程序员以代码的形式化服装安全基础架构系列：安全配置错误权限不正确
如今，网络安全威胁无处不在，持续不断。情况变得如此糟糕，以至于在部署程序后试图跟上他们的步伐几乎是不可能的。取而代之的是，精明的组织正在接受基础设施即代码的概念，在这种概念中，开发人员在仍在创建安全的应用程序的同时为制作应用程序做出贡献。本系列旨在让您做好安全准备，这样您就可以了解作为开发人员可以采取的步骤，开始在自己的组织中以代码形式部署安全基础架构。
安全配置错误，尤其是权限不当的配置错误，通常发生在开发人员为完成任务而创建新用户或授予应用程序权限时。例如，可以这样做来从数据库收集信息。但是，如果将新用户的权限设置得过高，或者没有为手头的任务进行默认配置，则可能会在代码中引入严重漏洞。
在我们开始之前，为什么不现在就测试一下你的技能呢？尝试找到并修复一些不当权限漏洞：
你做得怎么样？让我们更深入地挖掘一下：
授予用户或应用程序完全权限，或者干脆不费心去定义新用户应该能够完成什么以及哪些行为受到限制，无疑是获得新代码的最快方法。如果一切顺利，应用程序将利用这些权限来完成其分配的任务。危险在于，黑客会发现这个过程，然后危及该用户。尽管创建用户是为了完成特定应用程序的特定功能，但如果遭到入侵，则可能允许攻击者危及其他应用程序、数据甚至网络。
如何利用安全配置错误？
为了直观地了解危险，让我们来看看在 Docker 云环境中有时是如何编码常见任务的。假设开发人员正在使用 Prometheus MySQL 导出器服务从数据库收集信息。允许这种情况发生的最简单方法是授予导出者访问数据库的权限。所以代码可能像这样：
来自 mysql: 最新
复制。/scripts/create_users.sh /docker-entrypoint-initdb.d/
用户 999
创建由 $EXPORTER_PASSWORD 标识的用户导出器@%；
将 ALL ON *.* 授予出口商@%;
在 performance_schema.* 上向导出者授予选择权@%;
这肯定会使出口商能够完成其任务。但是，由于未定义权限，因此导出器实际上几乎可以做任何事情。显然，出口商本身永远不会在其编程行为之外采取行动。但是，如果攻击者能够破坏导出器服务，会发生什么？在这种情况下，由于获得了完全权限，攻击者可以使用 SQL 服务执行各种未经授权的任务。
保护和消除不当权限
在这里，我们再次谈谈基础设施即代码的概念。如果你在创建应用程序时就将安全性编码到应用程序中，那么在网络安全方面，网络的整体基础总是会好得多。
在上面的 Docker 示例中，如果开发人员希望 Prometheus MySQL 导出器能够查询数据库，他们可以通过定义应该允许它完成的任务来更安全地做到这一点。一个很好的例子是：
来自 mysql: 最新
复制。/scripts/create_users.sh /docker-entrypoint-initdb.d/
用户 999
创建由 $EXPORTER_PASSWORD 标识的用户导出器@%；
授权进程，复制客户端开启*.* 给 exporter@%;
在 performance_schema.* 上向导出者授予选择权@%;
在这种情况下，为 Prometheus MySQL Exporter 服务配置的 MySQL 用户对 MySQL 服务仅具有有限的权限。具体而言，只允许使用 “进程” 和 “复制客户端” 权限。这将防止恶意用户利用受损的 Prometheus MySQL 导出器服务。
在代码级别限制权限可以确保用户和应用程序只有足够的权限来完成手头的任务。这可以大大有助于保护您的网络和采用基础设施即代码的概念。
来看看 安全代码勇士 博客页面，详细了解此漏洞以及如何保护您的组织和客户免受其他安全漏洞的破坏。你也可以 试试我们的展示柜 Secure Code Warrior 培训平台可让您的所有网络安全技能不断磨练并保持最新状态。
安全配置错误，尤其是权限不当的配置错误，通常发生在开发人员完成任务并创建新用户或本应用程序权限时。
Matias Madou est expert en sécurité, chercheur, directeur technique et cofondateur de Secure Code Warrior. Matias a obtenu son doctorat en sécurité des applications à l'université de Gand, en se concentrant sur les solutions d'analyse statique. Il a ensuite rejoint Fortify aux États-Unis, où il s'est rendu compte qu'il ne suffisait pas de détecter les problèmes de code sans aider les développeurs à écrire du code sécurisé. C'est ce qui l'a incité à développer des produits qui aident les développeurs, allègent le fardeau de la sécurité et dépassent les attentes des clients. Lorsqu'il n'est pas à son bureau en tant que membre de l'équipe Awesome, il aime être sur scène pour présenter des conférences, notamment RSA Conference, BlackHat et DefCon.
Secure Code Warrior peut aider votre organisation à sécuriser le code tout au long du cycle de vie du développement logiciel et à instaurer une culture qui accorde la priorité à la cybersécurité. Que vous soyez responsable de la sécurité des applications, développeur, directeur de la sécurité de l'information ou tout autre professionnel concerné par la sécurité, nous pouvons aider votre organisation à réduire les risques liés au code non sécurisé.
Veuillez réserver une démonstration.
Matias Madou est expert en sécurité, chercheur, directeur technique et cofondateur de Secure Code Warrior. Matias a obtenu son doctorat en sécurité des applications à l'université de Gand, en se concentrant sur les solutions d'analyse statique. Il a ensuite rejoint Fortify aux États-Unis, où il s'est rendu compte qu'il ne suffisait pas de détecter les problèmes de code sans aider les développeurs à écrire du code sécurisé. C'est ce qui l'a incité à développer des produits qui aident les développeurs, allègent le fardeau de la sécurité et dépassent les attentes des clients. Lorsqu'il n'est pas à son bureau en tant que membre de l'équipe Awesome, il aime être sur scène pour présenter des conférences, notamment RSA Conference, BlackHat et DefCon.
Matias est un chercheur et un développeur qui possède plus de 15 ans d'expérience pratique dans le domaine de la sécurité des logiciels. Il a développé des solutions pour des entreprises telles que Fortify Software et sa propre entreprise Sensei Security. Au cours de sa carrière, Matias a dirigé de nombreux projets de recherche sur la sécurité des applications qui ont débouché sur des produits commerciaux et peut se targuer d'avoir déposé plus de 10 brevets. Lorsqu'il n'est pas à son bureau, Matias a été instructeur pour des formations avancées en matière de sécurité des applications ( courses ) et intervient régulièrement lors de conférences mondiales telles que RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec et BruCon.
Matias est titulaire d'un doctorat en ingénierie informatique de l'Université de Gand, où il a étudié la sécurité des applications par le biais de l'obscurcissement des programmes afin de dissimuler le fonctionnement interne d'une application.
如今，网络安全威胁无处不在，持续不断。情况变得如此糟糕，以至于在部署程序后试图跟上他们的步伐几乎是不可能的。取而代之的是，精明的组织正在接受基础设施即代码的概念，在这种概念中，开发人员在仍在创建安全的应用程序的同时为制作应用程序做出贡献。本系列旨在让您做好安全准备，这样您就可以了解作为开发人员可以采取的步骤，开始在自己的组织中以代码形式部署安全基础架构。
安全配置错误，尤其是权限不当的配置错误，通常发生在开发人员为完成任务而创建新用户或授予应用程序权限时。例如，可以这样做来从数据库收集信息。但是，如果将新用户的权限设置得过高，或者没有为手头的任务进行默认配置，则可能会在代码中引入严重漏洞。
在我们开始之前，为什么不现在就测试一下你的技能呢？尝试找到并修复一些不当权限漏洞：
你做得怎么样？让我们更深入地挖掘一下：
授予用户或应用程序完全权限，或者干脆不费心去定义新用户应该能够完成什么以及哪些行为受到限制，无疑是获得新代码的最快方法。如果一切顺利，应用程序将利用这些权限来完成其分配的任务。危险在于，黑客会发现这个过程，然后危及该用户。尽管创建用户是为了完成特定应用程序的特定功能，但如果遭到入侵，则可能允许攻击者危及其他应用程序、数据甚至网络。
如何利用安全配置错误？
为了直观地了解危险，让我们来看看在 Docker 云环境中有时是如何编码常见任务的。假设开发人员正在使用 Prometheus MySQL 导出器服务从数据库收集信息。允许这种情况发生的最简单方法是授予导出者访问数据库的权限。所以代码可能像这样：
来自 mysql: 最新
复制。/scripts/create_users.sh /docker-entrypoint-initdb.d/
用户 999
创建由 $EXPORTER_PASSWORD 标识的用户导出器@%；
将 ALL ON *.* 授予出口商@%;
在 performance_schema.* 上向导出者授予选择权@%;
这肯定会使出口商能够完成其任务。但是，由于未定义权限，因此导出器实际上几乎可以做任何事情。显然，出口商本身永远不会在其编程行为之外采取行动。但是，如果攻击者能够破坏导出器服务，会发生什么？在这种情况下，由于获得了完全权限，攻击者可以使用 SQL 服务执行各种未经授权的任务。
保护和消除不当权限
在这里，我们再次谈谈基础设施即代码的概念。如果你在创建应用程序时就将安全性编码到应用程序中，那么在网络安全方面，网络的整体基础总是会好得多。
在上面的 Docker 示例中，如果开发人员希望 Prometheus MySQL 导出器能够查询数据库，他们可以通过定义应该允许它完成的任务来更安全地做到这一点。一个很好的例子是：
来自 mysql: 最新
复制。/scripts/create_users.sh /docker-entrypoint-initdb.d/
用户 999
创建由 $EXPORTER_PASSWORD 标识的用户导出器@%；
授权进程，复制客户端开启*.* 给 exporter@%;
在 performance_schema.* 上向导出者授予选择权@%;
在这种情况下，为 Prometheus MySQL Exporter 服务配置的 MySQL 用户对 MySQL 服务仅具有有限的权限。具体而言，只允许使用 “进程” 和 “复制客户端” 权限。这将防止恶意用户利用受损的 Prometheus MySQL 导出器服务。
在代码级别限制权限可以确保用户和应用程序只有足够的权限来完成手头的任务。这可以大大有助于保护您的网络和采用基础设施即代码的概念。
来看看 安全代码勇士 博客页面，详细了解此漏洞以及如何保护您的组织和客户免受其他安全漏洞的破坏。你也可以 试试我们的展示柜 Secure Code Warrior 培训平台可让您的所有网络安全技能不断磨练并保持最新状态。
如今，网络安全威胁无处不在，持续不断。情况变得如此糟糕，以至于在部署程序后试图跟上他们的步伐几乎是不可能的。取而代之的是，精明的组织正在接受基础设施即代码的概念，在这种概念中，开发人员在仍在创建安全的应用程序的同时为制作应用程序做出贡献。本系列旨在让您做好安全准备，这样您就可以了解作为开发人员可以采取的步骤，开始在自己的组织中以代码形式部署安全基础架构。
安全配置错误，尤其是权限不当的配置错误，通常发生在开发人员为完成任务而创建新用户或授予应用程序权限时。例如，可以这样做来从数据库收集信息。但是，如果将新用户的权限设置得过高，或者没有为手头的任务进行默认配置，则可能会在代码中引入严重漏洞。
在我们开始之前，为什么不现在就测试一下你的技能呢？尝试找到并修复一些不当权限漏洞：
你做得怎么样？让我们更深入地挖掘一下：
授予用户或应用程序完全权限，或者干脆不费心去定义新用户应该能够完成什么以及哪些行为受到限制，无疑是获得新代码的最快方法。如果一切顺利，应用程序将利用这些权限来完成其分配的任务。危险在于，黑客会发现这个过程，然后危及该用户。尽管创建用户是为了完成特定应用程序的特定功能，但如果遭到入侵，则可能允许攻击者危及其他应用程序、数据甚至网络。
如何利用安全配置错误？
为了直观地了解危险，让我们来看看在 Docker 云环境中有时是如何编码常见任务的。假设开发人员正在使用 Prometheus MySQL 导出器服务从数据库收集信息。允许这种情况发生的最简单方法是授予导出者访问数据库的权限。所以代码可能像这样：
来自 mysql: 最新
复制。/scripts/create_users.sh /docker-entrypoint-initdb.d/
用户 999
创建由 $EXPORTER_PASSWORD 标识的用户导出器@%；
将 ALL ON *.* 授予出口商@%;
在 performance_schema.* 上向导出者授予选择权@%;
这肯定会使出口商能够完成其任务。但是，由于未定义权限，因此导出器实际上几乎可以做任何事情。显然，出口商本身永远不会在其编程行为之外采取行动。但是，如果攻击者能够破坏导出器服务，会发生什么？在这种情况下，由于获得了完全权限，攻击者可以使用 SQL 服务执行各种未经授权的任务。
保护和消除不当权限
在这里，我们再次谈谈基础设施即代码的概念。如果你在创建应用程序时就将安全性编码到应用程序中，那么在网络安全方面，网络的整体基础总是会好得多。
在上面的 Docker 示例中，如果开发人员希望 Prometheus MySQL 导出器能够查询数据库，他们可以通过定义应该允许它完成的任务来更安全地做到这一点。一个很好的例子是：
来自 mysql: 最新
复制。/scripts/create_users.sh /docker-entrypoint-initdb.d/
用户 999
创建由 $EXPORTER_PASSWORD 标识的用户导出器@%；
授权进程，复制客户端开启*.* 给 exporter@%;
在 performance_schema.* 上向导出者授予选择权@%;
在这种情况下，为 Prometheus MySQL Exporter 服务配置的 MySQL 用户对 MySQL 服务仅具有有限的权限。具体而言，只允许使用 “进程” 和 “复制客户端” 权限。这将防止恶意用户利用受损的 Prometheus MySQL 导出器服务。
在代码级别限制权限可以确保用户和应用程序只有足够的权限来完成手头的任务。这可以大大有助于保护您的网络和采用基础设施即代码的概念。
来看看 安全代码勇士 博客页面，详细了解此漏洞以及如何保护您的组织和客户免受其他安全漏洞的破坏。你也可以 试试我们的展示柜 Secure Code Warrior 培训平台可让您的所有网络安全技能不断磨练并保持最新状态。
Veuillez cliquer sur le lien ci-dessous pour télécharger le PDF de cette ressource.
Secure Code Warrior peut aider votre organisation à sécuriser le code tout au long du cycle de vie du développement logiciel et à instaurer une culture qui accorde la priorité à la cybersécurité. Que vous soyez responsable de la sécurité des applications, développeur, directeur de la sécurité de l'information ou tout autre professionnel concerné par la sécurité, nous pouvons aider votre organisation à réduire les risques liés au code non sécurisé.
Veuillez consulter le rapport.Veuillez réserver une démonstration.
Matias Madou est expert en sécurité, chercheur, directeur technique et cofondateur de Secure Code Warrior. Matias a obtenu son doctorat en sécurité des applications à l'université de Gand, en se concentrant sur les solutions d'analyse statique. Il a ensuite rejoint Fortify aux États-Unis, où il s'est rendu compte qu'il ne suffisait pas de détecter les problèmes de code sans aider les développeurs à écrire du code sécurisé. C'est ce qui l'a incité à développer des produits qui aident les développeurs, allègent le fardeau de la sécurité et dépassent les attentes des clients. Lorsqu'il n'est pas à son bureau en tant que membre de l'équipe Awesome, il aime être sur scène pour présenter des conférences, notamment RSA Conference, BlackHat et DefCon.
Matias est un chercheur et un développeur qui possède plus de 15 ans d'expérience pratique dans le domaine de la sécurité des logiciels. Il a développé des solutions pour des entreprises telles que Fortify Software et sa propre entreprise Sensei Security. Au cours de sa carrière, Matias a dirigé de nombreux projets de recherche sur la sécurité des applications qui ont débouché sur des produits commerciaux et peut se targuer d'avoir déposé plus de 10 brevets. Lorsqu'il n'est pas à son bureau, Matias a été instructeur pour des formations avancées en matière de sécurité des applications ( courses ) et intervient régulièrement lors de conférences mondiales telles que RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec et BruCon.
Matias est titulaire d'un doctorat en ingénierie informatique de l'Université de Gand, où il a étudié la sécurité des applications par le biais de l'obscurcissement des programmes afin de dissimuler le fonctionnement interne d'une application.
如今，网络安全威胁无处不在，持续不断。情况变得如此糟糕，以至于在部署程序后试图跟上他们的步伐几乎是不可能的。取而代之的是，精明的组织正在接受基础设施即代码的概念，在这种概念中，开发人员在仍在创建安全的应用程序的同时为制作应用程序做出贡献。本系列旨在让您做好安全准备，这样您就可以了解作为开发人员可以采取的步骤，开始在自己的组织中以代码形式部署安全基础架构。
安全配置错误，尤其是权限不当的配置错误，通常发生在开发人员为完成任务而创建新用户或授予应用程序权限时。例如，可以这样做来从数据库收集信息。但是，如果将新用户的权限设置得过高，或者没有为手头的任务进行默认配置，则可能会在代码中引入严重漏洞。
在我们开始之前，为什么不现在就测试一下你的技能呢？尝试找到并修复一些不当权限漏洞：
你做得怎么样？让我们更深入地挖掘一下：
授予用户或应用程序完全权限，或者干脆不费心去定义新用户应该能够完成什么以及哪些行为受到限制，无疑是获得新代码的最快方法。如果一切顺利，应用程序将利用这些权限来完成其分配的任务。危险在于，黑客会发现这个过程，然后危及该用户。尽管创建用户是为了完成特定应用程序的特定功能，但如果遭到入侵，则可能允许攻击者危及其他应用程序、数据甚至网络。
如何利用安全配置错误？
为了直观地了解危险，让我们来看看在 Docker 云环境中有时是如何编码常见任务的。假设开发人员正在使用 Prometheus MySQL 导出器服务从数据库收集信息。允许这种情况发生的最简单方法是授予导出者访问数据库的权限。所以代码可能像这样：
来自 mysql: 最新
复制。/scripts/create_users.sh /docker-entrypoint-initdb.d/
用户 999
创建由 $EXPORTER_PASSWORD 标识的用户导出器@%；
将 ALL ON *.* 授予出口商@%;
在 performance_schema.* 上向导出者授予选择权@%;
这肯定会使出口商能够完成其任务。但是，由于未定义权限，因此导出器实际上几乎可以做任何事情。显然，出口商本身永远不会在其编程行为之外采取行动。但是，如果攻击者能够破坏导出器服务，会发生什么？在这种情况下，由于获得了完全权限，攻击者可以使用 SQL 服务执行各种未经授权的任务。
保护和消除不当权限
在这里，我们再次谈谈基础设施即代码的概念。如果你在创建应用程序时就将安全性编码到应用程序中，那么在网络安全方面，网络的整体基础总是会好得多。
在上面的 Docker 示例中，如果开发人员希望 Prometheus MySQL 导出器能够查询数据库，他们可以通过定义应该允许它完成的任务来更安全地做到这一点。一个很好的例子是：
来自 mysql: 最新
复制。/scripts/create_users.sh /docker-entrypoint-initdb.d/
用户 999
创建由 $EXPORTER_PASSWORD 标识的用户导出器@%；
授权进程，复制客户端开启*.* 给 exporter@%;
在 performance_schema.* 上向导出者授予选择权@%;
在这种情况下，为 Prometheus MySQL Exporter 服务配置的 MySQL 用户对 MySQL 服务仅具有有限的权限。具体而言，只允许使用 “进程” 和 “复制客户端” 权限。这将防止恶意用户利用受损的 Prometheus MySQL 导出器服务。
在代码级别限制权限可以确保用户和应用程序只有足够的权限来完成手头的任务。这可以大大有助于保护您的网络和采用基础设施即代码的概念。
来看看 安全代码勇士 博客页面，详细了解此漏洞以及如何保护您的组织和客户免受其他安全漏洞的破坏。你也可以 试试我们的展示柜 Secure Code Warrior 培训平台可让您的所有网络安全技能不断磨练并保持最新状态。
Table des matières
Matias Madou est expert en sécurité, chercheur, directeur technique et cofondateur de Secure Code Warrior. Matias a obtenu son doctorat en sécurité des applications à l'université de Gand, en se concentrant sur les solutions d'analyse statique. Il a ensuite rejoint Fortify aux États-Unis, où il s'est rendu compte qu'il ne suffisait pas de détecter les problèmes de code sans aider les développeurs à écrire du code sécurisé. C'est ce qui l'a incité à développer des produits qui aident les développeurs, allègent le fardeau de la sécurité et dépassent les attentes des clients. Lorsqu'il n'est pas à son bureau en tant que membre de l'équipe Awesome, il aime être sur scène pour présenter des conférences, notamment RSA Conference, BlackHat et DefCon.
Secure Code Warrior peut aider votre organisation à sécuriser le code tout au long du cycle de vie du développement logiciel et à instaurer une culture qui accorde la priorité à la cybersécurité. Que vous soyez responsable de la sécurité des applications, développeur, directeur de la sécurité de l'information ou tout autre professionnel concerné par la sécurité, nous pouvons aider votre organisation à réduire les risques liés au code non sécurisé.
Veuillez réserver une démonstration.TéléchargerRessources pour vous aider à démarrer
Formation sur les codes de sécurité : thèmes et contenu
Notre contenu de pointe évolue constamment pour s'adapter au paysage changeant du développement logiciel, tout en tenant compte de votre rôle. Les sujets abordés couvrent tout, de l'IA à l'injection XQuery, et s'adressent à divers postes, des architectes et ingénieurs aux chefs de produit et responsables de l'assurance qualité. Découvrez un aperçu par thème et par rôle de ce que notre catalogue de contenu a à offrir.
La Chambre de commerce établit la norme en matière de sécurité à grande échelle axée sur les développeurs
La Chambre de commerce néerlandaise explique comment elle a intégré le codage sécurisé dans le développement quotidien grâce à des certifications basées sur les rôles, à l'évaluation comparative du Trust Score et à une culture de responsabilité partagée en matière de sécurité.
%20(1).avif)
.avif)
Modélisation des menaces avec l'IA : transformer chaque développeur en modélisateur de menaces
Vous repartirez mieux équipé pour aider les développeurs à combiner les idées et les techniques de modélisation des menaces avec les outils d'IA qu'ils utilisent déjà pour renforcer la sécurité, améliorer la collaboration et créer des logiciels plus résilients dès le départ.
Ressources pour vous aider à démarrer
Cybermon est de retour : la mission AI pour vaincre le boss est désormais disponible sur demande.
Cybermon 2025 : la campagne « Vaincre le boss » est désormais disponible toute l'année dans SCW. La guerre de sécurité avancée de l'IA/LLM tribale, le renforcement de l'IA de sécurité à grande échelle.
Interprétation de la loi sur la résilience des réseaux : que signifie la sécurité par le biais de la conception et du développement de logiciels ?
Comprenez les exigences de la loi européenne sur la résilience des réseaux (CRA), à qui elle s'applique et comment les équipes d'ingénierie peuvent s'y préparer grâce à des pratiques de conception, à la prévention des vulnérabilités et au renforcement des capacités des développeurs.
Facteur déterminant 1 : des critères de réussite clairs et mesurables
Le catalyseur n° 1 constitue le premier volet de notre série en dix parties consacrée aux facteurs de réussite. Il démontre comment relier la sécurité du code aux résultats opérationnels, tels que la réduction des risques et l'accélération de la maturité des programmes à long terme.
