文档建议反馈控制台
首页
学习
活动
专区
工具
TVP
最新优惠活动
文章/答案/技术大牛
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

【运维安全】运维安全之应用发布安全隐患

3.2 防范指南 面对这种“不安全”的需求，给力的运维同学在通知安全后，毅然决然的对业务方说No。无论是从应用运维合规性，还是从安全性来说，都是不太合理的需求。...不过，此类情况可能会被“绕过”，如果业务方将包名稍加变动或运维同学记不住已经发布过，都将会被当做新应用来进行处理。...对于安全方面而言，所有应用上线都应该经过安全评估（落地版SDL），这个“绕过”风险实则是可控可接受的；但是对于运维而言，可能会对日常的运营工作带来挑战。...首先，毫无疑问的是扩大了攻击面； 其次，若业务后续在该域名下申请挂更多war包，运维记不住，将会带来更大的攻击面，更多潜在的安全隐患。...4.2 防范指南 由此可见，安全不仅只对业务有所要求（上线前的安全评估，落地版SDL），对于运维的操作规范或把关仍要求需注意。

2.1K50

运维=平台+数据

运维会比开发更加重要 运维的发展日新月异，曾几何时，运维仅仅是被认知为跑机房，装系统，设计网络，给开发擦屁股。...但是现在运维变得极度重要，运维职责也更加细化，譬如稍大点的公司就将运维划分为基础运维，网络运维，DBA, 应用运维，架构师。...其实我个人认为系统架构师应该都安排在运维里，开发团队应该率属于运维团队才好。 进入云时代后，中等层次的运维慢慢会被淘汰，底层次的运维会越来越少，高水平的运维需求量则日益增长。为什么这么说呢？...这其实是反应对运维的要求会越来越高，不但要掌控产品的稳定性，做好服务保障的最后一公里，还要具有系统设计的能力。 运维现有发展方向的问题 运维也越来越朝着平台化，自动化，自助化方向发展。...前面讲的是基础平台层面的，我们其实更多的是要对应用进行更细致的观察。在Borg之上的应用可以是非常复杂的，应用的关联也是非常复杂的，微服务的兴起导致链路非常长，所以我们有了全链路追踪的需求。

3.5K50
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    运维安全隐患

    由于运维人员的水平参差不齐，还有就是是人就有犯错的时候，所以经常会出现不必要的失误导致的安全隐患，所以这里就未大家盘点一下经常出现的由于运维人员是失误造成的安全隐患。...---- 错误回显 由于服务配置了错误回显，导致代码在执行错误的情况下爆出详细信息，可能泄漏服务器的真实路径，造成安全隐患。 案例 ?...利用方式： 扫描到备份文件直接下载即可 WEB-INF泄露 WEB-INF 是 Java 的 WEB 应用的安全目录。...在使用这种架构的时候，由于对静态资源的目录或文件的映射配置不当，可能会引发一些的安全问题，导致 web.xml 等文件能够被读取。 案例 ?...利用方式 浏览器直接读取即可 ---- 测试文件 运维人员在部署新的应用或者配置新的服务器时会使用一些测试文件对服务器进行测试，然而在测试后未能及时删除就出现了这种问题。

    1.6K00

    运维安全之安全隐患

    目录浏览 漏洞成因 由于发布网站时，服务器配置问题，导致目录浏览功能打开，在目录下不存在默认首页的情况下可以浏览目录下的文件目录，从而引起信息泄露，造成安全隐患。 案例 ?...错误回显 简介 由于服务配置了错误回显，导致代码在执行错误的情况下爆出详细信息，可能泄漏服务器的真实路径，造成安全隐患。 案例 ?...利用方式 扫描到备份文件直接下载即可 WEB-INF泄露 简介 WEB-INF是Java的WEB应用的安全目录。...漏洞成因 通常一些web应用我们会使用多个web服务器搭配使用，解决其中的一个web服务器的性能缺陷以及做均衡负载的优点和完成一些分层结构的安全策略等。...在使用这种架构的时候，由于对静态资源的目录或文件的映射配置不当，可能会引发一些的安全问题，导致web.xml等文件能够被读取。 案例 ?

    1.7K00

    他山之石——运维平台哪家强？

    近年来，国内也兴起了 SRE 这种高级运维职业，特别是在云计算行业，SRE 的职业要求非常高，需要精通诸如网络、编程、算法、数据结构、操作系统、安全等知识与技能。...当出现用户请求调用失败或者出错时，运维平台支持整个调用链路的分析与故障环节定位。 日志数据采集与分析：日志的采集主要是为了辅助应用调用链路分析以及性能监控，运维人员无需进入后台去大量翻找日志。...目前国内各大云厂商也基本都提供了应用运维平台，包括腾讯蓝鲸、阿里 ARMS、华为 APM 等。以下是这几个运维平台能力的简要对比： ?...目前大部分的运维平台主要通过 Agent 和探针的方式去采集应用的指标信息，汇总处理后反应在可视化界面上。...运维人员不用担心因 AIOps 失业，工具和平台只是提升运维效率，不会取代运维。

    2.1K50

    蓝鲸 腾讯游戏运维平台

    游戏运维的两极化（高星级/长尾级）、差异化、数量多、变化快等特点决定了任何一、两个平台都不可能承担起所有的运维工作。目前运维同学已经通过iJobs实现了所有运维操作的作业一键化，但这还远远不够。...这类复杂运维场景占用运维时间是很夸张的，一次开区或一次搬迁前前后后需要数日甚至数周、运维人员实际消耗精力的时间也有7、8个小时甚至彻夜standby不能休息，往往在执行之外，各种沟通询问和等待时间的占比非常大...【对蓝鲸App开发者而言】 蓝鲸提供了开放的开发平台，它允许业务运维人员设计自己或客户最需要的app，并借助蓝鲸为app开发者提供的一系列配套设施，多快好省的产出app服务。...• 运维->规划。 3. 提高团队整体价值。 • 大大提升运维自动化程度，提升运维支撑效率。 • 通过尽可能的操作简化和自动化尽可能消灭人为失误给业务带来的损失。...二、【运维数据类App】 数据查询、修改类的app相比专业的数据类平台，具备速度更快、使用更简单、体验更好的优点，特别适合于对特定信息的、非常频繁获取和变更的场景，甚至可以是不需要任何查询条件的、进入即所得的体验

    8.9K90

    DevOps之运维平台构建

    写在前面的话 如今很多人认为devops将彻底取代传统运维，我不这么认为，在我看来devops只是很大程度上的代替了传统运维的手工操作，运维人员只需写好自动化运维脚本，利用自动化工具（zabbix，elk...因此Devops能否顺利落地，运维平台的建设将会很重要。本文主要简单介绍下我司的三大运维平台。 运维职责 ? ?...运维平台 当前我司运维平台主要有3个： 持续集成和交付 ①基于Jenkins持续构建 ②支持容器化打包和部署 ③发布平台，支持灰度发布，异常快速回滚 监控告警平台 ①完善的监控体系：覆盖机器、网络、服务和客户设备维度...平台演示 ?...后记 这三大运维平台用的都是开源系统，总共有12个系统，Sonar、Jenkins、Ranche、Consul、ELK、Admin-Service、Zabbix、Prometheus、Smokeping

    4.4K20

    Linux运维之Redis安全

    说说IT运维那些事，服务器如果不注意安全的话，就有可能会被入侵，特别是安装了redis的Linux服务器，如果安全防范没做好的话，更有可能会被入侵，被入侵以后会有很多种危害，那么我总结了有以下几种危害，...另外还有一些安全的设置，我们也需要注意保证公钥文件的安全，阻止其他的用户添加新的公钥，将公钥文件的权限设置为对拥有者只读其他用户没有任何权限。...6379端口，比如你设定只有192.168.8.100这台机器才能够连接redis的6379端口，或者你改了端口以后的7379端口，那么其他不在白名单里面的机器，它就不能连接这台机器的redis端口，那么安全性就相应的提高了很多...，添加完防火墙的策略以后，需要重新加载一下防火墙的配置，然后你可以再查看一下防火墙的策略，安全是一个系统的工程，任何一项出现问题都会导致整个系统的崩溃，所以安全是非常重要的，需要做到方方面面，每一方面都要做好

    7.6K10

    运维安全，没那么简单

    我们先看一张维恩图，现实中的业务、运维、安全的关系是互相关联、彼此依赖的。从这张图中，衍生出三个不同与安全相关的子专业：“运维+安全”，“安全+运维”，“业务+运维+安全”。...显然，运维安全立足于运维，从企业架构上讲通常属于运维部门或者基础架构部门，运维安全工程师的专业序列一般属于运维工程师。...安全运维 = 安全 + 运维 安全运维研究的是安全系统或者设备的运维：比如防火墙、漏洞扫描器维护，漏洞挖掘与应急响应等。...应用运维安全 = 业务 + 运维 + 安全 应用运维安全研究的是业务上的运维与安全，主要包括安全风险评估与安全方案规划设计及其落地。...加上DDoS攻击平台大量存在，而且价格低廉，这就让DDoS攻击成为打压竞争对手、报复、勒索等阴谋诡计者首选方式了。

    2.2K21

    运维管理平台化：运维体系为什么要基于平台化建设

    本文来自腾讯蓝鲸智云社区用户：CanWay摘要：笔者根据自身的技术和行业理解，解析运维平台化的内涵和实践。涉及关键词：一体化运维、平台化运维、数智化运维、运维PaaS、运维架构治理、蓝鲸等。...运维平台的概念被泛化近几年行业发展和客户实践，运维体系和运维架构得到蓬勃的发展，各种概念和实践层出不穷，而关于运维平台，主流声音和理解有几种：平台工程平台工程是Gartner发布2023年十大战略技术趋势...为了更好地实践，国内通常会选择基于可支持运维开发的运维平台，以此来迅速构建运维系统的软件工程能力。虽然这与运维的平台化有所重合，但并未深入探讨SRE体系与平台之间的关联。...……因而我们把问题聚焦在对平台化的定义上：运维平台是对运维业务在软件架构层面的定义，可扩展、高内聚、低耦合是对运维平台的核心考验与验证。接下来详细分享个人的看法与实践。...所以这个时候我们再来看运维平台的定义：运维平台是对运维业务在软件架构层面的定义，可扩展、高内聚、低耦合是对运维平台的核心考验与验证。

    30710

    安全运维之日志追踪

    前言 日志在分析安全事件上很重要的一个参考依据，同样希望能够看到这篇文章的运维人员能重视起日志来。...0x01 搭建环境 为了快速还原一个易被攻击以及攻击性的多样化的web环境，这里我使用了DVWA这个测试平台。 ? 0x02 开始测试攻击 A. 扫描 这里我使用了御剑后台扫描工具： ? B....通过请求的信息，也可以看出攻击者使用了SQL注入，这条信息，也可以在日常运维，安全加固中，可以准确的找到网站的注入点，有利于运维人员的及时加固。...两款工具的各有所长，对于星图来说，很多攻击内容给出的分析，更会迷惑分析者，建议使用星图宏观上查找问题IP，再利用Apache Logs Viewer此类工具，进行详细分析攻击者的手法，这样对我们的安全上的加固有很大的帮助...总结 我是一个安全小菜鸟，每天游荡在各大安全论坛中，时间久了，心里对安全运维上的工作变得更加恐慌。我不应期待我维护的网站服务器不会遭受大佬们的调戏，而是如果大佬们调戏完，我该如何变得更加坚强。

    1K40

    linux运维安全之账号基本安全

    账号基本安全 1、 注释不要的账号 前面加#可以注释掉 /etc/passwd /etc/group 原则：最小的权限+最少的服务=最大的安全 1、 将非登录用户的shell设为/sbin/nologin...就不能登录了 3、给账号组加锁 加锁 解锁 4、 账号口令安全设置 vi /etc/login.defs Chage –M 30 test #test账号30天后必须修改密码 Chage –d 0...test #test下次登录必须修改密码 4、 命令历史安全 History 1、 减少历史记录条数 vi /etc/profile 最大1000条 1、 终端关机后自动清空 vi ~/.bash_logout...bash_profile 4、 限制使用su命令切换用户 这边是加-和不加-的区别 允许使用su命令的加入wheel组 vi /etc/pam.d/su 此时已经限制了su的使用 4、 sudo命令的安全性

    1.9K70
    点击加载更多

    扫码

    添加站长 进交流群

    领取专属 10元无门槛券

    手把手带您无忧上云

    扫码加入开发者社群

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2024 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 深公网安备号 44030502008569

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号 | 京公网安备号11010802020287

      领券