코드 시리즈로 보안 인프라를 정복 코더: 보안 잘못 구성 - 부적절한 권한
요즘 사이버 보안에 대한 위협은 유비쿼터스이며 끊임없는 위협입니다. 프로그램이 배포된 후에도 따라잡으려고 노력하는 것이 거의 불가능해졌습니다. 대신, 날카로운 조직은 인프라 개념을 코드로 받아들이고 있으며, 개발자는 여전히 만들어지는 동안 안전한 응용 프로그램을 만드는 데 기여합니다. 이 계열은 보안을 준비하는 것이므로 개발자가 자신의 조직에서 보안 인프라를 코드로 배포하기 위해 취할 수 있는 단계를 이해할 수 있습니다.
보안 오수, 특히 부적절한 권한의 다양성은 개발자가 작업을 수행하기 위해 새 사용자를 만들거나 응용 프로그램에 대한 권한을 도구로 부여할 때마다 가장 자주 발생합니다. 예를 들어 데이터베이스에서 정보를 수집하기 위해 이 작업을 수행할 수 있습니다. 그러나 새 사용자에 대한 권한이 너무 높게 설정되거나 현재 작업에 대해 기본적으로 구성되지 않으면 코드에 심각한 취약점이 발생할 수 있습니다.
우리가 그것에 들어가기 전에, 왜 지금 당신의 능력을 테스트하지? 몇 가지 부적절한 권한 취약점을 찾아 수정해 보십시오.
어떻게 하셨나요? 좀 더 깊이 파고 들어 봅시다.
사용자 또는 응용 프로그램에 전체 권한을 부여하거나 새 사용자가 수행할 수 있어야 하는 것과 제한된 동작을 정의하는 데 방해가 되지 않는 것은 새 코드를 제자리에 배치하는 가장 빠른 방법입니다. 그리고 모든 것이 완벽하게 잘 되면 응용 프로그램은 해당 권한을 사용하여 할당된 작업을 수행합니다. 위험은 해커가이 프로세스를 발견 한 다음 해당 사용자를 손상시킬 것입니다. 사용자가 특정 응용 프로그램에 대한 특정 기능을 수행하도록 만들어졌지만 손상된 경우 공격자가 다른 응용 프로그램, 데이터 또는 네트워크를 위험에 빠뜨릴 수 있습니다.
보안 오디구성은 어떻게 악용됩니까?
위험을 시각화하려면 Docker 클라우드 환경 내에서 공통 작업이 코딩되는 방법을 살펴보겠습니다. 개발자가 Prometheus MySQL 수출 서비스를 사용하여 데이터베이스에서 정보를 수집하고 있다고 가정해 보겠습니다. 이를 허용하는 가장 쉬운 방법은 수출업체에 데이터베이스에 액세스할 수 있는 권한을 부여하는 것입니다. 따라서 코드는 다음과 같은 것일 수 있습니다.
mysql에서:최신
복사 ./스크립트/create_users.sh/docker-엔트리포인트-initdb.d/
사용자 999
$EXPORTER_암호로 식별된 사용자 exporter@%를 만듭니다.
*.* 모든 것을 exporter@%로 부여합니다.
performance_schema.* 에서 exporter@%로 선택하도록 부여합니다.
이것은 확실히 수출이 작업을 수행 할 수 있도록 만들 것입니다. 그러나 권한이 정의되지 않았기 때문에 수출업체는 실제로 거의 모든 작업을 수행할 수 있습니다. 분명히, 수출 자체는 프로그래밍 된 행동 이외의 행동하지 않을 것입니다. 그러나 공격자가 수출 서비스를 손상시킬 수 있다면 어떻게 될까요? 이 경우 전체 권한이 부여되었기 때문에 공격자는 SQL 서비스에서 모든 종류의 승인되지 않은 작업을 수행할 수 있습니다.
부적절한 권한 보호 및 제거
여기에서 다시, 우리는 코드로 인프라의 개념을 켭니다. 보안이 생성되는 대로 응용 프로그램에 보안을 코딩하는 경우 사이버 보안과 관련하여 네트워크는 항상 훨씬 더 나은 전반적인 기반을 유지하게 됩니다.
위의 Docker 예제에서 개발자가 Prometheus MySQL 프로비컨더가 데이터베이스를 쿼리할 수 있도록 하려면 이를 허용해야 할 작업을 정의하여 보다 안전하게 수행할 수 있습니다. 이 것의 좋은 예는 다음과 같은 것입니다.
mysql에서:최신
복사 ./스크립트/create_users.sh/docker-엔트리포인트-initdb.d/
사용자 999
$EXPORTER_암호로 식별된 사용자 exporter@%를 만듭니다.
부여 프로세스, 복제 클라이언트 *.* ~ exporter@%;
performance_schema.* 에서 exporter@%로 선택하도록 부여합니다.
이 경우 Prometheus MySQL 프로비셀 서비스에 대해 구성된 MySQL 사용자는 MySQL 서비스에 대한 제한된 권한만 있습니다. 특히 프로세스 및 복제 클라이언트 권한만 허용됩니다. 이렇게 하면 악의적인 사용자가 손상된 Prometheus MySQL 수출 서비스를 이용하지 못하게 됩니다.
코드 수준에서 권한을 제한하면 사용자와 응용 프로그램에 작업에 대한 충분한 권한만 갖도록 할 수 있습니다. 이를 통해 네트워크를 보호하고 인프라 개념을 코드로 수용하는 데 큰 역할을 할 수 있습니다.
체크 아웃 Secure Code Warrior 이 취약점에 대한 자세한 정보를 위한 블로그 페이지와 다른 보안 결함의 파괴로부터 조직과 고객을 보호하는 방법. 또한, Secure Code Warrior 모든 사이버 보안 기술을 연마하고 최신 상태로 유지하기 위한 교육 플랫폼을 제공합니다.
보안 오수, 특히 부적절한 권한의 다양성은 개발자가 작업을 수행하기 위해 새 사용자를 만들거나 응용 프로그램에 대한 권한을 도구로 부여할 때마다 가장 자주 발생합니다.
마티아스 마두는 보안 전문가, 연구원, CTO이자 Secure Code Warrior 의 공동 설립자입니다. 마티아스는 겐트 대학교에서 정적 분석 솔루션에 중점을 둔 애플리케이션 보안 박사 학위를 취득했습니다. 이후 미국의 Fortify에 입사하여 개발자의 보안 코드 작성을 지원하지 않고 코드 문제만 탐지하는 것만으로는 충분하지 않다는 것을 깨달았습니다. 이를 계기로 개발자를 지원하고 보안에 대한 부담을 덜어주며 고객의 기대를 뛰어넘는 제품을 개발하게 되었습니다. 팀 어썸의 일원으로 책상에 앉아 있지 않을 때는 RSA 컨퍼런스, 블랙햇, 데프콘 등의 컨퍼런스에서 무대에 올라 발표하는 것을 즐깁니다.
Secure Code Warrior 는 전체 소프트웨어 개발 수명 주기에서 코드를 보호하고 사이버 보안을 최우선으로 생각하는 문화를 조성할 수 있도록 도와드립니다. 앱 보안 관리자, 개발자, CISO 등 보안과 관련된 모든 사람이 안전하지 않은 코드와 관련된 위험을 줄일 수 있도록 도와드릴 수 있습니다.
데모 예약
마티아스 마두는 보안 전문가, 연구원, CTO이자 Secure Code Warrior 의 공동 설립자입니다. 마티아스는 겐트 대학교에서 정적 분석 솔루션에 중점을 둔 애플리케이션 보안 박사 학위를 취득했습니다. 이후 미국의 Fortify에 입사하여 개발자의 보안 코드 작성을 지원하지 않고 코드 문제만 탐지하는 것만으로는 충분하지 않다는 것을 깨달았습니다. 이를 계기로 개발자를 지원하고 보안에 대한 부담을 덜어주며 고객의 기대를 뛰어넘는 제품을 개발하게 되었습니다. 팀 어썸의 일원으로 책상에 앉아 있지 않을 때는 RSA 컨퍼런스, 블랙햇, 데프콘 등의 컨퍼런스에서 무대에 올라 발표하는 것을 즐깁니다.
Matias는 15년 이상의 소프트웨어 보안 경험을 가진 연구원이자 개발자입니다. 그는 Fortify 소프트웨어와 같은 회사와 자신의 회사를 위한 솔루션을 개발했습니다. Sensei 안전. 그의 경력을 통해, Matias는 상용 제품으로 주도하고 자신의 벨트 아래 10 개 이상의 특허를 자랑하는 여러 응용 프로그램 보안 연구 프로젝트를 주도하고있다. 마티아스는 책상에서 떨어져 있을 때 고급 응용 프로그램 보안 교육을 위한 강사로 일했습니다. courses RSA 컨퍼런스, 블랙 햇, 데프콘, BSIMM, OWASP AppSec 및 브루콘을 포함한 글로벌 컨퍼런스에서 정기적으로 강연합니다.
마티아스는 겐트 대학교에서 컴퓨터 공학 박사 학위를 취득했으며, 프로그램 난독화를 통해 응용 프로그램 보안을 연구하여 응용 프로그램의 내부 작동을 숨깁니다.
요즘 사이버 보안에 대한 위협은 유비쿼터스이며 끊임없는 위협입니다. 프로그램이 배포된 후에도 따라잡으려고 노력하는 것이 거의 불가능해졌습니다. 대신, 날카로운 조직은 인프라 개념을 코드로 받아들이고 있으며, 개발자는 여전히 만들어지는 동안 안전한 응용 프로그램을 만드는 데 기여합니다. 이 계열은 보안을 준비하는 것이므로 개발자가 자신의 조직에서 보안 인프라를 코드로 배포하기 위해 취할 수 있는 단계를 이해할 수 있습니다.
보안 오수, 특히 부적절한 권한의 다양성은 개발자가 작업을 수행하기 위해 새 사용자를 만들거나 응용 프로그램에 대한 권한을 도구로 부여할 때마다 가장 자주 발생합니다. 예를 들어 데이터베이스에서 정보를 수집하기 위해 이 작업을 수행할 수 있습니다. 그러나 새 사용자에 대한 권한이 너무 높게 설정되거나 현재 작업에 대해 기본적으로 구성되지 않으면 코드에 심각한 취약점이 발생할 수 있습니다.
우리가 그것에 들어가기 전에, 왜 지금 당신의 능력을 테스트하지? 몇 가지 부적절한 권한 취약점을 찾아 수정해 보십시오.
어떻게 하셨나요? 좀 더 깊이 파고 들어 봅시다.
사용자 또는 응용 프로그램에 전체 권한을 부여하거나 새 사용자가 수행할 수 있어야 하는 것과 제한된 동작을 정의하는 데 방해가 되지 않는 것은 새 코드를 제자리에 배치하는 가장 빠른 방법입니다. 그리고 모든 것이 완벽하게 잘 되면 응용 프로그램은 해당 권한을 사용하여 할당된 작업을 수행합니다. 위험은 해커가이 프로세스를 발견 한 다음 해당 사용자를 손상시킬 것입니다. 사용자가 특정 응용 프로그램에 대한 특정 기능을 수행하도록 만들어졌지만 손상된 경우 공격자가 다른 응용 프로그램, 데이터 또는 네트워크를 위험에 빠뜨릴 수 있습니다.
보안 오디구성은 어떻게 악용됩니까?
위험을 시각화하려면 Docker 클라우드 환경 내에서 공통 작업이 코딩되는 방법을 살펴보겠습니다. 개발자가 Prometheus MySQL 수출 서비스를 사용하여 데이터베이스에서 정보를 수집하고 있다고 가정해 보겠습니다. 이를 허용하는 가장 쉬운 방법은 수출업체에 데이터베이스에 액세스할 수 있는 권한을 부여하는 것입니다. 따라서 코드는 다음과 같은 것일 수 있습니다.
mysql에서:최신
복사 ./스크립트/create_users.sh/docker-엔트리포인트-initdb.d/
사용자 999
$EXPORTER_암호로 식별된 사용자 exporter@%를 만듭니다.
*.* 모든 것을 exporter@%로 부여합니다.
performance_schema.* 에서 exporter@%로 선택하도록 부여합니다.
이것은 확실히 수출이 작업을 수행 할 수 있도록 만들 것입니다. 그러나 권한이 정의되지 않았기 때문에 수출업체는 실제로 거의 모든 작업을 수행할 수 있습니다. 분명히, 수출 자체는 프로그래밍 된 행동 이외의 행동하지 않을 것입니다. 그러나 공격자가 수출 서비스를 손상시킬 수 있다면 어떻게 될까요? 이 경우 전체 권한이 부여되었기 때문에 공격자는 SQL 서비스에서 모든 종류의 승인되지 않은 작업을 수행할 수 있습니다.
부적절한 권한 보호 및 제거
여기에서 다시, 우리는 코드로 인프라의 개념을 켭니다. 보안이 생성되는 대로 응용 프로그램에 보안을 코딩하는 경우 사이버 보안과 관련하여 네트워크는 항상 훨씬 더 나은 전반적인 기반을 유지하게 됩니다.
위의 Docker 예제에서 개발자가 Prometheus MySQL 프로비컨더가 데이터베이스를 쿼리할 수 있도록 하려면 이를 허용해야 할 작업을 정의하여 보다 안전하게 수행할 수 있습니다. 이 것의 좋은 예는 다음과 같은 것입니다.
mysql에서:최신
복사 ./스크립트/create_users.sh/docker-엔트리포인트-initdb.d/
사용자 999
$EXPORTER_암호로 식별된 사용자 exporter@%를 만듭니다.
부여 프로세스, 복제 클라이언트 *.* ~ exporter@%;
performance_schema.* 에서 exporter@%로 선택하도록 부여합니다.
이 경우 Prometheus MySQL 프로비셀 서비스에 대해 구성된 MySQL 사용자는 MySQL 서비스에 대한 제한된 권한만 있습니다. 특히 프로세스 및 복제 클라이언트 권한만 허용됩니다. 이렇게 하면 악의적인 사용자가 손상된 Prometheus MySQL 수출 서비스를 이용하지 못하게 됩니다.
코드 수준에서 권한을 제한하면 사용자와 응용 프로그램에 작업에 대한 충분한 권한만 갖도록 할 수 있습니다. 이를 통해 네트워크를 보호하고 인프라 개념을 코드로 수용하는 데 큰 역할을 할 수 있습니다.
체크 아웃 Secure Code Warrior 이 취약점에 대한 자세한 정보를 위한 블로그 페이지와 다른 보안 결함의 파괴로부터 조직과 고객을 보호하는 방법. 또한, Secure Code Warrior 모든 사이버 보안 기술을 연마하고 최신 상태로 유지하기 위한 교육 플랫폼을 제공합니다.
요즘 사이버 보안에 대한 위협은 유비쿼터스이며 끊임없는 위협입니다. 프로그램이 배포된 후에도 따라잡으려고 노력하는 것이 거의 불가능해졌습니다. 대신, 날카로운 조직은 인프라 개념을 코드로 받아들이고 있으며, 개발자는 여전히 만들어지는 동안 안전한 응용 프로그램을 만드는 데 기여합니다. 이 계열은 보안을 준비하는 것이므로 개발자가 자신의 조직에서 보안 인프라를 코드로 배포하기 위해 취할 수 있는 단계를 이해할 수 있습니다.
보안 오수, 특히 부적절한 권한의 다양성은 개발자가 작업을 수행하기 위해 새 사용자를 만들거나 응용 프로그램에 대한 권한을 도구로 부여할 때마다 가장 자주 발생합니다. 예를 들어 데이터베이스에서 정보를 수집하기 위해 이 작업을 수행할 수 있습니다. 그러나 새 사용자에 대한 권한이 너무 높게 설정되거나 현재 작업에 대해 기본적으로 구성되지 않으면 코드에 심각한 취약점이 발생할 수 있습니다.
우리가 그것에 들어가기 전에, 왜 지금 당신의 능력을 테스트하지? 몇 가지 부적절한 권한 취약점을 찾아 수정해 보십시오.
어떻게 하셨나요? 좀 더 깊이 파고 들어 봅시다.
사용자 또는 응용 프로그램에 전체 권한을 부여하거나 새 사용자가 수행할 수 있어야 하는 것과 제한된 동작을 정의하는 데 방해가 되지 않는 것은 새 코드를 제자리에 배치하는 가장 빠른 방법입니다. 그리고 모든 것이 완벽하게 잘 되면 응용 프로그램은 해당 권한을 사용하여 할당된 작업을 수행합니다. 위험은 해커가이 프로세스를 발견 한 다음 해당 사용자를 손상시킬 것입니다. 사용자가 특정 응용 프로그램에 대한 특정 기능을 수행하도록 만들어졌지만 손상된 경우 공격자가 다른 응용 프로그램, 데이터 또는 네트워크를 위험에 빠뜨릴 수 있습니다.
보안 오디구성은 어떻게 악용됩니까?
위험을 시각화하려면 Docker 클라우드 환경 내에서 공통 작업이 코딩되는 방법을 살펴보겠습니다. 개발자가 Prometheus MySQL 수출 서비스를 사용하여 데이터베이스에서 정보를 수집하고 있다고 가정해 보겠습니다. 이를 허용하는 가장 쉬운 방법은 수출업체에 데이터베이스에 액세스할 수 있는 권한을 부여하는 것입니다. 따라서 코드는 다음과 같은 것일 수 있습니다.
mysql에서:최신
복사 ./스크립트/create_users.sh/docker-엔트리포인트-initdb.d/
사용자 999
$EXPORTER_암호로 식별된 사용자 exporter@%를 만듭니다.
*.* 모든 것을 exporter@%로 부여합니다.
performance_schema.* 에서 exporter@%로 선택하도록 부여합니다.
이것은 확실히 수출이 작업을 수행 할 수 있도록 만들 것입니다. 그러나 권한이 정의되지 않았기 때문에 수출업체는 실제로 거의 모든 작업을 수행할 수 있습니다. 분명히, 수출 자체는 프로그래밍 된 행동 이외의 행동하지 않을 것입니다. 그러나 공격자가 수출 서비스를 손상시킬 수 있다면 어떻게 될까요? 이 경우 전체 권한이 부여되었기 때문에 공격자는 SQL 서비스에서 모든 종류의 승인되지 않은 작업을 수행할 수 있습니다.
부적절한 권한 보호 및 제거
여기에서 다시, 우리는 코드로 인프라의 개념을 켭니다. 보안이 생성되는 대로 응용 프로그램에 보안을 코딩하는 경우 사이버 보안과 관련하여 네트워크는 항상 훨씬 더 나은 전반적인 기반을 유지하게 됩니다.
위의 Docker 예제에서 개발자가 Prometheus MySQL 프로비컨더가 데이터베이스를 쿼리할 수 있도록 하려면 이를 허용해야 할 작업을 정의하여 보다 안전하게 수행할 수 있습니다. 이 것의 좋은 예는 다음과 같은 것입니다.
mysql에서:최신
복사 ./스크립트/create_users.sh/docker-엔트리포인트-initdb.d/
사용자 999
$EXPORTER_암호로 식별된 사용자 exporter@%를 만듭니다.
부여 프로세스, 복제 클라이언트 *.* ~ exporter@%;
performance_schema.* 에서 exporter@%로 선택하도록 부여합니다.
이 경우 Prometheus MySQL 프로비셀 서비스에 대해 구성된 MySQL 사용자는 MySQL 서비스에 대한 제한된 권한만 있습니다. 특히 프로세스 및 복제 클라이언트 권한만 허용됩니다. 이렇게 하면 악의적인 사용자가 손상된 Prometheus MySQL 수출 서비스를 이용하지 못하게 됩니다.
코드 수준에서 권한을 제한하면 사용자와 응용 프로그램에 작업에 대한 충분한 권한만 갖도록 할 수 있습니다. 이를 통해 네트워크를 보호하고 인프라 개념을 코드로 수용하는 데 큰 역할을 할 수 있습니다.
체크 아웃 Secure Code Warrior 이 취약점에 대한 자세한 정보를 위한 블로그 페이지와 다른 보안 결함의 파괴로부터 조직과 고객을 보호하는 방법. 또한, Secure Code Warrior 모든 사이버 보안 기술을 연마하고 최신 상태로 유지하기 위한 교육 플랫폼을 제공합니다.
아래 링크를 클릭하여 이 자료의 PDF를 다운로드하세요.
Secure Code Warrior 는 전체 소프트웨어 개발 수명 주기에서 코드를 보호하고 사이버 보안을 최우선으로 생각하는 문화를 조성할 수 있도록 도와드립니다. 앱 보안 관리자, 개발자, CISO 등 보안과 관련된 모든 사람이 안전하지 않은 코드와 관련된 위험을 줄일 수 있도록 도와드릴 수 있습니다.
보고서 보기데모 예약
마티아스 마두는 보안 전문가, 연구원, CTO이자 Secure Code Warrior 의 공동 설립자입니다. 마티아스는 겐트 대학교에서 정적 분석 솔루션에 중점을 둔 애플리케이션 보안 박사 학위를 취득했습니다. 이후 미국의 Fortify에 입사하여 개발자의 보안 코드 작성을 지원하지 않고 코드 문제만 탐지하는 것만으로는 충분하지 않다는 것을 깨달았습니다. 이를 계기로 개발자를 지원하고 보안에 대한 부담을 덜어주며 고객의 기대를 뛰어넘는 제품을 개발하게 되었습니다. 팀 어썸의 일원으로 책상에 앉아 있지 않을 때는 RSA 컨퍼런스, 블랙햇, 데프콘 등의 컨퍼런스에서 무대에 올라 발표하는 것을 즐깁니다.
Matias는 15년 이상의 소프트웨어 보안 경험을 가진 연구원이자 개발자입니다. 그는 Fortify 소프트웨어와 같은 회사와 자신의 회사를 위한 솔루션을 개발했습니다. Sensei 안전. 그의 경력을 통해, Matias는 상용 제품으로 주도하고 자신의 벨트 아래 10 개 이상의 특허를 자랑하는 여러 응용 프로그램 보안 연구 프로젝트를 주도하고있다. 마티아스는 책상에서 떨어져 있을 때 고급 응용 프로그램 보안 교육을 위한 강사로 일했습니다. courses RSA 컨퍼런스, 블랙 햇, 데프콘, BSIMM, OWASP AppSec 및 브루콘을 포함한 글로벌 컨퍼런스에서 정기적으로 강연합니다.
마티아스는 겐트 대학교에서 컴퓨터 공학 박사 학위를 취득했으며, 프로그램 난독화를 통해 응용 프로그램 보안을 연구하여 응용 프로그램의 내부 작동을 숨깁니다.
요즘 사이버 보안에 대한 위협은 유비쿼터스이며 끊임없는 위협입니다. 프로그램이 배포된 후에도 따라잡으려고 노력하는 것이 거의 불가능해졌습니다. 대신, 날카로운 조직은 인프라 개념을 코드로 받아들이고 있으며, 개발자는 여전히 만들어지는 동안 안전한 응용 프로그램을 만드는 데 기여합니다. 이 계열은 보안을 준비하는 것이므로 개발자가 자신의 조직에서 보안 인프라를 코드로 배포하기 위해 취할 수 있는 단계를 이해할 수 있습니다.
보안 오수, 특히 부적절한 권한의 다양성은 개발자가 작업을 수행하기 위해 새 사용자를 만들거나 응용 프로그램에 대한 권한을 도구로 부여할 때마다 가장 자주 발생합니다. 예를 들어 데이터베이스에서 정보를 수집하기 위해 이 작업을 수행할 수 있습니다. 그러나 새 사용자에 대한 권한이 너무 높게 설정되거나 현재 작업에 대해 기본적으로 구성되지 않으면 코드에 심각한 취약점이 발생할 수 있습니다.
우리가 그것에 들어가기 전에, 왜 지금 당신의 능력을 테스트하지? 몇 가지 부적절한 권한 취약점을 찾아 수정해 보십시오.
어떻게 하셨나요? 좀 더 깊이 파고 들어 봅시다.
사용자 또는 응용 프로그램에 전체 권한을 부여하거나 새 사용자가 수행할 수 있어야 하는 것과 제한된 동작을 정의하는 데 방해가 되지 않는 것은 새 코드를 제자리에 배치하는 가장 빠른 방법입니다. 그리고 모든 것이 완벽하게 잘 되면 응용 프로그램은 해당 권한을 사용하여 할당된 작업을 수행합니다. 위험은 해커가이 프로세스를 발견 한 다음 해당 사용자를 손상시킬 것입니다. 사용자가 특정 응용 프로그램에 대한 특정 기능을 수행하도록 만들어졌지만 손상된 경우 공격자가 다른 응용 프로그램, 데이터 또는 네트워크를 위험에 빠뜨릴 수 있습니다.
보안 오디구성은 어떻게 악용됩니까?
위험을 시각화하려면 Docker 클라우드 환경 내에서 공통 작업이 코딩되는 방법을 살펴보겠습니다. 개발자가 Prometheus MySQL 수출 서비스를 사용하여 데이터베이스에서 정보를 수집하고 있다고 가정해 보겠습니다. 이를 허용하는 가장 쉬운 방법은 수출업체에 데이터베이스에 액세스할 수 있는 권한을 부여하는 것입니다. 따라서 코드는 다음과 같은 것일 수 있습니다.
mysql에서:최신
복사 ./스크립트/create_users.sh/docker-엔트리포인트-initdb.d/
사용자 999
$EXPORTER_암호로 식별된 사용자 exporter@%를 만듭니다.
*.* 모든 것을 exporter@%로 부여합니다.
performance_schema.* 에서 exporter@%로 선택하도록 부여합니다.
이것은 확실히 수출이 작업을 수행 할 수 있도록 만들 것입니다. 그러나 권한이 정의되지 않았기 때문에 수출업체는 실제로 거의 모든 작업을 수행할 수 있습니다. 분명히, 수출 자체는 프로그래밍 된 행동 이외의 행동하지 않을 것입니다. 그러나 공격자가 수출 서비스를 손상시킬 수 있다면 어떻게 될까요? 이 경우 전체 권한이 부여되었기 때문에 공격자는 SQL 서비스에서 모든 종류의 승인되지 않은 작업을 수행할 수 있습니다.
부적절한 권한 보호 및 제거
여기에서 다시, 우리는 코드로 인프라의 개념을 켭니다. 보안이 생성되는 대로 응용 프로그램에 보안을 코딩하는 경우 사이버 보안과 관련하여 네트워크는 항상 훨씬 더 나은 전반적인 기반을 유지하게 됩니다.
위의 Docker 예제에서 개발자가 Prometheus MySQL 프로비컨더가 데이터베이스를 쿼리할 수 있도록 하려면 이를 허용해야 할 작업을 정의하여 보다 안전하게 수행할 수 있습니다. 이 것의 좋은 예는 다음과 같은 것입니다.
mysql에서:최신
복사 ./스크립트/create_users.sh/docker-엔트리포인트-initdb.d/
사용자 999
$EXPORTER_암호로 식별된 사용자 exporter@%를 만듭니다.
부여 프로세스, 복제 클라이언트 *.* ~ exporter@%;
performance_schema.* 에서 exporter@%로 선택하도록 부여합니다.
이 경우 Prometheus MySQL 프로비셀 서비스에 대해 구성된 MySQL 사용자는 MySQL 서비스에 대한 제한된 권한만 있습니다. 특히 프로세스 및 복제 클라이언트 권한만 허용됩니다. 이렇게 하면 악의적인 사용자가 손상된 Prometheus MySQL 수출 서비스를 이용하지 못하게 됩니다.
코드 수준에서 권한을 제한하면 사용자와 응용 프로그램에 작업에 대한 충분한 권한만 갖도록 할 수 있습니다. 이를 통해 네트워크를 보호하고 인프라 개념을 코드로 수용하는 데 큰 역할을 할 수 있습니다.
체크 아웃 Secure Code Warrior 이 취약점에 대한 자세한 정보를 위한 블로그 페이지와 다른 보안 결함의 파괴로부터 조직과 고객을 보호하는 방법. 또한, Secure Code Warrior 모든 사이버 보안 기술을 연마하고 최신 상태로 유지하기 위한 교육 플랫폼을 제공합니다.
목차
마티아스 마두는 보안 전문가, 연구원, CTO이자 Secure Code Warrior 의 공동 설립자입니다. 마티아스는 겐트 대학교에서 정적 분석 솔루션에 중점을 둔 애플리케이션 보안 박사 학위를 취득했습니다. 이후 미국의 Fortify에 입사하여 개발자의 보안 코드 작성을 지원하지 않고 코드 문제만 탐지하는 것만으로는 충분하지 않다는 것을 깨달았습니다. 이를 계기로 개발자를 지원하고 보안에 대한 부담을 덜어주며 고객의 기대를 뛰어넘는 제품을 개발하게 되었습니다. 팀 어썸의 일원으로 책상에 앉아 있지 않을 때는 RSA 컨퍼런스, 블랙햇, 데프콘 등의 컨퍼런스에서 무대에 올라 발표하는 것을 즐깁니다.
Secure Code Warrior 는 전체 소프트웨어 개발 수명 주기에서 코드를 보호하고 사이버 보안을 최우선으로 생각하는 문화를 조성할 수 있도록 도와드립니다. 앱 보안 관리자, 개발자, CISO 등 보안과 관련된 모든 사람이 안전하지 않은 코드와 관련된 위험을 줄일 수 있도록 도와드릴 수 있습니다.
데모 예약다운로드
.png)
