标签: security

我需要为客户检查 CheckPoint 防火墙的防火墙规则（有 200 多个规则）。

我过去曾使用FWDoc来提取规则并将它们转换为其他格式，但在排除方面存在一些错误。然后我手动分析它们以生成带有注释的规则的改进版本（通常在 OOo Calc 中）。

我知道有几种可视化技术，但它们都归结为分析流量，我想要静态分析。

所以我想知道，您按照什么流程来分析防火墙规则？您使用哪些工具（不仅用于 Checkpoint）？

可能重复：
我的服务器被黑了 紧急情况

上周末我公司的网站被黑了。

他们在周五晚上做了最好的事情，所以我们只在周一早上才注意到攻击。有趣的是，我们最近从 Windows 切换到 Linux，因为它应该更稳定和安全。去搞清楚。是的，我们在 Firefox 和 Chrome 上将我们列入黑名单。

由于我不是 Linux 专家，因此我正在寻求有关如何避免将来出现此类问题的建议。您采取了哪些措施来保护您的系统？看起来我们的密码很弱，但是在几次登录失败后，Linux 不应该阻止该帐户吗？他们尝试了 20 多种组合......

除此之外，我正在寻找一种类似于 pingdom 但适用于安全性的工具（或服务）。如果我的网站遭到黑客入侵，请提醒我。有这种事吗？黑客监视器？:)

另一件事，您如何将此类问题通知您的客户？你只是无视并希望没有人注意到吗？电子邮件解释发生了什么？

*以匿名身份发布以避免对我的公司造成更多不良影响，这已经很糟糕了...

我正在寻找通过互联网安全发送密码的最佳方式。我看过的选项是 PGP 和加密的 RAR 文件。除了在没有太大风险的情况下通过互联网从 a 点到 b 点之外，没有其他实际参数。

我觉得这应该是一件非常简单的事情，但是谷歌搜索和检查 SF 我什么也没看到。我试图让我的 Fedora 服务器不响应 ping，我该怎么做？

我们是一个相对较小的商店（就系统管理员的数量而言），混合了 RHEL、Solaris、Windows 2003 和 Windows 2008 服务器；总共约200台服务器。

对于我们的管理员帐户（root在 Linux 和admnistratorWindows 中），我们有一个密码方案，该方案取决于数据中心位置和服务器的其他几个记录属性。

在Linux上，我们目前的做法是创建一个共享的非特权帐户在那里我们可以su来root。在基于 Windows 的系统上，我们创建了一个具有管理员权限的附加帐户。这两个帐户共享相同的密码。

这已被证明是非常低效的。当有人离开我们的商店时，我们必须：

1. 更改管理员帐户的密码方案
2. 为每台服务器生成一个新的管理员密码
3. 想出一个新的非管理员帐户密码
4. 触摸每个服务器并更改密码

我想知道在类似环境中是否有人可以建议一种更明智的方式来管理这些凭据。一些相关资料：

• 尽管我们的大多数服务器都是我们 AD 域的一部分，但并非全部都是。
• 我们使用 Puppet 管理我们所有的 Linux 服务器（密钥身份验证是我想到的一个选项，但它只能解决上面的 #3 问题）。
• 我们使用 Cobbler 配置 Linux 服务器。
• 我们大约 10% 的硬件专用于 VMWare。在这些情况下，我们使用 VMWare 模板来构建服务器。

任何想法或建议将不胜感激。这是一个困扰了一段时间的问题，我终于想解决它。

我有一个网络服务器，可以为我托管各种网站。可以在外部访问的两个服务是 SSH 和 Apache2。它们分别在非标准和标准端口上运行。所有其他端口都通过 arno-iptables-firewall 显式关闭。主机正在运行 Debian 测试。

我注意到使用 nmap 对主机的扫描在不同的 PC 上产生了不同的结果。从我的家庭网络上的笔记本电脑（在 BT Homehub 后面），我得到以下信息：

Not shown: 996 filtered ports
PORT     STATE SERVICE
80/tcp   open  http
554/tcp  open  rtsp
7070/tcp open  realserver
9000/tcp open  cslistener

在使用 nmap 5.00 的美国服务器和运行 nmap 5.21 的挪威 Linux 机器进行扫描时，我得到以下信息：

Not shown: 998 filtered ports
PORT     STATE SERVICE
80/tcp   open  http
9000/tcp open  cslistener

所以我希望是我的内部网络或 ISP 正在播放，但我不能确定。

运行 anetstat -l | grep 7070不会产生任何结果。端口 554 也是如此。

任何人都可以解释我所看到的特殊性吗？

对于编写的 Web 应用程序中的以下内容，八进制格式的完美最小权限是什么？

1. 用户上传的静态文件（images/swf/js 文件）所在的目录
2. 管理员上传静态文件（images/swf/js 文件）所在的目录
3. 应用程序中使用的库所在的目录
4. 可执行/可浏览的服务器端脚本所在的目录
5. 已存在的文件（txt 或 xml）将在服务器端由代码编辑的目录

以下是我的建议和理由

1. 555，人人可以读写，没有人可以执行
2. 544，一个人可以写，其他人只能读，没有人可以执行
3. 000，没有人需要读、写和执行，只会被web服务器使用吗？
4. 661，owner可以读，可以写，其他人只能执行
5. 600，拥有者可以读、写（可能不需要），其他人无能为力

现在我对两件事感兴趣：

1. 有没有我在第一个列表中遗漏的基于 Web 的应用程序中常用的东西？
2. 在第二个列表中您是否有任何不同意的地方，您的替代方案是什么，为什么它更好？

我们基础设施小组中的一些人想要升级以开始利用 RHEL 6 中的新功能。过去，我依赖于 NSA 指南 (www.nsa.gov/ia/_files/os/redhat/rhel5-guide- i731.pdf) 以保护 RHEL 5 和 CentOS 5 安装。我觉得这个指南非常宝贵。

有没有人有以类似方式保护 RHEL/CentOS 6 的经验？如果是这样，您利用了哪些资源（书面或咨询）？

我从一些同事那里听说第 6 版与第 5 版在很多方面有很大的不同，所以我不想在我们的安全中留下巨大的漏洞，因为我没有充分考虑这些差异。

Red Hat 自己的 RHEL 6 指南（http://docs.redhat.com/docs/en-US/Red_Hat_Enterprise_Linux/6/html/Security_Guide/index.html）真的足够了吗？

是否有人会说，除非您有令人信服的功能原因，否则您应该推迟从 5 升级到 6，直到像 NSA 这样的组织能够制作出针对您要保护的版本的特定指南？

我感谢您提供的任何反馈，即使它会将我引导至更合适的论坛。

问候，

麦克风

目标是防止用户在终端服务器上运行不需要的程序。

我读过很多来自微软和其他人的文章，他们说新的 Applocker 功能比旧的软件限制策略好 100%，建议作为后者的替代品。

除了内核模式执行之外，我不确定是否了解 Applocker 的真正优势。它的大部分功能都可以通过软件限制策略进行复制。

同时，它有一个很大的缺点，使它变得毫无用处：它不可扩展，并且您无法添加要限制的自定义文件扩展名。

Applocker 相对于 SRP 的优势是什么？您对软件控制有什么建议？

问题：

• 如果 VM 损坏（被黑客入侵），我对运行在同一物理机上的其他 VM 有何风险？
• 运行在同一物理主机上的虚拟机之间存在什么样的安全问题？
• 是否有（你能列出）那些（潜在的）弱点和/或问题的清单？

警告：

我知道存在许多虚拟化类型/解决方案，并且可能有不同的弱点。但是，我主要是在寻找有关虚拟化技术的一般安全问题，而不是特定的供应商错误。

请提供真实的事实、（严肃的）研究、经历过的问题或技术解释。请明确点。不要（仅）发表您的意见。

• 例子：

两年前，我听说可能存在与MMU相关的安全问题（我认为访问其他机器的主内存），但我不知道这是否是今天的实际威胁，或者只是一项理论研究主题。

编辑：我还发现这种“刷新+重新加载”攻击能够通过利用 L3 CPU 缓存在同一台物理机器上检索 GnuPG 密钥，即使 GnuPG 运行在另一个VM 上。从那以后，GnuPG 就被打上了补丁。