论坛徽章:: 154

1楼 [报告]

发表于 2014-04-18 21:47 |显示全部楼层

本帖最后由 shang2010 于 2014-04-22 13:27 编辑

1. 那些你曾经忽视过的安全问题，给你带来的苦头？
经历太少了，没因安全问题带来苦头，反倒因为“安全问题”带来不少麻烦，比如ssh不能root登陆，还要麻烦自己去修改配置
（经验太少，呵呵，不过我说的也是很多同仁共同遇到的问题，安全的同时也会带来麻烦）

2. 你是如何做安全防范的？
对于线上环境，一般都会规矩照着产品手册中的安全指导的要求来。比如，尽量少的package, service, port等等，还有加固等等；尽量选择有维护支持的产品
当然还有基本的工作，防火墙，杀软扫描，漏洞扫描，日志行为审计
总之，配置很老实。比如简单lamp单机环境，mysql就只接受本地unix/socket连接

3. 除了update系统，对于不可预知的系统漏洞，我们如何做好系统漏洞被发现到漏洞被修复这段空档时间的安全防范？
1，资源访问限制，比如网络隔离。我们没有实力做足够的防范，（我也不相信那些嘴上说得很轻松的同仁）
2，唯一可靠的就是抓紧数据备份和保存日志，保证客户利益优先

4. 作为系统软件应用者，我们没有审计代码的时间，甚至没有这种能力，我们该如何应付代码级的安全问题？
这类问题太复杂了。一般管理流程上，让代码给资深员工（权限）过目后，才肯commit到正式产品代码库。关于研发的那些事，应用者真是太被动了，

5. 魔高一尺，道高一丈，不会攻击，何谈防范？你是如何测试自己系统的安全性的？
不会做专业测试。只能相信红帽微软提供的是高科技产品，本身提供了一些防范，比如采用ubuntu/apparmor, rhel/selinux，这些能将系统安全性从c2提高到b级别。
这里有个介绍https://help.ubuntu.com/14.04/serverguide/apparmor.html，rhel的产品文档做得更好，就不列举。

自己pc或实验环境就充分不安全了，比如root密码就是root，比如win8的微软账户，我还专门搞pin快速登录1234，主要是为了方便

6. 你是否关注各种安全漏洞平台，比如：某云、某数字库带、某度漏洞报告中心？你可能不知道有多少小菜盯着他们等着脱你的“裤”……
优先关注产品官方提供的安全通告，打补丁，毕竟人家有实力，能提供可靠的支持。偶尔也会关心某云，某库，事不关己高高挂起

7. 必不可少的安全工具？sqlmap、WebCruiser？
http://www.tenable.com/products/nessus，
还有一些商业扫描器

求各位大大赏本书