文件名称：白帽子兵法白帽子兵法-apache beam 2019 programming guide
文件大小：13.15MB
文件格式：PDF
更新时间：2024-07-30 10:20:04
web安全
1.7 白帽子兵法 白帽子兵法 在上节讲述了实施安全评估的基本过程，安全评估最后的产出 物就是安全方案，但在具体设计安全方案时有什么样的技巧 呢？本节将讲述在实战中可能用到的方法。 1.7.1 Secure By Default原则原则 在设计安全方案时，最基本也最重要的原则就是“Secure by Default”。在做任何安全设计时，都要牢牢记住这个原则。一个 方案设计得是否足够安全，与有没有应用这个原则有很大的关 系。实际上，“Secure by Default”原则，也可以归纳为白名 单、黑名单的思想。如果更多地使用白名单，那么系统就会变 得更安全。 1.7.1.1 黑名单、白名单 黑名单、白名单 比如，在制定防火墙的网络访问控制策略时，如果网站只提供 Web服务，那么正确的做法是只允许网站服务器的80和443端 口对外提供服务，屏蔽除此之外的其他端口。这是一种“白名 单”的做法；如果使用“黑名单”，则可能会出现问题。假设黑名 单的策略是：不允许SSH端口对Internet开放，那么就要审计 SSH的默认端口：22端口是否开放了Internet。但在实际工作过 程中，经常会发现有的工程师为了偷懒或图方便，私自改变了 SSH的监听端口，比如把SSH的端口从22改到了2222，从而绕 过了安全策略。