编码者攻破安全基础设施，将其转化为代码集：安全功能被禁用
如今，网络安全威胁无处不在且持续不断。随着我们生活中越来越多的方面实现数字化，网络犯罪分子的目标也变得越来越诱人：需要保护的代码太多，而私人数据的价值又太高。因此，在程序部署后试图追踪并防御所有攻击面的各个方面，几乎已成为不可能完成的任务。
某些方法可缓解部分症状，其中最显著的当属明智的组织采用基础设施即代码（IaC）理念。当然，如同所有开发工作，此过程中存在安全陷阱需要克服。 由于开发人员编写的代码会生成支撑应用程序运行的关键基础设施，因此在整个开发流程的每个阶段都必须保持高度的安全意识。
那么，初入云服务器环境的开发者该如何提升技能、掌握行业诀窍，并以更强的安全意识来应对版本更新？为此我们推出了全新系列《开发者攻克安全》，旨在应对基础设施即代码（IaC）中的常见漏洞。后续博客将聚焦开发者可采取的具体措施，帮助您在所属机构中逐步实现安全基础设施即代码的部署。
走吧。
美国西部流传着一个寓言故事：有个男人因担心强盗袭击并洗劫他的财产而变得疑神疑鬼。 为防患于未然，他投入大量资金加强安保措施：安装了坚固的入户门，封死所有窗户，并在触手可及之处放置多件武器。然而某夜他熟睡时，盗贼竟从他忘记上锁的侧门潜入。歹徒发现安防漏洞后，迅速趁虚而入。
禁用基础设施的安全功能，情况大致如此。即使您的网络拥有强大的安全架构，若某些组件被禁用，其防护作用便荡然无存。
在进入正题之前，请允许我向您提出一个挑战：
点击上方链接，您将被引导至我们的游戏化培训平台，现在即可尝试修复一个已禁用的安全漏洞。（注意：链接将在Kubernetes环境中打开，但您可通过下拉菜单选择Docker、CloudFormation、Terraform或Ansible进行操作）。
你搞定了吗？如果还有工作要做，请继续阅读：
安全功能可能因各种原因被禁用。某些应用程序和框架默认会禁用这些功能，需要先启用才能开始运行。管理员也可能禁用特定安全功能，以便更轻松地执行某些任务，避免频繁受到限制或阻碍（例如将AWS S3存储桶设为公开访问）。 完成工作后，他们可能忘记重新启用已禁用的功能。他们也可能选择保持禁用状态，以便未来工作更便捷。
为何禁用的安全功能如此危险
禁用一项或多项安全功能存在诸多弊端。首先，这些安全功能被集成到基础设施资源中，正是为了防范已知的漏洞、威胁或攻击手段。一旦禁用，它们将无法继续保护您的资源。
攻击者总是会优先寻找易于利用的漏洞，甚至可能使用脚本批量修复常见弱点。 这就像小偷沿街检查每辆车是否车门未锁——比起砸碎车窗，这显然容易得多。黑客们或许会惊讶地发现某些常规安全防护竟处于失效状态，但一旦发现漏洞，他们很快就能加以利用。
其次，先设置完善的安全措施再将其禁用，会形成一种虚假的安全感。若管理员不知晓有人已禁用这些防御机制，他们可能会误以为系统已免受常见威胁的侵害。
作为攻击者如何利用已禁用安全功能的示例，请考虑AWS S3的安全功能——阻止公共访问。通过禁用Amazon S3的公共访问权限，账户管理员和存储桶所有者可轻松配置集中式控制，限制对Amazon S3资源的公共访问。 然而，部分管理员在访问S3存储桶时遇到问题时，会为尽快完成任务而将其设为公开状态。若忘记重新启用该安全功能，攻击者将获得对该存储桶内信息的完全访问权限，不仅导致信息泄露，更将因数据传输费用产生额外成本。
比较实际代码；请看这些CloudFormation片段：
脆弱的：
企业账户：
类型：AWS : :S3 : :存储桶
属性：
公共访问块配置：
BlockPublicACLS：false
BlockPublicPolicy：false
IgnorepublicACLS：false
RestrictPublicBuckets：false
版本控制配置：
状态：已启用
存储桶加密：
服务器端加密配置：
- 默认服务器端加密：
SSE算法："AES256"
安全：
企业桶：
类型：AWS : :S3 : :Bucket
属性：
公共访问块配置：
BlockPublicACLS：true
BlockPublicPolicy：true
Ignorepublicacls：true
RestrictPublicBuckets：true
版本控制配置：
状态：启用
存储桶加密：
服务器端加密配置：
- 默认服务器端加密：
SSE算法："AES256"
防止安全功能被禁用
防止已禁用的安全功能损害组织利益，既是政策问题也是实践问题。应制定明确政策，规定安全功能仅可在特定情况下禁用。因解决问题或更新应用程序而需临时禁用功能的事件必须记录在案。 完成必要操作后，必须核查相关功能是否已完全重新启用。
若为简化操作流程而需永久禁用某项安全功能，则必须为相关数据提供其他防护措施，以防止在默认保护缺失时遭黑客入侵。一旦所需防护功能被禁用，攻击者发现这扇敞开的门并加以利用只是时间问题。
了解更多，挑战自我：
查阅 Secure Code Warrior 博客页面，了解有关此漏洞的更多信息，以及如何保护您的组织和客户免受其他安全漏洞和缺陷造成的破坏。
您是否已准备好在阅读本文后立即发现并修复该漏洞？现在正是 Secure Code Warrior 尝试IaC安全游戏化 Secure Code Warrior 全面提升并更新您的网络安全技能。
本系列每周更新，将全面解析我们与基础设施即代码相关的八大核心漏洞；敬请下周继续关注！
Matias Madou, Ph.D. est expert en sécurité, chercheur, directeur technique et cofondateur de Secure Code Warrior. Matias a obtenu son doctorat en sécurité des applications à l'université de Gand, en se concentrant sur les solutions d'analyse statique. Il a ensuite rejoint Fortify aux États-Unis, où il s'est rendu compte qu'il ne suffisait pas de détecter uniquement les problèmes de code sans aider les développeurs à écrire du code sécurisé. Cela l'a incité à développer des produits qui aident les développeurs, allègent le fardeau de la sécurité et dépassent les attentes des clients. Lorsqu'il n'est pas à son bureau au sein de Team Awesome, il aime être sur scène pour faire des présentations lors de conférences telles que RSA Conference, BlackHat et DefCon.
Secure Code Warrior 在整个软件开发周期中保障代码安全，并营造将网络安全置于首位的企业文化。无论您是应用安全负责人、开发人员、信息安全主管，还是其他任何参与安全工作的人员，我们都能协助您的组织降低不安全代码带来的风险。
预约演示
Matias Madou, Ph.D. est expert en sécurité, chercheur, directeur technique et cofondateur de Secure Code Warrior. Matias a obtenu son doctorat en sécurité des applications à l'université de Gand, en se concentrant sur les solutions d'analyse statique. Il a ensuite rejoint Fortify aux États-Unis, où il s'est rendu compte qu'il ne suffisait pas de détecter uniquement les problèmes de code sans aider les développeurs à écrire du code sécurisé. Cela l'a incité à développer des produits qui aident les développeurs, allègent le fardeau de la sécurité et dépassent les attentes des clients. Lorsqu'il n'est pas à son bureau au sein de Team Awesome, il aime être sur scène pour faire des présentations lors de conférences telles que RSA Conference, BlackHat et DefCon.
Matias est un chercheur et développeur qui possède plus de 15 ans d'expérience pratique en matière de sécurité logicielle. Il a développé des solutions pour des entreprises telles que Fortify Software et sa propre société Sensei Security. Au cours de sa carrière, Matias a dirigé de nombreux projets de recherche sur la sécurité des applications qui ont abouti à des produits commerciaux et possède plus de 10 brevets à son actif. Lorsqu'il n'est pas à son bureau, Matias a enseigné des cours de formation avancée sur la sécurité des applications et prend régulièrement la parole lors de conférences mondiales telles que RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec et BruCon.
Matias est titulaire d'un doctorat en génie informatique de l'université de Gand, où il a étudié la sécurité des applications par le biais de l'obfuscation de programmes pour masquer le fonctionnement interne d'une application.
如今，网络安全威胁无处不在且持续不断。随着我们生活中越来越多的方面实现数字化，网络犯罪分子的目标也变得越来越诱人：需要保护的代码太多，而私人数据的价值又太高。因此，在程序部署后试图追踪并防御所有攻击面的各个方面，几乎已成为不可能完成的任务。
某些方法可缓解部分症状，其中最显著的当属明智的组织采用基础设施即代码（IaC）理念。当然，如同所有开发工作，此过程中存在安全陷阱需要克服。 由于开发人员编写的代码会生成支撑应用程序运行的关键基础设施，因此在整个开发流程的每个阶段都必须保持高度的安全意识。
那么，初入云服务器环境的开发者该如何提升技能、掌握行业诀窍，并以更强的安全意识来应对版本更新？为此我们推出了全新系列《开发者攻克安全》，旨在应对基础设施即代码（IaC）中的常见漏洞。后续博客将聚焦开发者可采取的具体措施，帮助您在所属机构中逐步实现安全基础设施即代码的部署。
走吧。
美国西部流传着一个寓言故事：有个男人因担心强盗袭击并洗劫他的财产而变得疑神疑鬼。 为防患于未然，他投入大量资金加强安保措施：安装了坚固的入户门，封死所有窗户，并在触手可及之处放置多件武器。然而某夜他熟睡时，盗贼竟从他忘记上锁的侧门潜入。歹徒发现安防漏洞后，迅速趁虚而入。
禁用基础设施的安全功能，情况大致如此。即使您的网络拥有强大的安全架构，若某些组件被禁用，其防护作用便荡然无存。
在进入正题之前，请允许我向您提出一个挑战：
点击上方链接，您将被引导至我们的游戏化培训平台，现在即可尝试修复一个已禁用的安全漏洞。（注意：链接将在Kubernetes环境中打开，但您可通过下拉菜单选择Docker、CloudFormation、Terraform或Ansible进行操作）。
你搞定了吗？如果还有工作要做，请继续阅读：
安全功能可能因各种原因被禁用。某些应用程序和框架默认会禁用这些功能，需要先启用才能开始运行。管理员也可能禁用特定安全功能，以便更轻松地执行某些任务，避免频繁受到限制或阻碍（例如将AWS S3存储桶设为公开访问）。 完成工作后，他们可能忘记重新启用已禁用的功能。他们也可能选择保持禁用状态，以便未来工作更便捷。
为何禁用的安全功能如此危险
禁用一项或多项安全功能存在诸多弊端。首先，这些安全功能被集成到基础设施资源中，正是为了防范已知的漏洞、威胁或攻击手段。一旦禁用，它们将无法继续保护您的资源。
攻击者总是会优先寻找易于利用的漏洞，甚至可能使用脚本批量修复常见弱点。 这就像小偷沿街检查每辆车是否车门未锁——比起砸碎车窗，这显然容易得多。黑客们或许会惊讶地发现某些常规安全防护竟处于失效状态，但一旦发现漏洞，他们很快就能加以利用。
其次，先设置完善的安全措施再将其禁用，会形成一种虚假的安全感。若管理员不知晓有人已禁用这些防御机制，他们可能会误以为系统已免受常见威胁的侵害。
作为攻击者如何利用已禁用安全功能的示例，请考虑AWS S3的安全功能——阻止公共访问。通过禁用Amazon S3的公共访问权限，账户管理员和存储桶所有者可轻松配置集中式控制，限制对Amazon S3资源的公共访问。 然而，部分管理员在访问S3存储桶时遇到问题时，会为尽快完成任务而将其设为公开状态。若忘记重新启用该安全功能，攻击者将获得对该存储桶内信息的完全访问权限，不仅导致信息泄露，更将因数据传输费用产生额外成本。
比较实际代码；请看这些CloudFormation片段：
脆弱的：
企业账户：
类型：AWS : :S3 : :存储桶
属性：
公共访问块配置：
BlockPublicACLS：false
BlockPublicPolicy：false
IgnorepublicACLS：false
RestrictPublicBuckets：false
版本控制配置：
状态：已启用
存储桶加密：
服务器端加密配置：
- 默认服务器端加密：
SSE算法："AES256"
安全：
企业桶：
类型：AWS : :S3 : :Bucket
属性：
公共访问块配置：
BlockPublicACLS：true
BlockPublicPolicy：true
Ignorepublicacls：true
RestrictPublicBuckets：true
版本控制配置：
状态：启用
存储桶加密：
服务器端加密配置：
- 默认服务器端加密：
SSE算法："AES256"
防止安全功能被禁用
防止已禁用的安全功能损害组织利益，既是政策问题也是实践问题。应制定明确政策，规定安全功能仅可在特定情况下禁用。因解决问题或更新应用程序而需临时禁用功能的事件必须记录在案。 完成必要操作后，必须核查相关功能是否已完全重新启用。
若为简化操作流程而需永久禁用某项安全功能，则必须为相关数据提供其他防护措施，以防止在默认保护缺失时遭黑客入侵。一旦所需防护功能被禁用，攻击者发现这扇敞开的门并加以利用只是时间问题。
了解更多，挑战自我：
查阅 Secure Code Warrior 博客页面，了解有关此漏洞的更多信息，以及如何保护您的组织和客户免受其他安全漏洞和缺陷造成的破坏。
您是否已准备好在阅读本文后立即发现并修复该漏洞？现在正是 Secure Code Warrior 尝试IaC安全游戏化 Secure Code Warrior 全面提升并更新您的网络安全技能。
本系列每周更新，将全面解析我们与基础设施即代码相关的八大核心漏洞；敬请下周继续关注！
如今，网络安全威胁无处不在且持续不断。随着我们生活中越来越多的方面实现数字化，网络犯罪分子的目标也变得越来越诱人：需要保护的代码太多，而私人数据的价值又太高。因此，在程序部署后试图追踪并防御所有攻击面的各个方面，几乎已成为不可能完成的任务。
某些方法可缓解部分症状，其中最显著的当属明智的组织采用基础设施即代码（IaC）理念。当然，如同所有开发工作，此过程中存在安全陷阱需要克服。 由于开发人员编写的代码会生成支撑应用程序运行的关键基础设施，因此在整个开发流程的每个阶段都必须保持高度的安全意识。
那么，初入云服务器环境的开发者该如何提升技能、掌握行业诀窍，并以更强的安全意识来应对版本更新？为此我们推出了全新系列《开发者攻克安全》，旨在应对基础设施即代码（IaC）中的常见漏洞。后续博客将聚焦开发者可采取的具体措施，帮助您在所属机构中逐步实现安全基础设施即代码的部署。
走吧。
美国西部流传着一个寓言故事：有个男人因担心强盗袭击并洗劫他的财产而变得疑神疑鬼。 为防患于未然，他投入大量资金加强安保措施：安装了坚固的入户门，封死所有窗户，并在触手可及之处放置多件武器。然而某夜他熟睡时，盗贼竟从他忘记上锁的侧门潜入。歹徒发现安防漏洞后，迅速趁虚而入。
禁用基础设施的安全功能，情况大致如此。即使您的网络拥有强大的安全架构，若某些组件被禁用，其防护作用便荡然无存。
在进入正题之前，请允许我向您提出一个挑战：
点击上方链接，您将被引导至我们的游戏化培训平台，现在即可尝试修复一个已禁用的安全漏洞。（注意：链接将在Kubernetes环境中打开，但您可通过下拉菜单选择Docker、CloudFormation、Terraform或Ansible进行操作）。
你搞定了吗？如果还有工作要做，请继续阅读：
安全功能可能因各种原因被禁用。某些应用程序和框架默认会禁用这些功能，需要先启用才能开始运行。管理员也可能禁用特定安全功能，以便更轻松地执行某些任务，避免频繁受到限制或阻碍（例如将AWS S3存储桶设为公开访问）。 完成工作后，他们可能忘记重新启用已禁用的功能。他们也可能选择保持禁用状态，以便未来工作更便捷。
为何禁用的安全功能如此危险
禁用一项或多项安全功能存在诸多弊端。首先，这些安全功能被集成到基础设施资源中，正是为了防范已知的漏洞、威胁或攻击手段。一旦禁用，它们将无法继续保护您的资源。
攻击者总是会优先寻找易于利用的漏洞，甚至可能使用脚本批量修复常见弱点。 这就像小偷沿街检查每辆车是否车门未锁——比起砸碎车窗，这显然容易得多。黑客们或许会惊讶地发现某些常规安全防护竟处于失效状态，但一旦发现漏洞，他们很快就能加以利用。
其次，先设置完善的安全措施再将其禁用，会形成一种虚假的安全感。若管理员不知晓有人已禁用这些防御机制，他们可能会误以为系统已免受常见威胁的侵害。
作为攻击者如何利用已禁用安全功能的示例，请考虑AWS S3的安全功能——阻止公共访问。通过禁用Amazon S3的公共访问权限，账户管理员和存储桶所有者可轻松配置集中式控制，限制对Amazon S3资源的公共访问。 然而，部分管理员在访问S3存储桶时遇到问题时，会为尽快完成任务而将其设为公开状态。若忘记重新启用该安全功能，攻击者将获得对该存储桶内信息的完全访问权限，不仅导致信息泄露，更将因数据传输费用产生额外成本。
比较实际代码；请看这些CloudFormation片段：
脆弱的：
企业账户：
类型：AWS : :S3 : :存储桶
属性：
公共访问块配置：
BlockPublicACLS：false
BlockPublicPolicy：false
IgnorepublicACLS：false
RestrictPublicBuckets：false
版本控制配置：
状态：已启用
存储桶加密：
服务器端加密配置：
- 默认服务器端加密：
SSE算法："AES256"
安全：
企业桶：
类型：AWS : :S3 : :Bucket
属性：
公共访问块配置：
BlockPublicACLS：true
BlockPublicPolicy：true
Ignorepublicacls：true
RestrictPublicBuckets：true
版本控制配置：
状态：启用
存储桶加密：
服务器端加密配置：
- 默认服务器端加密：
SSE算法："AES256"
防止安全功能被禁用
防止已禁用的安全功能损害组织利益，既是政策问题也是实践问题。应制定明确政策，规定安全功能仅可在特定情况下禁用。因解决问题或更新应用程序而需临时禁用功能的事件必须记录在案。 完成必要操作后，必须核查相关功能是否已完全重新启用。
若为简化操作流程而需永久禁用某项安全功能，则必须为相关数据提供其他防护措施，以防止在默认保护缺失时遭黑客入侵。一旦所需防护功能被禁用，攻击者发现这扇敞开的门并加以利用只是时间问题。
了解更多，挑战自我：
查阅 Secure Code Warrior 博客页面，了解有关此漏洞的更多信息，以及如何保护您的组织和客户免受其他安全漏洞和缺陷造成的破坏。
您是否已准备好在阅读本文后立即发现并修复该漏洞？现在正是 Secure Code Warrior 尝试IaC安全游戏化 Secure Code Warrior 全面提升并更新您的网络安全技能。
本系列每周更新，将全面解析我们与基础设施即代码相关的八大核心漏洞；敬请下周继续关注！
点击下方链接，下载此资源的PDF文件。
Secure Code Warrior 在整个软件开发周期中保障代码安全，并营造将网络安全置于首位的企业文化。无论您是应用安全负责人、开发人员、信息安全主管，还是其他任何参与安全工作的人员，我们都能协助您的组织降低不安全代码带来的风险。
显示报告预约演示
Matias Madou, Ph.D. est expert en sécurité, chercheur, directeur technique et cofondateur de Secure Code Warrior. Matias a obtenu son doctorat en sécurité des applications à l'université de Gand, en se concentrant sur les solutions d'analyse statique. Il a ensuite rejoint Fortify aux États-Unis, où il s'est rendu compte qu'il ne suffisait pas de détecter uniquement les problèmes de code sans aider les développeurs à écrire du code sécurisé. Cela l'a incité à développer des produits qui aident les développeurs, allègent le fardeau de la sécurité et dépassent les attentes des clients. Lorsqu'il n'est pas à son bureau au sein de Team Awesome, il aime être sur scène pour faire des présentations lors de conférences telles que RSA Conference, BlackHat et DefCon.
Matias est un chercheur et développeur qui possède plus de 15 ans d'expérience pratique en matière de sécurité logicielle. Il a développé des solutions pour des entreprises telles que Fortify Software et sa propre société Sensei Security. Au cours de sa carrière, Matias a dirigé de nombreux projets de recherche sur la sécurité des applications qui ont abouti à des produits commerciaux et possède plus de 10 brevets à son actif. Lorsqu'il n'est pas à son bureau, Matias a enseigné des cours de formation avancée sur la sécurité des applications et prend régulièrement la parole lors de conférences mondiales telles que RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec et BruCon.
Matias est titulaire d'un doctorat en génie informatique de l'université de Gand, où il a étudié la sécurité des applications par le biais de l'obfuscation de programmes pour masquer le fonctionnement interne d'une application.
如今，网络安全威胁无处不在且持续不断。随着我们生活中越来越多的方面实现数字化，网络犯罪分子的目标也变得越来越诱人：需要保护的代码太多，而私人数据的价值又太高。因此，在程序部署后试图追踪并防御所有攻击面的各个方面，几乎已成为不可能完成的任务。
某些方法可缓解部分症状，其中最显著的当属明智的组织采用基础设施即代码（IaC）理念。当然，如同所有开发工作，此过程中存在安全陷阱需要克服。 由于开发人员编写的代码会生成支撑应用程序运行的关键基础设施，因此在整个开发流程的每个阶段都必须保持高度的安全意识。
那么，初入云服务器环境的开发者该如何提升技能、掌握行业诀窍，并以更强的安全意识来应对版本更新？为此我们推出了全新系列《开发者攻克安全》，旨在应对基础设施即代码（IaC）中的常见漏洞。后续博客将聚焦开发者可采取的具体措施，帮助您在所属机构中逐步实现安全基础设施即代码的部署。
走吧。
美国西部流传着一个寓言故事：有个男人因担心强盗袭击并洗劫他的财产而变得疑神疑鬼。 为防患于未然，他投入大量资金加强安保措施：安装了坚固的入户门，封死所有窗户，并在触手可及之处放置多件武器。然而某夜他熟睡时，盗贼竟从他忘记上锁的侧门潜入。歹徒发现安防漏洞后，迅速趁虚而入。
禁用基础设施的安全功能，情况大致如此。即使您的网络拥有强大的安全架构，若某些组件被禁用，其防护作用便荡然无存。
在进入正题之前，请允许我向您提出一个挑战：
点击上方链接，您将被引导至我们的游戏化培训平台，现在即可尝试修复一个已禁用的安全漏洞。（注意：链接将在Kubernetes环境中打开，但您可通过下拉菜单选择Docker、CloudFormation、Terraform或Ansible进行操作）。
你搞定了吗？如果还有工作要做，请继续阅读：
安全功能可能因各种原因被禁用。某些应用程序和框架默认会禁用这些功能，需要先启用才能开始运行。管理员也可能禁用特定安全功能，以便更轻松地执行某些任务，避免频繁受到限制或阻碍（例如将AWS S3存储桶设为公开访问）。 完成工作后，他们可能忘记重新启用已禁用的功能。他们也可能选择保持禁用状态，以便未来工作更便捷。
为何禁用的安全功能如此危险
禁用一项或多项安全功能存在诸多弊端。首先，这些安全功能被集成到基础设施资源中，正是为了防范已知的漏洞、威胁或攻击手段。一旦禁用，它们将无法继续保护您的资源。
攻击者总是会优先寻找易于利用的漏洞，甚至可能使用脚本批量修复常见弱点。 这就像小偷沿街检查每辆车是否车门未锁——比起砸碎车窗，这显然容易得多。黑客们或许会惊讶地发现某些常规安全防护竟处于失效状态，但一旦发现漏洞，他们很快就能加以利用。
其次，先设置完善的安全措施再将其禁用，会形成一种虚假的安全感。若管理员不知晓有人已禁用这些防御机制，他们可能会误以为系统已免受常见威胁的侵害。
作为攻击者如何利用已禁用安全功能的示例，请考虑AWS S3的安全功能——阻止公共访问。通过禁用Amazon S3的公共访问权限，账户管理员和存储桶所有者可轻松配置集中式控制，限制对Amazon S3资源的公共访问。 然而，部分管理员在访问S3存储桶时遇到问题时，会为尽快完成任务而将其设为公开状态。若忘记重新启用该安全功能，攻击者将获得对该存储桶内信息的完全访问权限，不仅导致信息泄露，更将因数据传输费用产生额外成本。
比较实际代码；请看这些CloudFormation片段：
脆弱的：
企业账户：
类型：AWS : :S3 : :存储桶
属性：
公共访问块配置：
BlockPublicACLS：false
BlockPublicPolicy：false
IgnorepublicACLS：false
RestrictPublicBuckets：false
版本控制配置：
状态：已启用
存储桶加密：
服务器端加密配置：
- 默认服务器端加密：
SSE算法："AES256"
安全：
企业桶：
类型：AWS : :S3 : :Bucket
属性：
公共访问块配置：
BlockPublicACLS：true
BlockPublicPolicy：true
Ignorepublicacls：true
RestrictPublicBuckets：true
版本控制配置：
状态：启用
存储桶加密：
服务器端加密配置：
- 默认服务器端加密：
SSE算法："AES256"
防止安全功能被禁用
防止已禁用的安全功能损害组织利益，既是政策问题也是实践问题。应制定明确政策，规定安全功能仅可在特定情况下禁用。因解决问题或更新应用程序而需临时禁用功能的事件必须记录在案。 完成必要操作后，必须核查相关功能是否已完全重新启用。
若为简化操作流程而需永久禁用某项安全功能，则必须为相关数据提供其他防护措施，以防止在默认保护缺失时遭黑客入侵。一旦所需防护功能被禁用，攻击者发现这扇敞开的门并加以利用只是时间问题。
了解更多，挑战自我：
查阅 Secure Code Warrior 博客页面，了解有关此漏洞的更多信息，以及如何保护您的组织和客户免受其他安全漏洞和缺陷造成的破坏。
您是否已准备好在阅读本文后立即发现并修复该漏洞？现在正是 Secure Code Warrior 尝试IaC安全游戏化 Secure Code Warrior 全面提升并更新您的网络安全技能。
本系列每周更新，将全面解析我们与基础设施即代码相关的八大核心漏洞；敬请下周继续关注！
目录
Matias Madou, Ph.D. est expert en sécurité, chercheur, directeur technique et cofondateur de Secure Code Warrior. Matias a obtenu son doctorat en sécurité des applications à l'université de Gand, en se concentrant sur les solutions d'analyse statique. Il a ensuite rejoint Fortify aux États-Unis, où il s'est rendu compte qu'il ne suffisait pas de détecter uniquement les problèmes de code sans aider les développeurs à écrire du code sécurisé. Cela l'a incité à développer des produits qui aident les développeurs, allègent le fardeau de la sécurité et dépassent les attentes des clients. Lorsqu'il n'est pas à son bureau au sein de Team Awesome, il aime être sur scène pour faire des présentations lors de conférences telles que RSA Conference, BlackHat et DefCon.
Secure Code Warrior 在整个软件开发周期中保障代码安全，并营造将网络安全置于首位的企业文化。无论您是应用安全负责人、开发人员、信息安全主管，还是其他任何参与安全工作的人员，我们都能协助您的组织降低不安全代码带来的风险。
预约演示下载帮助您入门的资源
Trust Agent:AI - Secure and scale AI-Drive development
AI is writing code. Who’s governing it? With up to 50% of AI-generated code containing security weaknesses, managing AI risk is critical. Discover how SCW's Trust Agent: AI provides the real-time visibility, proactive governance, and targeted upskilling needed to scale AI-driven development securely.
OpenText 应用程序安全性的强大功能 + Secure Code Warrior
OpenText Application Security and Secure Code Warrior combine vulnerability detection with AI Software Governance and developer capability. Together, they help organizations reduce risk, strengthen secure coding practices, and confidently adopt AI-driven development.
Secure Code Warrior corporate overview
Secure Code Warrior is an AI Software Governance platform designed to enable organizations to safely adopt AI-driven development by bridging the gap between development velocity and enterprise security. The platform addresses the "Visibility Gap," where security teams often lack insights into shadow AI coding tools and the origins of production code.
