- 综合排序
- 最热优先
- 最新优先
- 来自专栏绿盟科技研究通讯
【云原生应用安全】云原生应用安全风险思考
一、概述 随着云计算技术的不断发展，当前绝大多数企业正在数字化转型的道路上砥砺前行，其中企业上云是必经之路，在相应实践过程中，传统应用存在升级缓慢、架构臃肿、无法弹性扩展及快速迭代等问题，于是近年来云原生 3.2云原生业务带来的新风险 在之前的概述小节中，笔者提到应用架构的变革也会为云原生应用业务带来新的风险，说到此处，读者们可能会产生疑问，云原生应用业务风险和上一小节提到的云原生应用风险有何区别，笔者看来 >>>> 4.1.2 服务托管云服务厂商带来的风险 传统应用中，例如Web应用常部署在本地/远程服务器上，关于服务端的操作系统漏洞修补、网络拓扑的安全、应用在服务端的访问日志及监控等均需要特定的运维人员去处理 ，而Serverless的服务器托管云服务商的特点将导致开发者无法感知到服务器的存在，实际上开发者也无须对服务器进行操作，只需关注应用本身的安全即可，服务器的安全则交由云厂商管理，所以在我们也可以认为Serverless 的这一特征实际上降低了安全风险。
2.9K33发布于 2021-08-06 - 来自专栏SDNLAB
云计算时代的安全风险
在云计算之前，企业在内部服务器甚至文件柜上来存储他们的信息。现在，很多云服务提供商（CSP）依靠第三方平台来容纳和保护他们的信息。由于需要存储大量的数据，公司在这些平台提供的服务器上租用时间更便宜。 这些事件再次向供应链专业人员敲响了确保数据安全的警钟。以下几个变量将会发挥作用：如果数据以电子方式存储在内部服务器上，网络基础设施是否提供了分层级的安全性？ 假设您在第三方基础设施（如Amazon）上构建应用程序，您提供了可靠的安全层，但您仍然可能会遇到应用程序本身的问题。 许多第三方平台提供强大的安全层，但如果代码不好，没有正式的程序显示他们在应用程序安全性方面很强，用户应该重新评估他们的云。 ☘ 频繁的软件升级，它提供一个良好的机制，以确保安全和风险缓解。
2.4K30发布于 2018-03-30 - 来自专栏云鼎实验室的专栏
浅谈云上攻防——Etcd风险剖析
Ectd攻击场景 在搭建Kubernetes并配置Etcd服务时，如果出现了上一章节中提到的错误配置或漏洞风险点，攻击者可以利用Etcd的风险点发起攻击。 p=827 https://tttang.com/archive/1465/ 云上攻防往期推荐： 浅谈云上攻防——元数据服务带来的安全挑战 浅谈云上攻防——Web应用托管服务中的元数据安全隐患 浅谈云上攻防 ——对象存储服务访问策略评估机制研究 浅谈云上攻防——Kubelet访问控制机制与提权方法研究 浅谈云上攻防——国内首个对象存储攻防矩阵 浅谈云上攻防——SSRF漏洞带来的新威胁 浅谈云上攻防——CVE -2020-8562漏洞为k8s带来的安全挑战 浅谈云上攻防——云服务器攻防矩阵 END 更多精彩内容点击下方扫码关注哦~ 云鼎实验室视频号 一分钟走进趣味科技 -扫码关注我们 - 关注云鼎实验室，获取更多安全情报
3.6K41编辑于 2022-04-27 - 来自专栏云计算D1net
云计算安全风险：你的行业安全吗?
信息安全解决方案并非万能，在制定计划前，你需要将行业特性考虑在内。 涉及到企业云部署带来的安全风险及危险时，更是如此。 正因如此，CloudLock的第四季度网络安全报告中提到了八个不同行业的云计算威胁以及预防措施。 首先，让我们看下共同的趋势。 此外，知识型员工数量远少于店面工作人员，这意味着仅有三分之一的员工可以在云上创建内容，1%的员工掌握69%的企业数据。 零售业企业需要和大量私人数据打交道且经常处理信用卡交易。 确定了最大的隐忧后，CloudLock报告建议企业对员工进行培训并根据新威胁来重新审查安全策略。 K-12 随着越来越多的平板电脑及Chromebook类的轻量级终端开始进入K-12学校系统，毫无疑问云计算也变成一个越来越大的隐忧。潜在的法律风险非常巨大，年轻的用户群让情况变得更加复杂起来。
2.9K81发布于 2018-03-23 - 来自专栏yuancao博客
云上应用安全
通过阿里云WAF保护应用安全 什么是阿里云WAF？ 阿里云WAF的产品功能 阿里云WAF的竞争优势 1.资源能力 2.数据模型 阿里云WAF工作原理 阿里云WAF应用防火墙安全监测流程 阿里云WAF接入方法 WAF的不同版本 3.SQL注入及防护 什么是 WAF防止CC攻击 6.阿里云WAF的业务风控安全实践 关键业务欺诈场景 1.垃圾注册 2.登录撞库 3.营销作弊 通过阿里云WAF进行数据风控 风控原理 风控流程 课程介绍 1.WEB应用安全概述 2.通过阿里云WAF保护应用安全 什么是阿里云WAF？ ? 阿里云WAF的产品功能 ? 阿里云WAF的竞争优势 1.资源能力 ? 2.数据模型 ? 阿里云WAF工作原理 ? 阿里云WAF应用防火墙安全监测流程 ? 阿里云WAF接入方法 ? WAF的不同版本 ? 3.SQL注入及防护 什么是SQL注入攻击？ ? SQL注入攻击的现象 ?
2.7K43发布于 2020-10-10 - 来自专栏yuancao博客
云上数据安全
目录 课程介绍 1.数据安全概述 常见的数据安全问题 数据本身及数据防护的安全 阿里云的数据安全防护 2.数据备份、恢复和容灾 常见的不同级别的备份方法 云服务器ECS快照 云数据库RDS备份与恢复 云数据库加密存储——TDE透明数据加密 云存储OSS加密存储——客户端加密保护数据 云存储OSS数据完整性验证 阿里云加密服务 4.数据传输安全 数据传输安全风险认识 https协议 有效的https 安全传输 云盾证书服务 如何使用云盾证书？ 云数据库加密存储——TDE透明数据加密 ? 云存储OSS加密存储——客户端加密保护数据 ? 云存储OSS数据完整性验证 ? 阿里云加密服务 ? 4.数据传输安全 数据传输安全风险认识 ? 5.阿里云的数据传输安全实践 负载均衡SLB HTTPS支持 ? Web应用防火墙WAF HTTPS支持 ? 云数据库RDS的传输安全——SSL加密 1.开通SSL ? 2.设置SSL ?
5K43发布于 2020-10-10 - 来自专栏云基础安全
云上安全：云上安全四问之安全防护体系建设
云上业务安全防护保障需要云平台方与租户方的共同建设。 ---- 一、云上安全四问 云上安全体系建设是一个庞大的体系，我们可以通过以下四问，去初步评估检查云上业务上云后的安全性： 云平台安全么？安全合规、安全防护、安全技术、安全管理... ---- 二、云上安全体系 从安全体系上来讲，云上安全主要包括以下几个方面： 物理和基础架构安全：指云计算环境下的数据中心管理、物理设施管理、以及物理服务器和网络设备管理等。 在腾讯云平台安全建设上，腾讯云平台承载了数十万个企业业务系统，在云平台的安全建设及管理上充分投入，保障入驻企业的业务安全稳定运行；在租户方的安全防护建设上，全量配齐安全防护对企业，对企业尤其是中小企业来讲 通常，用户可根据安全责任模型及业务重要性，在网络安全、主机安全、数据安全、应用安全及业务安全防护上评估投入。
5.4K00发布于 2018-09-09 - 来自专栏CloudBest
云计算时代，云安全面临的安全风险
作为重要的数字技术之一，云计算可以帮助企业提高效率、降低数据中心运维成本等，与此同时，企业使用基于云的服务时的安全性也逐渐受到关注。 下面是三个在云计算大环境下，云安全面临的风险。 企业上云后的风险 企业上云后，面临的云上安全风险是很大的。在复杂的云环境下，云配置出现错误、AK特权凭证泄露、云厂商对一些产品的信任等问题都有可能导致企业陷入云安全风险。 基础设施安全风险 与云安全息息相关的，还有企业的基础设施。 上云后，企业的基础设施会面临网络安全、应用安全、数据安全和系统安全风险，一旦安全防护被攻破，攻击者就会进入企业的基础设施盗取企业数据，这将对企业的发展造成灭顶之灾。 如何做好企业使用云计算后的安全的评估，成为了企业上云前的重要一环。接下来，企业在云计算服务安全评估中，应当做好事前评估与持续监督，才能保障安全与促进应用相统一。
1.6K20编辑于 2022-02-10 - 来自专栏CloudBest
Gartner发布云计算安全风险评估 列出7大风险
2008年7月3日消息，据国外媒体报道，研究机构Gartner近日发布一份名为《云计算安全风险评估》的报告，列出了云计算技术存在的7大风险。 Gartner表示，云计算需要进行安全风险评估的领域包括数据完整性、数据恢复及隐私等。此外，还需对电子检索、可监管性及审计问题进行法律方面的评价。以下是Gartner列出的云计算7大风险： ? 1.特权用户的接入 在公司外的场所处理敏感信息可能会带来风险，因为这将绕过企业IT部门对这些信息“物理、逻辑和人工的控制”。 2.可审查性 用户对自己数据的完整性和安全性负有最终的责任。传统服务提供商需要通过外部审计和安全认证，但一些云计算提供商却拒绝接受这样的审查。面对这样的提供商，用户只能用他们的服务做一些琐碎的工作。 4.数据隔离 在云计算的体系下，所有用户的数据都位于共享环境之中。加密能够起一定作用，但是仍然不够。用户应当了解云计算提供商是否将一些数据与另一些隔离开，以及加密服务是否是由专家设计并测试的。
2.1K30发布于 2019-08-02 - 来自专栏云计算D1net
社交网络信息安全:规避云计算风险
云计算风险 安全及数据保护上的顾虑已成为云计算服务普及化的绊脚石，尤其是关于资料保密性、完整性及法规遵循合规性，还有营业保密数据保护等顾虑。 数据损害:考虑到云上特殊的安全威胁，数据损害(如未经授权的删除、篡改或遗失安全密钥)是其中一种危险状况。 云服务的安全性及可用性主要取决于这些接口的安全性。如果这些接口不安全，客户会面临各种数据的保护、完整性及可用性上的风险。 4. 如何避免与降低云安全风险 因为企业及政府对于是否导人云计算，会受限于对风险的考虑，因此在规划导人云技术及云外包服务前，必须先从相关风险是否可被管控的角度来考虑。 云计算用户应采用以下 7 个主要防范措施，来预防或降低安全上的风险。 1.
1.8K61发布于 2018-03-19 - 来自专栏云开发
做好内容安全检测，和风险说「再见」！（上）
本文重点为你讲述： 内容安全检测常见应用场景及解决办法 学会使用小程序·云开发的云函数+结合request-promise第三方库实现内容请求校验 掌握如何在小程序端请求云函数（有别于传统的wx.request 对于小程序而言,这一点在审核上是非常严格的,净化言行,做一个知法守法的人很重要... 接入内容安全检测,规避输入一些违法违规低俗等内容,避免幸辛苦苦开发出来的应用。 接下来为大家重点介绍，如何通过小程序·云开发的云函数实现内容安全检测。 接下来就是处理云函数端,使用request-promise请求请求微信内容安全接口的示例代码。 而小程序的秘钥 AppSecret是不应该放在小程序端的,那样是不安全的,无论是HTTPS方式还是云调用模式,都绕不过后台请求微信提供的内容安全接口,然后在返回给小程序端。
1.9K10发布于 2020-06-03 - 来自专栏SDNLAB
解密：“云”上的安全
尽管以应用为中心的模式在过去不符合企业的需求，但是现在已经有了相当程度的改变，云本地的应用将改变企业数据中心安全工作负载的方式。 1、内部自定义软件将控制数据中心：传统上，企业数据中心运行大量的打包软件，企业可以采取实际的方式从包的外部软件来保护这种类型的工作负载。 但是企业开始在内部安全和周边安全上投注更多的心力：究其原因是“内部”可能驻留在共有云或混合云上。基于应用的“baked-in”模型将更可取，因为它具备高可扩展性和可移植性。 3、企业广泛采用DevOps：传统上，开发和运维之间的职责是分离的，这就划清了开发与运维之间的界限，“after-thought”网络安全模型实际上更适应日常工作流程。 随着云原生应用的出现，云计算被广泛采用，以及积极拥抱DevOps，企业将会寻求能与云计算原生波长相匹配的安全模式。
1.2K70发布于 2018-04-02 - 来自专栏yuancao博客
云上安全综合管理
目录 课程目标 1.安全管理概述 安全管理的重要性 云上安全管理的六大措施 阿里云上安全管理三字经 云上安全管理的注意事项 云上安全远程管理的最佳实践：VPN+堡垒机 阿里云的堡垒机服务 2.阿里云上监控服务 云监控的使用场景 云监控的价值 态势感知 态势感知的使用场景 态势感知的价值 3.云上安全监控和管理的实践 读懂常见的风险报警 自定义的报警规则 用好监控大屏 课程目标 ? 1.安全管理概述 安全管理的重要性 ? ? 云上安全管理的六大措施 ? 阿里云上安全管理三字经 ? 云上安全管理的注意事项 ? 云上安全远程管理的最佳实践：VPN+堡垒机 ? 阿里云的堡垒机服务 ? 2.阿里云上监控服务 ? 云监控的使用场景 ? 云监控的价值 ? 态势感知 态势感知的使用场景 ? 态势感知的价值 ? 3.云上安全监控和管理的实践 读懂常见的风险报警 ? ? 自定义的报警规则 ?
1.4K42发布于 2020-10-10 - 来自专栏SDNLAB
99%的私有云环境中的安全风险
随着复杂性增加，基础设施组件之间的相互依赖性以及向基于云的基础架构的迁移以降低风险和成本，IT中断服务提供商Continuity Software发布了2016年私有云灾难性标准问题（2016 Private 该研究还发现99%的环境中面临的安全风险，97%的环境中存在性能风险，以及82%的公司的数据丢失的风险。 私有云环境的要点包括： ☘ 48%的企业首选操作系统是windows，只有75个使用Linux操作系统，46%的企业使用混合操作系统。 关键风险包括： ☘ 在集群节点之间存在配置转移，这可能是由于诸如亲和力规则的错误设置或集群中存在的所有主机的文件的不可访问性之类的差异而阻止故障转移。 ☘ 网络配置错误，可能导致虚拟机停机和隔离。 好消息是，云基础设施中潜在的大多数风险都可以在服务中断之前被识别和纠正，这需要专门的工具，但最重要的是要有发现风险并补救的战略。”
3.1K70发布于 2018-03-30 - 来自专栏安全播报
腾讯云主机安全 | 常见风险函数使用危害
常见风险函数如下：命令执行类风险函数命令执行类的风险函数（如eval，system，exec等），可以用于执行代码或运行系统命令。 比如如下代码就存在此类风险：eval($_GET['x']);回调类风险函数回调类的风险函数（如call_user_func，usort，array_reduce，preg_filter等），可以用于调用指定的函数 比如如下代码就存在此类风险，通过控制get请求的参数，执行参数可控的任意函数名的函数：call_user_func($_GET['func'],$_GET['arg']);文件操作类风险函数文件操作类的风险函数 path'], $content);除了以上几类较为严重的风险，启发引擎还可能会检测到反序列化、sql注入、混淆加密等风险。 检测到文件存在风险，并不代表此文件一定是webshell，建议您进行如下操作来确认：确认此文件是否为开发者的项目文件。确认此文件是否被篡改。确认此文件中风险函数的使用方式是否符合预期。
6.2K60编辑于 2022-10-20 - 来自专栏云鼎实验室的专栏
浅谈云上攻防系列——云IAM原理&风险以及最佳实践
，以实现对云上资源以及云上业务的身份与权限管理，从而确保云上身份管理的安全以及合规，保障云上资源访问的可审计、风险可控性。 云IAM风险案例 纵观近年来的云安全大事件，其中不乏有很多由于漏洞、错误配置以及错误使用云IAM导致的严重云安全事件，下文我们将回顾几个真实的云IAM安全事件，从IAM漏洞、IAM凭据泄露与错误实践等几个方面来了解云 IAM的安全风险。 ：错误的IAM使用以及不安全IAM凭证管理将会为云安全带来极大的风险。 通过上文分析可见，虽然IAM服务自身拥有如上的众多优势，可以很好支持云上身份与访问管理，但是由于没有遵循安全规范，错误的使用IAM功能，依然会为云上资产带来风险。
3.7K41编辑于 2022-08-29 - 来自专栏绿盟科技研究通讯
云计算安全的新阶段：云上风险发现与治理
公有云上丰富的云化应用和开放接口服务，将为大量第三方应用提供各类能力。 然而，公有云和SaaS服务的暴露面较私有网络中的云服务更大，其产生的攻击面和安全风险不容小视。 从第三章所述的安全事件可见，云上的风险是真实存在的。 按照攻击链的理论，攻击者通常会首先收集各类软件版本和脆弱性的信息，构造相应的工具。 可见，云上的风险可被攻击组织用于宣示政治意图，做意识形态的对抗。 但云上安全治理在未来一段时间内，涉及到云上资产与风险测绘、梳理云上资产归属，以及相关的治理体系和技术建设，将是一个较为长期、体系化的过程。 只有对云化趋势有足够的技术洞察，在软件栈、运营体系上云后，发现并管理暴露的攻击面，持续进行治理和缓解风险，才能更好地防止各类安全事件或数据泄露，保证云上业务的安全性。
1.6K30编辑于 2022-06-06 - 来自专栏腾讯安全
腾讯安全《游戏行业云上安全报告》发布：9成云上主机存在安全基线问题
与此同时，云计算IT架构因架构设计简单、性价比高、系统灵活等优势推动了游戏公司业务的快速迭代发展，也给游戏行业云上安全带来了新的挑战。 近日，腾讯安全发布了《游戏行业云上安全报告》（以下简称“报告”），重点分析了恶意木马、异常登录、爆破攻击、漏洞风险、安全基线、高危命令执行、网络攻击等七大主流安全风险态势，其中大部分都呈增长趋势。 在游戏厂商未及时修复的漏洞中，高危风险的占比高达87%。报告最后建议游戏厂商应综合部署云上安全产品，构筑云上安全防护体系。 安全运维人员需要提高风险意识，积极修复安全漏洞，避免云上资产沦为黑客攻击目标。 安全基线问题凸显，近半数云上主机3天内发现问题 游戏行业30天内发现安全基线风险的云上主机高达88%，45%的企业甚至在3天内发现安全基线问题，其中主要的安全基线风险为Linux口令过期后账号最长有效天数策略
2.6K30发布于 2020-11-18 - 来自专栏腾讯安全
云上造物，内容更安全
“云上造物”面临着前所未有的内容安全挑战，色情、暴力等违法违规内容不仅影响应用健康，更影响业务发展。如何更好地应对内容安全挑战？腾讯安全天御内容风控有答案。 在最近的版本更新中，腾讯安全天御内容风控打通多个云上组件，为开发者打造一站式、智能化的云上内容风控解决方案，在保障业务安全合规的同时，为用户提供创新优质体验。 开发者在构建对象存储（COS）、云直播（CSS）、实时音视频（TRTC）、游戏多媒体引擎（GME）、云点播（VOD）时，一键即可启用内容安全能力，为云上内容保驾护航。点击下图了解更多详情
1.1K20编辑于 2022-11-30 - 来自专栏yuancao博客
云上服务器安全
目录 课程目标 1.服务器面临的安全挑战 2016年服务器安全健康状况 服务器面临的安全挑战 1.高危漏洞攻击 2.开放端口攻击 3.恶意木马攻击 2.服务器安全管理123 服务器安全管理的五种方式 1.及时打补丁 2.修改默认的账号密码 3.启动防火墙 4.关闭不必要的服务、端口 5.检测服务器日志 3.通过安骑士发现登录风险 阿里云安骑士的主要功能 阿里云安骑士架构 1.异地登录 2.暴力破解 1.服务器面临的安全挑战 2016年服务器安全健康状况 ? 服务器面临的安全挑战 自身脆弱性、外部威胁 ? 1.高危漏洞攻击 ? 2.开放端口攻击 ? 3.恶意木马攻击 ? 3.通过安骑士发现登录风险 安骑士是阿里云上的一款安全防护产品 阿里云安骑士的主要功能 ? 阿里云安骑士架构 ? 1.异地登录 ? ? 2.暴力破解 ? 3.登录IP白名单 ? 安骑士漏洞管理主要功能 漏洞管理 软件漏洞 CMS漏洞 基线检查 高危风险配置检测 ? 软件漏洞 ? CMS漏洞 ? 基线检测 ? 安骑士漏洞管理的应用场景 ?
15.1K75发布于 2020-10-10
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号