我们试图尽可能地清理我们的一个系统，并发现尽pipe我们试图阻止，但是用户正在通过HTTP GET并使用URL中的密码访问我们系统的某个部分。 这导致我们的Apache日志在服务器上以纯文本logging他们的密码。 有一个Apache指令或模块，可以过滤（或replace）其日志中的某些模式？
我试图让postfix通过电子邮件将stdin到需要由root运行的脚本（是的，我理解这样做的安全问题，请不要听课）。 别名文件的内容 myalias: |/root/script/thing.rb 可执行脚本/root/script/thing.rb需要以/root/script/thing.rb身份运行，但是目前作为nobody被后缀运行。 任何想法的解决方法？ 任何使用postfix运行根脚本的尝试都会导致： localhost postfix[942]: fatal: file /etc/postfix/main.cf: parameter mail_owner: user root has privileged user ID
我需要通过板载LAN将已经连接Internet的PC连接到Windows域。 这个域没有互联网连接，因为数据是保密的。 我需要这样做，因为我需要从这个域发送一些文件到另一个地方（只有授权的个人）。 在这一天，这是通过调制解调器，但它太旧，慢，做任务的软件不能在Windows 7上工作。对于我的老板来说，这比连接域到互联网要好。 我需要弄清楚如何将这台计算机连接到域networking，而不让非授权用户在域和Internet之间共享文件。 我有以下限制： 我无法configuration交换机 我只有一个PCIe网卡 我无法更改Internet PC的操作系统 我不能再用电脑了 我正在考虑把MySQL数据库和禁用文件共享在互联网PC上，并build立一个系统，从该数据库获取文件，并通过HTTP POST请求发送到PHP Web服务。 我不知道这是否是最好的办法。 任何想法？ build议？ 任何其他方式？ 我最初的想法是将PCIe网卡连接到互联网PC，并将其连接到域交换机，在其上configuration一些防火墙软件并禁用除MySQL之外的任何其他stream量（从/到域），devise一个系统执行任务从域接收文件（从域中的某个VBA表单上载到MySQL数据库），并通过HTTP POST请求发送到外部地点。 我希望这给我更多的线索，我想要做什么。
如果我通过ADSL连接运行IPSEC隧道，带宽限制为2mbps，1mbps的隧道带宽限制为1mbps，或者是asynchronous的？ 更新 ：到目前为止的答案没有帮助，所以也许我应该给一些更多的信息，为什么我问这个问题。 目前我们所有的资源都位于我们的数据中心，远程办公室的客户端通过IPSEC访问这些资源 – 每个办公室都有一个ASA 5505，在数据中心有一个到ASA 5510的VPN连接。 我们使用拆分隧道，以便不发往数据中心的stream量不必经过IPSEC隧道。 我们的许多办公室都采用asynchronous连接（例如ADSL和VSAT），上传带宽通常是下载带宽的一半。 目前我们正在考虑将我们的文件存储移动到云提供商的选项，在这种情况下，客户端将通过HTTPS访问文件，而不是通过VPN。 支持这种变化的可能情况之一是性能上的好处。 据我所知，在asynchronous连接的办公室里，用户可能看到下载速度增加一倍，因为IPSEC隧道在任何一个方向上的stream量都受到最慢的方向的限制。 这是真的？
在我工作的地方，有多个用户通过sshlogin到任何服务器，并执行各种任务。 一般来说，它们只能在服务器上运行命令，而不能将文件从服务器中复制出来。 是的，他们有root权限。 我需要弄清楚的是，用户从每个服务器传出的数据量。 换句话说，从用户login到断开连接的那一刻，我需要找出在它们的服务器和ssh服务器之间传输的数据，也就是发送和接收的数据。 这可能有助于跟踪那些可能已经将大量敏感数据从服务器中转移出去的用户。 服务器上有一些大文件。
（为了更less的上下文，跳到最后） 我有一个CentOS 6盒子，采取了一些安全措施 – 禁用了rootlogin，强大的密码以及FTP和SSH用户白名单，并安装了fail2ban。 我得到SSH，FTP和SMTP尝试login的“通常”级别，所有fail2ban的处理都令人满意。 不幸的是，我无法更改SSH端口号或强制执行密钥，虽然它在我的名单上，如果可能的话。 今天我注意到一个更严重的攻击。 我以前没见过的东西。 相同的IP反复尝试在SSH上进行rootlogin，但它是随机的端口（每次最多3次尝试），而不会被fail2ban禁止 – 我认为这是因为随机端口号。 在对/var/log/secure进行一些调查之后，似乎在几个小时内就尝试了22K次，所以我手工添加了一条规则给iptables，以便从该IP中删除所有内容。 sshd: Failed password for invalid user root from xxxx port 48811 ssh2 我不知道攻击者在这里试图完成什么 – 他在寻找开放的端口，试图暴力破解SSH还是端口敲打？ 除了手动禁止攻击者之外，我不知道该怎么做，或者在哪里寻找更多信息。 TL; DR 在一个* nix系统中，我应该在哪里寻找攻击的证据，我应该如何解释这些信息来通知我做了什么？
如果我正确理解NameVirtualHost的概念，它将通过读取每个HTTP请求的Hostvariables并将其与匹配接口和端口的任何活动VirtualHost指令中的ServerName匹配。 如果发现一个匹配的ServerName ，则将该VirtualHost的内容提供给客户端。 主机variables可以很容易被客户伪造。 所以在以下configuration中： Listen 80 NameVirtualHost *:80 <VirtualHost *:80> DocumentRoot /super/secret/files ServerName localhost </VirtualHost> <VirtualHost *:80> DocumentRoot /var/www/webserver ServerName www.example.org </VirtualHost> 客户端可以简单地将localhost作为Host的值并访问秘密文件。 所以你不能依赖于ServerName并且必须使用Order ， Allow ， Deny （OAD）指令。 这些假设是正确的吗？ 如果我用OAD保护VirtualHost example.org/phpmyadmin ，用户仍然得到403 Forbidden错误。 我将如何configurationApache甚至不在非本地主机连接上提供此VirtualHost？ 一个单独的<NameVirtualHost localhost:80>也许？
什么是从命令行通过Web服务器向远程MySQL服务器运行SQL命令的最安全的方式。 我可以想到两种方法： mysql –host mysql.mydomain.com –user admin –password the-password-here –execute "SOME SQL" 要么： ssh [email protected] 'mysql –user admin –password the-password-here –execute "SOME SQL"' 这两种方法都需要在命令行上发送密码，这让我很担心。 什么是最好的做法和最安全的做法。 谢谢。
我需要说服我的客户，他提交他的敏感数据的服务器只运行由他批准的应用程序/进程。 此外，客户不允许访问我的服务器。 他还需要certificate，在他进行审计之后，我不能修改任何正在运行的stream程。 我的想法是创build一个Amazon AMI，只在客户的应用程序中预加载它。 将不会有SSH访问权限或对该映像的任何访问权限，以保证不能对其进行更改。 唯一的外部接口将是一个监听传入连接的进程。 是否有可能使用AWS实现这个？ 我担心的是，AWS没有任何机制让实例变成只读的，这样即使是文件系统也可以通过外部方式修改。 有什么build议么？ 任何提供独立validation的服务？
在为Java应用程序开发共享托pipe解决scheme时，我们遇到了一个问题，因为用户可以上传他们自己的jar，我们如何限制他们运行Linux命令（如df -h或free -g）与这些jar？ 当然，我们有我们的权限的情况下，他们无法绕过他们自己的文件，但这些命令是我们遇到的问题。