一、安全是一个持续的过程
网络安全不是装一个防火墙就万事大吉——它是一个需要持续更新和监控的动态过程。最常见的漏洞往往不是零日攻击——而是已知的、有补丁但没有安装的旧漏洞。OWASP Top 10 列举了 Web 应用最危险的十类安全风险——排在前列的是失效的访问控制和注入攻击和跨站脚本。
SQL 注入是最经典的 Web 攻击——在用户输入的字段中注入 SQL 代码——可以获取整个数据库的数据甚至删除表。用参数化查询而非字符串拼接来构建 SQL——这个简单规则可以消灭 99% 的注入攻击。
二、个人安全实践
密码管理器加双因素认证——这两个措施就能防范大多数账号被盗。保持操作系统和软件的自动更新开启——补丁是成本最低的安全措施。
三、企业安全
最小权限原则——每个服务和用户只拥有完成任务所需的最小权限。