Confluence 6 安全概述和建议概述-低调大师

Confluence 6 安全概述和建议概述

2018-08-02 556

这个文档是针对 Confluence 的系统管理员希望对 Confluence Web应用程序安全性进行评估而设计的。这个页面将对系统的安全进行大致的描述，同时也会对 Confluence 的安全配置提供建议。作为一个向公众开放的 Web 应用程序，Confluence 的应用程序级别的安全是非常重要的。这个页面同时也对使用我们产品的用户经常可能会问到的一些安全问题进行说明。

你可能希望参考的一些其他的主题：

有关用户管理，用户组，用户权限的更多信息，请参考 Permissions and restrictions 页面中的内容。
针对有关你的 Confluence 站点安全配置的指导指南，请参考 Configuring Confluence Security 页面中的内容。

应用程序安全概述

密码存储

当 Confluence 的内部用户管理被使用以后，从 Confluence 3.5 版本开始，用户的密码将会使用 PKCS5S2 implementation provided by Embedded Crowd 哈希加密算法加密后存储到数据库中。在 Confluence 中将会没有其他机制能够获得用户的密码——除了通过密码重置的方法，一个重置密码的电子邮件链接将会发送到用户注册使用的电子邮件地址中。

当外部的用户管理被启用后，用户的密码将会存储在外部用户管理系统中。

换从区溢出

Confluence 100% 的纯 Java 应用程序而没有使用本地组件。因此应用程序对缓冲区溢出有比较强抵抗力——可能的缓冲区溢出将会被限制在 Java 运行环境（Java Runtime Environment）本身。

SQL 注入

Confluence 是通过 Hibernate Object-Relational 映射进行交互的。数据库的查询使用标准的 APIs 来生成，是使用参数进行替换的，而不是使用字符串连接的的。因此，Confluence 能够具有很高的 SQL 注入攻击抵抗性。

脚本（Script ）注入

Confluence 是一个自容器的 Java 应用程序，并不能运行在外部的进程中。因此 Confluence 能够对脚本注入攻击具有很高的抵抗性。

跨站点脚本

作为一个内容管理系统，允许用户能够在系统中创建内容，并且将创建的内容发布在网络上。我们将会对跨站点脚本攻击进行更多的关注：

Confluence 中的 Wiki 标记语言不支持危险 HTML 标记
在默认的情况下，你不能向宏中插入原生 HTML 标记
HTML 作为附件上传到服务器上话，这个文件将会在下载的时候保存为 content-type 类型，而不是在浏览器中显示。
只有系统管理员级别的用户才可以对应用程序进行 HTML-level 级别的自定义

当跨平台脚本安全漏洞在 Confluence 被发现后，我们将会以最快的速度对这个漏洞进行修复。

传输层安全

Confluence 并不直接支持 SSL/TLS。Confluence 的管理员如果对传输层安全性有所顾虑的话，应该考虑在 Java 应用服务器级别设置 SSL/TLS 或者在 Confluence 应用服务器前面使用 HTTP 方向代理。

有关如何在 Confluence 中配置 SSL 的信息，请参考 Running Confluence Over SSL or HTTPS 页面中的内容。

会话管理

Confluence 使用 Java 应用服务器的会话管理。在现有的情况下，我们并没有获得任何有关会话劫持针对 Confluence 的攻击。如果你现在正在将 Confluence 部署到其他的一些应用服务器上，你应该确保会话不会被劫持。

插件安全

管理员在 Confluence 安装第三方插件所带来的风险为自负风险（ at their own risk）。安装的插件将会与 Confluence 在相同的虚拟机上运行，同时也能够访问所有的 Java Runtime 环境，包括 Confluence 服务器 API。

管理员在 Confluence 安装插件的时候应该对插件的来源进行校验，确保安装的插件来源。

管理员信任模型

Confluence 是基于所有具有 System Administrator privileges 都是可以被信任的。系统管理员可以直接安装插件，对 Confluence 的性能和配置进行调整。

与其他任何应用程序一样，你不应该将 Confluence 在 root/Administrator 用户权限运行。如果你希望你的 Confluence 监听私有的网络端口，你应该配置 Confluence 使用端口转移（port forwarding）或者使用反向代理，而不是给 Confluence 添加其他的权限。当你考虑让 Confluence 在 chroot 下运行的话，你需要非常小心。

堆栈跟踪

希望对 Confluence 的问题进行调试，当出现问题的时候 Confluence 将会在界面中提供错误的堆栈信息。这些堆栈的信息包括了 Confluence 在运行的时候的信息，同时还包括了有关你开发服务器的一些信息。

只有非个人信息在堆栈中显示，例如操作系统的版本和 Java 的版本。针对正确的网络设置，这些信息将会不足够对错误的问题进行诊断。用户的用户名和密码将不会显示出来。

https://www.cwiki.us/display/CONF6ZH/Confluence+Security+Overview+and+Advisories

微信关注我们

原文链接：https://yq.aliyun.com/articles/648476

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

SQL Server中关于基数估计如何计算预估行数的一些探讨

原文: SQL Server中关于基数估计如何计算预估行数的一些探讨关于SQL Server 2014中的基数估计，官方文档Optimizing Your Query Plans with the SQL Server 2014 Cardinality Estimator里有大量细节介绍，但是全部是英文，估计也没有几个人仔细阅读。那么SQL Server 2014中基数估计的预估行数到底是怎么计算的呢？有哪一些规律呢？我们下面通过一些例子来初略了解一下，下面测试案例仅供参考，如有不足或肤浅的地方，敬请指教！下面实验测试的环境主要为SQL Server 2014 SP2 （Standard Edition (64-bit)）具体版本号为12.0.5000.0 ，如有在其它版本测试，后面会做具体说明。如下所示，我们先创建一个测试表并插入一些测试数据后，方便后面的测试工作。 IFEXISTS(SELECT 1 FROM sys.objects WHERE type='U'AND name='TEST_ESTIMATED_ROW') BEGIN DROPTABLE TEST_ES...

2018-08-03

602

原文: SQL Server如何用触发器捕获DML操作的会话信息需求背景上周遇到了这样一个需求，维护人员发现一个表的数据经常被修改，由于历史原因；文档缺少；以及维护人员的经常变更，导致他们对系统也业务也不完全熟悉，他们也不完全清楚哪些系统和应用程序会对这个表的数据进行操作。现在他们想找出有哪些服务器，哪些应用程序会对这个表进行INSERT、UPDATE操作。那么问题来了，怎么去解决这个问题呢？解决方案由于数据库版本是标准版，我们选择了使用触发器来捕获进行DML操作的会话的相关信息，例如，Host_Name、Program_Name等，选择触发器是因为简单直接。我们先创建一个表名为TEST的表，假设我们想监控有哪些应用服务器，以及那些应用程序会对表TEST进行INSERT、UPDATE操作。 USE [AdventureWorks2014] GO IFNOTEXISTS (SELECT 1 FROM sys.sysobjects WHERE id=object_id(N'[dbo].[TEST]') AND OBJECTPROPERTY(id, N'IsTable')...

2018-08-03

577

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。