DDOS防御专家-提供超强DDoS高防/CC防护/大流量清洗服务!
当前位置:主页 > 高防服务器 > 正文

ddos防御工具_云课盾_快速解决

ddos防御工具_云课盾_快速解决

2020年5月31日更新:我们第一次发表这篇文章是在一个多星期前,但对手不会休息。上周五,思科宣布,他们已经在六台salt主服务器上发现了SaltStack漏洞,这是思科互联网路由实验室个人版服务基础设施的一部分。这使得5月份这个开源应用程序的违规总数达到21个。如果一个月内有21次违规行为让人望而生畏,安全狗可以防御ddos吗,那就等6月份可能发生的情况再说吧。Censys最近的一个更新警告说,2900多个面向internet的SaltStack实例仍然很脆弱。5月1日,Censys发现5841个暴露在网络上的盐服务器很可能很脆弱5月6日,这一数字下降到3722个盐服务器暴露-在短短5天内减少了36%自5月12日宣布将CVE的服务器数量从5月12日减少了21%以来,CVE的服务器数量仍减少了21%。以下是我们的最新时间表:5月18日发文:自2017年以来,便宜ddos防御,如何配置nginx才能防御cc,我在我们的年度软件供应链状况报告中指出,从公布一个开源漏洞到随后被利用之间的平均时间是三天。我们在Equifax、GMO Payment Gateway、Canada Revenue Agency等公司看到了这一漏洞利用时间然后,我们的首席技术官布莱恩·福克斯开始记录一系列令人不安的事件,这表明基于OSS消费的攻击格局正在发生变化。在过去的三年里,我们看到开源和供应链攻击持续增加,这表明了一点:对手并没有放慢脚步。在本月的头三天,又发生了20起开源漏洞。当SaltStack暴露出代码库中的两个关键漏洞(见:CVE-2020-11651和CVE-2020-11652)时,对手的机会就出现了。Salt是一个基于PyPI的开源项目,用于事件驱动的IT自动化和配置管理,它敦促用户快速更新到最新发布的版本,否则将面临被破坏的风险。正如一位参与发现漏洞的安全研究人员明智地观察到的那样,这是一种"到周五修补程序或在星期一被破坏"的情况。以下不是对SaltStack的批评,因为他们采取了所有必要的措施来保护他们的开源社区。它提醒我们,我们都可以采取哪些策略来保护自己。SaltStack的违规行为是我们三天违约情景的一个典型例子。盐栈漏洞:发生了什么3月12日,F-Secure的一个安全研究小组在SaltStack的开源配置框架(PyPI包)中发现了一个漏洞。通过适当的协调披露过程,SaltStack于3月24日确认了该漏洞。在披露过程中,F-Secure还通知SaltStack,6000名盐业大师被公开曝光,面临妥协风险。4月23日,SaltStack发布了一份通知,通知用户该漏洞以及4月29日即将发布的补丁,成功防御ddos,这对他们的社区来说是一个重要的"提示"。4月29日,SaltStack发布了修复程序,并公布了CVE。同一天,F-Secure发送了一份建议,敦促升级,说:"我们预计任何称职的黑客将能够创建100%可靠的攻击这些问题在24小时内。"他们是对的。任何错过通知、没有为SaltStack启用自动更新或无法快速手动更新其SaltStack代码的人都有风险。随后,SaltStack漏洞导致5月2日16次漏洞泄露,而这仅仅是漏洞公布的三天。第二天又录得4起违规事件新闻界立即报道了LinageOS、Ghost、Algolia、DigiCert和Xen Orchestra的漏洞确认情况。GitHub上的Salt用户还记录了16个漏洞,包括安装加密货币矿工、执行未知程序和禁用防火墙。如何保护软件供应链中的开源软件组件每一个具有已知漏洞的开源项目都容易受到攻击,这甚至适用于那些具有已知安全版本并已修复以阻止攻击的项目。就在上周,网络安全和基础设施安全局(CISA)、联邦调查局(FBI)和更广泛的美国政府公布了他们最常被利用的10个漏洞列表,其中仍然包括2017年以来Struts的漏洞我们在社区活动中赠送的一个笔记本电脑贴纸建议DevOps和AppSec专业人士以比邪恶更快的速度实现自动化。自动化——监控、通知、补救——是最好的、主动防御对手的方法。你怎么做到的?以下是具体建议有一个SBOM和一个计划当一个开源项目中发现了一个漏洞,你应该立即问两个问题:我们是否曾经使用过这个开源组件,以及(如果是的话)它在哪里?应用程序中使用的开源组件的完整清单称为软件物料清单(SBOM)。为其应用程序保持最新SBOM的组织知道上述两个问题的答案。根据我们对5000多名开发人员的2020年DevSecOps社区调查,只有45%拥有成熟DevOps实践的组织为其应用程序保留了完整的SBOM。更令人担忧的是,26%的实践不成熟的组织保留了完整的SBOM;这意味着74%的组织不知道他们是否使用过或在哪里可以找到新公布的开放源码组件在其环境中的漏洞。根据Gartner的Technology Insight for Software Composition Analysis报告,"到2024年,下列无法防御ddos,软件供应商提供详细的、定期更新的软件材料清单将成为至少一半企业软件购买者不可协商的要求,而2019年这一比例不到5%。"。报告接着说,"到2024年,60%的企业将自动为他们创建的所有应用程序和服务建立软件物料清单,而2019年这一比例不到5%。"。没有什么可以代替准备的。面对对手需要对你的风险采取冷酷的现实主义态度,乐观地认为你的过程和系统会保护你,以及快速反应的正确工具投资软件组合分析一个关键的解决方案是软件组合分析(SCA)。SCA关注整个SDLC中的OSS治理。SCA通过扫描应用程序来识别开源组件,并通过创建前面提到的SBOM来支持现代软件开发团队。最终,SCA工具使用关于整体组件质量的元数据(漏洞、许可证、体系结构等)暴露出风险SCA的主要用例是为DevOps和AppSec团队自动化OSS治理,但是当发现漏洞并且识别和修复的速度非常关键时,SCA变得尤其有用;2020年DevSecOps社区调查显示,58%的成熟DevOps实践已经将SCA适当地集成到其开发管道中。对于数百个使用SaltStack的Sonatype客户,这些客户已经有了我们的Nexus存储库或Nexus防火墙解决方案,我们已经发现了新的漏洞。例如,我们对PyPI中Salt版本2016.11.6的分析显示:使用Nexus Repository中的存储库运行状况检查功能的组织将在其每日报告中收到有关此应用程序包的问题的警报,通过nexusfirewall部署了自动安全策略的Nexus存储库或Artifactory客户在违反治理策略时也会收到Salt易受攻击下载的警报。在有威胁的情况下。控制工作流的组织具有更快的响应时间。他们还生产出更安全的软件和快乐的开发者。简单地说:与准备好的组织相比,当发现开源漏洞时,没有SCA的组织处于明显的劣势向前走几步不可能知道对手可能会从各个角度危害你的软件供应链。但是,您可以通过使用软件组合分析工具在SDLC中尽可能多地实现自动化来增强保护正如SaltStack的开发所表明的,理解以下内容至关重要:软件供应链中有哪些开源组件每个组件的状态,特别是在发现新漏洞时每个组件的位置,因此在漏洞攻击发生之前修复漏洞的可能性最大积极主动。构建计划,使用最新的SBOM,并实现SCA工具以实现最佳保护如果您的组织所依赖的开源组件今天宣布了一个新的漏洞,您接下来的三天会是什么样子?

版权保护: 本文由 DDOS防御专家 原创,转载请保留链接: /ddos/67537.html

DDoS防御专家简介孤之剑
国内资深白帽子二十人组成员,前BAT资深网络安全工程师,知名网络安全站点板块大神,每年提交Google及微软漏洞,原sina微博负载插件开发者,现在整体防御复合攻击长期接受1-4.7T攻击,CC防护自主开发指纹识别系统,可以做到99.9999%的无敌防御。
  • 文章总数
  • 8951946访问次数
  • 建站天数

    QQ客服

    400-0797-119

    X