Please enable JavaScript.
Coggle requires JavaScript to display documents.
安全知识 - Coggle Diagram
安全知识
身份和访问管理
权限
根据角色进行权限划分
根据用户特征或环境条件（地理、时间）进行细粒度的权限控制
安全会话管理
使用安全会话标识符如JWT，并确保其加密和短期有效
防止会话劫持，使用HTTPS和SameSite cookie
用户身份验证
多因素验证：密码+短信，密码+生物特征（面部、指纹）
密码安全：强密码、哈希存储
网络安全
防火墙
使用网络防火墙，限制服务器出入站流量
使用WAF保护webi应用免受SQL注入和XSS常见攻击
使用VPN
使用VPN加密远程访问，保护数据传输
DDoS保护
使用各大厂供应商提供的DDoS防护服务
前端安全
输入验证
对输入数据进行杀毒和验证，防止XSS攻击
内容安全策略，配置CSP头，限制资源的类型和来源
跨站伪造请求防护
使用CSRF令牌防止恶意请求攻击
安全的跨域请求资源共享
CORS配置：仅允许受信任的域进行跨域请求
安全漏洞防护
漏洞扫描
代码体检：编写代码时进行检测
运行检测：应用运行时检测
补丁管理
自动报告：使用工具自动检测补丁
试用新药：发布到生产环境之前，测试环境上先测试补丁
入侵检测和防护
安全摄像头：入侵检测系统和入侵防护系统，实时检测和防护
安全指挥中心：集中收集安全事件数据，提供分析和响应
数据加密
静态数据加密：对称加密、非对称加密
密钥传输加密：SSL/TLS，传输过程使用https加密
密钥管理：密钥管理服务（专门的服务来生成、管理和存储密钥），硬件安全模块（使用专门的硬件设备来管理和存储密钥）
后端安全
文件上传安全
文件上传类型：限制文件上传类型，防止恶意脚本类型
文件上传位置：文件上传存放的位置，限制操作权限或物理上做系统隔离，防止恶意脚本执行
API安全
API认证和授权：使用OAuth2.0、JWT机制对API进行认证和授权
限制请求频率和节流：实时速率限制，防止滥用和DDoS攻击
SQL注入防护
使用参数化查询或预编译语句，防止SQL注入
日志和监控
日志管理：集中收集个分析系统或应用的日志，使用集中日志管理系统（ELK）
实时监控：使用实时监控系统（Prometheus和Grafana），实时监控系统和性能，检测异常行为
安全审计和合规
定期审计
定期对内部和外部系统进行安全审计，识别和修复漏洞
安全政策和培训
制定全面的安全政策，涵盖开发、运维和管理层等
定期进行安全培训，提高员工的安全意识