Sziasztok!
Néhány hely még van ingyenes, de regisztrációhoz kötött előadáson. Minden szükséges info az alábbi url-en:
http://www.iszt.hu/iszt/meghivo-ISzT_ICANN_2019-12-06.pdf
Üdv,
Lajbi
Hali
Hátha valaki használ már ilyet. Céges jelszavakat, amik nem a userek jelszavai, hanem mindenféle egyéb, de több embernek is kellhet, milyen szoftverben érdemes tárolni? Milyen megoldások léteznek?
Adott egy szerver amin virtualizálva futnak szerverek. Virtuális szerverek:
1.) AD DC szerver (tartományvezérlő; Windows)
2.) webszerver (Debian)
Az AD csak a belső hálózatból látszik, nincs külső lába. A webszervernek természetesen van. A webszerverre most, felkerül majd egy Moodle
eLearning rendszer.
Felmerült, hogy a Moodle azonosíthatna az AD-ből. Így a felhasználókat nem kéne felvenni újra a Moodle rendszeren.
Valahogy így nézne ki:
belső hálózat
|
|
--------------
virtuális gép
ad_dc_szerver
|
|auth from ad
|
webszerver (moodle)
--------------
|
|
külvilág
Kérdés: Mekkora biztonsági kockázatot jelent az AD számára, ha onnan fog azonosítani a Moodle? Nem látom biztonsági kockázatnak, de hátha megcáfol valaki.
Wildcard ssl tanúsítványt keresünk: lehetőleg Google Certificate Transparency támogatás és olcsó legyen.
Letsencrypt kivételével.
Köszi
Sziasztok,
Szeretném, ha ellenőriznétek az alábbi tűzfalszabályt.
Workstation állomás, INPUT és FORWARD policy DROP, OUTPUT policy ALLOW.
A célom az SSH-server védelme amennyire lehetséges.
Köszönöm előre is.
A jól ismert hiba:
192.168.1.74 uses an invalid security certificate. The certificate is not trusted because it is self-signed. The certificate is only valid for slv10.tovis-lab.port0.org Error code: SEC_ERROR_UNKNOWN_ISSUER
Van erre valami költséghatékony megoldás?
Apache verzióváltás után a mod_security modul rengeteg alapértelmezett szabállyal települt. (2.4-es apache)
Mivel a régi verzióban csak néhány saját fejlesztésű szabályom volt, örömmel megtartottam az újakat, remélve, nagyban növelik majd a szerver biztonságát.
Hát, tényleg. Túlságosan is. Már egy mezei Wordpress mentést is képesek blokkolni.
Tudtok ajánlani valamilyen jó szabályrendszert? Nem kell full-paranoid, de azért jó lenne, ha adna érdemi védelmet. A legfontosabb azonban, hogy feleslegesen ne blokkoljon kérelmeket.
Jelenleg egyesével ölöm ki a túl paranoid szabályokat, vagy emelem a ponthatárokat, de ez nem tűnik túl célravezető megoldásnak.
Minden politikai felhang nélkül:
A nulláról kénytelen újjászervezni az adminisztrációját a Magyar Fejlesztési Központ, miután július közepén egy hackertámadás megsemmisítette a teljes digitális adatbázisát.
A 168 Óra értesülése szerint a 2014 óta működő kormányzati szervnél azt a szervert érte a támadás, amelyen a teljes hivatali dokumentációt, a szerződéseket, a számlákat, a vállalati szoftvereket, lényegében a tevékenységéhez kapcsolódó összes digitális adatát tárolta. A támadás pontos dátumát nem sikerült kideríteni, mert sem az Magyar Fejlesztési Központ, sem a felettes szerve, a Külgazdasági és Külügyminisztérium nem válaszolt a lap megkereséseire...
https://24.hu/fn/gazdasag/2019/09/11/hackertamadas-pusztitotta-el-a-mag…
A Supermicro X9-X11 szerverek távmenedzsment moduljában (BMC) sebezhetőséget fedeztek fel, amely lehetővé teszi a támadó számára bármilyen USB eszköz távoli felcsatolását. Az érintett szerverekre elérhető a frissítés.
Forrás:
https://threatpost.com/usbanywhere-bugs-supermicro-remote-attack/147899/
Használok egy szoftvert. Most mindegy is, hogy melyiket, a lényeg, hogy van neki előfizetése.
Kérdeztem az helpdesket, hogy lehet a kártya infót módosítani. Válaszolt a csóka, hogy a weboldalon ha kártyával fizetem a következő havi sápot, akkor eltárolják a kártya infót, a régit eldobják és majd az új kártyáról vonnak a jövőben.
Weboldal, kártyás fizetés, megjelenik a confirmation oldal.
Rajta a felhasználónevem, a jelszavam, mire fizettem elő, mennyi pénzt.
Írtam nekik egy emailt, hogy "bazze, mi a péniszért van nálatok a jelszavam eltárolva cleartextben?!"
Most várom a válaszukat. Szerintem a kérdést se fogják érteni.