问题[security](server)

几年前，当我的多个网站同时被黑客入侵后，我开始研究，并在一些 SF 问题中看到了一个解决方案：PHP-FPM 池

基本上，这是我之后设计的结构：

长期以来，我一直非常有信心一切都比以前更加安全，因为如果一个网站以某种方式被黑客入侵，它永远不会影响同一主机上的其他网站。

但几个月前，我开始与一些 Docker 人员交谈，他们告诉我，我应该开始尝试使用容器并将我的解决方案迁移到完全 Docker 化的系统。他们建议我使用 Caddy。但在阅读了 Caddy 文档后，我注意到新结构如下所示：

基本上，我所看到的是，Caddy 服务器对所有文件具有完全不受限制的访问权限。与之前的 Nginx 不同，以前的 Nginx 似乎一切都是条块分割的，而在这里，如果 Caddy 服务器出现安全问题，似乎一切都可能受到损害。

我知道大多数情况下，大多数黑客攻击都来自端点上的编码错误，这意味着最薄弱的环节是隔离的 docker FPM 服务器。但如果 Caddy 被攻陷，它将泄露所有卷的完整信息

此时，我有两个问题：

1. 由于很多人都在宣扬 Docker 是最安全的选择之一，我是不是忽略了什么？我觉得这比我以前的系统安全性稍差一些（虽然如果单个主机中的整个文件系统都受到威胁，那么主机中是否有文件权限限制就无关紧要了，因此从这个方面来看，Docker 确实更安全）

2. 除了保持系统更新外，还有其他做法可以从文件访问/PHP 软件零日攻击角度使 Docker/Caddy/FPM 配置更安全吗？目前，我在 Caddy 和 FPM 之间有文件套接字，但我觉得将所有文件放在一个主机上会暴露太多整体信息。

在 Windows 世界中，您可以使用虚拟机，将所有软件和 Windows 更新应用到其中，然后将其保存为 .vhd 或 iso 格式的新基础映像。我们称之为sysprep，它非常适合让您部署在首次启动时安全的完全最新的虚拟机。

制作这些并使它们保持最新需要一定程度的辛苦，但部署安全机器会带来巨大的回报。

这也是Linux世界的一个概念吗？如果是，使用的术语和技术是什么？

我们目前使用的是 M365 商业高级版许可证，因此使用的是 Azure 信息保护高级计划 1。我们在compliance.microsoft.com 上创建了一个“内部”敏感度标签，其中“立即分配权限”配置向所有用户授予共同作者访问权限，并且组织内的团体。该标签在用户的 Outlook Web 应用程序中运行。但是，在 Outlook 桌面应用程序中起草新电子邮件时，存在选择标签的选项，但当我单击标签本身时，它会恢复为“无标签”。

标签策略范围内的所有用户都可以看到该标签。但无法应用它。一些见解：

1. 如果我创建一个带有“让用户分配权限”配置的标签，然后选择“仅加密”或“不转发”选项。然后用户可以看到该标签并将其应用到 Outlook 桌面应用程序和 Web 中。

2. 如果我使用“立即分配权限”配置创建标签，将其范围限定为文件和电子邮件，授予共同作者对“经过身份验证的用户”或“组织内的所有用户和组”的访问权限，则用户可以在 Word 中选择标签/Excel 等，但不是 Outlook 桌面应用程序。不过，他们可以在 Outlook Web 中分配相同的标签。我们使用最新的 Microsoft® Outlook® for Microsoft 365 MSO（版本 2403 内部版本 16.0.17425.20176）64 位。我们使用Office应用程序内置的标签，从未使用过AIP统一标签客户端或经典客户端。

我知道 chroot 允许隔离 Postfix，因此如果攻击者授予对 Postfix 程序之一的访问权限，他就无法恶意更改 chroot 目录之外的内容。

在 chroot 监狱中运行 Postfix 似乎是一种常见的做法。例如，Debian 默认将 Postfix 安装在 chroot 中。

我对此有几个疑问：

1. 当外部只有 25 和 587 端口可用时，攻击者如何授予对文件系统的访问权限？怎么可能通过SMTP协议呢？它有漏洞吗？
2. 为什么强烈建议将 Postfix 安装在 chroot 中，但发布 POP3/IMAP 端口并将电子邮件存储在文件系统中的 Dovecot 则不然？
3. ProtectSystem在 Postfix 的 systemd 单元中使用与 chroot 监狱一样安全吗？

我最近开始在一家拥有 WPA 2 企业网络的公司工作，其中多个设备（假设是所有设备）共享同一个 Radius 用户帐户。基本上，员工使用企业网络就像使用 WPA 个人网络一样，其中共享帐户+密码取代了共享密码。

WPA 2 企业网络是否能够抵御此类滥用？显然，https 和 Wifi 之外的其他加密机制可以缓解这个问题，但这不是问题所在。

我希望 WPA 2 企业网络能够使用每个客户端加密，这样各个客户端就无法（简单地）嗅探彼此（否则未加密）的流量，即使它们使用相同的 Radius 帐户也是如此。

干杯

编辑，澄清：我对这个问题的主要关注是 WPA 2 企业中是否有任何安全措施（例如每个客户端的唯一共享密钥）可以减轻上述滥用行为。

我们有一台装有Alma Linux 9.3操作系统的服务器。默认情况下（以及当前所有类似 RHEL 的操作系统）它已fapolicyd启用。该服务器上还运行着一个应用程序服务器（WildFly/JBoss/Java）。部署的应用程序处理一些数据文件（由用户提交），并且在标准情况下工作正常。

然而目前，有一段时间应用程序需要每分钟处理 1000 个左右的文件。在这种情况下，fapolicyd开销占用了约 15% 的 CPU，我们认为该开销过高。

我在互联网上找不到有类似问题的人。

fapolicyd我也很惊讶ServerFault 上没有标签。

问题：

• 有没有一种方法可以优化fapolicyd配置，以便它可以更快地决定是允许还是拒绝文件访问？
  • 我想到的一件事是自定义规则的排序。
  • 也许使用通配符与使用文字规则。
• 有什么提示如何评估fapolicyd对我们来说有多重要吗？
  • 我们是否可以将其关闭，或者尽管开销巨大，但让它运行是否确实是一个好主意。
  • 其他发行版是否也使用类似的东西fapolicyd，或者它是否“只是额外的安全性”就SELinux足够了。（我知道它们不一样。）

资料来源：

• STIG 建议fapolicyd启用
• 有关基础知识的红帽文章fapolicyd

我准备了一台已加入 AzureAD 的新笔记本电脑，并安装了本地 Active Directory 的 LAPS 客户端。

运行 LAPS 客户端会导致消息“LDAP 服务器不可用”。

由于笔记本电脑不再连接到本地 Active Directory，而是直接连接到 AzureAD，如何检索仍在本地 Active Directory和/或仅 Azure 混合加入的其他计算机/笔记本电脑的本地管理员密码？

先谢谢了

数百个盒子中的六个报告了 /etc/krb5.keytab 的更改，所有这些都在随机的周六的几分钟内发生。更改时没有人登录。我已在更改之前要求提供文件的副本，以便可以比较它们，但我想知道这是否是正常或预期的行为。

我们有一个在客户所在地运行的生产服务器。在此服务器上执行的外部安全扫描表明 Microsoft ASP.NET Core 共享框架存在一些漏洞，需要升级。如何检查哪些应用程序使用此共享框架？

我从使用 VMWare 作为虚拟化软件的托管提供商租用了一台虚拟服务器。如果我从 VMWare 管理员创建的虚拟机中删除初始用户，并且如果我更改 SSH 配置以仅允许我在虚拟机上创建的用户。WMWare 管理员仍然可以访问虚拟机驱动器上的数据吗？