来自 DDOS 2021-06-10 18:11 的文章

防御ddos_ddos攻击怎么防御_原理

防御ddos_ddos攻击怎么防御_原理

ImmuniWeb>安全博客DevSecops Deep Dive第二部分3.1k 87 5 17 More 6 9 1,星期四,电脑管家能防御ddos吗,2018年11月8日,星期四,阅读时间:5分钟。在第二部分,我们深入探讨产品部署和维护实践,以将安全性集成到DevOps过程中。本系列的第一部分研究了DevOps的Dev端。DevSecOps中的Ops和Sec在DevOps工作流中,"操作"指的是实时服务的运行和维护,以及应用程序的启动、分发和持续支持。由于DevOps的周期性,运营部门的部分职责是收集有关web应用程序的真实缺陷、问题和成功的实际数据,以便为开发提供反馈。安全应该成为这一进程的自然组成部分。在当前的环境中,安全性是由单独的应用程序提供的一个单独的过程,用于保护本身没有内置安全性的系统,安全性就成了业务的抑制剂。Bromium Research于2017年委托进行的一项调查发现,74%的CISO表示,他们的用户认为安全性干扰了他们的工作。74%的CISO遇到过安全干扰工作的投诉。通过更集成的DevSecOps应用程序开发方法,安全性不仅无缝集成到web应用程序中,而且应用程序本质上更安全,漏洞更少,阿里ddos攻击防御,与安全相关的停机时间更少。将安全整合到行动中需要什么?Gartner的建议是"重新设想如何安全地部署和维护服务"。这样的重新设想涉及到什么,应该实施哪些关键思想?代码验证经常会在没有正确验证的情况下接收或编写新代码。2018年6月,Ticketmaster披露了因将Inbenta创建的定制JavaScript代码应用于Ticketmaster的支付页面而导致的数据泄露。虽然该代码是专门为Ticketmaster创建的,但它并不打算用于客户支付,而是在未经任何验证的情况下实现和使用的。这使得攻击者(称为Magecart组,ddos攻击防御必须有带宽,专门窃取付款详细信息)能够利用该代码并提取2月至6月之间进行的交易的支付信息。安全公司RiskIQ后来证实,Inbenta被攻破,Magecart攻击者更改了Inbenta提供给Ticketmaster的代码。如果Ticketmaster在DevSecOps过程中使用了足够的代码验证,那么这种情况本可以被检测到并得到纠正。为了防止这样的错误,有效的DevSecOps环境应该有适当的策略和基础设施来正确验证任何新代码。这适用于在部署之前验证内部创建的代码,以及在集成之前验证外部源代码。这部分可以通过手动安全检查来实现,但应在可能的情况下应用自动化。适应性部署和修补业务在对组件和基础架构进行修补的需求方面仍然反应迟钝。Duo在2017年发布的一份报告发现,只有31%的企业端点运行完全更新的windows10版本。打补丁可能会带来公司系统宕机的风险,或者至少是担心宕机,而且并非所有员工都完全理解其紧迫性,因此它很容易滑落到优先级链中。只有31%的端点运行的是最新版本的Windows—必须寻找新的解决方案和方法,以便在整个DevOps周期中包含连续修补。在意外情况下,在组件的最新版本中出现新的、更严重的安全问题时,将响应系统临时回滚到早期版本也很有帮助。自动化安全自动化非常有用,因为它减少了人为错误的能力。2016年,Gartner发现首席信息官面临的最大障碍是其员工的技能和资源。从那时起,安全领域日益严重的技能短缺不断得到证实。如果你没有足够的合格员工来完成所需的工作,一种方法是减少必要的工作,而这最好通过自动化来实现。今天的云计算原生平台具有可编程性和可定制性的优势;这些资产也应纳入安全性。在可能的情况下,应实现对检测到的安全问题和威胁的自动响应,并在需要人工操作时自动报告。持续、主动的安全转移到云本地平台和微服务为主动安全提供了新的机会。Gartner建议的一种方法是系统地停止运行微服务,并在不停机的情况下重新引入。这样做的好处是,即使是未被发现的违规行为,也能最大限度地减少任何损害。一般来说,持续安全意味着实施控制和组件,而不仅仅是策略,重点是适应性预防和缓解。High Tech Bridge首席执行官伊利亚·科洛琴科(Ilia Kolochenko)解释说:Gartner建议的一种方法是系统地循环使用微服务,并在不停机的情况下重新引入今天安全的东西明天很容易变得脆弱。尽管有严格的政策和全面的安全控制措施,cc攻击防御软件,但由于疏忽而造成的人为错误或紧急业务需求往往会导致严重的漏洞。始终记住,应用程序安全性是一个永久性的过程,而不是一次性的投资。DevSecOps应该被认为是必要的,防御ddos虚拟主机,而不是一个选项Gartner将成功破坏运行时应用程序的最常见原因指定为错误配置或安全管理不当。我们当然看到了由于未能修补关键组件而造成的损害。臭名昭著的Equifax漏洞是由于未能在ApacheStruts框架中实现两个月前的关键安全更新而导致的,导致超过1.45亿客户的个人数据被泄露。最常见的违规原因是配置错误、管理不善或错误。我们仍然看到这种违规行为造成的后果和损害。2018年9月19日,英国信息专员对Equifax有限公司发出了500000英镑的罚款通知。这是1998年《数据保护法》允许的最高罚款。事件发生在2017年5月13日至7月30日之间,即GDPR于2018年5月25日开始活跃之前。如果在事件发生时GDPR是积极的,罚款将相当高。ICO说,"调查人员发现数据保留、IT系统修补和审计程序存在重大问题。虽然在开发过程中可能会引入漏洞,但操作是任何给定漏洞的影响点。由于应用程序在部署之前不会开始处理客户数据,因此负责实现和维护的团队也要对丢失的数据承担第一责任。Gartner的DevSecOps实践保护运营不受人为错误的影响,确保灵活性和适应性,并允许公司在服务中断最小的情况下保持合规性。实现DevSecOps将所有这些点实现到DevSecOps工作流中需要多方面的方法和周密的规划。其中一个关键的方面是选择正确的组件和服务,以使运营的中断最小。由于DevSecOps环境本质上是连续的工作环境-开发和部署处于不断改进和适应的周期中-安全性需要通过不断扫描和可扩展的解决方案来对此作出响应。为了保证操作安全平稳地运行,尽快识别安全问题并采取基于风险的方法来处理这些问题是很重要的。没有管理员希望遇到频繁的长时间停机,以便在出现小的、低数据风险的安全问题时立即进行修复。然而,当出现重大问题,使敏感的客户和公司数据面临风险时,尽快处理修补和损坏限制更为经济。否则,该公司将面临丧失合规性、监管机构巨额罚款以及消费者丧失信心的风险。尽快发现安全问题并采取基于风险的方法来处理这些问题是很重要的。High Tech Bridge的ImmuniWeb连续应用程序安全测试是持续安全监控的强大工具,可以有效地集成到健壮的DevSecOps环境中。通过高科技桥梁屡获殊荣的人工增强人工智能扫描和渗透测试,安全漏洞可以被发现并迅速补救。一个可视化的、基于风险的仪表板允许安全和操作协同工作,应用紧急修复而不需要不必要的应用程序停机。函数getSelectionHtml(){var html="";if(typeof窗口.getSelection!="未定义"){var sel=窗口.getSelection();如果(选择范围计数){var容器=文档.createElement("div");对于(var i=0,len=选择范围计数;i