3

我正在与一家初创公司合作，主要从事系统管理工作，并且遇到了一些我不太满意的安全问题。我想判断我的期望是否准确，所以我正在寻找一些洞察力，以了解其他人在这种情况下做了什么，以及出现了哪些风险/问题。特别是，诸如将管理工具置于 vpn 之后、定期安全更新（操作系统和工具）等措施的重要性。

请记住，由于这是一家初创公司，主要目标是尽快推出尽可能多的功能，因此我需要尽可能多的理由来获取安全资源（即停机时间）升级，应用程序安全修复的开发时间）。

背景资料：

  • 应用程序是 LAMP 以及自定义的 java 客户端服务器。
  • 在接下来的 3 个月中，我预计该网站有大约 1 万名匿名访问者和多达 1000 名经过身份验证的用户。
  • 年轻的观众（16-25 岁）肯定会包含高于平均水平的黑帽观众。

提前感谢您的回复，我会欢迎任何相关的建议。

4

10 回答 10

6

此外，不要忘记您需要保护您的服务器免受当前（即即将过去的）员工的影响。由于员工破坏，几家初创公司被彻底消灭，例如http://www.geek.com/articles/news/disgruntled-employee-kills-journalspace-with-data-wipe-2009015/

于 2009-01-09T19:44:04.347 回答
5

声誉就是这里的一切，尤其是对于初创公司。作为一家初创公司，您在可靠性/安全性/...方面的历史并不长 - 所以一切都取决于用户在开始使用您的应用程序时是否给您“怀疑的好处”。

如果您的服务器被黑客入侵并且您的用户注意到了这一点，那么您的声誉就会消失。一旦它消失了，你的应用程序和你的功能是否是“下一个新事物”都没有关系。安全漏洞是否轻微无关紧要 - 人们将不再信任您的应用程序/公司。

所以，我认为安全是重中之重。

于 2009-01-09T19:32:35.213 回答
5

如果从一开始就没有考虑到安全性并将其内置到应用程序及其基础架构中，那么以后对其进行改造将变得更加困难。现在是构建常规操作系统/工具修补、升级等流程的时候了。

  • 用户将在网站上创建/存储什么样的数据？
  • 违规将对您的用户产生什么影响？
  • 违规将对您的公司产生什么影响？
  • 您能否在违规后重新获得用户的信任？

由于您的公司依赖于保留现有用户并吸引新用户，因此您应该按照用户对违规行为的反应来表达您的担忧。上级会明白，用户是你的生计。

于 2009-01-09T19:39:46.807 回答
4

我同意 Stefan 关于声誉的看法。您不想因为缺乏安全性而被黑客入侵。这不仅会伤害您的网站和公司，而且会因为您负责而对您不利。

我个人的意见是尽可能多地做，因为无论你做多少都会有漏洞。

不幸的是，测试和文档等安全性通常是事后才想到的。您确实应该确保在您的站点/软件生命周期的早期进行风险评估，并继续进行评估。我认为修补所有软件的安全漏洞很重要。

于 2009-01-09T19:40:45.930 回答
3

这些可能很明显：

  • 限制密码尝试。
  • 清理您的数据库输入
  • 防止XSS攻击的措施

还值得一提的是，正如您所说，应适当设置网络架构。您绝对应该拥有一个尽可能多地锁定的像样的防火墙。有些人建议将您的系统放在不同品牌的双重防火墙之间，这样如果其中一个存在严重漏洞，第二个很可能没有相同的漏洞并且您会很安全。这一切都取决于你能负担得起，因为它是一家初创公司。

于 2009-01-09T19:32:12.530 回答
3

如果您明确地试图吸引那些倾向于尝试破解系统的用户，那么您很可能会打赌您的系统会受到攻击。

您应该向管理层建议，如果他们不认真对待安全问题，那么您应该继续在网站上发布公司的银行对账单和会计账簿（以明文形式），并带有主页上的显眼链接. 至少这样，您可以告诉他们，最终结果将大致相同，但他们不太可能破坏其他一切来获得他们正在寻找的东西。

我认为声誉问题可能与这些观众的演员阵容略有不同——他们可能会原谅你被黑客入侵，但他们可能不会原谅你容易成为目标。

于 2009-01-09T22:46:18.113 回答
2

确保您知道您的服务器正在运行什么版本和补丁级别，不仅仅是操作系统，还包括所有相关组件以及实际执行机器的所有内容。然后确保你永远不会落后超过一天。不这样做会导致很大的痛苦，而且你大部分都没有听说过——我过去的大多数雇主都不会公开承认被黑客入侵，因为这对他们造成了不好的影响，所以你可以假设系统被左右黑客攻击了对公司造成严重后果，您只是没有听说过大多数此类事件。

于 2009-01-09T19:29:22.257 回答
2

这里的一些基本“安全”措施虽然比主动更被动，但需要考虑一些事情。

1) 备份策略，当然不仅适用于那些入侵您网站的人，但如果可能的话，最好将所有内容恢复到黑客攻击前的日子，确保它是可靠的，最重要的是在近乎实时的恢复演习中进行了测试
2 ) 缓解措施，至少在餐巾纸上制定计划，以便在服务器被黑客入侵时如何应对
3) 保险，找到了解网络业务世界以及这些事情造成的损害的保险公司，购买保单
4) 某人已经提到了员工破坏问题，您是在事先筛选您的员工，对吗？背景调查很便宜，而且可以挖掘东西......

于 2009-01-09T22:29:10.397 回答
2

我最好的建议是监控。

没有完美的安全性，一切都是为了接受风险并在必要时预防风险。但是，如果您没有适当的监控，您将无法知道某事（攻击）是否成功以及它是如何发生的。

因此，请保持系统更新并安装一些轻量级工具来正确监控它。如果您有自定义应用程序，请在此处添加登录。登录错误生成的错误（输入错误）、密码失败或任何用户生成的错误。

至于轻量级的监控工具，有不少免费/开源的：

  • OSSEC（查找异常、更改和日志）
  • modsecurity（基于网络的监控）
  • Sucuri（whois/dns/黑名单监控）
于 2009-07-13T19:04:05.550 回答
0

查看 Mod Security 以了解软件设置中的各种可能性：在 Google 上搜索“mod_security howto example”

开始的简单示例：http ://www.ghacks.net/2009/07/15/install-mod_security-for-better-apache-security/

于 2009-08-29T09:07:14.380 回答