标签: security

在这里搜索之前的问题后，普遍的共识似乎是，如果我拥有的一个实例被分配了一个私有 IP 10.208.34.55，那么只有我拥有的其他实例才能在该地址访问它。看：

如何加密两个 Amazon EC2 实例之间的流量？

那是对的吗？因此，我可以将我的所有实例视为在 LAN 上，并对来自 10.XXX.XXX.XXX 的任何机器进行身份验证和信任，因为我确定我拥有它？

我只是想确定一下。我发现亚马逊似乎更感兴趣的是对云及其 3 个字符的缩写充满诗意，而不是实际提供清晰的技术文档。

我在一些关于 pfSense 的论坛上读到过，说虚拟化 pfSense 很危险。之所以这么说，是因为攻击者可以使用 pfsense 作为对管理程序进行攻击的跳板，然后使用它来访问其他虚拟机并最终使所有内容脱机。

这对我来说听起来很疯狂，但这个想法是否有一点现实意义？在虚拟服务器中运行路由器是个坏主意吗？

我有一个网络服务器，可以为我托管各种网站。可以在外部访问的两个服务是 SSH 和 Apache2。它们分别在非标准和标准端口上运行。所有其他端口都通过 arno-iptables-firewall 显式关闭。主机正在运行 Debian 测试。

我注意到使用 nmap 对主机的扫描在不同的 PC 上产生了不同的结果。从我的家庭网络上的笔记本电脑（在 BT Homehub 后面），我得到以下信息：

Not shown: 996 filtered ports
PORT     STATE SERVICE
80/tcp   open  http
554/tcp  open  rtsp
7070/tcp open  realserver
9000/tcp open  cslistener

在使用 nmap 5.00 的美国服务器和运行 nmap 5.21 的挪威 Linux 机器进行扫描时，我得到以下信息：

Not shown: 998 filtered ports
PORT     STATE SERVICE
80/tcp   open  http
9000/tcp open  cslistener

所以我希望是我的内部网络或 ISP 正在播放，但我不能确定。

运行 anetstat -l | grep 7070不会产生任何结果。端口 554 也是如此。

任何人都可以解释我所看到的特殊性吗？

对于编写的 Web 应用程序中的以下内容，八进制格式的完美最小权限是什么？

1. 用户上传的静态文件（images/swf/js 文件）所在的目录
2. 管理员上传静态文件（images/swf/js 文件）所在的目录
3. 应用程序中使用的库所在的目录
4. 可执行/可浏览的服务器端脚本所在的目录
5. 已存在的文件（txt 或 xml）将在服务器端由代码编辑的目录

以下是我的建议和理由

1. 555，人人可以读写，没有人可以执行
2. 544，一个人可以写，其他人只能读，没有人可以执行
3. 000，没有人需要读、写和执行，只会被web服务器使用吗？
4. 661，owner可以读，可以写，其他人只能执行
5. 600，拥有者可以读、写（可能不需要），其他人无能为力

现在我对两件事感兴趣：

1. 有没有我在第一个列表中遗漏的基于 Web 的应用程序中常用的东西？
2. 在第二个列表中您是否有任何不同意的地方，您的替代方案是什么，为什么它更好？

我们基础设施小组中的一些人想要升级以开始利用 RHEL 6 中的新功能。过去，我依赖于 NSA 指南 (www.nsa.gov/ia/_files/os/redhat/rhel5-guide- i731.pdf) 以保护 RHEL 5 和 CentOS 5 安装。我觉得这个指南非常宝贵。

有没有人有以类似方式保护 RHEL/CentOS 6 的经验？如果是这样，您利用了哪些资源（书面或咨询）？

我从一些同事那里听说第 6 版与第 5 版在很多方面有很大的不同，所以我不想在我们的安全中留下巨大的漏洞，因为我没有充分考虑这些差异。

Red Hat 自己的 RHEL 6 指南（http://docs.redhat.com/docs/en-US/Red_Hat_Enterprise_Linux/6/html/Security_Guide/index.html）真的足够了吗？

是否有人会说，除非您有令人信服的功能原因，否则您应该推迟从 5 升级到 6，直到像 NSA 这样的组织能够制作出针对您要保护的版本的特定指南？

我感谢您提供的任何反馈，即使它会将我引导至更合适的论坛。

问候，

麦克风

目标是防止用户在终端服务器上运行不需要的程序。

我读过很多来自微软和其他人的文章，他们说新的 Applocker 功能比旧的软件限制策略好 100%，建议作为后者的替代品。

除了内核模式执行之外，我不确定是否了解 Applocker 的真正优势。它的大部分功能都可以通过软件限制策略进行复制。

同时，它有一个很大的缺点，使它变得毫无用处：它不可扩展，并且您无法添加要限制的自定义文件扩展名。

Applocker 相对于 SRP 的优势是什么？您对软件控制有什么建议？

问题：

• 如果 VM 损坏（被黑客入侵），我对运行在同一物理机上的其他 VM 有何风险？
• 运行在同一物理主机上的虚拟机之间存在什么样的安全问题？
• 是否有（你能列出）那些（潜在的）弱点和/或问题的清单？

警告：

我知道存在许多虚拟化类型/解决方案，并且可能有不同的弱点。但是，我主要是在寻找有关虚拟化技术的一般安全问题，而不是特定的供应商错误。

请提供真实的事实、（严肃的）研究、经历过的问题或技术解释。请明确点。不要（仅）发表您的意见。

• 例子：

两年前，我听说可能存在与MMU相关的安全问题（我认为访问其他机器的主内存），但我不知道这是否是今天的实际威胁，或者只是一项理论研究主题。

编辑：我还发现这种“刷新+重新加载”攻击能够通过利用 L3 CPU 缓存在同一台物理机器上检索 GnuPG 密钥，即使 GnuPG 运行在另一个VM 上。从那以后，GnuPG 就被打上了补丁。

我们正在实施一个伪平台即服务环境。这是一个相当简单的设置，类似于基础设施即服务：基本上我们的客户每个人都可以访问他们自己的服务器，我们将维护操作系统，而我们的客户对操作系统的访问权限有限。由于...原因，我们不能允许客户端完全本地管理员访问服务器，但他们应该拥有对网络托管工具（IIS、SQL Server 等）的完全访问权限。我完全意识到这个设置是多么复杂，但这些决定是在我的头上做出的，我的声音在这件事中被听到并被忽略了。

问题：

是否可以授予非本地管理员对 IIS 管理器的管理访问权限（整个 IIS 管理器，而不仅仅是委派站点）？如果是这样，如何？

谢谢！

我是 Ansible 的新手。到目前为止，我见过的大多数 VPS 配置指南都是这样做的：

1. 禁止 root 登录
2. 创建一个只能使用ssh（不是密码）登录的新用户
3. 将新用户添加到wheel组中，具有无密码 sudo权限

我明白（1）和（2），但不明白（3）。

当然无密码sudo就像登录一样root？我理解好处（方便），但这不是非常不安全吗？

我意识到管理员以各种方式运行他们的网络，所以这可以说是“主观的”，但这是一种非常普遍的做法，甚至在各种官方 ansible 文档以及托管公司发布的指南中都有体现。这违背常识。它背后的逻辑是什么？

我正在尝试查找我认为 Windows Vista 中存在的旧 Windows 功能的名称和文档。

我能记得的只有这个。当您或应用程序尝试写入没有足够写入权限的文件时，Windows 会在您的 APPDATA? 目录。

您没有收到错误，并且您相信内容已写入，但实际上，它不是，至少在您期望的地方。

请尝试帮助我尝试了解此功能是否曾经存在。