标签: security

我有一个可公开访问的页面

<?php phpinfo(); >

当我们处于测试阶段时，我将它用于调试目的，但是当它是一个实时站点时让它可访问有什么害处吗？

随着最近与维基解密相关的 DDoS 事件，我不禁感到几乎所有在线站点都非常容易受到此类攻击。Visa、万事达卡（仅举几例）因此关闭。

所以我的问题是：

1. DDoS 是一种如此强大的攻击形式吗？
2. 公司可以做些什么来应对这种情况？

编辑：我想我可能把我的问题表述为“n00bishly”。我知道什么是 DDoS（来自维基百科和其他网站）。

我真正的问题是：为什么那些大公司不应用反 DDOS 技术？不要告诉我，Paypal 和 MasterCard 不怕服务中断或攻击。我查看了其中一些解决方案的成本，但与 Paypal 或 VISA 一年的收入相比，它们似乎根本不贵。真正的问题是，为什么他们如此措手不及？（或者 DDoS 的规模是否比预期的要大得多？）

这个场景也发布在 SO 上，针对不同的观众提出了不同的问题 - 我很高兴我这样做了，因为我收到了一些非常好的回应。

我们正在尝试为企业组织内的 4 名开发人员小团队使用虚拟化实现开发环境。这将使我们能够设置单独的开发、测试和暂存环境，并允许访问我们正在评估的系统或工具所需的新操作系统。

我们重新设计了一台现有的工作站级机器，加入了 24GB RAM 和 RAID-10，在我们尝试将机器添加到域之前，一切都很好。

现在，我们开始了所有企业开发人员从一开始就不得不打的战争——为开发和测试环境的本地控制而战。网络和 IT 管理员提出了许多担忧，从“ESX Server 是企业标准”到“客户端 VLAN 上不允许使用服务器”，再到“[填空] 不是当前拥有的技能集。本地或企业 IT 组织”。

我们可能可以证明生产级硬件和正式 IT 支持的合理性（阅读：如果必须，我们可以证明这种需求是合理的，但这需要时间并涉及很多头痛）-但正式获得 IT 资源可能需要数月时间通过将其视为生产系统来分配 - 即使我们这样做了，我们也可能会失去我们想要的本地控制。

我想你们中的许多人都曾与企业内的开发人员在非生产环境的开发人员控制方面有过类似的斗争，所以我的问题如下：

1. 您的开发人员提出了哪些论点让您相信这些类型的孤岛存在于拥有标准网络和安全策略的企业中，这些策略通常（并且可以理解）排除这种类型的非（集中）管理的基础设施？
2. 这只是开发人员提出技术或业务理由并确保补丁管理和 AV 会发生的问题 - 还是更多的控制权和所有权的政治斗争？
3. 如果有选择，您是愿意在授予开发人员本地管理员权限的同时获得硬件/操作系统的所有权和支持，还是让他们完全管理它，同时确保他们建立补丁管理/反病毒软件并在出现问题时向他们收取责任？
4. 如果您成功阻止开发人员在您的基础设施上对“流氓服务器”进行本地控制，那么开发人员是刚刚到期还是他们（或您）将开发环境移动到断开连接的 VLAN/完全独立的网络？

限制此问题范围的几个假设：

1. 重申一遍，这是针对开发环境的——不需要生产负载或可支持性。外部无法访问任何内容。
2. 这不是 Hyper-V 与 ESX 的圣战（我们都可以接受 - 但选择了 Hyper-V，因为它在 MSDN 中“免费”用于这些目的[是的，VMWare 也有免费工具 - 但良好的管理工具通常不是]，并且由本地开发人员在“微软商店”中更容易管理） - 因此支持或反对任何一个的论点都超出了这个问题的范围。
3. 开发团队已经保证要么管理补丁管理和防病毒，要么在 IT 支持的情况下与现有的企业系统集成 - 但无论您是否愿意接受，这肯定在范围内。

我通读了关于邮箱审计的Technet 文章，但它似乎只适用于 MAPI 访问。

我执行以下 cmdlet 以启用所有者审核：

> Set-Mailbox -Identity "Mr. Mel-Bin" -AuditEnabled $true -AuditOwner Create,SoftDelete,HardDelete,Update,Move,MoveToDeletedItems

这不会返回任何输出。然后，我使用 IMAP 客户端移动邮箱中的一些邮件并执行以下 cmdlet 以查看审核是否有效：

>Search-MailboxAuditLog -Identity bfernan -LogonTypes Owner -ShowDetails -StartDate 10/9/2011

这不返回任何输出。是否存在我忽略的问题，或者 Exchange 2010 是否只是不审核 IMAP 访问？

我目前使用 root 阻止所有 ssh 登录。但是我想加倍努力并阻止尝试以 root 身份登录的客户端的 IP 地址。我目前有 denyhosts 和 fail2ban 设置和工作，我可以使用 denyhosts 和或 fail2ban 来阻止那些尝试以 root 登录的人的 IP 地址吗？

我的意思是使用 HTML5 套接字并且不需要安装的纯 javascript 客户端，只需在浏览器中打开单个 js 文件。是否有可能编写这样的客户端？

我们有一个 postfix 服务器，需要通过它对 SMTP 中继进行身份验证。我们在 MySQL 数据库中使用虚拟邮箱。

一条消息通过我们的系统中继，我们需要确定使用哪个用户帐户发送它。

消息头包含：

Received: from User (c-76-109-241-139.hsd1.fl.comcast.net [xx.109.xxx.139]) 
    by ourserver.com (Postfix) with ESMTPA id 7BA184B4AD4; 
    Tue,  3 Jul 2012 05:42:59 -0400 (EDT)

我们没有名为“User”的用户，而且 IP 地址不是我们发送邮件的地址。我想知道发件人在发送消息时对哪些用户帐户进行了身份验证。

有没有办法跟踪这个？

远程机器是否有可能通过欺骗环回 ip 来访问另一台机器的本地主机数据？

假设我想要一个设置，如果我从我自己的网络之外的某个地方连接，我将必须提供登录凭据，并且所有敏感操作都需要我的密码。但是，如果我从我的计算机连接，则不需要这些凭据，因为无论如何我都必须登录到我的操作系统才能访问该设备上的网络。我可以通过这种方式依赖回送地址作为安全措施吗？或者攻击者是否有可能使其看起来好像是在本地连接？

在工作中，我有一堆使用普通 http 或自签名证书的 Web 界面（负载平衡器管理界面、内部 wiki、cacti 等）。

无法从特定的 vlan/网络外部访问。

对于家庭使用，我使用cacert SSL 证书。

我想知道我是否应该建议我的雇主使用 cacert SSL 证书而不是自签名证书和普通的 http。有人在生产中使用 cacert ssl 吗？有什么优点/缺点？它提高了安全性吗？是否更容易管理？有什么意外吗？它会影响质量扫描吗？我怎样才能说服他们？

当然，公共网站的付费证书将保持不变。

编辑 ：

（只是好奇）公司提供的免费 ssl 证书似乎不是 3 级。我必须出示护照并亲自到场才能从 cacerts 获得 3 级证书。每个类别 1 的浏览器中没有警告吗？

无论如何，我对任何免费 CA 都会有同样的问题：它比使用自签名和普通 http 更好，为什么？

我会这样做是为了便于管理，服务器端。我错过了什么吗？

免责声明：我不是cacert 协会成员，甚至不是 Assurer，只是一个普通的快乐用户。

为了阻止过多的失败phpMyAdmin登录尝试fail2ban，我创建了一个脚本来记录对文件的失败尝试：/var/log/phpmyadmin_auth.log

自定义日志

/var/log/phpmyadmin_auth.log文件格式为：

phpMyadmin login failed with username: root; ip: 192.168.1.50; url: http://somedomain.com/phpmyadmin/index.php
phpMyadmin login failed with username: ; ip: 192.168.1.50; url: http://192.168.1.48/phpmyadmin/index.php

自定义过滤器

[Definition]

# Count all bans in the logfile
failregex = phpMyadmin login failed with username: .*; ip: <HOST>;

phpMyAdmin 监狱

[phpmyadmin]

enabled  = true
port    = http,https
filter   = phpmyadmin
action   = sendmail-whois[name=HTTP]
logpath  = /var/log/phpmyadmin_auth.log
maxretry = 6

该fail2ban日志包含：

2012-10-04 10:52:22,756 fail2ban.server : INFO   Stopping all jails …