服务器被黑客入侵_准备被黑客入侵：小型组织的信息安全

服务器被黑客入侵

信息安全具有挑战性，在金钱和人员精力上可能会非常昂贵。 规模较小的组织即使没有最大的需求，也可能没有金钱或人员专业知识来正确完成工作。 在OSCON 2016上，性健康创新（SHI）的Kelsey Gilmore-Innis发表了一个非常有趣的演讲，内容是关于她的小型非营利组织如何对安全性进行一些创造性的思考，以及这如何影响其应用程序的部署和操作。

Callisto是一个在线报告系统，旨在为大学性侵犯幸存者提供更加授权，透明和机密的报告系统。 该应用程序用作信息托管。 用户可以报告攻击，然后决定是否将信息发布给响应者以及何时发布。 鉴于敏感信息，至关重要的是数据绝对安全。 Kelsey组织为信息安全所采用的一些核心原则并不需要很多钱，而只是对信息及其在应用程序内和应用程序中遍历的另一种思考方式。

假设会发生违规

你应该计划时，会发生什么做的，但由于工作辛苦，你可以阻止它。

这是许多引人注目的违反行为的失败。 给出的示例是Ashley Madison hack； 在这种情况下，高度敏感的信息无法安全存储，未得到充分保护，并且太多人无法访问系统的后端。 骇客入侵时，他们完全措手不及，无法Swift做出React。 他们从不删除过时的个人信息（包括离开系统的用户的信息）的做法加剧了问题。 可以采取低成本，低影响的措施来防止数据泄漏。

了解你的长处

即使您不是服务器管理，安全性或负载平衡方面的专家，您也知道您的产品及其用户。 付钱给专家照顾好是完全可以的。 例如，不要尝试实现自己的CDN来减轻DDOS攻击-已经有服务可以这样做。 找到最适合您需要的东西并事前准备； 钱花得值。 不要尝试编写新的加密方案； 已经存在良好的，经过审计且难以破解的，请使用它们。

了解您的威胁

威胁建模是SHI为Callisto完成的工作的核心。 这是思考攻击者在寻找什么，他们将如何获得以及如何使用的思考过程。 好的威胁模型可以从根本上影响设计。 对于Callisto而言，除了通常的黑客手段外，还需要检查一些“威胁”。 这种环境中的安全性需要移情，主要是对用户的移情。 知道他们的工作，生活如何以及如何受到数据丢失的影响，需要对问题领域有深入甚至痛苦的了解。

SHI预计在某个活跃的法院案件中，数据有时会被传唤。 为防止向诉讼对手泄露数据，系统的体系结构使用SHI不再拥有的密钥对数据进行加密。 他们生成密钥，将其提供给用户，然后将其丢弃。 如果用户丢失了密钥，则该数据将永久丢失。 创建记录时，会警告用户这种行为。

另一个攻击媒介可能是对特定用户记录感兴趣的人，他们可以访问他们的计算机。 还有一个是不良行为者滥用该系统。 他们以合法方式使用该系统，但出于恶意伤害他人。

您面临的最大威胁是与您一起在房间里工作，不仅是心怀不满的员工，尽管这是一个常见的问题，而且还有信息泄漏的途径：提供私人电子邮件服务的承包商，与生产数据存储在同一服务器上的电子邮件，针对数据泄露，在测试系统上使用生产数据副本以及访问控制策略不足。 所有这些路径都可以使您的关键信息远离您。 解决这些问题中的大多数并不需要花费太多，而只是保持警惕和制定合理的政策即可。

当然，第二大威胁是您要保护的用户。 在您的UI / UX选择中，确保用户不能做出不安全的选择。 许多站点的共同特征是“秘密”问题（告诉我您猫的名字，我可以访问您的数据）。 如果有人被住家伴侣虐待，他们会知道的 ！ 还请考虑用户用于访问您的应用程序的路径，包括公共场所中的移动设备和共享计算机。 确保所有用户的会话保护都是牢固的 ，以防止会话劫持和重用。

就Callisto而言，一个重要的威胁媒介与响应者打交道。 当用户授权向其机构发布报告时，学院或大学必须使用PGP密钥对来解密发送给他们的报告。 教授PGP具有挑战性，因此存在信息泄露的可能性，以及机构如何处理解密报告的问题也是如此。 并非每个人都对保持这种安全性有技巧或知识。

考虑数据传输安全性

系统的边界在哪里？ 应用程序和数据库之间的边界必须牢固。 数据的序列化和反序列化是一种攻击媒介，对于某些人来说可能并不明显。 您的应用程序是否使用安全路径（例如SSL）来与数据库服务器通信？ 即使两者都是“内部”，也绝对应该如此！

您的应用程序是否保留活动日志？ 里面有什么信息？ 如果仅泄漏日志，可以使用其中包含的信息（IP地址，有人吗？）来跟踪系统的使用情况并可能危害用户？

测试，测试，测试

您绝对应该测试已制定的策略和流程。 有许多免费的安全检查器，包括OWASP ，可以为您提供帮助。 如果您有预算，请花钱让更聪明的人通过渗透测试或漏洞赏金来测试它可能会非常有用。

与您的团队一起花费一些时间和精力，包括对问题空间有透彻了解的非技术用户，可以以最低的成本深入了解您的应用程序的安全需求。 如果您使用军械库中最好的工具，那就不必花大笔钱在安全上了：大脑！

翻译自: https://opensource.com/business/16/6/shoestring-approach-information-security

服务器被黑客入侵