本次闭门会议便以“平安”开篇展开讨论。 在众行业中,金融行业对于平安有着更高的诉求。光临闭门会议的金融企业嘉宾率先向大家介绍了所属金融企业在平安畛域的摸索。随着 DevOps 在金融企业的落地,其疾速交付能力与传统平安模式造成显明抵触,使得安全性成为疾速交付的瓶颈。这促使该金融企业不得不加紧由 DevOps 向 DevSecOps 转型的步调。通过将利用平安思维模式逐渐左移到开发团队,从而进一步晋升交付效率,增强危险管制,缩小返工老本。 在 DevSecOps 实际上,金融企业的特点之一是购买市场上业余平安工具。通过将 Fortify、Checkmarx 等平安扫描工具接入到研发流程中,让平安充沛渗透到 DevOps 流程的每个阶段和检查点。其次是文化陶冶,通过增强 DevSecOps 培训和考核,构建配套的评估机制。从而打造一支真正成熟的 DevSecOps 团队。 如何来掂量团队的 DevSecOps 的成熟度呢?参会的一家金融企业次要做了以下工作: 通过制订培训工夫和修复安全漏洞的能力等掂量指标,将 DevSecOps 成熟度分为数个等级,构建了欠缺的 DevSecOps 成熟度度量模型;团队中所有的开发人员必须达到一级程度;团队中的 Security Champion,至多达到三级程度到五级程度;并且保障工具扫描进去的高危破绽在公布进入产品前被及时解决;一旦评审通过的 DevSecOps 团队,会依据成熟度级别简化相应的平安扫描和审核流程,使得开发团队能够更快更平安地交付产品 。 其余金融企业的嘉宾也示意会在开发流程中嵌入平安方面的能力,并实施严格的流程管控,装备业余的利用平安团队对破绽进行治理。 测试 or 开发,测试用例到底应该由谁来写?谈到测试时,大家最为关注的就是测试用例的归属,到底谁来写?是测试人员、开发人员还是产品经理?在理论的探讨中发现,三者因为服务的产品、我的项目不同,都有可能承当撰写测试用例的角色。金融企业业务复杂性高,往往会碰到开发或测试同学对业务了解不够深刻的状况,测试用例往往由 BA 或者业务人员撰写。而 DevOps 举荐是由开发人员进行测试用例撰写。开发人员作为需要的实现者,通过撰写测试用例的形式,论述本人对于性能需要的了解,再由产品和测试同学进行评审,更好地在测试用例中呈现出性能需要与开发逻辑。当然,在场的很多嘉宾反映,以后大多数企业的现状是由测试人员来写测试用例的,因为作为该环节的责任人和专业人士,能更清晰地展现测试脉络,更迅速地抓住测试重点。 另外,对于单元测试的覆盖率,在场嘉宾也是畅所欲言。总的来说,相比互联网行业,金融行业业务变动迟缓,对业务稳定性要求更高、因而对单元测试覆盖率要求也更高。而互联网行业业务迭代快,对单元测试保护老本高,因而相比金融行业,互联网行业对单元测试覆盖率要求并不高。然而,测试最终目标是保障产品质量,根据理论业务状况判断并优化测试伎俩才是正确的抉择。 在 DevOps 过程中,如何正当应用度量?“测试缺点等级怎么清晰定义,没定义的清晰的话又会扯皮。” “提测之后开发本人又发现了问题,很难确认正向和负向。” ...

April 16, 2021 · 1 min · jiezi

关于运维:阿里云专家免费亲授大数据工程师必学速速报名

简介:都说大数据工程师吃香,但很多人都倒在了进阶的要害一步。 怎么从单纯的“倒腾数据”到真正了解架构、高效治理?如何从小场景的集体技术摸索到大型业务场景的了解和实战?冲破这一步,找到学习的突破口、适合的领路人和实际场景最为重要。都说大数据工程师吃香,但很多人都倒在了进阶的要害一步。 怎么从单纯的“倒腾数据”到真正了解架构、高效治理?如何从小场景的集体技术摸索到大型业务场景的了解和实战?冲破这一步,找到学习的突破口、适合的领路人和实际场景最为重要。 为此,阿里云实时计算 Flink 新中级训练营将在4月26日开最初一期!本期内容将会连续“实时计算 Flink 新中级训练营”课程内容,全副是阿里云专家授课,聚焦实时计算的几项核心技术点进行冲破,实现打卡还有 Flink 独家定制Polo、证书等礼品等你来! 6000人报名的实时计算 Flink 训练营什么样?百万吞吐秒级提早、一站开发智能调优、稳固平安、品牌认证、兼容开源......阿里云实时计算 Flink 版是阿里云基于 Apache Flink 构建的企业级、高性能实时大数据处理系统、进步作业开发运维效率。这也是一个经验了双十一大规模场景低压检测的实时处理零碎,它不仅齐全兼容开源 Flink API,更可提供丰盛的企业级增值性能。 截止目前,阿里云推出了6期 Flink 相干训练营,入营学习完全免费、阿里技术专家坐阵,循序渐进学练联合,旨在让开发者们把握更好的大数据处理开发能力,更有入营专享的超低独享优惠,和每期都不一样的惊喜结营好礼!从开源 Flink 训练营到实时计算 Flink 训练营,历经6期,场均达千人报名,期期爆满,座无虚席! 4月26日开营的“实时计算 Flink 新中级训练营”针对心愿把握中高阶开发技能的技术人,3天带你get高阶开发技能,更有 Flink 独家定制Polo、结营证书等你来拿哦! 报名本期中级训练营,我能失去什么?1.体系降级,面试加分 学习了实时计算 Flink 版的基础理论常识,上手依然艰难怎么办?《实时计算 Flink 新中级训练营》通过降级变革,汇聚了更多更精准日常开发中可能会遇到的各种典型问题,符合市场,面向业务,定制版的中阶课程,让你不再“只懂皮毛”! 2.即开即用,学练联合 本训练营可作为零碎版的学习我的项目,课程设计不仅仅思考到大家日常所需的基础理论常识,产品专家们还会全方位讲授如何让大家听完课程后可能理论使用到工作场景,追随讲师们手把手实操演示,帮忙大家真正解决实操难点。 3.独家证书+惊喜好礼 动动手指,实现4天打卡工作,Flink 独家定制Polo带回家!还能够间接支付由开发者社区与计算平台事业部联结独家颁发的结业证书(电子版),助你技能加点,我有证我BB! 4.收费材料,先存后看 为了确保大家合理安排学习工夫,保证质量的实现学习内容,不便温习回顾,本期训练营中的课件、视频可永恒会看。除此之外,大家还能收费取得学习材料大礼包,包含常识图谱、电子书、实战精选案例等。 5.退出钉群,千人同学 钉钉扫描下方二维码进入钉群学习吧!千人入营,同步学习,学习周期可继续在群内沉闷,快来链接与本人同频的小伙伴吧! 我能具体学会哪些技术?重量级专家授课,聚焦如何搭建实时数仓、工作调优、高效治理等,帮你速度实现技术升级! 第一节课程:《如何应用实时计算提交和治理 Flink 工作》 课程简要: • VVP 的基本概念 • DataStream 工作的提交治理 • SQL 工作的提交治理,包含 Table/UDF 注册、SQL 编辑、Preview 等 • Metrics/Log 查看 主讲嘉宾:叶佳纯(自知) - 阿里巴巴技术专家、周凯波(宝牛) - 阿里巴巴技术专家 ...

April 15, 2021 · 1 min · jiezi

关于运维:货运物流移动端解决方案为货运物流行业打造高性能高粘性的双端触点

简介:在业务碎片化的情景下,怎么通过平台做整合,建设你的专业化运维池? 从 2020 年倒退网络货运以来,在互联网和大数据的合作下,传统的物流企业逐步转向信息化模式,在政策的一直推动下,网络货运平台也在逐步走向智慧化,改善了物流业的零散、层级较多的现状,助力物流企业实现规模化、集约化的倒退。 智慧物流,是将来货运物流物流的发展趋势,作为我国国民经济重要组成部分,货运物流行业也将走向数字化时代。 在刚刚闭幕的货运物流数字化降级交流会里,来自上海大学古代物流钻研核心主任的储雪俭传授示意: “明天探讨智慧物流,相对不是欲速不达的,销售渠道下沉造成物流日益碎片化。面对以后业务碎片化,咱们须要思考的是在业务碎片化的情景下,怎么通过平台做整合,建设你的专业化运维池?” 而在整个货运物流行业的经营模型里,挪动端目前对用户来说是不可或缺的力量。如何针对货运物流行业,打造一个性能晦涩、用户沉闷、终端平安的挪动利用呢? 来自蚂蚁团体 mPaaS 的解决方案架构师蒋平,给出了源自支付宝在挪动开发畛域的十年教训积淀。 货运物流行业挪动端现状倒退“双端”是网络货运平台增长的源能源 蒋平认为,在从互联网的思维模式来看,在整个货运物流平台里次要偏差两个端:货主端与车主端,他们造成了一个双轮驱动模型,会独特驱动物流平台的倒退。 双轮驱动的过程中,所以有更多的车主,就象征能够笼罩更多的地区、维度,提供更多车的型号和服务,有更多的货主,就会对货运物流平台产生更多的诉求。 在整个经营模型里,挪动端目前对用户来说是不可或缺的力量。 站在货主和车主的角度来看,他们对APP的诉求十分强烈——对车主来说,须要不停抢单做生意,在物流 App 上取得营收。对货主来说,须要想方法取得更多的存单,而且因为监管的要求,须要做很多相似人脸识别、指纹识别的人机合作要求。 这些要求对 App 的运算能力和网络要求很高,如果没有好的架构体系,很难承载 App 对于当初用户的冀望,并达到他们的业务诉求。 用户对性能的要求:在支付宝、淘宝等各类超级 App 的心智影响下,当初所有用户对手机上的 App 性能都有极高的应用要求,性能不佳的 App,在用户手里很难活到第二次应用。 业务对更新的要求:从阿里的经营体系来看,咱们的 App 市场曾经倒退到了 4.0 甚至更高阶的维度,除了须要从根本维度满足用户的直观体验和信赖要求,让用户顺畅地应用我的 App 之外,互联网时代下的业务场景疾速更迭,也在要求技术研发团队须要随时更新咱们的业务诉求。 平台对经营的要求:对平台型的企业或 App,经营是一个重要需要。App 公布进来当前,好的经营伎俩,会晋升 App 的活跃度,并达到很高的应用效率。 mPaaS 的价值体现为货运物流行业打造高性能、高粘性的“双端”触点 基于各大超级 App 对用户应用体感的造就,每个用户的应用习惯以及对 App 的期望值当初曾经具备肯定的高度了。性能问题也成为了每一个利用须要面临解决的首要难题。在 mPaaS 的既往案例中,无数次地帮忙客户实现一秒启动 App。 其二,为了满足应业务场景疾速更迭而产生的业务实时更新的需要,mPaaS 将支付宝客户端的次要技术方向齐全对外输入:通过动静公布能力,齐全能够实现一个 App 的动静公布/灰度/回滚。 除了 App 的开发与搭建,放弃其生命力的重要因素,便是其经营能力,这也是 mPaaS 具备的外围价值之一:经营流动触达。比方春节期间,App 须要做相干内容投放,投放给谁?在什么工夫投放?投放什么内容?这一系列的问题在 mPaaS 平台里有残缺的技术架构体系进行反对,能够大大不便平台型 App 车主端或货主端业务往来的过程,减少粘稠度。 ...

April 14, 2021 · 1 min · jiezi

关于安全:黑客用-GitHub-服务器自动化挖矿一次可运行上百矿机

“如果你提供收费的计算资源,就要做好会被攻打和滥用的觉醒。挖矿有利可图的状况下这是不可避免的。”这是社交媒体上的一个舆论,议论的是前不久,黑客白嫖 GitHub 服务器进行挖矿的事件。早在去年 11 月,就有媒体曝出此类事件,惋惜到明天仿佛依然未被禁止。 利用 GitHub Actions 加密挖矿,一次可运行上百矿机 去年 11 月,荷兰平安工程师贾斯汀·珀多克(Justin Perdok)在一通电话中通知媒体,至多有一个黑客正在针对可能启用 GitHub Actions 的 GitHub 存储库。攻打的过程很简略,只需提交 Pull Request(PR),即便我的项目管理者没有批准,歹意挖矿代码仍然可能执行。原理也很简略,利用 GitHub Action 的主动执行工作流性能,轻松将挖矿程序运行在 GitHub 的服务器上。 Github 大家都十分相熟,是一家应用 Git 进行软件开发和版本控制的互联网托管提供商,于 2018 年被微软收买,目前该平台上的开发者数量已近 9000 万。Github Actions 是微软此前推出的 CI/CD 解决方案,次要能够帮忙开发者和企业实现软件工作流程的自动化工作。该服务亦可无限的进行收费应用,这导致有非法矿工和黑客盯上微软试图利用微软提供的基础架构进行挖矿操作。 这理论还可能关涉 Github Acitons 存在的某处缺点,即提交含有恶意代码的合并申请无需原始作者批准即可合并。剖析显示目前至多 95 个存储库受到非法矿工和黑客的威逼,这些存储库被合并恶意代码利用 Github 服务器挖矿。 目前尚不得悉黑客挖的是哪种币,但从其应用的挖矿软件 SRBMiner 来看,有可能是以太坊等实用显卡挖矿的 PoW 加密货币。据报道,黑客只有攻打一次就能够运行 100 多台矿机,这给 GitHub 的服务器带来了微小的压力。 仿佛“无解”,但蕴藏安全隐患据报道,受益的不止 GitHub,还有 Docker Hub、Travis CI 以及 Circle CI 等提供相似服务的继续集成平台。 正如咱们结尾所说,“如果你提供收费的计算资源,就要做好会被攻打和滥用的觉醒。”GitHub 显然曾经有了这个觉醒,这也并非黑客首次利用 GitHub 提供的收费服务发动防御,但对于“被白嫖”,GitHub 仿佛仍未找到一种很好的解决方案。 ...

April 12, 2021 · 1 min · jiezi

关于安全:反馈移位寄存器-和-线性反馈移位寄存器

1. 反馈移位寄存器(Feedback shift register,FSR)GF(2)上一个n级反馈移位寄存器由n个二元存储器与一个反馈函数组成,如下图所示。 反馈移位寄存器的例子如图是一个3级反馈移位寄存器,其初始状态为,输入可由右表给出。 a3=a1&a2⊕a3a2a1输入10111&0⊕1=11000&1⊕1=11111&1⊕1=01111&1⊕0=10111&0⊕1=11002. 线性反馈移位寄存器LFSR(linear feedback shift register) LFSR的反馈函数 LFSR的实例 反馈函数为:将a1的输入和a4的输入进行异或运算,值作为a5的填充。 a5=a1⊕a4a4a3a2a1输入1100111⊕1=0110000⊕1=1011000⊕0=0101111⊕1=0010111⊕0=1001000⊕0=010011秘钥流的周期 LFSR的性质

April 10, 2021 · 1 min · jiezi

关于安全:实践之后我们来谈谈如何做好威胁建模

1 写在后面1.1 什么是威逼建模孙子兵法:知彼知己,百战不殆;不知彼知己,一胜一负;不知彼不知己,每战必殆。 微软:威逼建模实际使开发团队能够在打算的运行环境的背景下,以结构化的形式思考、记录并探讨零碎设计的平安影响。威逼建模是帮忙爱护零碎、应用程序、网络和服务的无效办法。这是一种工程技术,用于辨认潜在的威逼和倡议,以帮忙升高危险并在开发生命周期的晚期实现平安指标。 OWASP: identifying, communicating, and understanding threats and mitigations within the context of protecting something of value. 计算机创造后不久,人们就发现须要为这些信息系统解决威逼。早在1994年,NSA和DARPA就提出了攻打树、威逼树等概念。1999年微软外部发表了题为《The threats to our products》的文章,为定义Windows全系产品面临的平安威逼正式提出了STRIDE助记符。随着2002年比尔·盖茨驰名的《可信赖计算备忘录》宣言公布,微软承诺改善软件产品的安全性,随即正式在SDL(平安开发生命周期)中采纳了威逼建模。 威逼建模数十年来一直获得大家的认可,在业内也有STRIDE、Trike、OCTAVE等多种方法论实际。平安行业的从业人员广泛意识到,在研发团队的平安例行流动中,对于一些领有重要数据资产、安全事件影响力大的零碎除了要进行惯例的浸透测试、黑白盒代码扫描之外,更应该系统地定期发展威逼建模流动并对业务赋能。 对美团平安团队来说,引入当先的平安技术设计能力,构建全方位、多维度智能进攻体系,是咱们不懈谋求的指标。美团有泛滥基础设施,外围业务零碎也须要以成熟的方法论进行威逼评审。本文将着重分享威逼建模是如何帮忙美团平安团队评估、发现大量平安设计的危险,以及在互联网企业,应该如何大范畴地施行威逼建模并残缺地进行落地。 1.2 威逼建模的价值辨认体系化的构造缺点:大多数平安问题是设计缺点问题,而不是安全性谬误。威逼建模能帮忙辨认这些设计缺点,从而缩小危险敞口,领导平安测试,并升高因安全漏洞而造成的品牌侵害或财务损失等可能性。节约组织平安老本:通过对威逼进行建模,并在设计阶段建设安全性需要,升高平安设计缺点导致的修复老本。在需要治理和威逼分析阶段,与业务开发团队高效互动,开释平安团队的业余能力,专一于高性价比的平安建设。落地DevSecOps文化:通过威逼建模跑通开发和平安工具的流程集成,把风险管理嵌入产品的残缺生命周期,从而推动造成残缺的DevSecOps工具链。满足合规要求:威逼建模是国内平安行业通用的方法论,通过向管理层和监管机构提供产品的风险管理流动的残缺记录,帮忙团队恪守寰球法律法规要求,包含PCI DSS、GDPR、HIPAA、CSA STAR等。1.3 遇到的挑战遍及威逼建模流程和技术能够无效晋升企业的平安建设程度,作为互联网企业,要施行麻利的软件开发流程,威逼建模流动也应尽量便捷,但理论工作起来并不简略,落地过程中也会遇到不少挑战。按优先级排序,挑战包含以下几个方面: 不足优良的自动化建模工具;平安团队没有工夫和精力对每个利用都施行建模;不足对威逼建模足够的理解,知识库波及不同畛域、专家教训难以共享;建模流动、输入后果没有融入业务的麻利研发流程;繁难的建模流动基于问卷或者表格记录剖析,并没有理论的更新、积攒和进一步剖析。2 筹备威逼建模2.1 能力要求在进行简单的威逼剖析时,并不是SDL一个团队就能够独立实现的,还须要数据安全、IT平安、风控合规等平安团队合作,评审流动也波及到内容、网络、隐衷爱护、法务、运维各个领域。各参与者最好提前建设对公司基础设施、平安分工的认知,绝对分明各个产品的作用、特点、接入方法、实用场景。倡议施行威逼建模的参加人员都理解无关产品的设计、接入文档资料,看不懂不必放心,多浏览几遍,逐渐相熟即可。 对于施行威逼建模的负责人有四个层面的根本技术能力要求,包含: 懂罕用的平安技术、平安机制、攻打办法、危害、加密算法;懂业务、流程、外部技术服务、产品与产品之间、组件和组件之间的关系;组织人员策略资源来推动我的项目施行;将平安布局、平安流程、治理模型组合来合乎纵深进攻准则。威逼评审,重点是评和审,对参加威逼评审的人员软实力要求,包含: 肯定水平理解业务;合格的文档编写能力;无意识地优化企业体系结构中的研发平安流程;有志愿流传平安能力,以反对加强平安团队话语能力。2.2 评估流程筹备 施行威逼评估时,首先要获得业务团队负责人的认同:不论有没有事件驱动,平安团队的参加都将为业务零碎提供产品竞争力。哪怕现阶段平安并不能齐全赋能给业务,但长期来看,威逼建模应该在业务技术迭代的每个环节都去自助施行。随着技术的积攒,业务团队独立实现威逼技术平安剖析是有可能的。 团队 参加团队以“Two-Pizza Teams”团队为最佳,建设工作团队后,按需引入相干人,当前这个工作组聚焦为业务提供平安能力。放弃沟通是构建产品安全的窍门,施行威逼建模的成果深受团队如何组织和交换的影响。 周期 施行这项流动的整个周期除了解决危险的阶段稍长,从问卷调查到给出威逼评估报告,倡议持续时间为1到2周;如工夫太短,团队成员之间不能建设足够的信赖,不能充沛给出平安评估的后果;如工夫太长,会遗记之前探讨的后果,消耗单方团队精力。威逼评估迭代的周期放弃灵便,在人力短缺的状况下以重大变更、功能模块迭代的数月、半年一轮为佳,人力不足的时候应尽量把评审过程由人力到工具化、自动化、服务化。 流程 平安架构评审的外围是威逼建模,具体参考能够参考 《平安架构评审实战》 一文。当然,传统的建模流程太重了,尽管尊重业务的设计过程很简单,威逼剖析也没有理由取巧走捷径,是改善平安必须付出的老本,但应尽量在复用现有流程的同时针对麻利开发做出适当精简——通过问卷简化外围平安因素的剖析、通过组织流程优化沟通形式、通过融入研发流程疾速闭环。总结出比拟适宜互联网企业的评估工作流程如下: 首先是立项,增量尽量都笼罩。存量依据攻防优先级抉择适合的重要零碎开始评估,倡议由业务方和平安统一的抉择指标范畴,个别倡议从基础设施零碎自下而上,从IaaS/PaaS层开始比拟正当。因为基础设施的平安情况改良了,整个业务线都能够笼罩接入受害。评审不仅仅须要平安方面投入资源,也须要业务团队有人力参加问卷填写、我的项目介绍、多轮访谈、核查威逼、解决危险,需单方独特意识到:达成平安指标须要业务人员独特参加进来,平安和业务都很业余。单方建设的关系不应该是例行平安审计那样的“你问我答”,气氛能够尽量轻松。对齐发现的平安危险并不是哪个团队做得不好,而是认清事实,及时止损,发现危险、解决技术债权,交付和设计平安的代码也是开发的长期挑战,单方应着眼于改善产品将来的平安情况。第二步问卷调查或文档填写的目标是收集必要的业务信息。文档/问卷应精心设计,不要采纳过于业余的术语,目标是排除业务方常识盲点,建设对产品初步的平安现状认知。不分明的问卷选项能够不填,填就尽量保障精确。建设工作群后收回问卷调查要求,问卷是启动威逼建模我的项目的终点,业务方认真填写问卷是我的项目良好发展的前提。同业务的访谈要重复进行屡次,平安团队的格调要么过于强硬,要么容易脸皮薄,感觉和业务打交道要对方屡次配合,不好意思打搅业务,这是错的,须要纠正。 访谈由平安评审人主持,工夫尽量管制在40分钟以内,人数最小是4人左右。第一次访谈能够从问卷的内容开始,就每一个问卷选项进行交换,确保业务正确理解问卷中提到的问题,确保问卷的填写后果是业务想要表白的意思,确保业务不分明的、有一致的能够通过探讨给出统一论断。问卷访谈时不必过于探讨技术细节、零碎有余和理论修复计划,次要是理解业务的根本平安状况。访谈的第二个议题是邀请业务方对软件设计文档、架构图进行解说。最初的总结5分钟左右,会后遗留三项To Do:①填写利用信息收集表,包含技术文档地址、代码仓库地址、域名、CI\CD公布项、技术栈、测试环境账户;②下一次沟通工夫;③平安对接专人。第二次访谈之前,平安人员应多浏览业务方的文档、代码,进行适度的平安测试。这次访谈心愿有业务方架构师、代码开发负责人参加,对于平安后期整顿的所不了解的调用关系问题、现有的安全控制措施问题、流程细节、组件、认证形式等其余技术细节进行探讨,分歧点和探讨后果通过文档记录不便查阅。日常发现的疑难能够屡次随时沟通,评审是一项“开卷考试”,很多黑白盒发现的平安危险无需花大精力执行平安测试,通过向业务方征询就能失去确认。访谈的对象通过产品、架构设计、开发人员类型的不同视角能够发现业务本身的讹误,业务如有不分明的中央或历史遗留问题,不必在这里卡壳,先弄懂能弄清楚的来逐渐拼接“拼图”。最简略的威逼建模,就是对于威逼的“头脑风暴”而已。访谈的准则要把本人作为业务的CISO,从产品安全负责人的角度思考:这个产品卖出去,能够提供什么平安能力?呈现安全事故事先该怎么做?发展架构评审中威逼建模的几个子过程,包含定义资产、辨认威逼、评估危险、给出缓解措施等,将在上面的 “施行威逼建模”章节具体开展说。威逼建模的阶段性成绩交付物会是不同模式,如平安白皮书、平安设计领导、威逼评估报告。业务团队能够从平安给出的长期修复计划和平安布局中获益。最终报告最好有平安团队外部双人复核机制,不同平安专家视角里对威逼的了解是不一样的,双人复核的另一个益处是能够缩小工作量,比方分工辨别A-治理端、B-Agent、A-代码、B-设计实现或者A-评审、B-复查分工。给出威逼建模后果前肯定要同业务团队再次沟通,确认哪些危险是平安视角被谬误了解的,哪些是曾经在业务视线中,哪些是业务团队认知不到位的。修复计划要辨别承受、缓解、转移、解决危险四种状况。沟通时对应报告每个威逼项要求业务方给出明确的排期。短期能够走平安工单,长期纳入业务的布局排期中,辨认出的共性平安问题作为平安专项制订孵化相应的平安工具和我的项目,补全平安建设的蓝图。发现危险总是容易,解决危险才是这项工作的价值。减缓发现的威逼可能须要业务从新设计,须要排除万难达成指标,不然评审过的零碎带来的虚伪安全感,还不如没有安全感。一个乏味的现状是解决威逼时对于平安团队是业务在修复破绽,对于业务是在满足平安团队提出平安需要。平安团队以往的视角总是急切心愿业务立刻去修复,其实大可不必焦急,无妨就依照平安需要去沟通。评审发现的问题不少是架构和设计方面的问题,比方认证、鉴权、数据安全方面,须要业务方进行大的设计变更,要建设对应的公共根底服务,要了解业务(反正危险曾经存在很长时间了,敬畏业务的修复老本,尊重技术客观规律),只有能解决问题即可。好的修复计划肯定是思考性价比的,而且可行性大于必要性,每个团队的资源都不是有限的,依照解决的优先级进行排序工作。对辨认出临时不能解决的问题能够做出对应的监控、审计伎俩,如果要染指培训此时也是好的阶段,优良的工程师总是想把握到不同的常识,培训不是被动地聚在一起讲PPT,而是互动交换,建设平安文化的积极性。在业务方确定处理危险结束后,平安团队复查修复是否实现,修复是否引入新的问题,业务方是否对计划了解到位。这个过程要和业务团队放弃互动,平安评审并不是单纯平安测试,而是领导平安能力的晋升,完结时能够给业务踊跃的反馈,放弃衰弱的平安文化。威逼评估的流动最好定期反复进行。平安防护为什么要与时俱进?第一,随着制度法规的欠缺,对业务的安全性提出更高的要求;第二,企业平安基础设施能力一直晋升,可为业务提供的公共安全能力一直加强;第三,业务零碎可能随着工夫的变动,平安现状有质的扭转,随着信息系统所承载的业务欠缺或稳固,业务有勾销合并的迭代。3 施行威逼建模绘制数据流图,辨认定义威逼、处理威逼、验证危险失去正确处理是威逼建模的四个罕用步骤。 3.1 数据流关系图都不精确,尽量有用而已为什么咱们须要建模?因为施行威逼建模时往往零碎并未残缺构建,模型会帮忙思考零碎的设计,以攻击者和防守方的形式思考对应的平安威逼。 通过初步问卷和访谈后,平安团队也收集到大量业务反馈的信息,产品和利用平安团队聚在一起探讨软件架构和潜在的平安问题。应用威逼建模工具、审查数据流图、威逼模型的指标都是为了达成更充沛探讨的目标而服务。倡议平安团队基于业务的流程图、调用关系同业务一起绘制DFD数据流图。个别常见的数据流模式有:①白板上作为会议随堂探讨的示意图,辅助进步沟通效率,个别用于阐明零碎层级架构;②业务现有文档中的时序图、UML图辅助了解简单问题和技术细节。 画零碎架构的指标是解决利益相关者的关注点,业务实现平安性能,平安实现平安设计。大家广泛反映施行威逼建模时都在画架构图时遇到最大的艰难,纠结于用什么工具。在绘制DFD图的工具抉择上: 微软的Microsoft Threat Modeling Tool工具的长处是,适宜初学者接触相熟理解内部实体、数据流、过程、存储、信赖边界的基本概念,毛病是除了Windows应用程序和Azure示例之外没有适合的威逼模板。OWASP Threat Dragon的长处是表达方式更丰盛,然而不能反对动静拖拽和主动导出威逼列表。大家没有必要将整顿数据流图视为艰难,实战中威逼建模能力只能通过多练习、重复挑战的办法相熟技能。回过头看晚期的一些对威逼模型的判断往往不精确的,没有关系,毕竟你已经“施行”过威逼建模了。绘制数据流的过程能够了解业务、确保安全视角没有脱漏。威逼建模齐全自动化根本是伪需要,没有足够多的业务产品须要继续进行建模评审、大量的原始信息来自于文档、架构师的教训、场景和常识极其简单。倡议尽快上手能够应用零碎自带的流程图,应用Visio和Draw.io最不便。 数据流的细粒度也难以抉择,审慎地抉择信息的层级和粒度并不是一件容易的事件,初学者刚开始的时候总是感觉每个性能都得拆分,每个性能都要求加密,灵便水平取舍于所应用的架构模型、架构师的教训和零碎的复杂度。依据笔者的教训,一种C4 Model联合微软威逼模型图例的办法容易获得合作方业务架构师的认同,以下给大家做个简略的示例。 ...

April 9, 2021 · 1 min · jiezi

关于安全:CODING-增强安全漏洞扫描能力助力团队安全左移

代码平安问题频现,防控火烧眉毛2010 年,大型社交网站 rockyou.com 被曝存在 SQL 注入破绽,黑客利用此破绽获取到 3200 万用户记录;2015 年,英国电话和宽带供应商 TalkTalk 被一名 15 岁的黑客利用 SQL 注入破绽进行攻打,泄露近 400 万客户资料;2018 年,万豪透露 3.39 亿客人个人信息,被处以 1840 万英镑(约合人民币 1.6 亿元)罚款。 依据 WhiteHat Security 的一项钻研表明,各个行业所应用的应用程序中,至多有 50% 蕴含一个或多个重大的可利用破绽,这些层出不穷的安全漏洞将会对企业的生产经营形成重大威逼。但传统的动态应用程序安全性测试(SAST)往往须要较长的扫描剖析工夫,稍大的我的项目常常须要破费好几小时来进行扫描,实时性较差,在版本迭代疾速的 Web 利用开发中重大拖慢整条流水线;同时误报率也较高,同一个破绽屡次报警的状况更是常有产生,开发团队须要消耗大量资源来确认并去除这些误报,导致团队无奈敏捷地融入到 DevSecOps 中。 DevSecOps 是 Gartner 在 2012 年就提出的概念。它的指标是将平安嵌入到 DevOps 的各个流程中去(需要,架构,开发,测试等),从而实现平安的左移,让所有人为平安负责,将安全性从被动转变为被动,最终让团队能够更疾速地开发出更平安的产品。 面对潜在的产品安全隐患与实现 DevSecOps 的层层挑战,如何推动“平安左移”、如何通过在 DevOps 的根底上安稳建设 DevSecOps 以保障开发平安,已成为企业研发团队须要重点关注的课题。 CODING x Xcheck,全面强化代码平安能力CODING 代码扫描自凋谢试用以来,已累计为 5000+ 团队提供扫描服务,通过剖析代码仓库中的源代码,帮忙开发团队及时发现其中潜藏的代码缺点、安全漏洞以及不标准代码;并且主动生成问题列表,附带批改倡议,便于团队成员疾速修复问题,晋升代码稳定性;还通过对代码进行度量,统计出构造异样简单的办法及反复代码供开发人员调整,进而晋升代码可维护性。 而在助力企业建设 DevSecOps 的路线上,CODING 代码扫描也在一直深耕,本次更新在原有代码可靠性、代码标准扫描能力的根底上,针对代码平安进行了全面强化,集成腾讯 CSIG 自研动态利用平安测试工具 - Xcheck,凋谢腾讯外部弱小的研发能力,帮忙研发团队精准检测业务代码,及时发现并躲避平安危险。 Xcheck 基于成熟的污点剖析技术,以及对形象语法树的精准剖解,通过奇妙优雅的形式实现污点的传递和跟踪。经测试,在 4 核 16G 的 Linux 云主机上,Xcheck 对我的项目的查看速度在 1w+ 行/s,局部我的项目能够达到 2w+ 行/s,同时通过对 Xcheck 投喂大量我的项目进行误报优化,目前 Xcheck 各语言的误报率已低于 10%,作为一个轻量化插件,Xcheck 在缩小对使用者的打搅下,可能更疾速精确地发现潜藏在代码中的平安危险,全方位帮忙研发团队平安生产代码,保障代码平安。 ...

April 2, 2021 · 1 min · jiezi

关于敏捷:无过错验尸报告-Blameless-Postmortem

前言在征询的经验中,发现有些软件我的项目经常出现线上事变,呈现了线上事变之后,第一工夫会去修复这个问题,第二工夫,则是问责。 这是一个很有意思的景象,通常在一些传统行业的团队或者政府背景的团队中,产生了线上事变,他们会启动问责程序,找到事变的负责人,并对他做出相应的处罚。 作为程序员,大家都晓得,代码的世界不出错是不可能的。问责在很大水平上会导致团队成员不敢写代码,不敢上线,不敢触碰线上环境的所有货色,最终导致团队研发效率降落。 那正确的做法应该是什么呢? 这里就给大家介绍一下Blameless Postmortem,中文意思就是无过错验尸报告。 什么是无过错验尸报告?无过错验尸报告是对线上事变的书面记录,用来形容: 这一线上事变的影响。加重或解决事变所采取的口头。事变的根本原因。为避免该事变再次发生而采取的后续口头。无过错验尸报告这个名字是英文直译过去的,如果感觉这个名字过于血腥,能够叫它无过错反思报告,或者无过错事变报告,或者无过错预先剖析报告。但更多的人都习惯亲切的叫它验尸报告。 之所以强调无过错,是因为这样的话人们就不会在写报告的时候因为胆怯被问责,从而相互抱怨或者暗藏本人的过错。 为什么须要无过错验尸报告?验尸报告的指标是理解所有导致事变的根本原因,记录事变的通过以供将来参考,并制订无效的预防措施以缩小事变再次发生的可能性。 为了使验尸报告可能无效地缩小反复事变,总结过程必须激励团队辨认根本原因并修复它们。 同时,关注这个过程并确保它是无效的则须要组织中各级的承诺。比方不能呈现对团队某个人的问责。 什么时候须要无过错尸检报告?线上事变都会有重大水平或者影响水平分级,因而,通常咱们只会对级别较高的事变写尸检报告。 咱们通常会在上面两个工夫点开始写尸检报告: 修复事变期间修复事变之后谁实现验尸报告?事变产生的服务所属的交付团队独特负责实现验尸报告。 但须要抉择一名owner来次要负责编写报告,并且这个owner须要保障上面两件事件的产生: 调配不同的人去实现各类的事变调研工作,最初把后果汇总给这个owner。保障报告中的改良action依照紧急水平安顿到前面相应的迭代中。如何跟踪报告中的action?这个问题其实是紧接下面的第二条。 报告中的action通常分为两类: 根本原因改良非根本原因改良对于报告中的每个action: 应该在对应的团队的backlog中建卡,并依据优先级安顿进相应的迭代。Owner要负责跟踪卡的实现状况。并记录到报告中。验尸报告会议验尸报告相干的会议有两种。 一种是在编写报告前,用于探讨事变的根因。一种是在报告实现后,用于向团队分享报告内容,学习成长。不论是哪种会议,都要记住,这个会议不是批斗会,不能在会议中指摘任何人。 这里的领导准则和retro相似。 实际过程中,我发现大部分团队只会开第一个会议,在编写报告的过程中,大家基本上都学习了,并理解了报告中的根因。所以大部分团队都不会开第二个会议。 然而不少公司会开另外一种会议,就是报告写完了之后给领导的汇报会议,此会议依据不同公司的政策不同,可有可无。 报告模版下图就是一个残缺的报告模版。 报告能够是表格的模式,也能够是文档的模式。有了模版,写报告的人就能够照着模版往里面填内容了。 对于如何辨认根因,Atlassian提供了一种叫5 Whys的分析方法,具体怎么做能够参考这里: https://www.atlassian.com/tea... 总结验尸报告是为了在软件开发过程中以及我的项目交付过程中能继续改良,有记录能存档,并且成为常识积淀的一部分。 所以它的模式能够依据团队的理论状况来。我见过有团队用表格来写的,像下面模版那样,也有间接写卡上的,也有间接散会画在白板上而后拍下来的。 对于无过错验尸报告,大家在实际过程中有任何疑难,欢送来找我探讨。 参考资料 https://www.atlassian.com/inc...https://www.atlassian.com/inc...

March 30, 2021 · 1 min · jiezi

关于安全:阿里云帮助江苏省财政厅力推统一公共支付平台

简介:为深入“放管服”改革,贯彻“互联网+政务服务”要求,江苏省财政厅放慢推动江苏省对立公共领取平台建设,实现全省政府非税支出、政务服务在线收缴和财政电子票据的集中统一解决,不仅节约了因“反复建设”产生的财政支出,更极大晋升了窗口服务效率和老百姓的幸福感。老百姓在缴纳教育费用、医疗费用、交通罚款等费用时都能够应用电子领取,并可开具财政电子票据。 为深入“放管服”改革,贯彻“互联网+政务服务”要求,江苏省财政厅放慢推动江苏省对立公共领取平台建设,实现全省政府非税支出、政务服务在线收缴和财政电子票据的集中统一解决,不仅节约了因“反复建设”产生的财政支出,更极大晋升了窗口服务效率和老百姓的幸福感。老百姓在缴纳教育费用、医疗费用、交通罚款等费用时都能够应用电子领取,并可开具财政电子票据。 电子领取和电子票据的利用极大中央便了缴款人。以水运船舶过闸缴费为例——过来船只达到船闸当前,“船老大”须要下船上岸,到服务窗口通过缴费卡或者现金缴费,再回到船上期待放闸。业务高峰期,一艘船要等2个小时能力过闸。现在,船舶缴费像停车场缴费一样,“船老大”通过APP或小程序即可实现。缴费胜利后,电子票据即刻获取,全程办理最快只需6秒钟。 据江苏省财政厅信息管理核心主任张骏介绍,对立公共领取平台次要蕴含电子领取和电子票据两大外围子系统,其中电子领取曾经接入19个省级部门专用免费零碎以及97个市县(区)财政非税征管零碎;解决在线领取业务达8000万笔/年。 电子票据曾经接入包含江苏省人民医院、南京医科大学第二从属医院等142家三级医院,45家区县全民衰弱信息平台;苏州大学、扬州大学、南京工业大学等60家省属高校;江苏省交警总队、省港航事业倒退核心、省公安居民身份证制证核心、省公安厅出入境、省财政厅等19个省级部门统建专用免费零碎;33个市县(区)财政非税征管零碎。 目前,江苏省对立公共领取平台为医疗机构、各类学校、政府部门等数万家用票单位提供便捷高效的电子缴款和电子票据服务,业务解决性能最高超过3000笔/秒,预计年业务量达10亿笔。 因为平台撑持了全省政务缴款和财政票据,运算量微小且需实时查问、解决信息,所以对系统的稳定性和安全性要求极高。张骏主任示意,通过对多家云厂商的产品调研和比对,采纳了阿里云“专有云”和“分布式数据库”为撑持构建江苏省对立公共领取平台,实现了全省政务缴款和财政电子票据的集中统一解决。 据理解,阿里云专有云通过了“双11”等大规模商业实际验证,具备分布式数据库、大数据处理等云原生产品和技术,可能更好统计业务数据,实现数据驱动业务决策、业务推动数据精细化的双螺旋倒退。 版权申明:本文内容由阿里云实名注册用户自发奉献,版权归原作者所有,阿里云开发者社区不领有其著作权,亦不承当相应法律责任。具体规定请查看《阿里云开发者社区用户服务协定》和《阿里云开发者社区知识产权爱护指引》。如果您发现本社区中有涉嫌剽窃的内容,填写侵权投诉表单进行举报,一经查实,本社区将立即删除涉嫌侵权内容。

March 25, 2021 · 1 min · jiezi

关于区块链:重磅丨CyberVeinCVT于3月25日正式登陆Hanbitco韩国交易所

致宽广CVT用户: CyberVein始终器重交易的安全性、合规性与流通性。依据CyberVein的将来倒退布局与全球化指标,咱们与Hanbitco达成了友好合作关系,来为咱们的用户提供高质量的交易体验。咱们在此郑重宣布CVT将于2021年3月25日正式登陆Hanbitco韩国交易所,并于11:00(UTC+8)凋谢CVT充值通道,17:00(UTC+8)凋谢交易通道,上线CVT/BTC交易对。 用户可关注Hanbitco和CyberVein官方网站,获悉单方单干的最新动静。另外,CyberVein将于3月30日17:00(UTC+8)做客Hanbitco官网Telegram举办AMA流动,敬请关注。 交易所地址:https://hanbitco.com/ 对于Hanbitco Hanbitco成立于2018年韩国首尔,自成立伊始就在规范化方面致力耕耘,是韩国区块链协会(KBA)的开创成员交易所,简直所有与“平安”相干的权威认证中,Hanbitco都位列其中,其中2018年取得ISO / IEC 27001认证,2019年取得了韩国政府机构的ISMS认证。在权威平安机构CER.live公布的网络安全交易所排行榜上,Hanbitco 位于韩国榜单第一名,寰球第二十名。此前,Hanbitco成立了ChainAction社交静止,以实现17个联合国可继续倒退指标,并推动大规模加密货币的采纳和区块链技术的落地。 据韩媒音讯,2020年3月韩国国会全体会议通过特地金融法修订案,加密货币交易所将被正式视为金融机构,并于本月正式施行,Hanbitco也成为了韩国六大合规交易所之一。此次CVT上线Hanbitco,有业内人士示意会有越来越多的加密企业向韩国聚拢,CyberVein作为韩国地区出名的海内区块链我的项目,这意味着会有更多企业和用户关注CVT,这对于晋升CVT的流动性和合规性是极大的交易利好,能促成CyberVein在国内市场的认可度,同时投资者的权利也能受到更多的保障。 对于CyberVein CyberVein(数脉链)成立于2017年,由新加坡CV Technology基金会发动,并委托受权寰球智慧城市经营核心,进行寰球智慧城市的建设和倒退。CyberVein作为具备落地行业、利用和产品的我的项目,通过新创的DAVE数据交换机(Data Analytics & Valuation Engine)为寰球企业提供智慧城市定制化解决方案。 CVT作为实用型通证,在CyberVein网络及其智慧城市生态系统中作为刚需领取伎俩和流通介质,是DAVE Alliance和CROSS的大数据服务中的领取介质,次要的应用场景为存储领取、加密领取、算力领取和大数据服务领取,具备理论利用价值和强流通性。 CyberVein基金会 2021年3月24日欢送大家退出并关注CyberVein其余自媒体社交平台,获取最新动静! 官网微博weibo.com/CyberVein官网CSDNblog.csdn.net/CyberVein官网GitHubgithub.com/CyberVein-official官网电报群t.me/CyberVeinCommunity官网推特twitter.com/cyberveingroup最新动静twitter.com/CyberVeinGroup/status/1374285769553027076

March 24, 2021 · 1 min · jiezi

关于安全:shellshock漏洞分析

这是tr0ll2靶机波及到的货色,先看一下在这个靶机上的过程。咱们获取了noob用户的ssh密钥,之后登录却失败了:之后咱们输出如下命令: ssh noob@192.168.16.141 -i noob -t '() { :;}; /bin/bash'再次登录,竟然胜利了:以上就是shellshock攻打,其利用的是bash在导入环境变量函数时候的破绽,启动bash的时候,它不仅会导入这个函数,也会把函数定义前面的命令执行,在有些CGI脚本的设计中,数据是通过环境变量来传递的,这样就给了数据提供者利用Shellshock破绽的机会。 这个破绽刚开始接触还会感觉有些奇怪,因为命令自身就是bash执行的,不感觉有什么危害。理论环境中在近程拜访时,有些CGI会把post包中的变量导入成用户变量,并起一个子bash来运行。 此利用形式,须要以下条件:近程服务会调用bash。(创立bash子过程)近程服务容许用户定义环境变量。近程服务调用子bash时加载了用户定义的环境变量。成因剖析如下,参考了一位博主的文章,结尾贴链接:在 bash 中能够自定义 Shell 变量 , 如下所示 但此时该变量仅是以后 Shell 的一个局部变量 , 只有在以后 Shell 过程中能够调用 . 即便是以后 Shell Fork 出的子过程 , 也是不能拜访该变量的 . 为此 , 咱们能够通过 export 命令 , 将该变量转变为一个环境变量 , 这样以后 Shell 的子过程就能够拜访它了不仅如此 , 在 Bash 中还能够定义 Shell 函数并将其导出为环境函数 , 只须要指明 -f 参数即可上图这种函数的定义方法是十分广泛的 , 很容易了解 . 但在 Bash 中还有一种独有的办法来定义函数 , 即 : 通过环境变量来定义函数 当某个环境变量的值以字符串 " () { " 的格局作为结尾( 留神大括号与小括号间的空格不能少 ) , 那么该变量就会被以后 Bash 当作一个导出函数( export function ) , 该函数仅会在以后 Bash 的子过程中失效 . 在很多文章中会把它称为 Bash 的 "`主动导入机制( 主动导入函数到以后 Bash因为这种独特的函数定义形式仅会在以后 bash 的子过程中失效 , 所以网络上很多帖子给出的 POC 都是上面这样 . ...

March 22, 2021 · 2 min · jiezi

关于安全:活动-欢迎加入网络安全威胁信息共享计划

流动背景据Gartner定义,威逼情报是指已呈现或新的资产威逼和危险的、基于证据的信息,包含情景、机制、指标、影响和可行倡议,可用来告诉企业针对相干威逼或危险做出决策。 从情报的收集、解决、剖析、传递,到反馈应答策略,每一个环节都须要大量常识图谱以及弱小技术“后盾”撑持。 作为深耕网络安全20余年的腾讯平安,联合多年黑灰产反抗教训,已造成较强的数据处理能力和自动化剖析能力,目前已助力多行业数百家企业机构疾速响应、反抗不同层级的网络危险,建设网络安全威逼信息(以下简称为“威逼信息”)响应体系。 流动主旨网络安全威逼信息共享打算是TSRC帮助腾讯平安(以下简称“主办方”)发展的平安行业应急响应信息共享流动(以下也将“网络安全威逼信息共享打算”简称为“流动”),以期实现平安进攻共建共享,疾速响应重大平安威逼。 一、准入流动的成员身份1、企业外部平安从业人员 2、企业内部平安服务人员 二、成员权利获准参加流动的成员,如流动成员(“您”)取得准入并参加流动,流动期间可取得以下权利: 1、威逼信息资讯; 2、可申请取得资产裸露面发现与破绽检测能力; 3、流动期间,您可取得高级威逼追溯零碎应用权限(其中,企业外部平安从业人员每日最高可查问200次,企业内部平安服务人员每日最高可查问10次); 4、您可获取其余流动成员共享且经主办方复核的威逼信息(您可通过流动在线文档查看相干威逼信息,包含流动期间,被主办方标记确认的攻打方ip、webshell/样本、攻打方反连ip和域名等)。 三、流动工夫流动发展工夫为2021年3月22日零时至2021年5月10日零时。 四、处分规定流动期间,流动成员均可通过向主办方提供合乎积分计算规定的威逼信息以取得积分,流动完结后依据流动成员的积分排名提供奖品。具体处分与规定如下: 1、积分统计形式由腾讯平安高级威逼追溯零碎经营统计,每日上午10点颁布流动成员的以后积分与排名。 2、积分计算规定积分仅计算给首次提交威逼信息的流动成员,且提交的威逼信息在流动期间被理论应用。 不同类型威逼信息计算规定为: 无效提交一个被主办方标记确认的攻打方ip积1分,提交攻打方ip时需同时提交热度、告警信息、攻打证据; 无效提交一个被主办方标记确认的webshell/样本积10分,提交webshell/样本时需同时提交证据; 无效提交一个被主办方标记确认的攻打方反连ip或域名积50分,提交攻打方反连ip或域名时需同时提交证据。 注__:以上类型的威逼信息均需经主办方分析师剖析,剖析后果认定您提交的威逼信息确属于该类型方为无效提交。 3、积分作用1)依照积分最终排名取得奖品 流动完结后,主办方将依据积分后果向积分≥100分且排名前10的流动成员发放相应奖品如下: ● 积分TOP1 处分iphone12 pro max 512GB 一台 (型号A2412,海蓝色) ● 积分TOP2 处分ipad air 256GB 一台 (型号MYFY2CH/A,天蓝色) ● 积分TOP3 处分戴森吹风机一台 (型号HD03,中国红) ● 积分TOP4~TOP10,每人处分 apple airpods 一台 (mv7n2ch/a) ● 除排名前10流动成员外,主办方将向其余积分大于50分的流动成员发放腾讯平安周边(即腾讯平安公仔)一份,该奖项数量限200份。 注: 若呈现积分雷同的状况,则将依照流动成员提交无效威逼信息数量进行再次排序。 积分最终排名颁布以及奖品发放工夫为2021年5月18日至2021年5月25日,主办方将在该期间邮寄(仅限大陆地区收费邮寄)奖品,具体您收到奖品的工夫以物流运输工夫为准。 主办方在寄送之前均会对奖品进行查看,保障奖品不存在损坏情景,寄送过程中若有损坏,请您分割物流公司协商无关抵偿事宜,主办方会提供必要的帮助。 2)随积分减少,可主动减少高级威逼追溯零碎应用次数 流动期间,流动成员的积分每积50分,该流动成员高级威逼追溯零碎账户每日查问次数将主动减少10次,后盾主动降级权限。 五、成员的任务与规定1、所有流动成员均需批准并恪守《威逼信息共享打算流动成员规定》(详见附录)的全副规定,如流动成员存在任何守法违规或是违反《威逼信息共享打算流动成员规定》的行为,主办方有权立刻勾销流动成员的参加资格并进行清退。清退后,该流动成员将无奈再享受成员权利,也无权参加积分处分。 2、为保障流动的失常发展,流动期间每位流动成员均需踊跃提交威逼信息,如超过间断5日没有提交威逼信息,主办方有权勾销流动成员的参加资格并进行清退。清退后,该流动成员将无奈再享受成员权利,也无权参加积分处分。 六、流动参加形式邮件申请 用企业邮箱,填写以下信息: 发送给主办方管理员邮箱,邮件题目为【申请加入威逼信息共享打算】 主办方管理员审核通过后增加微信,确认信息后拉入流动群。 申请人需保障提交的所有材料均为实在、非法、无效的自己信息。 管理员邮箱: security@tencent.com 附录:《威逼信息共享打算流动成员规定》本规定为所有威逼信息共享打算流动(以下简称“流动”)成员均需恪守的规定,您退出流动群、提交威逼信息等任何参加行为即视为您已浏览并批准本规定。若您有违反本规定的任何内容,腾讯将有权单方面勾销您加入流动的资格、获奖资格等,若您有任何守法违规行为,您需自行承当全副法律责任。 一、具体要求1、流动成员需合乎本流动的要求; 2、不得发表、提交、流传守法违规信息或不当信息,不得在流动群内公布病毒链接等任何不当内容; ...

March 22, 2021 · 1 min · jiezi

关于安全:油塔企业云盘土木工程建筑告别传统办公迎来新办公体验

油塔企业云盘土木工程修建辞别传统办公迎来新办公体验 土木建筑是建造各类工程设施的科学技术的统称。它既指所利用的资料、设施和所进行的勘测、设计、施工、颐养培修等技术流动;也指工程建设的对象,即建造在地上或公开、陆上或水中,间接或间接为人类生存、生产、科研服务的各种工程设施。 为土木工程修建企业提供一个方便管理文档和协同办公的云平台——油塔企业云盘。为什么举荐应用油塔云盘呢? 土木工程修建的我的项目期间是否先要做好前期工作,勘测、报备信息,这些看似简略,外面却存在着很多信息材料,也是重要材料,弄错都不能够的,这时信息存储平安以及文件治理就变得重要起来了。 再者就是设计,每家企业的设计成绩都是属于企业的常识财产,要是将企业常识财产向外走漏或是呈现人为操作,这就给企业带来不可估量的损失。甚至设计的每一份草图,手稿都是须要保留的,避免出现理念泄露的问题,这样也减少了文件信息寄存的平安及空间。 当初每一项施工中都须要进行拍照进行监督管理,对图片信息存储的量也是相当大的。 以上的问题我想是时常容易呈现的问题,只需减少油塔企业云盘以上的问题都能够解决,或者还暗藏的问题也可一并改善。 土木工程修建可通过油塔云盘的共享文件夹、组织架构和多级权限设置,建设对立的数据库,造成文件夹和子文件夹构造。集中管理设计图纸,报备相干资料信息等造成严格的保密制度。我的项目总部和其余相干机构须要查看,只需发件人进行权限设置,就能够让相应的人员进行查看,防止了数据泄露。 油塔企业云盘领有Truprivacy数据加密专利。即便是云端管理员也无奈获取用户数据,这无效地避免了云端隐衷泄露。它还反对水印爱护、身份验证等性能为企业的数字资产保驾护航。 此外,员工在编辑和批改文档时可能会有错误操作。例如,文件被删除或文件中更重要的局部被谬误地删除。泛圈企业云盘保留至多6个月的历史版本的文件,并提供回收站的性能,能够轻松复原整个文件夹,而不必放心意外失落的文件。 油塔企业云盘实现土木工程修建企业的文件同步,文件共享,协同办公,挪动办公等需要。为用户提供简便、平安、业余的企业云盘服务。

March 20, 2021 · 1 min · jiezi

关于安全:油塔企业云盘数据存储解决方案企业在线办公效率高

油塔企业云盘数据存储解决方案企业在线办公效率高 油塔企业云盘针对企业/机构的文档存储解决方案,通过全方位的数据安全保障体系,提供数据安全与可靠性保障,满足企业用户需要,帮忙企业治理超大规模和容量的企业文档,进步企业文件材料管理效率和企业数据信息安全。 Yotta企业云盘就为这些企业所带来针对性解决方案开发的性能就十分足,对文档的治理采纳权限管制,这一性能权限机制、无效管制文档应用的范畴,进一步加强安全性。对于共享分享文档的用户能够抉择共享对象角色来进行管制对文档的角色权限由管理员对立配置,可提供多种角色。并且还可将寄存在各个员工的文档信息对立集中化治理存储到Yotta企业云盘。对于共享分享多人合作外面角色权限,可对组织或部门的人员变动而须要调整对象的麻烦免去,联合分享角色的文件权限管制,能够更灵便管制文档平安。 并且反对日志零碎的治理,记录用户对文件的操作,保留残缺的文件生命周期,具体记录管理员对系统的操作,不能删除和批改,便于监管;外链的审查治理,实时统计零碎外链文档,严格把控对外文档的安全性。避免公司重要文件外泄;还反对删除爱护,防止数据误删除;水印爱护,保障文档知识产权等等性能。 Yotta企业云盘领有 “加密去重”专利技术所打造的云产品。不论是云端管理员还是其余技术人员也都无奈获取到用户数据,这样无效避免云端隐衷泄露问题。 最初,从企业保护老本的角度来看,文件服务器须要企业筹备的存储设备并调配长期保护,而且稳定性无奈保障。油塔企业云盘充沛解决企业难题,齐全节俭企业存储和保护老本压力。不须要任何硬件、软件、基础设施配置,并负责所有保护工作超高稳定性远远好于文件服务器。

March 18, 2021 · 1 min · jiezi

关于云原生:云原生时代下容器安全的四个挑战和两个关键

作者 | 匡大虎起源 | 阿里巴巴云原生公众号 云原生过程中的容器平安挑战云原生的炽热带来了企业基础设施和利用架构等技术层面的变革,在云原生的大势所趋下,越来越多的企业抉择拥抱云原生,在 CNCF 2020 年度的调研报告中,曾经有83% 的组织在生产环境中抉择 Kubernetes,容器曾经成为利用交付的规范,也是云原生时代计算资源和配套设施的交付单元。显然,容器曾经成为利用交付的规范,也是云原生时代计算资源和配套设施的交付单元。 然而,因为在隔离和安全性方面存在的人造缺点,平安始终是企业进行容器革新化过程中关注的外围问题之一。来到云原生时代,企业又将面临哪些容器平安新挑战? 短少体系化的容器平安能力建设:传统的企业应用平安模型通常基于外部架构不同的信赖域来划分对应的平安边界,在信赖域内的东西向服务交互被认为是平安的。而上云后企业应用须要在 IDC 和云上部署和交互,在物理平安边界隐没后,如何在零信赖的网络安全模型下构建企业级容器平安体系是云服务商须要解决的重要问题。更多的攻击面:基于容器技术的利用部署依赖 Linux 内核 namespaces 和 cgroups 等个性,从攻击者的角度登程,能够利用内核系统漏洞,容器运行时组件和容器利用部署配置等多个维度发动针对性的逃逸和越权攻打。K8s、Docker、Istio 等开源社区近年来也相继爆出不少的高危破绽,这都给攻击者提供了可乘之机。短少利用侧全生命周期的平安防护伎俩:容器技术在为企业应用架构提供了弹性、麻利和动静可扩大等个性的同时,也扭转了利用的部署模式。首先利用本身的生命周期被大幅缩短,一个容器利用的生命周期通常是分钟级;与此同时,随着存储网络和异构资源利用率等基础设施能力上的晋升,容器利用的部署密度也越来越高,传统的面向虚机维度的平安防护策略和监控告警伎俩曾经无奈适应容器技术的需要。短少对云上平安责任共担模型的了解:企业应用上云后的平安须要遵循责任共担模型,在企业应用架构云原生话的转型过程中,须要企业应用管理者和平安运维人员了解企业本身和云服务商之前的责任边界。这个过程中也须要云服务商面向企业应用侧输入更全面的容器平安最佳实际并晋升平安能力的易用性,升高应用门槛。构建容器平安体系的根本准则为了应答上述企业应用在容器化过程中的平安挑战,云服务商和企业应用平安治理运维人员须要携手共建容器利用平安体系: 图 1 - ACK 容器服务平安责任共担模型 1. 云服务供应侧对于云服务商,首先须要依靠于云平台本身的平安能力,构建平安稳固的容器基础设施平台,并且面向容器利用从构建,部署到运行时刻的全生命周期构建对应的平安防护伎俩。整个平安体系的构建须要遵循如下根本准则: 1)保障容器管控平台基础设施层的默认平安容器平台基础设施层承载了企业应用的管控服务,是保障业务利用失常运行的要害,容器平台的安全性是云服务商应该分外关注的。 齐备的平台平安能力:首先云服务商本身基础设施的安全性是容器平台是否平安的根底,比方 VPC 的平安配置能力,SLB 的访问控制,DDoS 能力和账号系统对云资源的访问控制能力等都是平台侧面向企业应用须要提供的根底平安能力。版本更新和破绽应急响应机制:虚机 OS 的版本更新和漏洞补丁的装置能力也是保障基础设施平安的根本防护措施,除此之外如 K8s 等容器相干开源社区的危险破绽,都可能成为歹意攻击者首选的攻打门路,须要厂商提供破绽的分级响应机制并提供必要的版本升级能力。平台的平安合规性:这也是很多金融企业和政府部门利用上云的硬性前提条件。云服务商须要基于业界通用的平安合规规范,保障服务组件配置的默认安全性,同时面向平台用户和平安审计人员,提供齐备的审计机制。2)面向容器利用侧提供纵深防御能力云服务商不仅要在本身管控侧建设欠缺的平安武装,同时也须要面向业务利用负载,提供适宜云原生场景下容器利用的平安防护伎俩,帮忙终端用户在利用生命周期各阶段都能有对应的平安治理计划。因为云原生具备动静弹性的基础设施,分布式的利用架构和翻新的利用交付运维形式等特点,这就要求云服务商可能联合本身平台的根底平安能力,将云原生能力个性赋能于传统的平安模型中,构建面向云原生的新平安体系架构。 2. 企业平安侧对于企业的平安治理和运维人员来说,首先须要了解云上平安的责任共担模型边界,到底企业本身须要承当起哪些平安责任。云原生微服务架构下企业应用在 IDC 和云上进行部署和交互,传统的网络安全边界曾经不复存在,企业应用侧的网络安全架构须要遵循零信赖平安模型,基于认证和受权重构访问控制的信赖根底。对于企业平安管理人员来说能够参考关注如下方向加固企业应用生命周期中的生产平安: 保障利用制品的供应链平安云原生的倒退使得越来越多的大规模容器利用开始在企业生产环境上部署,也大大丰盛了云原生利用制品的多样性,像容器镜像和 helm charts 都是常见的制品格局。对于企业来说制品供应链环节的安全性是企业应用生产平安的源头,一方面须要在利用构建阶段保障制品的安全性;另一方面须要在制品入库,散发和部署时刻建设对应的访问控制,平安扫描、审计和准入校验机制,保障制品源头的安全性。 权限配置和凭证下发遵循权限最小化准则基于对立的身份标识体系进行认证受权是在零信赖平安模型下构建访问控制能力的根底。对于企业平安管理人员来说,须要利用云服务商提供的访问控制能力,联合企业外部的权限账号体系,严格遵循权限最小化准则配置对云上资源和容器侧利用资源的拜访控制策略;另外严格控制资源拜访凭证的下发,对于可能造成越权攻击行为的已下发凭证要及时撤消。另外要防止容器利用模板配置如特权容器这样的过大权限,确保最小化攻击面。 关注利用数据和利用运行时刻平安利用的胜利部署上线并不意味着平安工作的完结。除了配置齐备的资源申请审计外,平安治理运维人员还须要利用厂商提供的运行时刻监控告警和事件告诉等机制,放弃对容器利用运行时平安的关注,及时发现平安攻打事件和可能的安全隐患。对于企业应用本身依赖的敏感数据(比方数据库明码,利用证书私钥等)须要依据利用数据的安防等级采纳对应的密钥加密机制,利用云上的密钥治理计划和落盘加密,秘密计算等能力,保证数据在传输和落盘链路上的数据安全性。 及时修复安全漏洞和进行版本更新无论是虚机系统,容器镜像或是容器平台本身的安全漏洞,都有可能被歹意攻击者利用成为入侵利用外部的跳板,企业平安治理运维人员须要依据云服务商举荐的领导计划进行安全漏洞的修复和版本更新(比方 K8s 集群版本,利用镜像版本等)。此外企业要负责外部员工的平安培训工作,居安思危,晋升平安防护意识也是企业平安生产的根底要务。 端到端的云原生容器平安架构阿里云 ACK 容器服务面向宽广的企业级客户,构建了残缺的容器平安体系,提供了端到端的利用平安能力。在往年 Forrester IaaS 平安评测中,阿里云容器平安能力与谷歌并列满分,当先其余厂商。下图为阿里云容器服务的平安体系架构图: 图 2 - ACK 容器服务平安体系架构图 首先整个容器平安体系依靠于阿里云弱小的平台平安能力,包含物理/硬件/虚拟化以及云产品安全能力,构建了夯实的平台平安底座。 在云平台平安层之上是容器基础设施平安层,容器基础设施承载了企业容器利用的管控能力,其默认安全性是利用可能稳固运行的重要根底。首先面向集群 host 节点 OS 镜像自身阿里云操作系统团队做了很多平安加固相干工作,Alibaba Cloud Linux 2 (原 Aliyun Linux 2) 不仅是阿里云官网操作系统镜像,也是 ACK 的首选默认零碎镜像。Alibaba Cloud Linux 2 在 2019 年 8 月 16 日正式通过了 CIS 组织的全副认证流程并公布对应的 CIS Aliyun Linux 2 Benchmark version 1.0.0。ACK 正在反对对基于 Alibaba Cloud Linux 操作系统的集群进行 CIS 平安加固来满足简略、快捷、稳固、平安的应用需要。除 CIS 合规外,2021 年 1 月,ACK 曾经正式反对对基于 Alibaba Cloud Linux 操作系统的集群进行等保加固。 ...

March 17, 2021 · 2 min · jiezi

关于安全:油塔企业云盘交通工程窃用需要找怎样的云平台

油塔企业云盘交通工程窃用须要找怎么的云平台 交通工程盘根错节,既会波及到交通布局、勘测、设计、监理、治理等方面的工作。层层下来,企业外部的对接也是一项重要的环节,团队人员之间考究团队办公,交织波及同个我的项目的信息,而这样时而会产生一起办公同时不能一起合作,只能扩散每一个人局部的内容,而后再花其余工夫进行去对接沟通,这样花的工夫就多了起来,甚至还会呈现下级,上级,层层级别中信息的不对等。 外部信息大多都是以电脑文件的模式存储,为了不便大多数都是存储到集体的电脑上或是手机上,信息的安全性就升高了,以至于还会呈现物理故障的问题,导致信息失落。 油塔企业云盘提供稳固、平安、弹性、高性能的云端存储服务,联合云盘的权限管控、丰盛的合规性策略、企业文档和治理、文档流转、拜访平安等劣势,解决用户对数据私密性,权限体系的忧愁。 油塔企业云盘以文件为核心,帮忙企业实现文件上传、存储、共享、传输、离线等全生命周期的管控,满足企业不同场景下的简单需要。与此同时,油塔云盘反对文档、图片、视频等多种格式文件的在线预览,并能实现window端、web网页拜访、Android端、IOS端、Outlook插件等多种拜访形式,挪动办公能使治理变得更加高效。 用户分享/共享文档时可为共享对象抉择角色,进而管制其对文档的应用权限。角色的权限由管理员对立配置,可提供多种角色;并且零碎可反对N级管理员,每个管理员能够灵便配置权限和治理的人员范畴,设置租户概念,特地实用于大型公司,容许不相干的公司或团体共用同一个云盘零碎。 油塔企业云盘专为企业所打造,交通工程方面的企业进行应用,更加使锦上添花,让我的项目倒退做的更加顺,不会因一些问题影响了我的项目的进度。晋升企业办公效率,油塔云盘是企业办公的佳选。

March 17, 2021 · 1 min · jiezi

关于websocket:球泡灯IEC60969和IEC60968和IEC60598测试

节能灯IEC60598、IEC60968和IEC60969检测报告 节能灯IEC60598、IEC60968和IEC60969检测报告 机构实验室能够办理节能灯IEC60598、IEC60968和IEC60969检测报告 IEC认证简介 IEC规范即国际电工委员会(International Electrical Commission),是由各国电工委员会组成的世界性标准化组织,其目标是为了促成世界电工电子畛域的标准化。国际电工委员会的起源是1904年在美国圣路易召开的一次电气大会上通过一项决定。依据这项决定,1906年成立了IEC,它是世界上成立Z早的一个标准化国内机构。 IEC的主旨 IEC的主旨是通过其成员,促成电气化、电子工程畛域的标准化和无关方面的国内单干,例如依据规范进行合格评定的工作,电气、电子和相干技术方面的单干等。 IEC的组织机构 IEC目前有60个成员国。称为IEC国家委员会。每个国家只能有一个机构作为其成员。IEC的成员分为两类,一类是正式成员,一个国家只有一个机构以国家委员会的名义被接收为IEC成员,积J加入IEC流动,有投票权。如要成为IEC成员,该委员会必须申明向外国所有有趣味加入IEC流动的政府或非政府机构凋谢。另一类成员是合作成员。因为资源无限,它只加入局部流动。它们能够观察员的身份加入所有的IEC会议,然而没有投票权。此外还有一种叫预合作成员,是由IEC地方办公室或某邻国的IEC国家委员会帮忙建设国家委员会的成员,它们在5年内能够成为IEC的合作成员。 CNAS实验室: Shenzhen JF Testing Laboratory Ltd 深圳九方检测有限公司

March 16, 2021 · 1 min · jiezi