3回答
根据OWASP，我们有一个十大移动应用程序漏洞列表。
但我们可以肯定的是，移动应用程序，特别是android应用程序的漏洞数量远远超过这里列出的数量。而且，我也找不到一个全面的清单，无论是安卓或iOS渗透测试在互联网上的任何地方。如果有人有这样的列表与移动应用程序漏洞及其测试方法，请在这里分享。任何类似链接到任何这样的来源也会被娱乐。
浏览 0提问于2014-11-25得票数 9
回答已采纳
我正在寻找不同的方式来连接不同地区的两台VPC，而不需要通过公共互联网穿越流量。
浏览 4提问于2020-05-06得票数 0
回答已采纳
我试图弄清楚上述概念是如何结合在一起的。据我所知，安全需求工程(SRE)、风险分析(RA)和威胁建模(TM)是最终允许信息系统更接近预期安全目标的方法(CIA Triad、IAS Octave等)。
我的问题是，它们是可以彼此独立执行的不相交的概念，还是存在某种层次结构？
我是否错误地说，SRE是一个包罗万象的过程，它可以包含RA，而RA反过来又可以使用TM来确定威胁？
有没有人对SRE的基本原理和它包含的概念有很好的来源？
浏览 0提问于2015-05-16得票数 4
简单地说，当有人想要学习攻击性网络应用程序(或系统)黑客时，可以下载OWASP DVWA或注册到Hackthebox，并观看Ippsec视频，看看“如何走路”。这是非常具体和实际的(没有理论界)。
但风险分析(例如: ISO 27005、NIST SP 800-30、EBIOS等)怎么办？我在互联网上看到的唯一一件事就是关于这些方法为什么如此伟大等的大量理论论文。没有实际的用例显示它是如何在更具体的情况下应用的。
我知道在互联网上发布你的组织风险分析结果可能不是个好主意，但是我们(初学者)应该怎么做呢？
您知道我应该从哪里开始或研究IT安全风险分析的更实际的概述吗？
浏览 0提问于2021-05-16得票数 1
2回答
如果您的公司聘请第三方戊酯进行漏洞扫描，您会吗？
白名单的五酯，以便他们可以彻底扫描互联网上的机器，或
不要白名单，让你有一个更好的衡量你的对策的有效性？
浏览 0提问于2015-09-14得票数 2
回答已采纳
我知道，一个数据库连接到公共互联网是一个“禁止”，并与许多威胁。例如，最好的做法是应用服务器，但我现在的问题是，是否有人知道官方来源，哪里描述了公共数据库连接的威胁，或者为什么不应该这样做？
浏览 0提问于2021-02-18得票数 0
2回答
我有一个Ubuntu盒，连接到互联网并提供ICS。
如果我通过运行以下命令列出打开的端口：
netstat -tulnap | grep LISTEN
它向我展示：
tcp 0 0 127.0.0.1:445 0.0.0.0:* LISTEN 1419/smbd
tcp 0 0 192.168.0.2:445 0.0.0.0:* LISTEN 1419/smbd
tcp 0 0 127.0.0.1:139
浏览 0提问于2020-03-24得票数 4
如果我的经理要求我对我们的SaaS系统的安全性/易受攻击程度进行排序，那么有哪些方法可以这样做呢？
我知道有证书可用，但我正在寻找一些东西，可以在家里做。
此外，寻找一个有点正规化的评价体系。
浏览 0提问于2016-05-02得票数 2
回答已采纳
1回答
我希望在Xamarin应用程序中查看多种类型的文档。我尝试过WebView控件，但它使用互联网查看文档。我在找一个离线工作的解决方案。
要求：
.NET Xamarin (安卓/ ios)兼容
可通过Nuget访问
离线访问(无互联网)
PDF / Office文档/图像
流线型UX
多页滚动/布局
浏览 0提问于2021-03-09得票数 0
回答已采纳
我正在根据信息安全风险管理指南进行风险分析，在风险评估表中有一栏名为“风险情景的初始可能性”。风险情景的可能性和风险情景的初始可能性之间有什么区别？
浏览 0提问于2022-06-20得票数 -1
回答已采纳
如何在windows功能上安装“IIS客户端证书映射身份验证”。
以下:互联网信息服务>>万维网服务>>安全
操作系统: win 8 IIS: 8.5
如下图所示
浏览 2提问于2015-08-14得票数 2
回答已采纳
1回答
我对信息安全领域有点陌生。我知道OWASP前10名，SANS前25名等标准。最近，我的工作角色要求我学习威胁建模。在企业级，是否有一个指向学习威胁建模和工具的好教程？
浏览 0提问于2016-12-12得票数 0
回答已采纳
在互联网上以原始的base64格式发送Android Market公钥安全吗？如果我这样做，我会遇到什么问题？
浏览 1提问于2010-12-12得票数 1
回答已采纳
我的组织正在实施一种解决方案，它需要来自microsoft的信息保护。
我们试图获取策略和标签，以便：
labelapply/publish 添加标签(标签策略)
是否有可能通过api实现这一目标？
浏览 5提问于2021-01-11得票数 0
2回答
我一直试图在connect 4中实现minimax算法，但我遇到了一个问题，即只有两个值可以评估移动:胜局无穷大和相反的-infinity，我需要一个巨大的深度才能在第一步达到这些值，所以我需要一个评估函数，但我不知道它应该是怎样的.有什么想法吗？
浏览 0提问于2013-12-25得票数 0
回答已采纳
由于GDPR，我们正在寻找一种方法来帮助我们从生产SQL Server中识别恶意活动或数据破坏。
看来，如果我们使用Azure，这是一个开关。
什么是在前提服务器上可用的？
浏览 0提问于2018-02-01得票数 4
“MySQL的Azure防御者”和“用于MySQL的Azure数据库的高级威胁保护”有什么区别吗？还是两者是一样的？
如果两者不同，如何使用Azure门户为MySQL配置或设置Azure保护程序？
谢谢拉文德拉
浏览 4提问于2020-10-28得票数 0
回答已采纳
我刚刚意识到，在没有启用MongoChef选项的情况下，我已经使用MongoChef(一个数据库GUI)连接(发送用户名和密码)到我的生产MongoChef数据库好几周了。最近，我从另一个GUI切换到了MongoChef，完全忘记了启用SSL。
我很有信心，在我的本地网络上没有人在嗅探(所有我信任的人)。我最担心的是某个人，在我和数据库之间的ISP设备上，有人在监听和收集可能有价值的数据。
我想知道是否存在量化风险？有没有人能让我决定我是否受到了伤害。如果有任何不同，我所连接的数据中心是在该国的一个邻近地区。
谢谢
浏览 0提问于2016-10-12得票数 4
回答已采纳
1回答
我有一台联想x200t平板电脑，内置了WWAN。
我正在尝试使用AT命令和一个C#程序连接到互联网，这样程序就可以连接到网络，并根据需要上传信息。
我不想使用联想的“访问连接”，因为它对最终用户来说太复杂了。
到目前为止，我已经能够使用终端打开和关闭卡，拨打固定电话和发送短信。然而，我似乎无法访问互联网使用它。
在删除"Access Connections“软件/bloatware之前，我可以通过它访问网络。
我用来尝试和访问网络的命令是：
"AT+CFUN=1"Send 连接到调制解调器，按照这里的建议发送初始化字符串 AT*ENAP=1,1
Windows表示，它正
浏览 1提问于2009-11-19得票数 0
回答已采纳
我希望从下载以下tileset (v3.11,2020年发布)
这里提供了完整的平铺集外观的预览。我可以检查一下，如果在离线设置中使用这些矢量瓦片，预览中显示的细节级别是否相同？或者如果离线使用(没有互联网)，质量会受到影响吗？谢谢你:D
浏览 0提问于2020-07-13得票数 0
我的理解是，在设计阶段使用威胁建模来识别可能的威胁，确定它们的优先级，并帮助识别安全需求/安全控制。漏洞评估是在开发和维护过程中完成的，在这些过程中，我们扫描源代码以查找漏洞，并对漏洞进行优先排序和修复。这个链接巧妙地解释了我的理解。
但是许多其他的文章也提出了以下的想法。
此链接将CVSS描述为一种威胁建模方法，而CVSS则用于漏洞评估工作流中对漏洞进行评级。
威胁建模可以帮助确定漏洞的优先级，关注最有可能影响您的环境的漏洞。
脆弱性评估与威胁建模之间有什么联系？我正在对我的系统中使用的OTS (现成的)软件进行漏洞评估。我使用CVSS3.1对漏洞进行评分，并根据评分对修复进行优先排序。威胁
浏览 0提问于2021-03-09得票数 1
1回答
web上的iOS图像搜索
、、、
我正在开发让用户通过任何查询在互联网上搜索图像的功能。
有像谷歌的服务/API(我读到它被弃用了)，雅虎和必应等。我想知道，有没有iOS的FREE服务/API/框架/库来根据任何查询搜索图像？
我们可以根据结果URL获取缩略图，并填充网格视图以显示缩略图。然后，一旦用户单击特定的图像，就在应用程序中下载实际的图像。有没有这样的免费服务？
谢谢
浏览 1提问于2013-02-20得票数 0
我正在寻找关于一般/常见IT漏洞(一般信息)的更新和全面指南。
我不希望你为我做这份工作，我只是想指出我的正确方向:一本书或网站的推荐将是很棒的。
谷歌搜索引擎提供了丰富的信息，但我不知道什么信息是有价值的。
浏览 0提问于2010-11-19得票数 23
回答已采纳
1回答
我想使用微软图形报告可疑的电子邮件代表用户。准确地说，报告应该在Microsoft中的视图中结束。
我知道我可以创建，但是这会直接将报告发送给微软，也就是说，报表最终会出现在视图中。我想让租户管理员决定是否发送到微软。
换句话说，我想实现与Outlook中的这个按钮相同的特性：
如何使用MicrosoftGraph或另一个Microsoft端点来实现这一点？
浏览 15提问于2022-01-25得票数 3
我参与了为几个软件产品和特性开发威胁模型的工作，我想将这个过程正式化一点，并为我公司的devs创建一些文档。你们能推荐一本好书来描述构建一个好的威胁模型的所有基本要素吗？
我浏览过斯奈德的书，但没有发现它特别吸引人。我不认为这是一个300页的主题，但也许我错了。
浏览 0提问于2012-05-25得票数 1
2回答
当谈到DDoS保护时，我可以理解它在很大程度上依赖于过滤器的容量。
当构建您自己的DDoS保护时，它取决于您可以过滤的通信量，如果DDoS攻击超过了这个限制，就没有其他可能过滤其他通信量，它将到达后端，从而使后端不可用。
但是这种过滤能力是如何增加的呢？例如，如果我去购买火力9300并在路由器之前将它连接到我的网络上，从而连接到后端，或者像它说的那样与防火墙交换1.2Tbps集群吞吐量，这是否意味着我可以过滤1.2Tbps的DDoS通信量，并阻止高达1.2Tbps的DDoS攻击？或者，为了过滤更多的流量，我需要准确地打电话给我的提供商，并要求增加我的互联网上行链路的带宽，这将是我能处理的最大流
浏览 0提问于2019-04-21得票数 -1
回答已采纳
目前，我们在公共子网中放置诸如ALB这样的公共访问资源，在私有子网中放置应用服务器和数据存储(不同的数据存储，比如RDS和Elasticache，都有自己的子网)。所有的子网都生活在一个VPC中。
我的问题是：( 1)是否可能；( 2)有必要将VPC分割成两个不同的VPC，一个VPC只包含公共子网，另一个VPC只包含私有子网，以获得额外的安全性？
通过说额外的安全性，这意味着2-vpc拓扑可以实现比当前单一的vpc拓扑更多的安全好处。
浏览 0提问于2022-10-05得票数 1
1回答
我是AWS新手，我尝试创建一个EC2实例。
我有一个域，可以将A记录修改为关联的EC2实例。
我发现一篇文章说，关联生产域需要弹性IP。
但是AWS提供了一个公共IP，它也可以在公共互联网上访问(我知道它在重启后会发生变化，只是假设它可以在机器重新启动后修改A记录--实际上它并不经常重新启动)。
在这种情况下，是否必须将弹性IP分配给实例(此实例不包含负载平衡，它只是一个简单的单个实例)？
如果是的话，为何要这样做呢？
浏览 0提问于2018-10-04得票数 1
回答已采纳
1回答
恶意IP地址
、、、、
我正在寻找更新的IP地址列表，这些地址属于恶意软件的C&C、僵尸网络、恶意扫描器或其他类型的恶意活动。
是否有恶意IP地址的公共数据库？
浏览 0提问于2019-07-03得票数 0
公司雇用外部的戊酯来探测他们的系统以暴露漏洞，这是非常正常的。寻找迎合这一市场的公司并不难，只有几个候选人处于网络搜索的另一端。
然而，似乎大多数或所有这些公司都迎合了企业对企业的市场，而不是个人。
作为个人，假设我能找到一家信誉良好的公司愿意与我合作，而且我愿意为他们的服务支付费用，我还能指望通过雇佣一家受委托的公司来了解我的家庭IT安全吗？我是否有可能通过将我的网络连接到互联网上几分钟，并监视产生的防火墙日志，并寻找软件更新，就可以了解到一些无法发现的东西？
浏览 0提问于2019-07-09得票数 0
回答已采纳
1回答
我正在努力连接到通过Fritzbox路由器连接到互联网的家庭服务器。我想从家庭网络之外连接到主服务器，因为它充当NAS并提供HTTP(S)服务。
问题是，我不知道如何通过互联网连接到服务器。我的Fritzbox是通过DS网络连接到我的互联网提供商的.据我所知，这意味着我的Fritzbox没有公共IPv4地址，因此无法到达服务器。
是否仍然有可能连接到服务器？
浏览 4提问于2022-01-10得票数 0
当你的应用程序接口管理实例部署在vnet中时，是否有人尝试过Import an (private and not publicly accessible) API App as an API？这与仅仅指向ip地址like explained here是不同的，这无疑会起作用。 然而，像Import API App那样直接指向Azure资源似乎是更好的方法。我想知道确切的要求是什么，因为我试图导入一个不属于同一vnet的API应用程序，但在导入API并在API Management中尝试后，它给出了一个DNS错误(这只有当它试图调用API应用程序时才有意义，就好像它是在互联网上托管的一样，如果
浏览 10提问于2020-04-12得票数 0
2回答
因此，在iOS 8上，我们可以检查当前的用户IS设备所有者，因为他有完全相同的指纹。iOS给出了true或false值。
但是，我们如何使用这个值作为应用程序授权的PIN-code呢？例如，我们可以在哪里存储用户的login and password，我们可以阅读它，然后在互联网服务中使用它？
浏览 2提问于2014-07-14得票数 0
回答已采纳
2回答
我正在为一家希望与ISO 27001保持一致的公司定义一种风险评估方法。该标准明确规定，其目的是保护中情局(机密性、完整性、可用性)。
在我的风险方法中，是否有将每项资产/过程的后果分别与保密性、完整性和可用性相比较的分数，还是仅给每个资产/过程一个分数就足够了。在大多数被批准的工具中，我把它当作后果的一个分数。
独立评估每个中情局的后果不是正确的方法吗？
浏览 0提问于2016-10-20得票数 1
我对R并不熟悉，我试图理解为什么当我们在两个逻辑向量之间使用&或者，\时，它只返回一个元素
a<-c(TRUE,FALSE,TRUE)
b<-c(FALSE,FALSE,FALSE)
a&&b
为什么这不返回一个逻辑向量？
浏览 5提问于2022-03-06得票数 2
我理解将我们的数据分类，并将风险程度与不同类别的数据联系起来的概念。我的问题是--是否有先例对用户进行同样的分类？具体来说，是否有一个标准(如NIST或其他一些标准)建议对用户和与他们相关的风险进行分类，就像对数据的分类一样？
浏览 0提问于2016-06-01得票数 2
回答已采纳
1回答
我刚刚导入了Whonix VirtualBox VM，并通过VirtualBox设置加密了它的驱动器。现在，当我启动它时，默认的凭据是"user/changeme"，安装程序建议我更改密码。我不确定是否需要更改默认值。
如果VM本身已经加密，设置复杂的用户密码是否会使系统更加安全？我是这台电脑的唯一用户，我只关心是否有人在我不在的时候使用它。
浏览 0提问于2021-05-11得票数 1
回答已采纳
1回答
因为每一台连接到互联网的机器都需要安全补丁，所以有一段时间窗口可以发布这些更新，而这些机器还没有被修补。
通常的做法是，如果您做修补程序“足够快”，您是安全的，但是这个窗口的时间越长(2个月、6个月、1年)，这个假设可能会变成“它可能已经被黑了”。
这是对服务器安全性的一个非常主观的评估，我想将其放入某种类型的结构中。
问题
假设服务器没有异常发生，那么在什么时候服务器应该被认为是被破坏的呢？(例如，连续N天未修补的IIS修补程序)
N应该是多少？
还应该考虑什么呢？
浏览 0提问于2015-03-19得票数 3
回答已采纳
好吧，我有一个AWS::ApiGateway::RestApi始终生成如下url的资源：https://{GATEWAYID}.execute-api.{REGION}.amazonaws.com/{STAGE} 所以，我创建了我CNAME in Route 53，具有以下特点： CnameRoute53Api:
Type: AWS::Route53::RecordSet
Properties:
HostedZoneId: !Ref MyHostedZone
Name: api.privatedomain
Type: CNAME
浏览 25提问于2021-02-26得票数 1
回答已采纳
在角js安全文档中，使用$watch来查看用户生成的内容的值是不安全的：
有许多方法可以控制模板和表达式：
向作用域中的下列方法传递用户提供的内容生成的表达式：.
$watch(userContent .)
userContent在这里的意思是什么？如果我看到用户输入字段的ngModel值，这是userContent吗？小提琴里的形状不安全吗？
浏览 4提问于2016-12-28得票数 2
我有一台Windows7电脑，我用它来托管Jupyter noteboks，以便在我的本地网络上使用。但是，我希望能够通过互联网远程访问这些笔记本。
这个是可能的吗？
我尝试过各种研究方法，但什么也没能理解。我得到的最接近的是关于如何使用亚马逊网络服务()设置它的指南，但其中的关键一步是设置一个“公共域名系统”。然而，我还没有找到如何在Windows中设置它。
谢谢,
浏览 15提问于2016-08-29得票数 0
基本上，2FA依赖于这样一种想法，即使用服务不仅需要你知道的东西，还需要你拥有的东西。
我很有信心，尤其是在iOS (它有更好的系统级应用程序隔离)上使用时，它提供了相当好的安全性。虽然我不确定是否添加一个桌面2FA实用程序。
据我理解，攻击者将需要拦截我的密码(如果我记录最多的话，可能需要通过桌面计算机上的键盘记录器)和对我的手机或我手机上存储的密钥的访问。但我可以想象，一个能够安装键盘记录器的人可以窃取足够的信息来重用我的桌面计算机上的任何2FA系统。
在写这篇文章时，我理解这是基于这样一种看法：
计算机完整性<电话完整性< iOS完整性
计算机更有可能通过我正在安装的一堆垃圾
浏览 0提问于2017-12-17得票数 7
回答已采纳
在使用OpenVPN时，tls-auth和tls-crypt是广泛采用的选项，允许在初始握手中使用静态密钥。这有助于防止DoS攻击，因为如果没有有效的密钥，客户端将几乎立即被忽略。
对于个人VPN来说，这是有意义的，但是当涉及到商业VPN时，情况仍然是这样吗？我已经从OpenVPN下载了一些NordVPN配置文件，它们的静态密钥列在配置的tls部分。既然互联网上的任何人都可以使用这个密钥(即使是那些不使用它的人--我可以下载这些密钥，而且我甚至还没有订阅他们的服务)，这真的能保护他们的服务器免受DoS攻击吗？
如果互联网上的每个人都能访问这个密钥，那么客户肯定不会立即被忽视，而这就违背了密钥的
浏览 0提问于2022-05-02得票数 1
回答已采纳
2回答
安全从来就不是100%。有必要平衡风险和成本。需要进行风险评估，以确定预防措施的成本效益。
我想回答以下几个问题：
在进行风险评估时应遵循哪些框架？
一个组织如何有效地模拟一个威胁？
一个组织如何准确地确定特定于自己当前情况的潜在安全威胁的货币成本？
我认为这里还没有任何问题涉及到这一点。
请-没有答案只包含链接到外部资源。我想要一个或两个详细的答案，包括概述风险评估通常是如何在大型组织进行。
浏览 0提问于2012-10-08得票数 10
回答已采纳
1回答
我打算开始学习如何做恶意软件分析和取证，但我有一两个担心。
我想从分析我自己编写的代码开始，这很好。但总有一天我会开始分析真正的恶意软件。
正常情况下，我将在Windows中(在Windows主机上)进行分析，使用类似于INetSim之类的东西。
然而，我担心的是VM的逃逸。如果我保持我的VMWare工作站是最新的，我是否应该对VM的替身感兴趣？我环顾了互联网，但那里的一般文献似乎都集中在企业/云VM上，就像在同一个物理硬件上访问其他VM一样。我不确定这在多大程度上适用于非企业情况，在这种情况下，关注的是对主人的攻击，而不是对不同的客人的攻击。
这是其中一种情况，恶意软件需要非常具体地编写以逃
浏览 0提问于2019-12-09得票数 4
回答已采纳
我正在进行我的第一次IT风险评估任务，尽管我已经完成了所需的步骤并了解了我正在开发的系统，但我想知道是否有一个与不同IT系统相关联的通用IT风险列表。这是因为他开始的每一次评估都不需要从头开始。鉴于IT风险评估已经进行了很长一段时间，因此，现在必须有一个由某人编制的列表才能作为参考，这是合乎逻辑的。例如，如果我正在处理客户端服务器类型的应用程序评估，我可以引用与客户端和服务器相关的所有风险。
搜索谷歌并没有得到我感兴趣的任何结果，但我可能搜索错了术语。如果有人能向我推荐这样的资源，我将不胜感激。
谢谢。
浏览 0提问于2013-08-11得票数 0
回答已采纳
根据普通Critera的说法，我从来没有遇到过经过认证的web应用程序。据我所知，web应用程序甚至没有可用的保护剖面。
原因是什么？通用标准不适用于web应用程序吗？主要的问题是什么？
浏览 0提问于2011-09-03得票数 5
回答已采纳
2回答
我正在寻找一个用PHP编写的通用方程求解器。这可能是以内置功能、库的形式，甚至是与另一种语言的集成。我甚至对联合解决方案感到满意，该解决方案涉及以上几个方面的某种组合。我需要为一个教育网站，我正在工作。
让我给出一系列方程，理想情况下我希望这样的求解器能够处理这些方程：
x+5=8 => x=3
x^2=5 => x=+/-sqrt(5) [exact solution in terms of sqrt, ln, or whatever] AND
x=+/-2.236 [approximate solution to certain number of digit
浏览 0提问于2011-10-01得票数 3
回答已采纳
3回答
我有一个"Connect 4“游戏的java实现(有可变数量的列和行)。
该实现使用(根据用户的选择)的最小-max算法，具有最大搜索深度的α-β剪枝的maxDepth。
我现在的问题是设计一个良好的状态评估函数(这是maxDepth返回的值)。
该值介于-100 (最坏的选择，对应于失败情况)和100 (最佳选择，对应于获胜情况)之间，其中被认为是“平局”情况。
实际上，我实现了两个函数(我报告伪代码，因为代码很长)。
1)
不赢/不输
->如果表是完整的==>绘图(0)
->如果表不是完全的==>不确定情况(50)
win
->如果我赢了: 100
-
浏览 1提问于2012-06-11得票数 8
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
腾讯会议
实时音视频活动推荐
腾讯云开发者
