免费注册 查看新帖 |

Chinaunix

  平台 论坛 博客 文库
最近访问板块 发新帖
查看: 39722 | 回复: 126

[系统安全] IT安全,你准备好了吗? [复制链接]

论坛徽章:
26
CU十二周年纪念徽章
日期:2013-10-24 15:41:34技术图书徽章
日期:2014-07-11 16:27:52辰龙
日期:2014-09-04 13:40:43白羊座
日期:2014-09-09 12:51:55双子座
日期:2014-09-26 11:00:042014年中国系统架构师大会
日期:2014-10-14 15:59:00子鼠
日期:2014-10-23 16:48:23巨蟹座
日期:2014-10-27 08:21:10申猴
日期:2014-12-08 10:16:282015年辞旧岁徽章
日期:2015-03-03 16:54:15NBA常规赛纪念章
日期:2015-05-04 22:32:03IT运维版块每日发帖之星
日期:2016-01-29 06:20:00
发表于 2015-01-07 14:46 |显示全部楼层
获奖名单已公布http://bbs.chinaunix.net/thread-4168075-1-1.html


      2014年1月,中国互联网出现大面积DNS解析故障,国内近三分之二的DNS服务器瘫痪,时间持续数小时之久。
  2014年4月,OpenSSL心血漏洞使黑客可以从特定的服务器上获取64k的工作日志,一次次持续进行,窃取网站的机密数据,还有可能把服务器上的SSL证书私钥也偷走!
  2014年9月 好莱坞明星“艳照门”,黑客疑利用苹果公司的icloub云盘系统的漏洞,非法盗取了众多全球当红女星的裸照,继而在网络论坛发布,共涉及101位明星。

    卡巴斯基实验室的数据显示,2014年遭受针对性攻击的受害者数量是2013年的2.4倍,而遭受这类攻击的企业高达1800家,涉及至少20个行业!
从Duqu蠕虫到数据泄露,各行各业的企业都需要IT专业人士来帮助维护安全、抵御外来攻击。向云端迁移也会带来基础架构安全职位的强烈需求。通过各种独立的网络页面来扫描漏洞、发现风险的应用安全专家。目前社会上对信息安全服务的需求很大,政府部门、银行电信、科研院所、公司企业等都急需大批网络安全人才,网络安全工程师已跻身IT新贵之列。

    2014年初,习总书记在中央网络安全和信息化会议中强调“没有网络安全,就没有国家安全;没有信息化,就没有现代化。”这传递了一个很重要的信息:信息安全已成为国家战略的一个重要组成。

IT安全,你准备好了吗?

本期话题:
1、在贵公司IT建设中,网络安全方面主要采用哪些措施,效果如何?
2、你认为要成为安全方面的专业人员,要具备什么方面的知识?
3、你曾经在IT安全方面是如何学习的,或有什么计划要如何加强自己安全方面的知识?

活动时间:2015.1.7 ~2015.1. 27
讨论有奖:从参与人员中选4名送书《Kali Linux & BackTrack渗透测试实战》,有志成为IT安全的不可错过啊!

clipboard.png
作     者
[韩]赵涏元 等著
出 版 社
人民邮电出版社
出版时间
2014-11-1
ISBN
9787115370587

活动要求:要言之有物,不能低于20个字

论坛徽章:
4
CU大牛徽章
日期:2013-03-13 15:29:07CU大牛徽章
日期:2013-03-13 15:29:49CU大牛徽章
日期:2013-03-13 15:30:192015年迎新春徽章
日期:2015-03-04 09:57:09
发表于 2015-01-07 15:34 |显示全部楼层
本帖最后由 dooros 于 2015-01-19 21:49 编辑

我来谈谈“肤浅的安全观”

一、先谈话题
1、在贵公司IT建设中,网络安全方面主要采用哪些措施,效果如何?
既然是“肤浅”,想必大家也都知道。
硬件层面:硬件防火墙。
系统层面:软件防火墙、端口控制、安全更新。
架构层面:应用分离,别啥啥都往一块凑、装最少的东西跑最优的服务。
应用层面:借助各种公司扫漏洞,自己下乱起八糟的工具扫。

PS:代码审计?你想多了。

2、你认为要成为安全方面的专业人员,要具备什么方面的知识?
最重要的:安全意识。没有意识,再牛逼的技术也是多的。意识走在技术前面,就相当于多了个金钟罩。
知识?太多了,随便去某个书城搜搜安全方面的书,一抓一大把。随便看透一本,你就是大家。
首先,要学会肤浅。不是每个人都能找到内核漏洞、SSL漏洞,老老实实学习网络上流行的漏洞检测、入侵工具的使用(不介绍软件名称了),要善于自查。大多数安全问题,就是被这么一群玩工具的“黑客”给搞了……

3、你曾经在IT安全方面是如何学习的,或有什么计划要如何加强自己安全方面的知识?
买了几本书,搁在床头,等待时间充裕的明天。
千万别像我这样,明天永远是繁忙的。拿起来看吧,哪怕一天10分钟也好。

下面开始自话:
古话有云“魔高一尺,道高一丈。”,既然如此,安全就绝非绝对。
如上述,我做的很有限,撇开硬件不说,无非是装最小系统,然后一步步搭积木,只装最需要的东西,完了,封端口,及时更新漏洞。
从不编译软件安装。./configure && make && make install ?刚接触linux的时候感觉很高大上。现在觉得很烦了……我不知道哪天爆出来个漏洞,我还在出差路上……包管理工具太好用了,啥都不用管。找个临时工都能帮你补漏洞。
优化内核?编译一个自己的?可能是我接触到的产品低级,至今没遇到过必须自己编译内核才能提高应用效率的。
审计代码?技能树有点低,能写,但达不到审计的水平。我把查应用漏洞的的工作都交给了乱起八糟的工具。扫不出来,就算安全了吧,至少心安。关注那些乱七八糟的工具的更新,时不时的扫扫。
备份?必须备份。策略备份,时间点随机备份。

出了安全问题咋办?
有备份吗?有!
能还原吗?能!
还原后数据会有丢失吗?不会!
OK,打包现有环境。研究打包环境……
重装,还原。
应用安全策略。

泄漏算什么?
我是这样认为的,凡是你自己放上网上的东西,就应该是见得光的东西,就应该是敢于泄露的东西。
其实,只要是不是你生儿就有的东西,只要是你展示给别人看的东西,就是有可能泄露的东西。

PS:大马路上都有扒衣服的奇葩呢。

结语:

谁家的服务器被弱口令攻击了,那是罪有应得。

论坛徽章:
4
CU大牛徽章
日期:2013-03-13 15:29:07CU大牛徽章
日期:2013-03-13 15:29:49CU大牛徽章
日期:2013-03-13 15:30:192015年迎新春徽章
日期:2015-03-04 09:57:09
发表于 2015-01-07 15:34 |显示全部楼层
没有绝对的安全啊!

论坛徽章:
26
CU十二周年纪念徽章
日期:2013-10-24 15:41:34技术图书徽章
日期:2014-07-11 16:27:52辰龙
日期:2014-09-04 13:40:43白羊座
日期:2014-09-09 12:51:55双子座
日期:2014-09-26 11:00:042014年中国系统架构师大会
日期:2014-10-14 15:59:00子鼠
日期:2014-10-23 16:48:23巨蟹座
日期:2014-10-27 08:21:10申猴
日期:2014-12-08 10:16:282015年辞旧岁徽章
日期:2015-03-03 16:54:15NBA常规赛纪念章
日期:2015-05-04 22:32:03IT运维版块每日发帖之星
日期:2016-01-29 06:20:00
发表于 2015-01-07 16:08 |显示全部楼层
dooros 发表于 2015-01-07 15:34
没有绝对的安全啊!


是的,就象开车,总有死角,但可以通过各种技术经验与方法,让这个死角不产生车祸。


期待您的精彩分享!

论坛徽章:
223
2022北京冬奥会纪念版徽章
日期:2015-08-10 16:30:32操作系统版块每日发帖之星
日期:2016-05-10 19:22:58操作系统版块每日发帖之星
日期:2016-02-18 06:20:00操作系统版块每日发帖之星
日期:2016-03-01 06:20:00操作系统版块每日发帖之星
日期:2016-03-02 06:20:0015-16赛季CBA联赛之上海
日期:2019-09-20 12:29:3219周年集字徽章-周
日期:2019-10-01 20:47:4815-16赛季CBA联赛之八一
日期:2020-10-23 18:30:5320周年集字徽章-20	
日期:2020-10-28 14:14:2615-16赛季CBA联赛之广夏
日期:2023-02-25 16:26:26CU十四周年纪念徽章
日期:2023-04-13 12:23:10操作系统版块每日发帖之星
日期:2016-05-10 19:22:58
发表于 2015-01-07 16:09 |显示全部楼层
没啥好分享的,老老实实打补丁,该花钱的时候就花钱

论坛徽章:
18
2015年迎新春徽章
日期:2015-03-04 10:16:53操作系统版块每日发帖之星
日期:2016-05-11 06:20:0015-16赛季CBA联赛之佛山
日期:2016-05-06 22:28:4415-16赛季CBA联赛之广夏
日期:2016-04-22 23:24:00操作系统版块每日发帖之星
日期:2016-04-21 06:20:00IT运维版块每周发帖之星
日期:2016-03-07 16:27:44操作系统版块每日发帖之星
日期:2016-02-03 06:20:00IT运维版块每日发帖之星
日期:2016-01-31 06:20:00IT运维版块每日发帖之星
日期:2016-01-30 06:20:00IT运维版块每日发帖之星
日期:2016-01-24 06:20:00IT运维版块每日发帖之星
日期:2016-01-23 06:20:00操作系统版块每日发帖之星
日期:2015-11-26 06:20:00
发表于 2015-01-08 09:30 |显示全部楼层
网络安全!=网络封锁,个人感觉,不论是操作系统还是网络,越是封闭的漏洞越多。越是封闭的,好奇的人越是想了解它的工作原理。GFW只不过是个摆设,也许能阻止我们出去,但是不一定能阻止别人进来,额外还给了我们一个"安全"的假象...

论坛徽章:
26
CU十二周年纪念徽章
日期:2013-10-24 15:41:34技术图书徽章
日期:2014-07-11 16:27:52辰龙
日期:2014-09-04 13:40:43白羊座
日期:2014-09-09 12:51:55双子座
日期:2014-09-26 11:00:042014年中国系统架构师大会
日期:2014-10-14 15:59:00子鼠
日期:2014-10-23 16:48:23巨蟹座
日期:2014-10-27 08:21:10申猴
日期:2014-12-08 10:16:282015年辞旧岁徽章
日期:2015-03-03 16:54:15NBA常规赛纪念章
日期:2015-05-04 22:32:03IT运维版块每日发帖之星
日期:2016-01-29 06:20:00
发表于 2015-01-08 10:02 |显示全部楼层
action08 发表于 2015-01-07 16:09
没啥好分享的,老老实实打补丁,该花钱的时候就花钱


打补丁也是安全必须的一个动作,但在这之前,还有很多的事要做的。


期待您的分享。

论坛徽章:
40
水瓶座
日期:2013-08-15 11:26:422015年辞旧岁徽章
日期:2015-03-03 16:54:152015年亚洲杯之乌兹别克斯坦
日期:2015-03-27 14:01:172015年亚洲杯之约旦
日期:2015-03-31 15:06:442015亚冠之首尔
日期:2015-06-16 23:24:37IT运维版块每日发帖之星
日期:2015-07-01 22:20:002015亚冠之德黑兰石油
日期:2015-07-08 09:32:07IT运维版块每日发帖之星
日期:2015-08-29 06:20:00IT运维版块每日发帖之星
日期:2015-08-29 06:20:00IT运维版块每日发帖之星
日期:2015-10-10 06:20:00IT运维版块每日发帖之星
日期:2015-10-11 06:20:00IT运维版块每日发帖之星
日期:2015-11-10 06:20:00
发表于 2015-01-08 10:38 |显示全部楼层
本帖最后由 forgaoqiang 于 2015-01-08 17:00 编辑


1、在贵公司IT建设中,网络安全方面主要采用哪些措施,效果如何?
俺们公司规模小,网络设备少,服务器也不到十台,好多网络产品都是自己的,对付网络安全问题还是比较简单的。路由器直接采用的软路由操作系统Mikrotik ROS,内置很强大的防火墙功能,端口不该开放的就不开放。对于过于猖狂的恶意破解访问的IP直接TCP reset掉(这一招比较狠,比传统的reject/drop好用多了,听说好多扫描器会因此死掉呢)
QQ截图20150108164634.jpg
服务器基本上干都是Ubuntu Server,开放着openssh端口访问,大家在外地出差也可以通过ros的dnat到编译等服务器完成自己的工作,基本上都是密码保护的证书方式,还没有遇到过别人成功的入侵事件( 估计是没人看得上)。

2、你认为要成为安全方面的专业人员,要具备什么方面的知识?
首先得懂点网络吧,安全问题基本上都是网络过来的,然后就得懂点操作系统的知识吧,然后就是一些应用的问题得懂点,比如那个web服务器啥的,然后就是对应的一些程序本身的问题了,很多都部署WAP(应用防火墙的),但是应用自身有问题不好办呀,至少现在web漏洞那么火爆,不懂点数据库啥的也不是合格的安全人员吧。漏洞分布:
QQ截图20150108165456.jpg

3、你曾经在IT安全方面是如何学习的,或有什么计划要如何加强自己安全方面的知识?
这个不是专业人士,就是学习些网络知识、操作系统的内容,BT之类的工具用过,因为网络方面的工作,所以经常抓包,能够看到很多底层的问题,偶尔也做做web的开发工作(功能性代码,很少有界面),都略有涉及。计划的话就是:最近开始复习(学习)下汇编啥的,尝试往底层走走。

论坛徽章:
223
2022北京冬奥会纪念版徽章
日期:2015-08-10 16:30:32操作系统版块每日发帖之星
日期:2016-05-10 19:22:58操作系统版块每日发帖之星
日期:2016-02-18 06:20:00操作系统版块每日发帖之星
日期:2016-03-01 06:20:00操作系统版块每日发帖之星
日期:2016-03-02 06:20:0015-16赛季CBA联赛之上海
日期:2019-09-20 12:29:3219周年集字徽章-周
日期:2019-10-01 20:47:4815-16赛季CBA联赛之八一
日期:2020-10-23 18:30:5320周年集字徽章-20	
日期:2020-10-28 14:14:2615-16赛季CBA联赛之广夏
日期:2023-02-25 16:26:26CU十四周年纪念徽章
日期:2023-04-13 12:23:10操作系统版块每日发帖之星
日期:2016-05-10 19:22:58
发表于 2015-01-08 11:34 |显示全部楼层
cryboy2001 发表于 2015-01-08 10:02
打补丁也是安全必须的一个动作,但在这之前,还有很多的事要做的。


没钱到哪里了都蹩脚。赚钱养小三了就是硬道理

论坛徽章:
40
水瓶座
日期:2013-08-15 11:26:422015年辞旧岁徽章
日期:2015-03-03 16:54:152015年亚洲杯之乌兹别克斯坦
日期:2015-03-27 14:01:172015年亚洲杯之约旦
日期:2015-03-31 15:06:442015亚冠之首尔
日期:2015-06-16 23:24:37IT运维版块每日发帖之星
日期:2015-07-01 22:20:002015亚冠之德黑兰石油
日期:2015-07-08 09:32:07IT运维版块每日发帖之星
日期:2015-08-29 06:20:00IT运维版块每日发帖之星
日期:2015-08-29 06:20:00IT运维版块每日发帖之星
日期:2015-10-10 06:20:00IT运维版块每日发帖之星
日期:2015-10-11 06:20:00IT运维版块每日发帖之星
日期:2015-11-10 06:20:00
发表于 2015-01-09 13:49 |显示全部楼层
国内不知道有没有这样的公司 只不过很多企业是真的不愿意给这些公司看吧 怕内部信息泄露 其实说实话 最主要的原因应该是:

其实企业也知道自己的网络安全烂的一塌糊涂,惨不忍睹,所以也就掖着藏着~

xfzhi888 发表于 2015-01-09 12:54
有专业的安全顾问公司,来帮忙找找漏洞和安全风险啥的。安全方面目前就搞了个硬件防火墙。互联网访问公司内 ...
您需要登录后才可以回帖 登录 | 注册

本版积分规则 发表回复

  

北京盛拓优讯信息技术有限公司. 版权所有 京ICP备16024965号-6 北京市公安局海淀分局网监中心备案编号:11010802020122 niuxiaotong@pcpop.com 17352615567
未成年举报专区
中国互联网协会会员  联系我们:huangweiwei@itpub.net
感谢所有关心和支持过ChinaUnix的朋友们 转载本站内容请注明原作者名及出处

清除 Cookies - ChinaUnix - Archiver - WAP - TOP