2015年8月29日星期六

深圳美女程序员鞋中藏物躲避安检

  据英国《每日邮报》报道,中国深圳一位网名为“SexyCyborg”的20多岁的女程序员研发了一双“黑客高跟鞋”,她将渗透测试工具(渗透测试是一种利用模拟黑客攻击的方式,来评估计算机网络系统安全性能的方法)集成到一双3D打印的高跟鞋中,以躲避安检人员的检查。

  将渗透测试工具整合到鞋子中的这一想法是她在对某公司设施进行渗透测试时想到的。因为有些公司,尤其是大公司,他们对安全审查相当严格,甚至都不允许客人带手机进入安全大楼,所以她就想到了利用高跟鞋这种方法将工具带进去。

  这位渗透测试者兼黑客自称SexyCyborg(性感机体),她向媒体展示了她3D打印的高跟鞋,并将其命名为“无影鞋”。名字的灵感源于黄飞鸿的经典招式“无影脚”。每只鞋下面都配有一个小的抽屉,不用脱下鞋就可以很容易的拉开、合上。值得一提的是,这双鞋是3D打印的,我们可以自定义抽屉的大小,以便更好的储存介质(渗透测试工具)。

深圳美女程序员鞋中藏物躲避安检

  左脚鞋子里隐藏了很多工具,有USB键盘记录器、无线路由器网线、开锁工具等。在右脚的鞋子里隐藏了一个TP-Link无线路由器、一个可充电电池。路由器可以从鞋子中取出来,连入到开放网络,然后用SSH隧道获得本地网络(LAN)的远程访问权限。

  SexyCyborg所使用的路由器型号是TP-Link TL-MR10U,可以安装OpenWRT固件。一旦安装成功,就可以运行一些兼容性的软件了,如Wispi、Jasager、Karma等,进而构建一个钓鱼登录页面,以捕捉目标员工的登录凭证。

深圳美女程序员鞋中藏物躲避安检

深圳美女程序员鞋中藏物躲避安检

  从SexyCyborg的个人介绍页面可以知道,她是广东人,一直是女孩,没有做过变性手术,身材瘦的原因是遗传,虽然吃肉,但不喜欢吃米饭和面包,而且从不健身。职业并不是模特,是全职的程序员。主要用Ruby进行软件开发,正在转型JavaScript,也对硬件和3D打印有接触。热爱开源,在家里为海外公司工作,客户并不知道自己是女性以及自己的容貌。在泰国做过隆胸,因为泰国有800cc硅胶而国内最大只有600cc。常发照片是因为自己喜欢,不发裸照是因为这在中国是违法的。会说英语是因为在学校学过,常看美剧以及在用英语工作对自己的英语学习都有帮助。

深圳美女程序员鞋中藏物躲避安检

深圳美女程序员鞋中藏物躲避安检

2015年8月27日星期四

服务器预防DDoS攻击的方法

  8月25日晚,锤子“坚果手机”发布会因故推迟、PPT一堆错漏、抢红包故障,据悉是因锤子官网服务器遭遇了数十G流量DDoS恶意攻击,现场PPT也是临时赶制、边写边用,好端端的一场发布会被DDoS攻击搞的狼狈不堪。

  分布式拒绝服务攻击(DDoS)是目前常见的网络攻击方法,它的英文全称为Distributed Denial of Service?简单来说,很多DoS攻击源一起攻击某台服务器就形成了DDOS攻击,从而成倍地提高拒绝服务攻击的威力。通常,攻击者将攻击程序通过代理程序安装在网络上的各个“肉鸡”上,代理程序收到指令时就发动攻击。

  DDoS攻击的危害很大,而且很难防范,可以直接导致网站宕机、服务器瘫痪,造成权威受损、品牌蒙羞、财产流失等巨大损失,严重威胁着中国互联网信息安全的发展。

服务器预防DDoS攻击的方法

图:DDoS攻击示意图

  随着DDOS攻击在互联网上的肆虐泛滥,使得DDoS的防范工作变得更加困难。数据显示,今年Q2,DDoS攻击活动创下新纪录,同比增长了132%。其中,最大规模的DDoS攻击峰值流量超过了240 Gbps,持续了13个小时以上。目前而言,黑客甚至对攻击进行明码标价,打1G的流量到一个网站一小时,只需50块钱。DDoS的成本如此之低,而且攻击了也没人管,那么,广大的网站用户应该采取怎样的措施进行有效的防御呢?下面我就介绍一下防御DDoS的基本方法。

  1、保证服务器系统的安全

  首先要确保服务器软件没有任何漏洞,防止攻击者入侵。确保服务器采用最新系统,并打上安全补丁。在服务器上删除未使用的服务,关闭未使用的端口。对于服务器上运行的网站,确保其打了最新的补丁,没有安全漏洞。

  2、隐藏服务器真实IP

  服务器前端加CDN中转(免费的有百度云加速、360网站卫士、加速乐、安全宝等),如果资金充裕的话,可以购买高防的盾机,用于隐藏服务器真实IP,域名解析使用CDN的IP,所有解析的子域名都使用CDN的IP地址。此外,服务器上部署的其他域名也不能使用真实IP解析,全部都使用CDN来解析。

  另外,防止服务器对外传送信息泄漏IP,最常见的是,服务器不使用发送邮件功能,如果非要发送邮件,可以通过第三方代理(例如sendcloud)发送,这样对外显示的IP是代理的IP。

  总之,只要服务器的真实IP不泄露,10G以下小流量DDOS的预防花不了多少钱,免费的CDN就可以应付得了。如果攻击流量超过20G,那么免费的CDN可能就顶不住了,需要购买一个高防的盾机来应付了,而服务器的真实IP同样需要隐藏。

端口映射:新的DDoS放大攻击

  昨日,锤子发布会出现一些问题,据悉是其官网服务器遭遇了数十G流量DDoS攻击,这种大流量的DDoS攻击行为,恰恰印证了《2015 H1绿盟科技DDoS威胁报告》中的观点,大流量攻击呈现增长趋势。 

  DDoS大流量攻击威胁互联网安全

  报告中指出2015上半年中发现的大流量攻击流量,其种类以UDP混合流量为主(72%)。报告还指出有两种客观的因素为大流量攻击创造了条件,1随着“宽带中国”战略实施方案的推进,城市和农村家庭宽带接入能力逐步达到20兆比特每秒(Mbps)和4Mbps,部分发达城市达到100Mbps,同时连接速度也在上升;2智能路由器等智能设备普遍存在安全性问题,它们常被利用成为放大攻击的源头,最高放大系数可达75。而从2014到2015 H1,这些问题并未得到好转。

  新的DDoS放大攻击形式 端口映射

  而今天Level 3 Threat Research Labs发现了一种新的DDoS放大攻击形式,放大系数最高可达28.4,这就是Portmapper。Portmapper(也称rpcbind、portmap或RPCPortmapper)是一种端口映射功能,常用于将内部网络中的服务端口发布到互联网。Portmapper可以视为一项RPC目录服务。当客户端寻求合适的服务时,可在Portmapper中查找。针对这些查询,Portmapper返回的响应大小不一,主要取决于主机上运行的是哪项RPC服务。
Portmapper可在TCP或UDP 111端口上运行。UDP端口就常常用来伪造的UDP请求,以便进行放大式攻击。正常情况下该响应包是比较小的,只有486字节,对比其查询请求(68字节),放大系数为7.1x。在广谱平台上,我们看到最高响应包高达1930字节,放大系数为28.4x。
我们统计了网络中前300名查询者的流量,并计算平均响应包大小。计算结果表明,平均响应包大小为1241字节(放大系数为18.3x)如果是DDoS攻击,我们发现,平均响应包大小为1348字节(放大系数为19.8x)显然,Portmapper作为DDoS攻击形式时,这些放大系数十分可怕。

  端口映射放大式攻击增长迅猛

  其他反射攻击方法在过去几周内表现平稳,而这个特殊的攻击向量却迅速增长。

  与6月最后7天内的全局portmap流量相比,8月12日前7天的流量增长了22倍。显然,成功利用这种方法的攻击正在大肆增长。而与其他流行的UDP服务相比,Portmapper的全局流量仍然很小。

  Portmapper的全局流量是如此之小,它几乎被标注在图表的底部红线位置。但要启动请求过滤并从互联网上移除反射主机,以预防更大规模的攻击和造成更多的损害,尚需时日。

  建议防范UDP

  Portmapper在互联网上成为反射型和放大型DDoS攻击的新形式。各机构或组织,如果需要在其环境中继续使用Portmapper提供端口映射服务,就需要对这些端口及流量展开清洗。但是Portmapper只是一种攻击形式,在许多的服务器上,还存在大量的RPC服务调用,它们也都使用UDP端口,这些服务也存在DDoS反射或放大攻击的可能。必要的情况下,可以考虑禁用这些RPC服务调用。

  所以我们建议,需要在开放的互联网上严格审查Portmapper、NFS、NIS以及所有其他RPC服务。在服务必须开启的情况下,配置防火墙决定哪些IP地址可以访问这些服务,之后只允许这些IP地址发送TCP请求,以避免这些IP地址在不知情的情况下参与DDoS攻击。

  以上Portmapper的相关内容,引自Level 3 Threat Research Labs发布的研究成果。需要了解2015年DDoS威胁发展态势,请查询《2015 H1绿盟科技DDoS威胁报告》。

  来源:绿盟科技投稿。

2015年8月25日星期二

做社区,你真的准备好了吗

  相信不少站长在做互联网的过程中都有过做社区的想法,甚至有的站长朋友可能正在经营或者曾经经营过社区类网站。

  不得不说,社区类网站看起来确实非常的诱人。一个相对成熟的社区网站,有着稳定的用户流量,会员之间的交流形成良性循环,站长需要做的工作看起来似乎只有处理处理广告位和维护服务器而已。

  相比内容类网站而言,站长不需要进行内容建设,只需要将Discuz或者NodeBB之类的论坛源码架设好,分好板块和区域,一个站就出来了。其成就感远高于wordpress博客的搭建,剩下的工作看起来只有推广而已了。

  其实不是这样的,其实每一年都有许多的社区类网站被建立,其中的大多数到最后都难逃放弃的命运。诚然,社区类网站在运营起来之后确实比博客自媒体类目的网站更加牛逼一些,但其运营成本和精力需求也是非常高的。

  接下来,让我们慢慢的研究下这个议题吧。

  社区真的好做吗

  如果只是搭建一个社区网站的话,确实非常的简单。

  但是那只是万里长征的第一步而已,很多站长也是被这第一步的简单之处所吸引,进入了社区运营的领域。

  要运营一个社区的难度远远大于运营一个内容站的难度,因为内容站以内容建设为主,辅之以SEO。只要网站定位和内容质量以及SEO都做得不错的话,假以时日自然能够运营起来。而这其中大部分的工作都是有固定的流程的,不需要太多的创新。倒不如说如果在内容或者SEO上太过于“创新”的话容易导致得不偿失。

  而社区则不同,社区类网站不仅要有内容上的维护,还有更多的去做用户的关系维护。需要制定规则,需要对用户的行为进行奖惩。还要针对用户群体进行活动的设计等等。这些工作量是非常的大的,一个社区要运营起来,没有一个小团队是比较困难的。

  或许一开始的时候感觉一两个人能够应付,之后只要招收版主进行论坛维护就可以了。但这种想法是天真的,别的不说,由于版主群体和站长之间的矛盾导致社区分裂的例子就多不胜举。这里面需要极高的社区运营能力,有时候甚至还需要一点运气。

  因此,在准备做一个社区之前,首先要考虑到的就是其运维难度。如果没有持之以恒、迎难而上的觉悟,光凭三分钟热度的话,到最后难免会面临失败。

  大致的思路

  如果真的打算要做社区的话,第一个要问自己的问题是。社区的目标群体是什么?

  在某种程度上,这和做利基市场的思路是一致的。在当前国内的网络环境下,选择做综合社区是非常的不明智的,中小规模的团队基本没有挑战成功的可能性。即便是选择做垂直社区,由于国内互联网发展也有那么多年了,大的垂直领域基本都有对应的社区了。在选择的时候也只能选择一些当前没有权威社区的领域。

  当然,如果有足够的资金实力和运营能力的话,对领域权威进行挑战也不是不可以的。但是从效率的角度,除非这个领域特别的有盈利预期,并不推荐这样的行为。这样的行为就像是在星巴克对面开咖啡店一样,略显无谋,空有浪漫。

  或许有的站长要说,自己手里有一批用户,可以将他们导入到自己的社区中。但是这样是不长久的,如果只是将社区作为维护用户关系的手段的话倒也无妨。如果作为社区运营的话,到最后还是会面临社区定位的问题。毕竟社区的运营中,长期用户只是相对稳定的,终归是“铁打的营盘,流水的兵”。

  在决定了自己的目标群体之后,就可以针对目标群体和内容特性对网站进行改造和“装修”了。在社区网站规划和建设完成之后就可以进入下一个步骤了。

  接下来要做的就是寻找核心会员,或者称之为种子会员。记得某创业家曾经说过,对于社区而言,网站的前1000个用户是最重要的。核心用户最重要的作用之一就是创造内容以及活跃社区氛围。像前面说的,如果自己手里有一批相关用户的话还是相对比较有利的。在这里有一个误区就是千万不要想着只靠团队内部的几个人来创造内容,一个社区的核心成员是不可或缺的。核心成员创造的内容的量和活跃作用,也不是光凭几个人就能代替的。团队手上的精英战斗力应该投放到非团队本身做不可的任务中去,例如服务器的运维、合作洽谈、SEO建设等。

  在网站用户逐渐变多之后,需要的就是规则的制定和用户行为的引导。当然,社区的规则应该在建立初期就大体的确立完成的。只不过在具体的运营中,需要根据具体的情况进行相应的添加和修改。用户的行为引导也是非常重要的,小到资源是否需要登录或者购买才可查看,大到对用户群体之间的仲裁。社区规模一大,各种各样的人就会聚集过来。如果用户关系处理不好,就容易导致前功尽弃。但是有时候,坚持网站本身的原则也非常的重要。这方面也是相当考验团队的运营能力的。

  最后也是最重要的一点还是持之以恒的坚持,这并不仅体现在初期热情消退之后的坚持努力,在用户群体不断扩大导致运维成本不断上升却没有有效的形成盈利时就更需要坚持了。因为这个时候由于为了维持社区的用户数不敢做太大的运营变更,却又暂时没有办法找到好的盈利方式,需要的不仅仅是坚持,还有智慧与勇气。

  社区收益如何

  成熟的社区的站长都过得很舒服,这一点正如大家所看到的。那么,一个活跃的社区的收益究竟能到什么程度呢?

  从业内一些交流中也能对社区的收入进行估算,一个日IP在3000~4000的细分论坛,收益水平大概在年40~50万左右。当然这也和具体社区定位的领域和盈利模式有很大关系。

  社区的盈利模式包括品牌广告、活动性广告等广告收入,也包括对应领域的相关商品的出售。如果是技术相关的社区,招聘类目和培训类目也能成为不错的收益来源。

  事实是,一个细分领域的龙头社区,其收益能力是相当强大的,其收益的选择也是非常丰富的。不过很显然这并不会是广大站长朋友会担心的问题,因为以经验来看,向来只有担心没流量的站长,很少会有有流量不知道如何变现的站长。

  结语

  要么不做,要么就做精。这是本人一直以来坚持的原则,个人站长,静下下心来好好思考,选择一个好的方向,坚持努力,一定能找到大的成长空间。在任何一个细分领域,只要能做到台面上,就成功了。

  来源:投稿,原文链接:做社区,你真的准备好了吗

2015年8月24日星期一

当我们讲故事时,我们在做营销

  英文内容营销中流行一个词叫做story telling,直译成中文就是“讲故事”。这个翻译放在中文里真是格格不入,因为它会使人脑子里跳出不恰当的联想,其中最常见的一个就是:

  讲故事?是不是编故事忽悠人?

  在我们的印象中,故事就是小时候大人哄骗小孩最常用的武器,其中不乏小姑娘被怪叔叔哄骗的惨案。所以,讲故事,在我们中国人的脑海里,有点低龄化了,而且含有一定的虚假成分。

  我的意思是,不能直接把story telling翻译成“讲故事”。

  那么,story telling应该怎么翻译?翻译这么高难度的事情,我暂时还办不到。但是我可以分解一下所谓的“讲故事”的含义,如下(在暂时还没有找到更好的翻译之前,我还是把story telling译为讲故事):

  所谓的讲故事,不是编故事忽悠人,而是把自己亲身经历过的事情,和自己想要做的事情,以及自己的想法和愿景,用大家喜闻乐见的方式表达出来。

  为什么要讲故事?

  说白了,讲故事就是一种自我的表达。

  为什么要表达?试想一个人在一个宴会上一声不吭,不跟别人做任何交流,对别人爱理不理,这个人肯定是会遭受冷落的,没有人愿意搭理他。因为他把自己隔绝起来了,所以外界的关系不能接入到他的世界里。

  相反,乐于表达的人,别人起码能够了解他,有一部分志趣相投的人会与他进一步交流。聊得来了,继续做生意甚至做朋友,反正发展的机会可能多了。

  所以,一个公司或者个人,表达的意义就是要被发现、被了解、被建立联系、被建立信任、被合作和互利共赢。

  建立联系和信任感之后,当然就会开始谋求发展了。一群人混在一起的初衷都是为了交换资源,包括情感资源和物质资源。公司这种“不盈利就去死”的机构,当然会更加饥渴地寻找合作机会和合作方式。

  这就是表达的意义,也就是讲故事的意义:被发现-被了解-建立联系-建立信任–交换资源。不讲故事,连被发现的机会都没有。

  当我们讲故事时,我们在讲什么?

  讲故事是一种表达,那要表达什么呢?一般要讲的故事有以下几类:

  1、大品牌故事

  就是那种一路走来的故事,通常是一个综合性的品牌故事,记录企业从起步走到现在的各种历史性时刻。香奈儿的品牌故事就很值得参考,分为12章,在现在的官网上以视频的形式播放。在这种故事中,创始人个性、大事记这两样东西是主角。比如创始人最开始是抱着什么信念开始这个企业的、logo是怎么设计出来的、产品主色调的缘由、在哪里开了第N家店等等,整个故事就是由一个个里程碑串联起来的。

  2、传播型故事

  有些企业没有香奈儿那么悠久的历史,难道就没有故事可讲了吗?老企业有老企业的讲法,新企业和新产品也可以有很完美的故事,就看你怎么切入了。比如,褚橙的故事就是一个典型的例子。以褚时健的传奇人生为线索,加上十年磨一剑的毅力,很多人首先就被这个故事打动了,至于橙子味道怎么样,当然要买一箱尝尝才知道。至于这样的故事能够流传多久,谁也不能下定论。

  3、风格塑造型故事

  有些故事就是为了塑造自己的风格,走差异化路线。人们只要一想到某种风格,就会马上想到这个品牌。例如中国的白酒就分很多种,不同白酒品牌会有不同的特色。洋河是绵柔的味道、古井是年份的味道、种子是柔和的味道、口子是窖藏的味道、迎驾是生态的味道、景芝是芝麻香的味道,你能想到的品牌都有一种独特的味道,味道体验越清晰的品牌其发展往往越好。

  4、见微知著的小故事

  有些故事会从一些小细节入手,非常碎片化,但是能达到见微知著的效果。别人看到这个细节,就能感受到你的企业形象。比如谷歌的logo改动故事,不是什么大改动,而是把“Google”中的字母“G”往上移了一个像素,字母“L”往下移了一个像素。故事起个标题“99.9%的人都没有发现的改动”。我就不知道哪个妖精能看出来,这根本就是肉眼没法辨识的,谷歌把这个故事讲出来,就是要展现很一丝不苟、精益求精的形象。

  为什么要讲一些自己私人的故事?

  一些行业名人不仅发布他们的权威文章,而且会发布一些很碎片化的生活片段。比如今天吃什么大餐了,最近看了什么书,孩子出生了,跟哪位大牛吃饭了等等。发文章可以树立专家形象,但是发一些生活琐事到底是为啥呢?

  有些人会把这种行为理解为自恋、自大、自我标榜、高调、装逼……其实,有这些想法的人一定不是他们的真用户。真正的用户不仅希望从他们身上得到资源和知识,还会关心他们的个人动态和日常生活。因为除了学习,他们还看重这一段关系。这种关系如果转移到品牌上,就是所谓的忠诚度了。

  个人也可以形成自己的品牌,就像微信公众平台说的,再小的个体,也有自己的品牌。只不过个人品牌跟企业品牌相比,更加有人情味,互动方式更加灵活。个人走的是社交路线,注重互动;企业走的是媒体路线,注重表达和传播。

  那些在朋友圈分享自己的生活信息的人才是真正懂得互联网思维的人,因为他们成功地把自己的生活常态搬到了网上,在网上打造了一个品牌形象。企业应该学习的地方就是他们那种“随时随地讲故事”的模式,用持续不断的故事去滋养你的圈子,让你的用户时时刻刻能够感受到你的存在。不知不觉中,你的形象就会潜移默化地打进用户的脑子里。当哪一天你突然停止发布内容的时候,他们脑门上就会冒出一个疑问:发生什么事了?。

  饭可以乱吃,故事不可以乱讲

  说错话这种事可大可小。一个普通人很难因为一句好话而红遍大江南北,但是一个名人可能因为一句坏话而名誉扫地。我们在讲故事的时候,表达的方式不对或者表达了不该表达的东西,可能让品牌形象掉得一塌糊涂。例如,某个文化机构10个字的宣传口号中出现了两个错别字,这笑话可闹大了。

  故事不可以乱讲的含义,除了要求控制好自己的主动发布之外,也要避免留下别人给你乱讲故事的把柄。每一种企业行为都是一种表达,既有主动表达,也有被动表达。被动表达你不能完全控制被动表达,但是你必须进行正面的引导。

  例如,汶川地震的时候,堂堂万科帝国只捐款50万,这种引起公愤的行为,当然全国上下骂声一片。这种骂声就是负面的被动表达,会严重损害企业形象的。捐款太少就是负面表达的引子,如果一开始大方一点,就是一种正面引导,即使没有赞誉,也起码不会引来骂声。

  讲故事就是在累积品牌资产

  一则病毒性视频可能会在整个地球疯转,某个人或者某个品牌可能会借这种机会一炮而红。但是如果你不能去维持这种红热的状态,很快又会冷却下来,昙花一现而已。讲故事就应该像广告轰炸一样,不求轰轰烈烈,但一定要持续不断,锲而不舍。

  脑白金、加多宝的广告也是经过多年持续不断的狂轰滥炸才打进我们的脑子里的。相比而言,讲故事的好处就是可以附带更多的价值,更容易被用户接受。而且故事是通过厚度的累积对人产生潜移默化的影响的,广告则是一种野蛮的洗脑术。通过长时间的、不同形式的故事积淀,品牌的形象就会悄悄地在用户的脑子里形成了。所以,故事就是一种品牌资产。讲故事就相当于在给自己播种。

  互联网打破了时间和空间的限制,渠道多、形式丰富、保存时间长,为讲故事提供了极大的便利。所以,你不把自己晾到互联网上去,几乎等于自寻短见,这可能就是大佬们说的“互联网正在加速淘汰传统企业”吧。其实传统企业不一定会被淘汰,被淘汰的是那些在网上找不到任何痕迹的企业。故事要持续不断地讲才有你生存的位置。

  来源:张飒投稿,原文链接

为了安全,请减少对密码的信任

  越来越多的网络帐号,也带来越来越多的密码。自然地一切吸引你的App或者服务都会向你保证他们会为你保护你的密码,但黑客都对这些密码虎视眈眈,他们会千方百计地开启这个保险箱。一旦你的主要密码落入黑客手中,你的其他密码将很大可能也随之去到他们手中。

  密码安全服务商LastPass在其自己的数据库中曾发现过它们的数据库中存在可疑的行为,虽然还无法证明个人的密码和用户账号已经被攻破的情况,但依然建议用户尽可能去更换LastPass上的密码。

  我建议用户要么用的软件和服务少而精,尽可能得缩小密码所涉及的范围,要么为每个账号设置不同的密码。

  以下是一些关于密码安全的Tips

  帐号的重要性不是唯一的

  你在管理账号的时候,只需要去记住所有账号密码中的最多一半,而不是所有。

  去记住那些对你来说真正重要的账号密码:

  —理所当然的银行账号是最重要的,它还伴随着你的消费记录和各种金融服务。

  —而社交账号和一些论坛账号也是相当重要的,那里储存了你的生活以及大量的隐私。现在大部分人用的微信推出了声音锁,虽然不知道能不能很好地将别人的声音和本用户的声音识别,但若这真的能识别,那这个是相当有效的。

  对于那些敏感度高的人,他们会去写一个独特的密码然后去记住它。但要确保将其被记下或者记录在安全的地方。若你一定要用电子设备记录,那一定是记录在安全的软件或者文件上,而不是存在网络上。还有别用“password”和“1234567”这样的密码,而是设“goaway999”这样的密码。

  低一点的优先权

  来自苹果和谷歌的浏览器都有一些内置的机制可以储存你经常使用的密码。 谷歌和苹果的安全性一般都会比其他厂商的高不止一个级别,若你嫌主动去记录密码实在是太麻烦,可以适当地将一些账号密码让他们来储存,不过谷歌对于国内用户来说永远是个痛。

  现在越来越多的服务商支持用微信或者微博这类账号来登陆他们的服务,而不需要去注册账号,而微信这类的只是告诉服务商你的账号的有效的,而不是告诉他们你的账号和密码是什么,这样能够减少账号的过多。

  手机与指纹识别

  假如你没有用密码来锁住你的手机, 那么解开你的手机然后将你的聊天记录看个精透是一件非常容易的事情。

  Fortunately, 最新的iPhone 和多家安卓手机厂家如魅族,三星还有华为等,在其旗舰手机上都配备了指纹识别功能,代替了每次要输入四个PIN码的麻烦,每次只需要将手指放在Home键上,这样能够让便捷与安全同时拥有。不过安卓手机因为系统开源,可能还是存在风险。

  苹果如今已经允许其他软件的开发者去调用Touch ID了。 这一以来,你只需要用手指轻轻按一下就能解锁你的银行账号或者快速用支付宝付款。Android在即将到来的Android M上,谷歌也是提供给软件开发者更容易调用手机上的指纹识别功能的功能。 还有微软也计划在Windows 10上支持生物识别技术,如指纹识别或是虹膜识别。

  双重保险

  包括苹果, Google, Facebook, 微软以及 Dropbox在内的主要服务商都提供一种双重验证机制, 要求你输入完普通密码后,再发一条代码到你的手机上要求确认,而黑客很难同时黑完你的普通密码和手机上的信息代码,除非你很重要。

  你需要去到账号设置里面寻找你所用的服务商是否有两步验证。

  虽然这样相当繁琐,但这相当有效防止黑客盗取你的资料,让你在网络上足够安全。

  还有什么?

  现在注册账号很多是用手机号码来注册,这样能够很好的保护你的账号密码被重置,因为一般黑客最多知道你的手机号码,而拿不到你的手机,除非他们能够将你的短信拦截下来。

  来源:垓下视野投稿

DDoS态势报告 DDoS攻击两极分化

  近日,国内网络安全公司绿盟科技发布了2015 H1 DDoS威胁报告。报告发现近期的DDoS攻击呈现两极分化的局面,大流量攻击不断增长,按照此趋势足以对互联网骨干网络造成威胁(>100G的攻击有33起),并开始走向云端攻击的形式;与此同时,小流量攻击并没有消失(1分钟以下占42.74%),而是转变为脉冲攻击及慢速攻击,主要针对各行业中的业务设计不合理的环节,这些攻击很容易导致用户的业务缓慢甚至无法进行。而且,报告发现有越来越多的攻击者混合使用多种形式,让用户防不胜防,这些混合化攻击中,以大流量混合攻击为主(72%)。

  大流量攻击呈现增长趋势,过百G的攻击越来越多;

  近年,美国联邦通信委员会(FCC)CC对宽带重新定义,下行速度从 4Mbps 调整至 25Mbps,上行速度从 1Mbps 调整至3Mbps。全球的互联网用户2008-2012共4年的年平均增长率高达12%,2013互联网用户数比例已经超过人口的37.96%,预期在2015年用户数量可以超过30亿。

  十二五以来,国内随着“宽带中国”战略实施方案的推进,城市和农村家庭宽带接入能力逐步达到20兆比特每秒(Mbps)和4Mbps,部分发达城市达到100Mbps,宽带首次成为国家战略性公共基础设施。根据CNNIC的统计,中国国际出口带宽呈现非常快速的增长趋势。与此同时,中国的网民规模也在大幅度提升,5年来平均增长幅度达到7.2%,2014年接近6.5亿。

  宽带标准被调高以及联网用户的(设备)增多,在方便用户使用的同时,也为大流量DDoS攻击的出现创造了条件,加之设备厂商和消费者在安全意识方面需要提升,这方面的因素也助长了DDoS放大式攻击的发生,这些方面都直接导致了DDoS风险的增高。

  报告数据显示,在2015年大流量DDoS攻击仍旧在持续增加。2015年上半年,至少出现33起流量超过100G的攻击,集中在6个相对独立的IP上。从全国范围分布上看,排名前五的城市包括上海、成都、东莞、济南、天津。

  另外,从多年来为运营商服务的数据来看,也可以看到在2015年上半年的DDoS攻击中,百G以上的攻击频次明显增大。以某运营商为例,2015年受100G以上流量攻击的IP数增长到1675个,攻击的次数增长到3729次,照此计算100G以上的攻击总量已经超过300T,这已经威胁到互联网骨干网络的正常运作。这个趋势相比2014年有所增长,单IP受到100G以上流量攻击的次数也明显上升。而100G以下的攻击总量要远远超过这个数量。

  大流量攻击走向云端,可能出现的云端攻击形式;

  在DDoS大流量攻击兴起的同时,为了抵御风险免受其害,许多用户将其业务向云端迁移,云计算技术的诸多优点使得云服务得以广泛应用。中国信息通信研究院的报告显示,我国公共云服务市场规模大概在72亿元左右,比去年增长47.5%。中国私有云市场规模也在不断扩张,2014年国内私有云市场规模大概在246亿人民币左右,增长速度将近30%。

  云服务的增多在为用户带来了便利的同时,也在安全方面也带来了两个方面的变化,1客户端轻量化。客户端原本的计算任务,大幅度向云端转移,云端的流量会越来越大,这将会被大流量DDoS攻击所利用;2环境复杂化。随着业务环境虚拟化,从业务更加灵活多变到运维管理,其中不断产生新的不确定性,都可能为新的 DDoS攻击形式创造机会。报告中分析了这些可能的攻击形式。

  大流量攻击在游戏行业中加剧,尤以UDP攻击常见;

  大流量攻击在影响着各个行业,在近几年的分析中,绿盟科技的技术专家观测到游戏行业遭受大流量攻击的情况在逐年增加。在2014年的报告中,这种现象称之为“行业潮流性” ,即攻击者不仅会预估收益选择攻击目标,更能够根据行业业务特性演变攻击形式。

  2015年上半年的数据显示,游戏行业仍然是DDoS攻击的重点对象之一。游戏行业用户基数大、用户类型多、在线维护难度大的特点,也使得游戏行业成为极易受到攻击的目标行业。由于很多游戏基于私有协议开发,传统DDoS防御手  段在没有贴合业务特性的情况下,防御DDoS攻击常常面临较大困难。

  以某大型互联网企业为例,在其多项业务中,在线游戏仍然是DDoS主要的攻击对象(74.7%),DNS服务及Web服务分别为15.1%及9.7%。通过对各项服务的展开分析可以看到,除了游戏业务以外,Web服务及其他服务中大流量攻击的比例也不在少数。

  小流量快攻击变身脉冲式攻击,实战国内外实际案例;

  虽然大流量攻击乃至云端攻击会越来越多的出现,但这并不意味着小流量攻击就消失了。相反,在一些行业中,小流量攻击有着特殊的目的,与大流量(百G以上)及超大流量(500G或 更高)相比,1这些攻击因为其流量小,不会引起业界的关注,2这些小流量隐藏在大流量其中,难以辨识;3有些攻击时长小到防护设备难以捕获,很难完整呈现其攻击过程,这些特点决定了小流量攻击不仅不会被攻击者抛弃。2015年上半年,0-30分钟时长的攻击环比上涨4.52%,1分钟以下的攻击占总量的42.74%。

  将这些短时攻击组合起来看,往往每轮次总的攻击时间也很短。数据统计显示,5分钟以下的攻击已经有46%的比例,接近总量的半数。绿盟科技的技术专家将这种短时长“闪电战”的攻击形式,归类为DDoS脉冲攻击(Hit-and-run DDoS )。

  小流量慢攻击专盯业务逻辑问题,呈现攻击原理及防御;

  在众多小流量攻击案例中,针对业务逻辑设计问题的慢速攻击也具有代表性。不同于游戏领域的小而快,这种攻击类型的小流量慢速攻击由于间隔时间较长,从协议、流量、逻辑上来看也没有明显异常,但是却针对协议的弱点或者应用逻辑上的弱点,故意延长通信的时间、占用连接的资源、增加服务器的处理过程,进行资源消耗,使目标的CPU资源、内存资源、连接池等耗尽,最终产生拒绝服务,服务器无法再接受来自用户的访问请求。

  DDoS攻击手段日益高级,智能路由器温床未见好转

  DDoS攻击者为了达到目的,会结合多个方面的因素实施不同形式的攻击,攻击手段不断翻新,变得越来越高级,甚至呈现出“APT”的特色。

  攻击业务多样化。

  DDoS多年难以治理,有一方面原因就是因为业务形态的多样性。随着业务形态的不断发展及演变,结构及业务流程越来越复杂,攻击者无时无刻不在反复跟踪分析这些业务特点及可能存在的问题,而攻击形式也随之而变。

  攻击流量多样化。

  在2015年上半年数据显示,在DDoS攻击中,攻击者往往混合使用多种攻击手段和多种类型的攻击源。UDP混合流量占主要比重,达到72%。这些流量组合正如前面的分析所展示的那样,并非无的放矢,而是跟随业务的特性发生的变化。

  攻击设备多样化。

  如今,用户连接互联网的设备越来越多样化,在终端方面,已经不再局限于PC,更多的设备也包括平板电脑、手机、电视等智能终端;同时,反射放大式攻击,让业界清晰的认识到,DDoS可利用的设备也不再局限于终端,更多的设备也包括路由器、打印机、摄像头、扫描仪等智能设备。

  在2014年的报告中,统计了全球的这些可能被利用的智能设备超过80万,在6月份的数据中,报告统计了全球SSDP协议设备的分布状况,显然一情况在2015年并未得到大的改观,这也是基于SSDP协议的放大攻击仍旧肆虐的原因。

  在此呼吁这些设备的厂商尽快发布相关补丁或者升级相关固件,最终用户也需要随时关注升级信息,尽快升级及采用对应的防护措施,不要被利用,成为“攻击者”!同时,在智能设备增加、混合流量攻击模式下,传统的业务场景和思路可能需要考虑新的模式和新的应用场景。

  来源:绿盟科技投稿