コーダーがセキュリティインフラストラクチャを征服するコードシリーズ:セキュリティの設定ミス-不適切な権限
요즘 사이버 보안에 대한 위협은 유비쿼터스이며 끊임없는 위협입니다. 프로그램이 배포된 후에도 따라잡으려고 노력하는 것이 거의 불가능해졌습니다. 대신, 날카로운 조직은 인프라 개념을 코드로 받아들이고 있으며, 개발자는 여전히 만들어지는 동안 안전한 응용 프로그램을 만드는 데 기여합니다. 이 계열은 보안을 준비하는 것이므로 개발자가 자신의 조직에서 보안 인프라를 코드로 배포하기 위해 취할 수 있는 단계를 이해할 수 있습니다.
보안 오수, 특히 부적절한 권한의 다양성은 개발자가 작업을 수행하기 위해 새 사용자를 만들거나 응용 프로그램에 대한 권한을 도구로 부여할 때마다 가장 자주 발생합니다. 예를 들어 데이터베이스에서 정보를 수집하기 위해 이 작업을 수행할 수 있습니다. 그러나 새 사용자에 대한 권한이 너무 높게 설정되거나 현재 작업에 대해 기본적으로 구성되지 않으면 코드에 심각한 취약점이 발생할 수 있습니다.
우리가 그것에 들어가기 전에, 왜 지금 당신의 능력을 테스트하지? 몇 가지 부적절한 권한 취약점을 찾아 수정해 보십시오.
어떻게 하셨나요? 좀 더 깊이 파고 들어 봅시다.
사용자 또는 응용 프로그램에 전체 권한을 부여하거나 새 사용자가 수행할 수 있어야 하는 것과 제한된 동작을 정의하는 데 방해가 되지 않는 것은 새 코드를 제자리에 배치하는 가장 빠른 방법입니다. 그리고 모든 것이 완벽하게 잘 되면 응용 프로그램은 해당 권한을 사용하여 할당된 작업을 수행합니다. 위험은 해커가이 프로세스를 발견 한 다음 해당 사용자를 손상시킬 것입니다. 사용자가 특정 응용 프로그램에 대한 특정 기능을 수행하도록 만들어졌지만 손상된 경우 공격자가 다른 응용 프로그램, 데이터 또는 네트워크를 위험에 빠뜨릴 수 있습니다.
보안 오디구성은 어떻게 악용됩니까?
위험을 시각화하려면 Docker 클라우드 환경 내에서 공통 작업이 코딩되는 방법을 살펴보겠습니다. 개발자가 Prometheus MySQL 수출 서비스를 사용하여 데이터베이스에서 정보를 수집하고 있다고 가정해 보겠습니다. 이를 허용하는 가장 쉬운 방법은 수출업체에 데이터베이스에 액세스할 수 있는 권한을 부여하는 것입니다. 따라서 코드는 다음과 같은 것일 수 있습니다.
mysql에서:최신
복사 ./스크립트/create_users.sh/docker-엔트리포인트-initdb.d/
사용자 999
$EXPORTER_암호로 식별된 사용자 exporter@%를 만듭니다.
*.* 모든 것을 exporter@%로 부여합니다.
performance_schema.* 에서 exporter@%로 선택하도록 부여합니다.
이것은 확실히 수출이 작업을 수행 할 수 있도록 만들 것입니다. 그러나 권한이 정의되지 않았기 때문에 수출업체는 실제로 거의 모든 작업을 수행할 수 있습니다. 분명히, 수출 자체는 프로그래밍 된 행동 이외의 행동하지 않을 것입니다. 그러나 공격자가 수출 서비스를 손상시킬 수 있다면 어떻게 될까요? 이 경우 전체 권한이 부여되었기 때문에 공격자는 SQL 서비스에서 모든 종류의 승인되지 않은 작업을 수행할 수 있습니다.
부적절한 권한 보호 및 제거
여기에서 다시, 우리는 코드로 인프라의 개념을 켭니다. 보안이 생성되는 대로 응용 프로그램에 보안을 코딩하는 경우 사이버 보안과 관련하여 네트워크는 항상 훨씬 더 나은 전반적인 기반을 유지하게 됩니다.
위의 Docker 예제에서 개발자가 Prometheus MySQL 프로비컨더가 데이터베이스를 쿼리할 수 있도록 하려면 이를 허용해야 할 작업을 정의하여 보다 안전하게 수행할 수 있습니다. 이 것의 좋은 예는 다음과 같은 것입니다.
mysql에서:최신
복사 ./스크립트/create_users.sh/docker-엔트리포인트-initdb.d/
사용자 999
$EXPORTER_암호로 식별된 사용자 exporter@%를 만듭니다.
부여 프로세스, 복제 클라이언트 *.* ~ exporter@%;
performance_schema.* 에서 exporter@%로 선택하도록 부여합니다.
이 경우 Prometheus MySQL 프로비셀 서비스에 대해 구성된 MySQL 사용자는 MySQL 서비스에 대한 제한된 권한만 있습니다. 특히 프로세스 및 복제 클라이언트 권한만 허용됩니다. 이렇게 하면 악의적인 사용자가 손상된 Prometheus MySQL 수출 서비스를 이용하지 못하게 됩니다.
코드 수준에서 권한을 제한하면 사용자와 응용 프로그램에 작업에 대한 충분한 권한만 갖도록 할 수 있습니다. 이를 통해 네트워크를 보호하고 인프라 개념을 코드로 수용하는 데 큰 역할을 할 수 있습니다.
체크 아웃 Secure Code Warrior 이 취약점에 대한 자세한 정보를 위한 블로그 페이지와 다른 보안 결함의 파괴로부터 조직과 고객을 보호하는 방법. 또한, Secure Code Warrior 모든 사이버 보안 기술을 연마하고 최신 상태로 유지하기 위한 교육 플랫폼을 제공합니다.
セキュリティの設定ミス、特に不適切な権限の設定は、開発者がタスクを実行するために新しいユーザーを作成したり、ツールとしてアプリケーションに権限を付与したりする場合に発生することがほとんどです。
마티아스 마두 박사는 보안 전문가, 연구원, CTO, 그리고 Secure Code Warrior의 공동 창립자입니다. 마티아스는 겐트 대학교에서 정적 분석 솔루션을 중심으로 애플리케이션 보안 분야 박사 학위를 취득했습니다.이후 미국의 Fortify에 합류하여 개발자가 안전한 코드를 작성하도록 지원하지 않고 단순히 코드 문제를 탐지하는 것만으로는 불충분하다는 점을 깨달았습니다. 이를 계기로 개발자를 지원하고 보안 부담을 줄이며 고객 기대를 뛰어넘는 제품을 개발하게 되었습니다. Team Awesome의 일원으로 책상에 있지 않을 때는 RSA 컨퍼런스, BlackHat, DefCon 등의 컨퍼런스에서 발표하는 무대 발표를 즐깁니다.
Secure Code Warrior는 소프트웨어 개발 라이프사이클 전반에 걸쳐 코드를 보호하고 사이버보안을 최우선으로 하는 문화를 구축하는 데 도움을 드립니다. 애플리케이션 보안 관리자, 개발자, CISO 또는 보안 담당자이든, 안전하지 않은 코드와 관련된 위험을 줄이는 데 도움을 드립니다.
데모 예약
마티아스 마두 박사는 보안 전문가, 연구원, CTO, 그리고 Secure Code Warrior의 공동 창립자입니다. 마티아스는 겐트 대학교에서 정적 분석 솔루션을 중심으로 애플리케이션 보안 분야 박사 학위를 취득했습니다.이후 미국의 Fortify에 합류하여 개발자가 안전한 코드를 작성하도록 지원하지 않고 단순히 코드 문제를 탐지하는 것만으로는 불충분하다는 점을 깨달았습니다. 이를 계기로 개발자를 지원하고 보안 부담을 줄이며 고객 기대를 뛰어넘는 제품을 개발하게 되었습니다. Team Awesome의 일원으로 책상에 있지 않을 때는 RSA 컨퍼런스, BlackHat, DefCon 등의 컨퍼런스에서 발표하는 무대 발표를 즐깁니다.
마티아스는 15년 이상의 소프트웨어 보안 실무 경험을 가진 연구자이자 개발자입니다. 포티파이 소프트웨어(Fortify Software)와 자신의 회사인 센세이 시큐리티(Sensei Security) 등 기업을 대상으로 솔루션을 개발해 왔습니다. 마티아스는 경력 전반에 걸쳐 여러 애플리케이션 보안 연구 프로젝트를 주도했으며, 이는 상용 제품으로 이어져 10건 이상의 특허를 취득했습니다.업무 외 시간에는 마티아스는 고급 애플리케이션 보안 교육 과정의 강사로 활동하며, RSA 컨퍼런스, 블랙햇, 디프콘, BSIMM, OWASP 앱섹, 브루콘 등 글로벌 컨퍼런스에서 정기적으로 발표를 진행하고 있습니다.
마티아스는 겐트 대학교에서 컴퓨터 공학 박사 학위를 취득했으며, 그곳에서 애플리케이션의 내부 동작을 숨기기 위한 프로그램 난독화를 통한 애플리케이션 보안을 연구했습니다.
요즘 사이버 보안에 대한 위협은 유비쿼터스이며 끊임없는 위협입니다. 프로그램이 배포된 후에도 따라잡으려고 노력하는 것이 거의 불가능해졌습니다. 대신, 날카로운 조직은 인프라 개념을 코드로 받아들이고 있으며, 개발자는 여전히 만들어지는 동안 안전한 응용 프로그램을 만드는 데 기여합니다. 이 계열은 보안을 준비하는 것이므로 개발자가 자신의 조직에서 보안 인프라를 코드로 배포하기 위해 취할 수 있는 단계를 이해할 수 있습니다.
보안 오수, 특히 부적절한 권한의 다양성은 개발자가 작업을 수행하기 위해 새 사용자를 만들거나 응용 프로그램에 대한 권한을 도구로 부여할 때마다 가장 자주 발생합니다. 예를 들어 데이터베이스에서 정보를 수집하기 위해 이 작업을 수행할 수 있습니다. 그러나 새 사용자에 대한 권한이 너무 높게 설정되거나 현재 작업에 대해 기본적으로 구성되지 않으면 코드에 심각한 취약점이 발생할 수 있습니다.
우리가 그것에 들어가기 전에, 왜 지금 당신의 능력을 테스트하지? 몇 가지 부적절한 권한 취약점을 찾아 수정해 보십시오.
어떻게 하셨나요? 좀 더 깊이 파고 들어 봅시다.
사용자 또는 응용 프로그램에 전체 권한을 부여하거나 새 사용자가 수행할 수 있어야 하는 것과 제한된 동작을 정의하는 데 방해가 되지 않는 것은 새 코드를 제자리에 배치하는 가장 빠른 방법입니다. 그리고 모든 것이 완벽하게 잘 되면 응용 프로그램은 해당 권한을 사용하여 할당된 작업을 수행합니다. 위험은 해커가이 프로세스를 발견 한 다음 해당 사용자를 손상시킬 것입니다. 사용자가 특정 응용 프로그램에 대한 특정 기능을 수행하도록 만들어졌지만 손상된 경우 공격자가 다른 응용 프로그램, 데이터 또는 네트워크를 위험에 빠뜨릴 수 있습니다.
보안 오디구성은 어떻게 악용됩니까?
위험을 시각화하려면 Docker 클라우드 환경 내에서 공통 작업이 코딩되는 방법을 살펴보겠습니다. 개발자가 Prometheus MySQL 수출 서비스를 사용하여 데이터베이스에서 정보를 수집하고 있다고 가정해 보겠습니다. 이를 허용하는 가장 쉬운 방법은 수출업체에 데이터베이스에 액세스할 수 있는 권한을 부여하는 것입니다. 따라서 코드는 다음과 같은 것일 수 있습니다.
mysql에서:최신
복사 ./스크립트/create_users.sh/docker-엔트리포인트-initdb.d/
사용자 999
$EXPORTER_암호로 식별된 사용자 exporter@%를 만듭니다.
*.* 모든 것을 exporter@%로 부여합니다.
performance_schema.* 에서 exporter@%로 선택하도록 부여합니다.
이것은 확실히 수출이 작업을 수행 할 수 있도록 만들 것입니다. 그러나 권한이 정의되지 않았기 때문에 수출업체는 실제로 거의 모든 작업을 수행할 수 있습니다. 분명히, 수출 자체는 프로그래밍 된 행동 이외의 행동하지 않을 것입니다. 그러나 공격자가 수출 서비스를 손상시킬 수 있다면 어떻게 될까요? 이 경우 전체 권한이 부여되었기 때문에 공격자는 SQL 서비스에서 모든 종류의 승인되지 않은 작업을 수행할 수 있습니다.
부적절한 권한 보호 및 제거
여기에서 다시, 우리는 코드로 인프라의 개념을 켭니다. 보안이 생성되는 대로 응용 프로그램에 보안을 코딩하는 경우 사이버 보안과 관련하여 네트워크는 항상 훨씬 더 나은 전반적인 기반을 유지하게 됩니다.
위의 Docker 예제에서 개발자가 Prometheus MySQL 프로비컨더가 데이터베이스를 쿼리할 수 있도록 하려면 이를 허용해야 할 작업을 정의하여 보다 안전하게 수행할 수 있습니다. 이 것의 좋은 예는 다음과 같은 것입니다.
mysql에서:최신
복사 ./스크립트/create_users.sh/docker-엔트리포인트-initdb.d/
사용자 999
$EXPORTER_암호로 식별된 사용자 exporter@%를 만듭니다.
부여 프로세스, 복제 클라이언트 *.* ~ exporter@%;
performance_schema.* 에서 exporter@%로 선택하도록 부여합니다.
이 경우 Prometheus MySQL 프로비셀 서비스에 대해 구성된 MySQL 사용자는 MySQL 서비스에 대한 제한된 권한만 있습니다. 특히 프로세스 및 복제 클라이언트 권한만 허용됩니다. 이렇게 하면 악의적인 사용자가 손상된 Prometheus MySQL 수출 서비스를 이용하지 못하게 됩니다.
코드 수준에서 권한을 제한하면 사용자와 응용 프로그램에 작업에 대한 충분한 권한만 갖도록 할 수 있습니다. 이를 통해 네트워크를 보호하고 인프라 개념을 코드로 수용하는 데 큰 역할을 할 수 있습니다.
체크 아웃 Secure Code Warrior 이 취약점에 대한 자세한 정보를 위한 블로그 페이지와 다른 보안 결함의 파괴로부터 조직과 고객을 보호하는 방법. 또한, Secure Code Warrior 모든 사이버 보안 기술을 연마하고 최신 상태로 유지하기 위한 교육 플랫폼을 제공합니다.
요즘 사이버 보안에 대한 위협은 유비쿼터스이며 끊임없는 위협입니다. 프로그램이 배포된 후에도 따라잡으려고 노력하는 것이 거의 불가능해졌습니다. 대신, 날카로운 조직은 인프라 개념을 코드로 받아들이고 있으며, 개발자는 여전히 만들어지는 동안 안전한 응용 프로그램을 만드는 데 기여합니다. 이 계열은 보안을 준비하는 것이므로 개발자가 자신의 조직에서 보안 인프라를 코드로 배포하기 위해 취할 수 있는 단계를 이해할 수 있습니다.
보안 오수, 특히 부적절한 권한의 다양성은 개발자가 작업을 수행하기 위해 새 사용자를 만들거나 응용 프로그램에 대한 권한을 도구로 부여할 때마다 가장 자주 발생합니다. 예를 들어 데이터베이스에서 정보를 수집하기 위해 이 작업을 수행할 수 있습니다. 그러나 새 사용자에 대한 권한이 너무 높게 설정되거나 현재 작업에 대해 기본적으로 구성되지 않으면 코드에 심각한 취약점이 발생할 수 있습니다.
우리가 그것에 들어가기 전에, 왜 지금 당신의 능력을 테스트하지? 몇 가지 부적절한 권한 취약점을 찾아 수정해 보십시오.
어떻게 하셨나요? 좀 더 깊이 파고 들어 봅시다.
사용자 또는 응용 프로그램에 전체 권한을 부여하거나 새 사용자가 수행할 수 있어야 하는 것과 제한된 동작을 정의하는 데 방해가 되지 않는 것은 새 코드를 제자리에 배치하는 가장 빠른 방법입니다. 그리고 모든 것이 완벽하게 잘 되면 응용 프로그램은 해당 권한을 사용하여 할당된 작업을 수행합니다. 위험은 해커가이 프로세스를 발견 한 다음 해당 사용자를 손상시킬 것입니다. 사용자가 특정 응용 프로그램에 대한 특정 기능을 수행하도록 만들어졌지만 손상된 경우 공격자가 다른 응용 프로그램, 데이터 또는 네트워크를 위험에 빠뜨릴 수 있습니다.
보안 오디구성은 어떻게 악용됩니까?
위험을 시각화하려면 Docker 클라우드 환경 내에서 공통 작업이 코딩되는 방법을 살펴보겠습니다. 개발자가 Prometheus MySQL 수출 서비스를 사용하여 데이터베이스에서 정보를 수집하고 있다고 가정해 보겠습니다. 이를 허용하는 가장 쉬운 방법은 수출업체에 데이터베이스에 액세스할 수 있는 권한을 부여하는 것입니다. 따라서 코드는 다음과 같은 것일 수 있습니다.
mysql에서:최신
복사 ./스크립트/create_users.sh/docker-엔트리포인트-initdb.d/
사용자 999
$EXPORTER_암호로 식별된 사용자 exporter@%를 만듭니다.
*.* 모든 것을 exporter@%로 부여합니다.
performance_schema.* 에서 exporter@%로 선택하도록 부여합니다.
이것은 확실히 수출이 작업을 수행 할 수 있도록 만들 것입니다. 그러나 권한이 정의되지 않았기 때문에 수출업체는 실제로 거의 모든 작업을 수행할 수 있습니다. 분명히, 수출 자체는 프로그래밍 된 행동 이외의 행동하지 않을 것입니다. 그러나 공격자가 수출 서비스를 손상시킬 수 있다면 어떻게 될까요? 이 경우 전체 권한이 부여되었기 때문에 공격자는 SQL 서비스에서 모든 종류의 승인되지 않은 작업을 수행할 수 있습니다.
부적절한 권한 보호 및 제거
여기에서 다시, 우리는 코드로 인프라의 개념을 켭니다. 보안이 생성되는 대로 응용 프로그램에 보안을 코딩하는 경우 사이버 보안과 관련하여 네트워크는 항상 훨씬 더 나은 전반적인 기반을 유지하게 됩니다.
위의 Docker 예제에서 개발자가 Prometheus MySQL 프로비컨더가 데이터베이스를 쿼리할 수 있도록 하려면 이를 허용해야 할 작업을 정의하여 보다 안전하게 수행할 수 있습니다. 이 것의 좋은 예는 다음과 같은 것입니다.
mysql에서:최신
복사 ./스크립트/create_users.sh/docker-엔트리포인트-initdb.d/
사용자 999
$EXPORTER_암호로 식별된 사용자 exporter@%를 만듭니다.
부여 프로세스, 복제 클라이언트 *.* ~ exporter@%;
performance_schema.* 에서 exporter@%로 선택하도록 부여합니다.
이 경우 Prometheus MySQL 프로비셀 서비스에 대해 구성된 MySQL 사용자는 MySQL 서비스에 대한 제한된 권한만 있습니다. 특히 프로세스 및 복제 클라이언트 권한만 허용됩니다. 이렇게 하면 악의적인 사용자가 손상된 Prometheus MySQL 수출 서비스를 이용하지 못하게 됩니다.
코드 수준에서 권한을 제한하면 사용자와 응용 프로그램에 작업에 대한 충분한 권한만 갖도록 할 수 있습니다. 이를 통해 네트워크를 보호하고 인프라 개념을 코드로 수용하는 데 큰 역할을 할 수 있습니다.
체크 아웃 Secure Code Warrior 이 취약점에 대한 자세한 정보를 위한 블로그 페이지와 다른 보안 결함의 파괴로부터 조직과 고객을 보호하는 방법. 또한, Secure Code Warrior 모든 사이버 보안 기술을 연마하고 최신 상태로 유지하기 위한 교육 플랫폼을 제공합니다.
아래 링크를 클릭하여 이 자료의 PDF를 다운로드하십시오.
Secure Code Warrior는 소프트웨어 개발 라이프사이클 전반에 걸쳐 코드를 보호하고 사이버보안을 최우선으로 하는 문화를 구축하는 데 도움을 드립니다. 애플리케이션 보안 관리자, 개발자, CISO 또는 보안 담당자이든, 안전하지 않은 코드와 관련된 위험을 줄이는 데 도움을 드립니다.
보고서 표시데모 예약
마티아스 마두 박사는 보안 전문가, 연구원, CTO, 그리고 Secure Code Warrior의 공동 창립자입니다. 마티아스는 겐트 대학교에서 정적 분석 솔루션을 중심으로 애플리케이션 보안 분야 박사 학위를 취득했습니다.이후 미국의 Fortify에 합류하여 개발자가 안전한 코드를 작성하도록 지원하지 않고 단순히 코드 문제를 탐지하는 것만으로는 불충분하다는 점을 깨달았습니다. 이를 계기로 개발자를 지원하고 보안 부담을 줄이며 고객 기대를 뛰어넘는 제품을 개발하게 되었습니다. Team Awesome의 일원으로 책상에 있지 않을 때는 RSA 컨퍼런스, BlackHat, DefCon 등의 컨퍼런스에서 발표하는 무대 발표를 즐깁니다.
마티아스는 15년 이상의 소프트웨어 보안 실무 경험을 가진 연구자이자 개발자입니다. 포티파이 소프트웨어(Fortify Software)와 자신의 회사인 센세이 시큐리티(Sensei Security) 등 기업을 대상으로 솔루션을 개발해 왔습니다. 마티아스는 경력 전반에 걸쳐 여러 애플리케이션 보안 연구 프로젝트를 주도했으며, 이는 상용 제품으로 이어져 10건 이상의 특허를 취득했습니다.업무 외 시간에는 마티아스는 고급 애플리케이션 보안 교육 과정의 강사로 활동하며, RSA 컨퍼런스, 블랙햇, 디프콘, BSIMM, OWASP 앱섹, 브루콘 등 글로벌 컨퍼런스에서 정기적으로 발표를 진행하고 있습니다.
마티아스는 겐트 대학교에서 컴퓨터 공학 박사 학위를 취득했으며, 그곳에서 애플리케이션의 내부 동작을 숨기기 위한 프로그램 난독화를 통한 애플리케이션 보안을 연구했습니다.
요즘 사이버 보안에 대한 위협은 유비쿼터스이며 끊임없는 위협입니다. 프로그램이 배포된 후에도 따라잡으려고 노력하는 것이 거의 불가능해졌습니다. 대신, 날카로운 조직은 인프라 개념을 코드로 받아들이고 있으며, 개발자는 여전히 만들어지는 동안 안전한 응용 프로그램을 만드는 데 기여합니다. 이 계열은 보안을 준비하는 것이므로 개발자가 자신의 조직에서 보안 인프라를 코드로 배포하기 위해 취할 수 있는 단계를 이해할 수 있습니다.
보안 오수, 특히 부적절한 권한의 다양성은 개발자가 작업을 수행하기 위해 새 사용자를 만들거나 응용 프로그램에 대한 권한을 도구로 부여할 때마다 가장 자주 발생합니다. 예를 들어 데이터베이스에서 정보를 수집하기 위해 이 작업을 수행할 수 있습니다. 그러나 새 사용자에 대한 권한이 너무 높게 설정되거나 현재 작업에 대해 기본적으로 구성되지 않으면 코드에 심각한 취약점이 발생할 수 있습니다.
우리가 그것에 들어가기 전에, 왜 지금 당신의 능력을 테스트하지? 몇 가지 부적절한 권한 취약점을 찾아 수정해 보십시오.
어떻게 하셨나요? 좀 더 깊이 파고 들어 봅시다.
사용자 또는 응용 프로그램에 전체 권한을 부여하거나 새 사용자가 수행할 수 있어야 하는 것과 제한된 동작을 정의하는 데 방해가 되지 않는 것은 새 코드를 제자리에 배치하는 가장 빠른 방법입니다. 그리고 모든 것이 완벽하게 잘 되면 응용 프로그램은 해당 권한을 사용하여 할당된 작업을 수행합니다. 위험은 해커가이 프로세스를 발견 한 다음 해당 사용자를 손상시킬 것입니다. 사용자가 특정 응용 프로그램에 대한 특정 기능을 수행하도록 만들어졌지만 손상된 경우 공격자가 다른 응용 프로그램, 데이터 또는 네트워크를 위험에 빠뜨릴 수 있습니다.
보안 오디구성은 어떻게 악용됩니까?
위험을 시각화하려면 Docker 클라우드 환경 내에서 공통 작업이 코딩되는 방법을 살펴보겠습니다. 개발자가 Prometheus MySQL 수출 서비스를 사용하여 데이터베이스에서 정보를 수집하고 있다고 가정해 보겠습니다. 이를 허용하는 가장 쉬운 방법은 수출업체에 데이터베이스에 액세스할 수 있는 권한을 부여하는 것입니다. 따라서 코드는 다음과 같은 것일 수 있습니다.
mysql에서:최신
복사 ./스크립트/create_users.sh/docker-엔트리포인트-initdb.d/
사용자 999
$EXPORTER_암호로 식별된 사용자 exporter@%를 만듭니다.
*.* 모든 것을 exporter@%로 부여합니다.
performance_schema.* 에서 exporter@%로 선택하도록 부여합니다.
이것은 확실히 수출이 작업을 수행 할 수 있도록 만들 것입니다. 그러나 권한이 정의되지 않았기 때문에 수출업체는 실제로 거의 모든 작업을 수행할 수 있습니다. 분명히, 수출 자체는 프로그래밍 된 행동 이외의 행동하지 않을 것입니다. 그러나 공격자가 수출 서비스를 손상시킬 수 있다면 어떻게 될까요? 이 경우 전체 권한이 부여되었기 때문에 공격자는 SQL 서비스에서 모든 종류의 승인되지 않은 작업을 수행할 수 있습니다.
부적절한 권한 보호 및 제거
여기에서 다시, 우리는 코드로 인프라의 개념을 켭니다. 보안이 생성되는 대로 응용 프로그램에 보안을 코딩하는 경우 사이버 보안과 관련하여 네트워크는 항상 훨씬 더 나은 전반적인 기반을 유지하게 됩니다.
위의 Docker 예제에서 개발자가 Prometheus MySQL 프로비컨더가 데이터베이스를 쿼리할 수 있도록 하려면 이를 허용해야 할 작업을 정의하여 보다 안전하게 수행할 수 있습니다. 이 것의 좋은 예는 다음과 같은 것입니다.
mysql에서:최신
복사 ./스크립트/create_users.sh/docker-엔트리포인트-initdb.d/
사용자 999
$EXPORTER_암호로 식별된 사용자 exporter@%를 만듭니다.
부여 프로세스, 복제 클라이언트 *.* ~ exporter@%;
performance_schema.* 에서 exporter@%로 선택하도록 부여합니다.
이 경우 Prometheus MySQL 프로비셀 서비스에 대해 구성된 MySQL 사용자는 MySQL 서비스에 대한 제한된 권한만 있습니다. 특히 프로세스 및 복제 클라이언트 권한만 허용됩니다. 이렇게 하면 악의적인 사용자가 손상된 Prometheus MySQL 수출 서비스를 이용하지 못하게 됩니다.
코드 수준에서 권한을 제한하면 사용자와 응용 프로그램에 작업에 대한 충분한 권한만 갖도록 할 수 있습니다. 이를 통해 네트워크를 보호하고 인프라 개념을 코드로 수용하는 데 큰 역할을 할 수 있습니다.
체크 아웃 Secure Code Warrior 이 취약점에 대한 자세한 정보를 위한 블로그 페이지와 다른 보안 결함의 파괴로부터 조직과 고객을 보호하는 방법. 또한, Secure Code Warrior 모든 사이버 보안 기술을 연마하고 최신 상태로 유지하기 위한 교육 플랫폼을 제공합니다.
목차
마티아스 마두 박사는 보안 전문가, 연구원, CTO, 그리고 Secure Code Warrior의 공동 창립자입니다. 마티아스는 겐트 대학교에서 정적 분석 솔루션을 중심으로 애플리케이션 보안 분야 박사 학위를 취득했습니다.이후 미국의 Fortify에 합류하여 개발자가 안전한 코드를 작성하도록 지원하지 않고 단순히 코드 문제를 탐지하는 것만으로는 불충분하다는 점을 깨달았습니다. 이를 계기로 개발자를 지원하고 보안 부담을 줄이며 고객 기대를 뛰어넘는 제품을 개발하게 되었습니다. Team Awesome의 일원으로 책상에 있지 않을 때는 RSA 컨퍼런스, BlackHat, DefCon 등의 컨퍼런스에서 발표하는 무대 발표를 즐깁니다.
Secure Code Warrior는 소프트웨어 개발 라이프사이클 전반에 걸쳐 코드를 보호하고 사이버보안을 최우선으로 하는 문화를 구축하는 데 도움을 드립니다. 애플리케이션 보안 관리자, 개발자, CISO 또는 보안 담당자이든, 안전하지 않은 코드와 관련된 위험을 줄이는 데 도움을 드립니다.
데모 예약[다운로드]
%20(1).avif)
.avif)
