上几天工作你最后一次领四万元是什么时候这是去年发生的事情俄罗斯独立安全研究者Andrey Leonov并发现,如果你上传专用图像文件到脸书上,你就可以使脸书内部服务器嵌入防火墙深处,执行任意命令以很容易导致数据破解的方式暴露敏感内部文件。
脸书幸运地发现这一利用活动是道德黑客而不是罪犯所为,并乐于支付他有史以来安全漏洞披露最高奖项之一
Leonov发现的bug相当难堪,因为它揭示脸书忽略更新服务器图像处理库即便易感性 称之图像变换5个月前发现技术媒体广泛讨论并确认为高风险威胁,并立即提供受影响操作系统安全补丁(1)去年,我们花了45分钟修复系统 来消除这个错误, 即宣布当日, 从我们发现它那一刻开始:图像映射之类工具在我们图像处理管道中使用, 我们密切跟踪安全公告 关于这些工具这不是吹牛-我们也有案例 小问题 少公诸于众 数周后补丁证明即使是世界上最受敬仰软件工程组织之一 也可能有坏日 忽略小补丁脸书公开讨论并发布脆弱点的意愿令人钦佩,类似故事帮助提高大众对风险的认识 不适当维护您的服务器和软件
组织如何保护自己免受这些风险?
开发组织需要数项技术和组织程序控件,才能置安全风险于不顾Leonov通过知名发布虫收集低挂果数不胜数的未知错误隐藏于数不胜数的图书馆、软件包和服务中,而这些都是高级图像视频处理系统所必备的呢?PDF和SVG等文件格式如何?
组织使用安全团队审核内部软件库、第三方工具与服务并注意定期补丁操作系统与软件栈媒体处理管道对改变功能和结果输出的补丁和升级特别敏感,因此往往“冻结时间”以保持不变输出而不中断管道
Cloudinary使用下列原则防险:
- 分派职责信息安全被视为战略问题,由执行管理团队成员负责协调全组织范围的努力。
- 创建、实施和实施全公司程序我们创建并维护一套安全程序,与广受称赞的ISO 27001信息安全标准兼容这些程序适用于公司活动的各个层次,从招聘程序到写代码
- 找人帮助我们雇用一家第三方咨询公司专门处理信息安全标准和程序,以创建、维护并验证上述控制执法工作
- 监视器系统没有漏洞,即使Devorg每个人都是安全专家,你运行最佳静态代码分析和网络监控工具外部渗透测试器定期检测APIs和Web应用系统通过每日更新自动补丁安全队订阅计算机邮件列表分布于有办事处的国家,并获取核心库和操作系统发现新漏洞警示并定期向报告系统安全问题的独立研究人员支付(尽管小于4万元)奖金观察这个空间未来宣布公共ug增益程序-有几家常用服务为这类程序提供基础
- 聚焦点as SaaS/API提供商使用最佳外部提供商的理论深入文化偏重自有软件提供比开发内部系统复制功能别处使用,所以凡有可能时使用API和SAAS提供商(经安全审核后使用)。编程者所写或使用库的每一行代码都有可能产生故障,使用经过适当审核的提供者可帮助你外包非核心功能给专家,专家工作重点是此功能。
文章设计用外部服务实现非核心功能
对 绝对是
建站对战进退两难安全考量对双方都有增减最重要的是安全故障是一种偶然性而非概率性,因为网站或应用变得更加重要和受欢迎人通过恶意图像、视频或文件上传内网或SAS提供商脸书使用外部提供商处理图像, 免得维护、补丁、持续监控测试图像处理管道, 并处理黑客内部网络窥探问题并增加图像和视频处理特征比他们想开发内部功能时要多, 允许他们实验新功能而不必投入开发时间和努力来保证这些能力安全
otes (1) 根据Leonov博客显示, 脸书上非插播图像库因错误配置防火墙而变相, 允许内部信息通过dNS隧道泄漏到互联网上。
