标签: security

在 Windows 环境中，您如何解决服务帐户的以下问题？

1. 定期更改密码 - 在多台机器上使用单个服务帐户时，您如何定期更改密码而不会出现明显的中断期？你倾向于永远不改变它们吗？
2. 跟踪密码 - 必须有多个人需要知道这些，您如何在记录密码的同时对它们进行合理保密？
3. 您在多台机器/服务中使用同一个帐户到什么程度？您如何跟踪哪个帐户在何处使用？有什么工具可以帮助解决这个问题？
4. 有没有人找到合适的最低权限设置的好资源来满足 SQL Server、Sharepoint 等应用程序的常见服务帐户要求。

我正在运行一个 debian etch 服务器，用户将在其中通过 ssh 登录（希望）chroot jail。我如何才能以无法删除或阻止的方式记录他们执行的命令？

我正在设置新的 Tomcat 部署，并希望它尽可能安全。

我创建了一个“jakarta”用户，并让 jsvc 作为守护进程运行 Tomcat。有关目录权限等的任何提示，以限制对 Tomcat 文件的访问？

我知道我需要删除默认的 web 应用程序 - 文档、示例等......我应该在这里使用任何最佳实践吗？所有的配置 XML 文件呢？有什么提示吗？

是否值得启用安全管理器以便 web 应用程序在沙箱中运行？有没有人有设置这个的经验？

我见过有人在 Apache 后面运行两个 Tomcat 实例的例子。似乎这可以使用 mod_jk 或使用 mod_proxy 来完成......任何优点/缺点？值得麻烦吗？

如果重要，操作系统是 Debian lenny。我没有使用 apt-get，因为 lenny 只提供 tomcat 5.5 而我们需要 6.x。

谢谢！

来自：http : //seclists.org/fulldisclosure/2009/Jul/0388.html

如果我从以下帖子中理解得最好：http : //news.ycombinator.com/item?id=723798 Matasano 的人让 sshd 互联网可访问 - 对此有任何建议的解决方案（从编程的角度来看）？

我正在使用 SQL Server 2008 Management Studio。当前登录帐户属于机器本地管理员组。我在 SQL Server 2008 中使用 Windows 集成安全模式。

我的问题是，登录 SQL Server Management Studio 后，我在 Security/Logins 下选择我的登录名，然后选择 Server Roles 选项卡，然后选择最后一项 -- sysadmin 使自己属于这个组/角色，但它说我没有足够的权限。任何想法有什么问题？我认为本地管理员应该可以做任何事情。:-)

我的 CentOS/RHEL 系统可能被黑了，我不确定。但是我通过从头开始创建一个新切片来确保安全。

我已经安装了tripwire，但我也想在任何人登录时收到电子邮件。我不想等待每日日志观察报告，我想要在任何人登录时立即收到电子邮件。最好也有他们的 IP 地址。

建议？

类似于在日志文件条目上发送电子邮件警报？但也许有人有解决这个特定问题的技术。

谢谢，

拉里

补充：http : //forums11.itrc.hp.com/service/forums/questionanswer.do?admit=109447626+1249534744623+28353475&threadId=698232有一些想法

这个场景也发布在 SO 上，针对不同的观众提出了不同的问题 - 我很高兴我这样做了，因为我收到了一些非常好的回应。

我们正在尝试为企业组织内的 4 名开发人员小团队使用虚拟化实现开发环境。这将使我们能够设置单独的开发、测试和暂存环境，并允许访问我们正在评估的系统或工具所需的新操作系统。

我们重新设计了一台现有的工作站级机器，加入了 24GB RAM 和 RAID-10，在我们尝试将机器添加到域之前，一切都很好。

现在，我们开始了所有企业开发人员从一开始就不得不打的战争——为开发和测试环境的本地控制而战。网络和 IT 管理员提出了许多担忧，从“ESX Server 是企业标准”到“客户端 VLAN 上不允许使用服务器”，再到“[填空] 不是当前拥有的技能集。本地或企业 IT 组织”。

我们可能可以证明生产级硬件和正式 IT 支持的合理性（阅读：如果必须，我们可以证明这种需求是合理的，但这需要时间并涉及很多头痛）-但正式获得 IT 资源可能需要数月时间通过将其视为生产系统来分配 - 即使我们这样做了，我们也可能会失去我们想要的本地控制。

我想你们中的许多人都曾与企业内的开发人员在非生产环境的开发人员控制方面有过类似的斗争，所以我的问题如下：

1. 您的开发人员提出了哪些论点让您相信这些类型的孤岛存在于拥有标准网络和安全策略的企业中，这些策略通常（并且可以理解）排除这种类型的非（集中）管理的基础设施？
2. 这只是开发人员提出技术或业务理由并确保补丁管理和 AV 会发生的问题 - 还是更多的控制权和所有权的政治斗争？
3. 如果有选择，您是愿意在授予开发人员本地管理员权限的同时获得硬件/操作系统的所有权和支持，还是让他们完全管理它，同时确保他们建立补丁管理/反病毒软件并在出现问题时向他们收取责任？
4. 如果您成功阻止开发人员在您的基础设施上对“流氓服务器”进行本地控制，那么开发人员是刚刚到期还是他们（或您）将开发环境移动到断开连接的 VLAN/完全独立的网络？

限制此问题范围的几个假设：

1. 重申一遍，这是针对开发环境的——不需要生产负载或可支持性。外部无法访问任何内容。
2. 这不是 Hyper-V 与 ESX 的圣战（我们都可以接受 - 但选择了 Hyper-V，因为它在 MSDN 中“免费”用于这些目的[是的，VMWare 也有免费工具 - 但良好的管理工具通常不是]，并且由本地开发人员在“微软商店”中更容易管理） - 因此支持或反对任何一个的论点都超出了这个问题的范围。
3. 开发团队已经保证要么管理补丁管理和防病毒，要么在 IT 支持的情况下与现有的企业系统集成 - 但无论您是否愿意接受，这肯定在范围内。

我通读了关于邮箱审计的Technet 文章，但它似乎只适用于 MAPI 访问。

我执行以下 cmdlet 以启用所有者审核：

> Set-Mailbox -Identity "Mr. Mel-Bin" -AuditEnabled $true -AuditOwner Create,SoftDelete,HardDelete,Update,Move,MoveToDeletedItems

这不会返回任何输出。然后，我使用 IMAP 客户端移动邮箱中的一些邮件并执行以下 cmdlet 以查看审核是否有效：

>Search-MailboxAuditLog -Identity bfernan -LogonTypes Owner -ShowDetails -StartDate 10/9/2011

这不返回任何输出。是否存在我忽略的问题，或者 Exchange 2010 是否只是不审核 IMAP 访问？

我目前使用 root 阻止所有 ssh 登录。但是我想加倍努力并阻止尝试以 root 身份登录的客户端的 IP 地址。我目前有 denyhosts 和 fail2ban 设置和工作，我可以使用 denyhosts 和或 fail2ban 来阻止那些尝试以 root 登录的人的 IP 地址吗？

我的意思是使用 HTML5 套接字并且不需要安装的纯 javascript 客户端，只需在浏览器中打开单个 js 文件。是否有可能编写这样的客户端？