- 阅读剩余部分 -

当前，企业网络架构日益复杂，安全威胁呈现隐蔽化、智能化趋势。为应对APT攻击、勒索病毒、数据泄露等风险，网络安全设备构成了企业防御体系的核心骨架。本文将系统梳理15+核心安全设备，详解其技术原理、核心功能及典型应用场景，为构建纵深防御体系提供专业指南。

- 阅读剩余部分 -

数据脱敏也叫数据的去隐私化，在我们给定脱敏规则和策略的情况下，对敏感数据比如 手机号、银行卡号 等信息，进行转换或者修改的一种技术手段，防止敏感数据直接在不可靠的环境下使用。

像政府、医疗行业、金融机构、移动运营商是比较早开始应用数据脱敏的，因为他们所掌握的都是用户最核心的私密数据，如果泄露后果是不可估量的。

数据脱敏的应用在生活中是比较常见的，比如我们在淘宝买东西订单详情中，商家账户信息会被用 * 遮挡，保障了商户隐私不泄露，这就是一种数据脱敏方式。

- 阅读剩余部分 -

作为用户，我可以通过手机号和短信验证码登录，以便于更方便的登录。

安全验收标准:

• 短信验证码有效期 2 分钟
• 验证码为 6 位纯数字
• 每个手机号 60 秒内只能发送一次短信验证码，且这一规则的校验必须在服务器端执行
• 同一个手机号在同一时间内可以有多个有效的短信验证码
• 保存于服务器端的验证码，至多可被使用 3 次（无论和请求中的验证码是否匹配），随后立即作废，以防止暴力攻击
• 短信验证码不可直接记录到日志文件
• 如登陆场景则需判断手机号是否已注册
• （建议）发送短信验证码之前，先验证图形验证码是否正确
• （可选）集成第三方 API 做登录保护（服务器在处理登录请求的时候，尽可能多的收集该请求的上下文信息，例如登录请求的来源IP地址，时间，手机号，User-Agent等等数据，并且把这些数据传递给第三方API，由他们进行一次分析判断，并把结果返回给服务器，告诉服务器当前请求者是可信用户还是可疑用户）
• 应该可以通过配置白名单的方式，只向特定手机号码发送验证码，以免在非生产环境测试时发生打扰真实用户的事故
• 应该可以通过配置 By Pass 的方式，在特定环境禁用短信验证码发送，并总是验证通过，以便在非生产环境节约短信配额
• APP可以直接走移动供应商手机验证

你或许不会知道，咱们其实可以用windows注册表来检测是否曾经有一个特殊的USB设备连接过你的电脑。

验证USB设备的插入的重要性

大家可能不会相信，也许有一天咱们真会用上这个小技巧。比如你朋友的移动硬盘里被警察从你这里搜了出来，但是里面装满了儿童岛国动作片。这时候，证明这玩意儿不是你的就显得非常重要了。

- 阅读剩余部分 -

近年来，随着互联网技术的快速发展以及国家政策的大力支持，物联网这一领域也跟着水涨船高，各项具有应用意义的项目也在不断拓展，比如智能家居，视频监控系统等，身处千里之外，却能知悉家中的一举一动，这也体现了“万物互联”的概念。其中，作为物联网的终端节点，比如智能路由器，视频监控器等设备，随着大众将目光逐步转移到物联网时，这些设备因自身的安全性问题也遭受到来自恶意攻击者的觊觎。

- 阅读剩余部分 -

OAuth是一个关于授权（authorization）的开放网络标准，在全世界得到广泛应用，目前的版本是2.0版。本文对OAuth 2.0的设计思路和运行流程，做一个简明通俗的解释。

- 阅读剩余部分 -

from:http://drops.wooyun.org/运维安全/11106

0x00 审计命令

在linux中有5个用于审计的命令：

• last：这个命令可用于查看我们系统的成功登录、关机、重启等情况；这个命令就是将/var/log/wtmp文件格式化输出。
• lastb：这个命令用于查看登录失败的情况；这个命令就是将/var/log/btmp文件格式化输出。
• lastlog：这个命令用于查看用户上一次的登录情况；这个命令就是将/var/log/lastlog文件格式化输出。
• who：这个命令用户查看当前登录系统的情况；这个命令就是将/var/log/utmp文件格式化输出。
• w：与who命令一致。

- 阅读剩余部分 -