内容简介:甲方安全建设步骤
在深圳丰盛町星巴克的一个下午,两倍咖啡,可能是可预测的未来几年里最后一次向0x001面对面学习的机会。
1. 资产梳理
- IP列表、业务分组(负责人、联系方向)、业务属性
- 业务端口
-
业务应用架构、技术堆栈
2. 边界安全,防火墙策略控制(需要梳理业务端口)
- 如果是硬件,使用防火墙统一控制
- 如果是操作系统,Iptalbes+IPSEC
- 及时监控业务端口的变化(外部nmap扫描搜集结果比对,或者编写脚步放到运维平台收集系统监听端口和防火墙策略)
- 跳板机安全控制
3. 账户安全管理
- 弱密码
- root、sudoer权限
- 账户、授权、访问、审计等等
4. 服务器安全
- 安全基线检测
- 操作审计
- 异常登录审计(日志收集分析)
- 漏洞清点/扫描,补丁修复测试和推进
5. WEB安全
- 应用渗透测试
- 接口安全(加密、通信)
- webshell实时监测
- Nginx日志分析/Nginx流量旁路分析
6. 业务风控安全
- 用户安全机制(密码、验证码、登录)
- 交易安全
7. 安全培训
- 安全意识培训
- 运维安全培训
- WEB安全开发
8. 安全规范和流程
- 人员入职账户开通
- 人员离职账户注销
- 服务器上下架安全管理
- 安全应急响应机制
9. 内网安全
- 内网服务器安全
- 账户统一验证和管理机制(域ldap协议统一验证OA、RTX、邮件、内网业务系统)
- 弱口令监测(NTLM/LM)
- 账户异常登录
- 网络隔离(物理/虚拟化)
- 网络准入
- PC安全(病毒统一管理、通知处理)
资产信息收集脚本:
1. 服务器IP列表(账户、密码) [或者通过现有运维 工具 批量执行] 2. 进程列表(ps aux) 3. 账户信息(/etc/passwd,/etc/shadow) 4. 端口清点(netstat -tnpl) 5. 软件包(rpm -qa) 6. Nginx、Tomcat、Apache配置文件
syslog、Agent、puppet、func、saltsatck运维工具
以上所述就是小编给大家介绍的《甲方安全建设步骤》,希望对大家有所帮助,如果大家有任何疑问请给我留言,小编会及时回复大家的。在此也非常感谢大家对 码农网 的支持!
猜你喜欢:本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们。
Web协议与实践
克里希纳穆尔蒂 (KrishnamurthyBalachander) / 范群波 / 科学出版社 / 2003-7 / 46.0
本书全面论述了传输Web内容的系统和协议,重点讲述了Web中业已成熟和稳定的技术,如TCP/IP协议及DNS技术、HITP/1.0的设计及其与TCP之间的交互;深入阐述了Web高速缓存技术和多媒体流播技术的最新技术动态;分析了Apache Web服务器和Squid代理;还探讨了通信量的分析和测量技术。书中使用了大量示例、技术发展水平报告以及案例分析来阐述Web的工作原理和各个组件之间的交互。本书是......一起来看看 《Web协议与实践》 这本书的介绍吧!