黑客攻破安全基础设施，将其化作代码序列：安全功能被禁用
当今网络安全威胁无处不在且层出不穷。随着生活更多维度走向数字化，网络犯罪分子的风险也随之攀升：需要保护的代码量庞大，而私人数据价值连城。况且，在程序部署后试图跟上节奏并防御所有攻击面，几乎已成不可能之举。
存在一些方法可以缓解部分症状，其中最显著的当属精明的组织采用基础设施即代码（IaC）理念。当然，如同任何开发工作，此过程中存在若干安全障碍需要克服。鉴于开发人员正在编写生成关键基础设施的代码——这些基础设施用于托管应用程序——因此在每个开发阶段保持安全意识都至关重要。
那么，初入云服务器环境的新手开发者究竟该如何提升技能、掌握核心要领，并以更强的安全意识投入构建工作？为此我们推出了《开发者攻克安全》系列，将深入探讨基础设施即代码（IaC）中最常见的漏洞。后续博文将聚焦开发者可采取的具体措施，助您在所属机构逐步实现安全的基础设施即代码部署。
我们开始吧。
美国西部有则寓言：某人总担心强盗会闯入家中抢劫，为此他疯狂地安装了各种安防措施——加固大门、封堵窗户、备齐武器。然而某夜他睡得正酣时，强盗们竟从他忘记锁上的侧门潜入，将他洗劫一空。 强盗们发现安防系统根本没启动，便趁机大快朵颐。
在基础设施中禁用安全功能的情况与此极为相似。即使您的网络拥有坚实的安全架构，若某些组件被禁用，其防护作用也将大打折扣。
在我们深入探讨之前，请允许我提出一个挑战：
点击上方链接即可进入我们的游戏化培训平台，您现在可以尝试修复一个已禁用的安全功能中的漏洞。（注意：页面将在Kubernetes环境中打开，但您可通过下拉菜单选择Docker、CloudFormation、Terraform或Ansible进行操作）。
你进展如何？如果还有工作要做，请继续阅读：
安全功能可能因各种原因被禁用。某些应用程序和框架可能默认处于禁用状态，需要先启用才能开始运行。管理员也可能为便于执行特定任务而禁用某些安全功能，以避免持续遭遇挑战或阻碍（例如将AWS S3存储桶设为公开状态）。 完成工作后，他们可能忘记重新启用已禁用的功能。也可能出于未来工作便利性考虑，选择保持功能关闭状态。
为何禁用安全功能如此危险
禁用一项或多项安全功能存在诸多弊端。首先，这些安全功能被纳入基础设施资源中，旨在防范已知的漏洞、威胁或攻击手段。一旦禁用，它们将无法继续保护您的资源。
攻击者总是会优先寻找那些容易被利用的漏洞，甚至可能使用脚本扫描最常见的弱点。这就像小偷沿街检查每辆车是否车门未锁——比起砸碎车窗，这种方式要容易得多。 黑客发现常见安全防护措施处于非活动状态时会大感意外。但一旦发现漏洞，他们很快就会加以利用。
其次，拥有良好的安全防护后却将其禁用，会产生虚假的安全感。管理员可能以为自己已免受常见威胁的侵害，却不知有人已禁用了这些防御措施。
作为攻击者如何利用禁用安全功能的示例，请考虑AWS S3的安全功能——阻止公共访问。通过启用Amazon S3的公共访问阻止功能，账户管理员和存储桶所有者可轻松配置集中控制，限制对Amazon S3资源的公共访问权限。 然而，部分管理员在遇到S3存储桶访问问题时，为尽快完成任务而选择将其设为公开状态。若忘记重新启用该安全功能，攻击者将获得该S3存储桶内信息的完全访问权限，这不仅会导致信息泄露，还将因数据传输费用产生额外成本。
让我们比较一些真实世界的代码；请参阅以下 CloudFormation 片段：
脆弱的。
企业级存储桶：
类型：AWS: :S3: :Bucket
属性：
公共访问控制策略配置：
blockPublicACLS: false
BlockPublicPolicy: false
ignorePublicacls: false
restrictPublicBuckets: false
版本控制配置：
状态：已启用
存储桶加密：
服务器端加密配置：
- 默认服务器端加密：
SSE算法："AES256"
Seguro：
企业级存储桶：
类型：AWS：S3：存储桶
属性：
公共访问控制块配置：
BlockPublicACLS: true
BlockPublicPolicy: true
ignorePublicacls: true
RestrictPublicBuckets: true
版本控制配置:
状态: 已启用
存储桶加密:
服务器端加密配置:
- 默认服务器端加密:
SSE算法: "AES256"
防止安全功能被禁用
防止禁用安全功能对组织造成负面影响，既是政策问题，也是实践问题。 必须制定明确政策，规定安全功能仅可在极其特定的条件下禁用。当为解决问题或更新应用程序而需临时禁用功能时，相关操作必须记录在案。完成必要工作后，应核查功能是否已完全恢复启用。
若为加快操作流程需永久禁用某项安全功能，则必须为受影响数据提供其他保护措施，以确保在默认防护缺失时黑客无法访问数据。一旦必要防护功能被停用，攻击者发现漏洞并趁机而入只是时间问题。
了解更多，挑战自我：
浏览一下 Secure Code Warrior 博客页面，了解更多关于此漏洞的信息，以及如何保护您的组织和客户免受其他安全缺陷和漏洞的侵害。
您是否已准备好在阅读完这篇博文后立即查找并修复该漏洞？现在正是行动的最佳时机！Secure Code Warrior 体验专为iMac设计的游戏化安全 Secure Code Warrior 您的网络安全技能始终保持精进与更新。
这是一档每周更新的系列节目，将深入探讨我们基础设施即代码的八大核心漏洞。敬请下周继续关注，获取更多精彩内容！
Matias Madou, Ph.D.是一位安全专家、研究员和CTO，也是Secure Code Warrior 的联合创始人。Matias在根特大学获得了应用安全的博士学位，主要研究静态分析解决方案。后来他加入了美国的Fortify公司，在那里他意识到，仅仅检测代码问题而不帮助开发人员编写安全代码是不够的。这激发了他开发产品的热情，帮助开发人员，减轻安全的负担，并超越客户的期望。当他不在办公桌前作为Awesome团队的一员时，他喜欢站在舞台上，在包括RSA会议、BlackHat和DefCon等会议上发表演讲。
Secure Code Warrior 您的组织在软件开发全生命周期中保护代码安全，并营造将网络安全置于首位的企业文化。无论您是应用安全管理员、开发人员、首席信息安全官，还是任何与安全相关的工作人员，我们都能助力您的组织降低不安全代码带来的风险。
预约演示
Matias Madou, Ph.D.是一位安全专家、研究员和CTO，也是Secure Code Warrior 的联合创始人。Matias在根特大学获得了应用安全的博士学位，主要研究静态分析解决方案。后来他加入了美国的Fortify公司，在那里他意识到，仅仅检测代码问题而不帮助开发人员编写安全代码是不够的。这激发了他开发产品的热情，帮助开发人员，减轻安全的负担，并超越客户的期望。当他不在办公桌前作为Awesome团队的一员时，他喜欢站在舞台上，在包括RSA会议、BlackHat和DefCon等会议上发表演讲。
马蒂亚斯是一名研究员和开发人员，拥有超过15年的软件安全实践经验。他曾为Fortify Software和他自己的公司Sensei Security等公司开发解决方案。在他的职业生涯中，马蒂亚斯领导了多个应用安全研究项目，并将其转化为商业产品，他拥有超过10项专利。当他离开办公桌时，Matias曾担任高级应用安全培训courses ，并定期在全球会议上发言，包括RSA会议、黑帽、DefCon、BSIMM、OWASP AppSec和BruCon。
马蒂亚斯拥有根特大学的计算机工程博士学位，在那里他研究了通过程序混淆来隐藏应用程序的内部工作的应用安全。
当今网络安全威胁无处不在且层出不穷。随着生活更多维度走向数字化，网络犯罪分子的风险也随之攀升：需要保护的代码量庞大，而私人数据价值连城。况且，在程序部署后试图跟上节奏并防御所有攻击面，几乎已成不可能之举。
存在一些方法可以缓解部分症状，其中最显著的当属精明的组织采用基础设施即代码（IaC）理念。当然，如同任何开发工作，此过程中存在若干安全障碍需要克服。鉴于开发人员正在编写生成关键基础设施的代码——这些基础设施用于托管应用程序——因此在每个开发阶段保持安全意识都至关重要。
那么，初入云服务器环境的新手开发者究竟该如何提升技能、掌握核心要领，并以更强的安全意识投入构建工作？为此我们推出了《开发者攻克安全》系列，将深入探讨基础设施即代码（IaC）中最常见的漏洞。后续博文将聚焦开发者可采取的具体措施，助您在所属机构逐步实现安全的基础设施即代码部署。
我们开始吧。
美国西部有则寓言：某人总担心强盗会闯入家中抢劫，为此他疯狂地安装了各种安防措施——加固大门、封堵窗户、备齐武器。然而某夜他睡得正酣时，强盗们竟从他忘记锁上的侧门潜入，将他洗劫一空。 强盗们发现安防系统根本没启动，便趁机大快朵颐。
在基础设施中禁用安全功能的情况与此极为相似。即使您的网络拥有坚实的安全架构，若某些组件被禁用，其防护作用也将大打折扣。
在我们深入探讨之前，请允许我提出一个挑战：
点击上方链接即可进入我们的游戏化培训平台，您现在可以尝试修复一个已禁用的安全功能中的漏洞。（注意：页面将在Kubernetes环境中打开，但您可通过下拉菜单选择Docker、CloudFormation、Terraform或Ansible进行操作）。
你进展如何？如果还有工作要做，请继续阅读：
安全功能可能因各种原因被禁用。某些应用程序和框架可能默认处于禁用状态，需要先启用才能开始运行。管理员也可能为便于执行特定任务而禁用某些安全功能，以避免持续遭遇挑战或阻碍（例如将AWS S3存储桶设为公开状态）。 完成工作后，他们可能忘记重新启用已禁用的功能。也可能出于未来工作便利性考虑，选择保持功能关闭状态。
为何禁用安全功能如此危险
禁用一项或多项安全功能存在诸多弊端。首先，这些安全功能被纳入基础设施资源中，旨在防范已知的漏洞、威胁或攻击手段。一旦禁用，它们将无法继续保护您的资源。
攻击者总是会优先寻找那些容易被利用的漏洞，甚至可能使用脚本扫描最常见的弱点。这就像小偷沿街检查每辆车是否车门未锁——比起砸碎车窗，这种方式要容易得多。 黑客发现常见安全防护措施处于非活动状态时会大感意外。但一旦发现漏洞，他们很快就会加以利用。
其次，拥有良好的安全防护后却将其禁用，会产生虚假的安全感。管理员可能以为自己已免受常见威胁的侵害，却不知有人已禁用了这些防御措施。
作为攻击者如何利用禁用安全功能的示例，请考虑AWS S3的安全功能——阻止公共访问。通过启用Amazon S3的公共访问阻止功能，账户管理员和存储桶所有者可轻松配置集中控制，限制对Amazon S3资源的公共访问权限。 然而，部分管理员在遇到S3存储桶访问问题时，为尽快完成任务而选择将其设为公开状态。若忘记重新启用该安全功能，攻击者将获得该S3存储桶内信息的完全访问权限，这不仅会导致信息泄露，还将因数据传输费用产生额外成本。
让我们比较一些真实世界的代码；请参阅以下 CloudFormation 片段：
脆弱的。
企业级存储桶：
类型：AWS: :S3: :Bucket
属性：
公共访问控制策略配置：
blockPublicACLS: false
BlockPublicPolicy: false
ignorePublicacls: false
restrictPublicBuckets: false
版本控制配置：
状态：已启用
存储桶加密：
服务器端加密配置：
- 默认服务器端加密：
SSE算法："AES256"
Seguro：
企业级存储桶：
类型：AWS：S3：存储桶
属性：
公共访问控制块配置：
BlockPublicACLS: true
BlockPublicPolicy: true
ignorePublicacls: true
RestrictPublicBuckets: true
版本控制配置:
状态: 已启用
存储桶加密:
服务器端加密配置:
- 默认服务器端加密:
SSE算法: "AES256"
防止安全功能被禁用
防止禁用安全功能对组织造成负面影响，既是政策问题，也是实践问题。 必须制定明确政策，规定安全功能仅可在极其特定的条件下禁用。当为解决问题或更新应用程序而需临时禁用功能时，相关操作必须记录在案。完成必要工作后，应核查功能是否已完全恢复启用。
若为加快操作流程需永久禁用某项安全功能，则必须为受影响数据提供其他保护措施，以确保在默认防护缺失时黑客无法访问数据。一旦必要防护功能被停用，攻击者发现漏洞并趁机而入只是时间问题。
了解更多，挑战自我：
浏览一下 Secure Code Warrior 博客页面，了解更多关于此漏洞的信息，以及如何保护您的组织和客户免受其他安全缺陷和漏洞的侵害。
您是否已准备好在阅读完这篇博文后立即查找并修复该漏洞？现在正是行动的最佳时机！Secure Code Warrior 体验专为iMac设计的游戏化安全 Secure Code Warrior 您的网络安全技能始终保持精进与更新。
这是一档每周更新的系列节目，将深入探讨我们基础设施即代码的八大核心漏洞。敬请下周继续关注，获取更多精彩内容！
当今网络安全威胁无处不在且层出不穷。随着生活更多维度走向数字化，网络犯罪分子的风险也随之攀升：需要保护的代码量庞大，而私人数据价值连城。况且，在程序部署后试图跟上节奏并防御所有攻击面，几乎已成不可能之举。
存在一些方法可以缓解部分症状，其中最显著的当属精明的组织采用基础设施即代码（IaC）理念。当然，如同任何开发工作，此过程中存在若干安全障碍需要克服。鉴于开发人员正在编写生成关键基础设施的代码——这些基础设施用于托管应用程序——因此在每个开发阶段保持安全意识都至关重要。
那么，初入云服务器环境的新手开发者究竟该如何提升技能、掌握核心要领，并以更强的安全意识投入构建工作？为此我们推出了《开发者攻克安全》系列，将深入探讨基础设施即代码（IaC）中最常见的漏洞。后续博文将聚焦开发者可采取的具体措施，助您在所属机构逐步实现安全的基础设施即代码部署。
我们开始吧。
美国西部有则寓言：某人总担心强盗会闯入家中抢劫，为此他疯狂地安装了各种安防措施——加固大门、封堵窗户、备齐武器。然而某夜他睡得正酣时，强盗们竟从他忘记锁上的侧门潜入，将他洗劫一空。 强盗们发现安防系统根本没启动，便趁机大快朵颐。
在基础设施中禁用安全功能的情况与此极为相似。即使您的网络拥有坚实的安全架构，若某些组件被禁用，其防护作用也将大打折扣。
在我们深入探讨之前，请允许我提出一个挑战：
点击上方链接即可进入我们的游戏化培训平台，您现在可以尝试修复一个已禁用的安全功能中的漏洞。（注意：页面将在Kubernetes环境中打开，但您可通过下拉菜单选择Docker、CloudFormation、Terraform或Ansible进行操作）。
你进展如何？如果还有工作要做，请继续阅读：
安全功能可能因各种原因被禁用。某些应用程序和框架可能默认处于禁用状态，需要先启用才能开始运行。管理员也可能为便于执行特定任务而禁用某些安全功能，以避免持续遭遇挑战或阻碍（例如将AWS S3存储桶设为公开状态）。 完成工作后，他们可能忘记重新启用已禁用的功能。也可能出于未来工作便利性考虑，选择保持功能关闭状态。
为何禁用安全功能如此危险
禁用一项或多项安全功能存在诸多弊端。首先，这些安全功能被纳入基础设施资源中，旨在防范已知的漏洞、威胁或攻击手段。一旦禁用，它们将无法继续保护您的资源。
攻击者总是会优先寻找那些容易被利用的漏洞，甚至可能使用脚本扫描最常见的弱点。这就像小偷沿街检查每辆车是否车门未锁——比起砸碎车窗，这种方式要容易得多。 黑客发现常见安全防护措施处于非活动状态时会大感意外。但一旦发现漏洞，他们很快就会加以利用。
其次，拥有良好的安全防护后却将其禁用，会产生虚假的安全感。管理员可能以为自己已免受常见威胁的侵害，却不知有人已禁用了这些防御措施。
作为攻击者如何利用禁用安全功能的示例，请考虑AWS S3的安全功能——阻止公共访问。通过启用Amazon S3的公共访问阻止功能，账户管理员和存储桶所有者可轻松配置集中控制，限制对Amazon S3资源的公共访问权限。 然而，部分管理员在遇到S3存储桶访问问题时，为尽快完成任务而选择将其设为公开状态。若忘记重新启用该安全功能，攻击者将获得该S3存储桶内信息的完全访问权限，这不仅会导致信息泄露，还将因数据传输费用产生额外成本。
让我们比较一些真实世界的代码；请参阅以下 CloudFormation 片段：
脆弱的。
企业级存储桶：
类型：AWS: :S3: :Bucket
属性：
公共访问控制策略配置：
blockPublicACLS: false
BlockPublicPolicy: false
ignorePublicacls: false
restrictPublicBuckets: false
版本控制配置：
状态：已启用
存储桶加密：
服务器端加密配置：
- 默认服务器端加密：
SSE算法："AES256"
Seguro：
企业级存储桶：
类型：AWS：S3：存储桶
属性：
公共访问控制块配置：
BlockPublicACLS: true
BlockPublicPolicy: true
ignorePublicacls: true
RestrictPublicBuckets: true
版本控制配置:
状态: 已启用
存储桶加密:
服务器端加密配置:
- 默认服务器端加密:
SSE算法: "AES256"
防止安全功能被禁用
防止禁用安全功能对组织造成负面影响，既是政策问题，也是实践问题。 必须制定明确政策，规定安全功能仅可在极其特定的条件下禁用。当为解决问题或更新应用程序而需临时禁用功能时，相关操作必须记录在案。完成必要工作后，应核查功能是否已完全恢复启用。
若为加快操作流程需永久禁用某项安全功能，则必须为受影响数据提供其他保护措施，以确保在默认防护缺失时黑客无法访问数据。一旦必要防护功能被停用，攻击者发现漏洞并趁机而入只是时间问题。
了解更多，挑战自我：
浏览一下 Secure Code Warrior 博客页面，了解更多关于此漏洞的信息，以及如何保护您的组织和客户免受其他安全缺陷和漏洞的侵害。
您是否已准备好在阅读完这篇博文后立即查找并修复该漏洞？现在正是行动的最佳时机！Secure Code Warrior 体验专为iMac设计的游戏化安全 Secure Code Warrior 您的网络安全技能始终保持精进与更新。
这是一档每周更新的系列节目，将深入探讨我们基础设施即代码的八大核心漏洞。敬请下周继续关注，获取更多精彩内容！
点击下方链接，下载此资源的PDF文件。
Secure Code Warrior 您的组织在软件开发全生命周期中保护代码安全，并营造将网络安全置于首位的企业文化。无论您是应用安全管理员、开发人员、首席信息安全官，还是任何与安全相关的工作人员，我们都能助力您的组织降低不安全代码带来的风险。
查看报告预约演示
Matias Madou, Ph.D.是一位安全专家、研究员和CTO，也是Secure Code Warrior 的联合创始人。Matias在根特大学获得了应用安全的博士学位，主要研究静态分析解决方案。后来他加入了美国的Fortify公司，在那里他意识到，仅仅检测代码问题而不帮助开发人员编写安全代码是不够的。这激发了他开发产品的热情，帮助开发人员，减轻安全的负担，并超越客户的期望。当他不在办公桌前作为Awesome团队的一员时，他喜欢站在舞台上，在包括RSA会议、BlackHat和DefCon等会议上发表演讲。
马蒂亚斯是一名研究员和开发人员，拥有超过15年的软件安全实践经验。他曾为Fortify Software和他自己的公司Sensei Security等公司开发解决方案。在他的职业生涯中，马蒂亚斯领导了多个应用安全研究项目，并将其转化为商业产品，他拥有超过10项专利。当他离开办公桌时，Matias曾担任高级应用安全培训courses ，并定期在全球会议上发言，包括RSA会议、黑帽、DefCon、BSIMM、OWASP AppSec和BruCon。
马蒂亚斯拥有根特大学的计算机工程博士学位，在那里他研究了通过程序混淆来隐藏应用程序的内部工作的应用安全。
当今网络安全威胁无处不在且层出不穷。随着生活更多维度走向数字化，网络犯罪分子的风险也随之攀升：需要保护的代码量庞大，而私人数据价值连城。况且，在程序部署后试图跟上节奏并防御所有攻击面，几乎已成不可能之举。
存在一些方法可以缓解部分症状，其中最显著的当属精明的组织采用基础设施即代码（IaC）理念。当然，如同任何开发工作，此过程中存在若干安全障碍需要克服。鉴于开发人员正在编写生成关键基础设施的代码——这些基础设施用于托管应用程序——因此在每个开发阶段保持安全意识都至关重要。
那么，初入云服务器环境的新手开发者究竟该如何提升技能、掌握核心要领，并以更强的安全意识投入构建工作？为此我们推出了《开发者攻克安全》系列，将深入探讨基础设施即代码（IaC）中最常见的漏洞。后续博文将聚焦开发者可采取的具体措施，助您在所属机构逐步实现安全的基础设施即代码部署。
我们开始吧。
美国西部有则寓言：某人总担心强盗会闯入家中抢劫，为此他疯狂地安装了各种安防措施——加固大门、封堵窗户、备齐武器。然而某夜他睡得正酣时，强盗们竟从他忘记锁上的侧门潜入，将他洗劫一空。 强盗们发现安防系统根本没启动，便趁机大快朵颐。
在基础设施中禁用安全功能的情况与此极为相似。即使您的网络拥有坚实的安全架构，若某些组件被禁用，其防护作用也将大打折扣。
在我们深入探讨之前，请允许我提出一个挑战：
点击上方链接即可进入我们的游戏化培训平台，您现在可以尝试修复一个已禁用的安全功能中的漏洞。（注意：页面将在Kubernetes环境中打开，但您可通过下拉菜单选择Docker、CloudFormation、Terraform或Ansible进行操作）。
你进展如何？如果还有工作要做，请继续阅读：
安全功能可能因各种原因被禁用。某些应用程序和框架可能默认处于禁用状态，需要先启用才能开始运行。管理员也可能为便于执行特定任务而禁用某些安全功能，以避免持续遭遇挑战或阻碍（例如将AWS S3存储桶设为公开状态）。 完成工作后，他们可能忘记重新启用已禁用的功能。也可能出于未来工作便利性考虑，选择保持功能关闭状态。
为何禁用安全功能如此危险
禁用一项或多项安全功能存在诸多弊端。首先，这些安全功能被纳入基础设施资源中，旨在防范已知的漏洞、威胁或攻击手段。一旦禁用，它们将无法继续保护您的资源。
攻击者总是会优先寻找那些容易被利用的漏洞，甚至可能使用脚本扫描最常见的弱点。这就像小偷沿街检查每辆车是否车门未锁——比起砸碎车窗，这种方式要容易得多。 黑客发现常见安全防护措施处于非活动状态时会大感意外。但一旦发现漏洞，他们很快就会加以利用。
其次，拥有良好的安全防护后却将其禁用，会产生虚假的安全感。管理员可能以为自己已免受常见威胁的侵害，却不知有人已禁用了这些防御措施。
作为攻击者如何利用禁用安全功能的示例，请考虑AWS S3的安全功能——阻止公共访问。通过启用Amazon S3的公共访问阻止功能，账户管理员和存储桶所有者可轻松配置集中控制，限制对Amazon S3资源的公共访问权限。 然而，部分管理员在遇到S3存储桶访问问题时，为尽快完成任务而选择将其设为公开状态。若忘记重新启用该安全功能，攻击者将获得该S3存储桶内信息的完全访问权限，这不仅会导致信息泄露，还将因数据传输费用产生额外成本。
让我们比较一些真实世界的代码；请参阅以下 CloudFormation 片段：
脆弱的。
企业级存储桶：
类型：AWS: :S3: :Bucket
属性：
公共访问控制策略配置：
blockPublicACLS: false
BlockPublicPolicy: false
ignorePublicacls: false
restrictPublicBuckets: false
版本控制配置：
状态：已启用
存储桶加密：
服务器端加密配置：
- 默认服务器端加密：
SSE算法："AES256"
Seguro：
企业级存储桶：
类型：AWS：S3：存储桶
属性：
公共访问控制块配置：
BlockPublicACLS: true
BlockPublicPolicy: true
ignorePublicacls: true
RestrictPublicBuckets: true
版本控制配置:
状态: 已启用
存储桶加密:
服务器端加密配置:
- 默认服务器端加密:
SSE算法: "AES256"
防止安全功能被禁用
防止禁用安全功能对组织造成负面影响，既是政策问题，也是实践问题。 必须制定明确政策，规定安全功能仅可在极其特定的条件下禁用。当为解决问题或更新应用程序而需临时禁用功能时，相关操作必须记录在案。完成必要工作后，应核查功能是否已完全恢复启用。
若为加快操作流程需永久禁用某项安全功能，则必须为受影响数据提供其他保护措施，以确保在默认防护缺失时黑客无法访问数据。一旦必要防护功能被停用，攻击者发现漏洞并趁机而入只是时间问题。
了解更多，挑战自我：
浏览一下 Secure Code Warrior 博客页面，了解更多关于此漏洞的信息，以及如何保护您的组织和客户免受其他安全缺陷和漏洞的侵害。
您是否已准备好在阅读完这篇博文后立即查找并修复该漏洞？现在正是行动的最佳时机！Secure Code Warrior 体验专为iMac设计的游戏化安全 Secure Code Warrior 您的网络安全技能始终保持精进与更新。
这是一档每周更新的系列节目，将深入探讨我们基础设施即代码的八大核心漏洞。敬请下周继续关注，获取更多精彩内容！
目录
Matias Madou, Ph.D.是一位安全专家、研究员和CTO，也是Secure Code Warrior 的联合创始人。Matias在根特大学获得了应用安全的博士学位，主要研究静态分析解决方案。后来他加入了美国的Fortify公司，在那里他意识到，仅仅检测代码问题而不帮助开发人员编写安全代码是不够的。这激发了他开发产品的热情，帮助开发人员，减轻安全的负担，并超越客户的期望。当他不在办公桌前作为Awesome团队的一员时，他喜欢站在舞台上，在包括RSA会议、BlackHat和DefCon等会议上发表演讲。
Secure Code Warrior 您的组织在软件开发全生命周期中保护代码安全，并营造将网络安全置于首位的企业文化。无论您是应用安全管理员、开发人员、首席信息安全官，还是任何与安全相关的工作人员，我们都能助力您的组织降低不安全代码带来的风险。
预约演示下载入门资源
Trust Agent:AI - Secure and scale AI-Drive development
AI is writing code. Who’s governing it? With up to 50% of AI-generated code containing security weaknesses, managing AI risk is critical. Discover how SCW's Trust Agent: AI provides the real-time visibility, proactive governance, and targeted upskilling needed to scale AI-driven development securely.
OpenText 应用程序安全性的强大功能 + Secure Code Warrior
OpenText Application Security and Secure Code Warrior combine vulnerability detection with AI Software Governance and developer capability. Together, they help organizations reduce risk, strengthen secure coding practices, and confidently adopt AI-driven development.
Secure Code Warrior corporate overview
Secure Code Warrior is an AI Software Governance platform designed to enable organizations to safely adopt AI-driven development by bridging the gap between development velocity and enterprise security. The platform addresses the "Visibility Gap," where security teams often lack insights into shadow AI coding tools and the origins of production code.
