Sur mon site Web, j'ai une page "cachée" qui affiche une liste des visiteurs les plus récents. Il n’existe aucun lien vers cette page PHP unique et, théoriquement, je ne connais que son existence. Je le vérifie plusieurs fois par jour pour voir quels sont mes nouveaux hits. Cependant, environ une...
"Nous vous recommandons vivement de ne jamais autoriser le public à accéder à votre compartiment S3." J'ai défini une politique publique très granulaire (s3: GetObject) pour un compartiment que j'utilise pour héberger un site Web. Route53 prend explicitement en charge l'aliasing d'un compartiment à...
Je pense avoir presque terminé la configuration de mon ordinateur iptables sur mon système CentOS 5.3. Voici mon script ... # Establish a clean slate iptables -P INPUT ACCEPT iptables -P FORWARD ACCEPT iptables -P OUTPUT ACCEPT iptables -F # Flush all rules iptables -X # Delete all chains # Disable...
J'aimerais autoriser certains utilisateurs à accéder à un autre compte sans avoir à connaître le mot de passe de ce compte, mais ne pas autoriser l'accès à un autre compte d'utilisateur (par exemple, root). Par exemple, j'aimerais autoriser Tom l'administrateur de la base de données à utiliser...
Il y a eu un grand nombre de parler d'un problème de sécurité par rapport à l' cgi.fix_pathinfooption PHP utilisé avec Nginx (habituellement PHP-FPM, CGI rapide). En conséquence, le fichier de configuration par défaut de nginx disait: # NOTE: You should have "cgi.fix_pathinfo = 0;" in php.ini...
J'ai remarqué que le fichier sudoers et les fichiers de configuration cron agissent de manière particulière par rapport aux autres fichiers de configuration sous Linux. Ils doivent être modifiés avec un wrapper spécial plutôt qu'avec un éditeur de texte. Pourquoi
Le responsable informatique s'en va peut-être, et il est possible que la séparation des moyens ne soit pas totalement civile. Je ne m'attendrais pas vraiment à une malveillance, mais juste au cas où, que puis-je vérifier, changer ou verrouiller? Exemples: Mots de passe administrateur Mots de passe...
De temps en temps, je reçois une demande impaire de fournir une assistance, un dépannage et / ou un réglage des performances à distance sur les systèmes Linux. Les grandes entreprises ont souvent déjà des procédures bien établies pour fournir un accès à distance aux vendeurs / fournisseurs et je...
J'ai mes fichiers cert.pemet cert.keydans des /etc/apache2/ssldossiers. Quelles seraient les autorisations et la propriété les plus sécurisées de: /etc/apache2/ssl annuaire /etc/apache2/ssl/cert.pem fichier /etc/apache2/ssl/cert.key fichier (Assurer l' https://accès fonctionne bien sûr :). Merci,...
J'ai exécuté un scanner de programmes malveillants sur mon site, qui marquait un groupe de fichiers EXE compressés comme des fichiers de risques potentiels (ces fichiers ont été téléchargés par les utilisateurs). Comme je suis capable de décompresser les fichiers sur mon Mac, je suppose que ce sont...
Quel outil ou quelle technique utilisez-vous pour prévenir les attaques par force brute contre votre port ssh? J'ai remarqué dans mes journaux de sécurité que des millions de tentatives de connexion en tant qu'utilisateur via ssh étaient effectuées. Ceci est sur une boîte FreeBSD, mais j'imagine...
Je vois ces deux options constamment suggérées sur le Web lorsque quelqu'un explique comment monter un tmpfs ou un ramfs. Souvent aussi avec noexec, mais je suis particulièrement intéressé par Nodev et Nosuid. Je déteste fondamentalement juste répéter aveuglément ce que quelqu'un a suggéré, sans...
J'exécute un démon logiciel qui requiert certaines actions pour entrer une phrase secrète afin de déverrouiller certaines fonctionnalités qui ressemblent par exemple à ceci: $ darkcoind masternode start <mypassphrase> Maintenant, j'ai des problèmes de sécurité sur mon serveur Debian sans...
Comme beaucoup d’entre nous, j’ai passé hier à mettre à jour un grand nombre de systèmes pour atténuer les attaques Meltdown et Specter . Si je comprends bien, il est nécessaire d’installer deux paquets et de redémarrer: kernel-3.10.0-693.11.6.el7.x86_64 microcode_ctl-2.1-22.2.el7.x86_64 J'ai deux...
Lors de la configuration de mes instances de serveur virtuel, certaines applications doivent être construites à l'aide de make. Existe-t-il des risques de sécurité associés à l' makeinstallation? Ou devrais-je le nettoyer avant le déploiement de l'instance? J'ai également le gcccompilateur sur le...
J'ai un serveur Linux qui chaque fois que je me connecte me montre le message qui a changé la clé d'hôte SSH: $ ssh root @ host1 @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @@@@@@@@@@@@@@ @ AVERTISSEMENT: L'IDENTIFICATION DE L'HÔTE À DISTANCE A CHANGÉ!
Je travaille avec de petites équipes (<10) de développeurs et d’administrateurs ayant les caractéristiques suivantes: La plupart des membres de l’équipe ont> 1 ordinateur personnel, dont la plupart sont portables Les membres de l'équipe ont accès à 10 à 50 serveurs, généralement avec sudo Je...
J'ai configuré des instances Amazon EC2 pour un projet à venir. Ce sont toutes des micro-instances fonctionnant sous Ubuntu Server 64bit. Voici ce que j'ai configuré jusqu'à présent: Serveur Web - Apache Serveur de base de données - MySQL Serveur de développement - Apache et MySQL Serveur de...
Pour la deuxième fois, une personne a ajouté une partie de javascript à un site que j'aide à fonctionner. Ce javascript détourne Google adsense, en insérant son propre numéro de compte et en collant des annonces partout. Le code est toujours ajouté, toujours dans un répertoire spécifique (celui...
Ceci est une plongée technique approfondie après que cette question d’ ensemble ait été posée. Quelles sont les différences de protocole entre SSL et TLS? Y a-t-il vraiment assez de différence pour justifier un changement de nom? (versus l'appeler "SSLv4" ou SSLv5 pour les nouvelles versions de...