功能
- 功能简介
- 更多系统
400-099-0376
400-099-0376
GitHub披露了上周的事件相关细节，黑客使用偷来的OAuth令牌，从私人仓库下载了数据。攻击者利用OAuth令牌窃取私人存储库数据。
GitHub首席安全官Mike Hanley说："我们并不认为攻击者是通过破坏GitHub或其系统来获取这些令牌的，因为这些令牌并不是由GitHub以其原始可用的格式进行存储的，"。
OAuth（开放授权）是一个开放标准的授权框架协议，主要用于互联网上基于令牌的授权功能。它使得最终用户的账户信息能够被第三方服务所使用，如Facebook和谷歌。
Oauth并不分享凭证，而是使用授权令牌来进行身份鉴定，并且作为一个中介来批准一个应用程序与另一个应用程序之间进行互动。
攻击者窃取或使用OAuth令牌进行攻击的安全事件并不少见。
微软在2021年12月就曝出了一个Oauth的漏洞，各个应用程序之间（Portfolios、O365 Secure Score和Microsoft Trust Service）容易出现认证漏洞，使攻击者可以接管Azure账户。为了使用该漏洞进行攻击，攻击者首先会在OAuth提供者的框架中注册他们的恶意应用程序，使其URL重定向到钓鱼网站。然后，攻击者会向他们的目标发送带有OAuth授权URL的钓鱼邮件。
GitHub分析说，攻击者使用了窃取的OAuth令牌对GitHub API进行认证，这些令牌是分发给Heroku和Travis CI账户的。它补充说，大多数受影响的人都是在他们的GitHub账户中授权了Heroku或Travis CI的OAuth应用。网络攻击是有选择性的，攻击者克隆了感兴趣的私人存储库。
Hanley说："这种行为模式表明，攻击者只是针对特定的组织，并且有选择性地下载私人存储库。GitHub认为这些攻击是有高度针对性的。”
GitHub表示，它正在向那些将Travis CI或Heroku OAuth应用集成到GitHub账户的客户发送最后通知。
4月12日，GitHub开始对被盗的令牌进行调查，当时GitHub安全部首次发现有人未经授权使用被窃取的AWS API密钥访问NPM（Node Package Management）生产基础设施。这些API密钥是攻击者使用被盗的OAuth令牌下载私有NPM存储库时获得的。
NPM是一个用于通过npm包注册表下载或发布节点包的工具。
发现攻击后，Travis CI、Heroku和GitHub撤销了OAuth令牌的访问权，并建议受影响的组织监测审计日志和用户账户安全日志，防止恶意攻击活动的发生。
【本文翻译自：https://threatpost.com/github-repos-stolen-oauth-tokens/179427/ 来源： 嘶吼网】
局域网监控软件可以监控外网吗？一文解析
如今，随着数字办公的日益普及，局域网监控软件已经成为企业网络管理不可或缺的一部分。然而，局域网监控软件能否监控外网一直困扰着许多企业网络工程师。本文将深入探讨这一问题，分析局域网监控软件在外网监控中能力与局限性。一、局域网监控软件的主要功能局域网监控软件是一种基于桌面管理软件和监控系统的综合监控工具。它通常具有以下基本...
安企神网络安全准入系统
安企神软件网络安全准入系统是一种高效、灵活、易于管理的网络密钥管理解决方案，旨在为公司网络环境提供全面的安全保障。通过身份认证、健康体检和安全设置评定，此系统保证只有授权的设备与用户才能浏览公司的内部网络资源，进而最大限度地降低安全隐患。一、网络安全准入系统主要功能1、用户身份认证安企神网络准入系统选用严格的身份认证机...
网络准入设备：守护企业数字资产的第一道防线
在数字时代，公司网络如同公司的神经系统，连接着每个业务单元，背负着数据的流动与价值的转换。但是，随着网络环境的日益繁杂，网络威协也非常大。怎样确保公司网络的安全平稳已成为每家企业必须面对的挑战。做为这条防线的门将，网络准入设备发挥了越来越重要的作用。一、什么叫网络准入设备？网络准入设备是一种专门给控制和管理网络设备访问...
企业数据防泄密软件有哪些？企业数据防泄密软件大盘点
在当今数字时代，公司数据的安全至关重要。为了保护公司的核心资产和客户资料免遭威胁，很多企业都在寻找高效的数据防泄密软件。今天我们就来盘点一下市场上广受好评的几款公司数据防泄密软件，帮助大家更好的了解和选择适合自己公司的防泄漏解决方案。一、安企神软件安企神软件集数据加密、密钥管理、行为审计等多种功能于一体，为用户提供全方...
揭秘数据加密系统的加密过程
在数字时代，数据安全已是企业和个人不可忽视一个重要难题。数据加密系统做为数据安全重要防御，在加密过程中非常重要。本文将详尽揭露数据加密的全面加密过程，以帮助您更好的了解这一关键要素。一、数据加密系统的前提数据加密系统通常包括三个核心部分：加密算法、密钥管理与信息加密破译过程。加密算法是数据加密的关键，它决定了如何把明文...
