程序员以代码的形式化服装安全基础架构系列：安全配置错误权限不正确
如今，网络安全威胁无处不在，持续不断。情况变得如此糟糕，以至于在部署程序后试图跟上他们的步伐几乎是不可能的。取而代之的是，精明的组织正在接受基础设施即代码的概念，在这种概念中，开发人员在仍在创建安全的应用程序的同时为制作应用程序做出贡献。本系列旨在让您做好安全准备，这样您就可以了解作为开发人员可以采取的步骤，开始在自己的组织中以代码形式部署安全基础架构。
安全配置错误，尤其是权限不当的配置错误，通常发生在开发人员为完成任务而创建新用户或授予应用程序权限时。例如，可以这样做来从数据库收集信息。但是，如果将新用户的权限设置得过高，或者没有为手头的任务进行默认配置，则可能会在代码中引入严重漏洞。
在我们开始之前，为什么不现在就测试一下你的技能呢？尝试找到并修复一些不当权限漏洞：
你做得怎么样？让我们更深入地挖掘一下：
授予用户或应用程序完全权限，或者干脆不费心去定义新用户应该能够完成什么以及哪些行为受到限制，无疑是获得新代码的最快方法。如果一切顺利，应用程序将利用这些权限来完成其分配的任务。危险在于，黑客会发现这个过程，然后危及该用户。尽管创建用户是为了完成特定应用程序的特定功能，但如果遭到入侵，则可能允许攻击者危及其他应用程序、数据甚至网络。
如何利用安全配置错误？
为了直观地了解危险，让我们来看看在 Docker 云环境中有时是如何编码常见任务的。假设开发人员正在使用 Prometheus MySQL 导出器服务从数据库收集信息。允许这种情况发生的最简单方法是授予导出者访问数据库的权限。所以代码可能像这样：
来自 mysql: 最新
复制。/scripts/create_users.sh /docker-entrypoint-initdb.d/
用户 999
创建由 $EXPORTER_PASSWORD 标识的用户导出器@%；
将 ALL ON *.* 授予出口商@%;
在 performance_schema.* 上向导出者授予选择权@%;
这肯定会使出口商能够完成其任务。但是，由于未定义权限，因此导出器实际上几乎可以做任何事情。显然，出口商本身永远不会在其编程行为之外采取行动。但是，如果攻击者能够破坏导出器服务，会发生什么？在这种情况下，由于获得了完全权限，攻击者可以使用 SQL 服务执行各种未经授权的任务。
保护和消除不当权限
在这里，我们再次谈谈基础设施即代码的概念。如果你在创建应用程序时就将安全性编码到应用程序中，那么在网络安全方面，网络的整体基础总是会好得多。
在上面的 Docker 示例中，如果开发人员希望 Prometheus MySQL 导出器能够查询数据库，他们可以通过定义应该允许它完成的任务来更安全地做到这一点。一个很好的例子是：
来自 mysql: 最新
复制。/scripts/create_users.sh /docker-entrypoint-initdb.d/
用户 999
创建由 $EXPORTER_PASSWORD 标识的用户导出器@%；
授权进程，复制客户端开启*.* 给 exporter@%;
在 performance_schema.* 上向导出者授予选择权@%;
在这种情况下，为 Prometheus MySQL Exporter 服务配置的 MySQL 用户对 MySQL 服务仅具有有限的权限。具体而言，只允许使用 “进程” 和 “复制客户端” 权限。这将防止恶意用户利用受损的 Prometheus MySQL 导出器服务。
在代码级别限制权限可以确保用户和应用程序只有足够的权限来完成手头的任务。这可以大大有助于保护您的网络和采用基础设施即代码的概念。
来看看 安全代码勇士 博客页面，详细了解此漏洞以及如何保护您的组织和客户免受其他安全漏洞的破坏。你也可以 试试我们的展示柜 Secure Code Warrior 培训平台可让您的所有网络安全技能不断磨练并保持最新状态。
Matias Madou, Ph.D. es experto en seguridad, investigador y CTO y cofundador de Secure Code Warrior. Matias obtuvo su doctorado en Seguridad de Aplicaciones en la Universidad de Gante, centrándose en soluciones de análisis estático. Más tarde se incorporó a Fortify en EE.UU., donde se dio cuenta de que no bastaba con detectar problemas de código sin ayudar a los desarrolladores a escribir código seguro. Esto le inspiró para desarrollar productos que ayuden a los desarrolladores, alivien la carga de la seguridad y superen las expectativas de los clientes. Cuando no está en su escritorio como parte de Team Awesome, le gusta estar en el escenario presentando en conferencias como RSA Conference, BlackHat y DefCon.
Secure Code Warrior puede ayudar a su organización a proteger el código a lo largo de todo el ciclo de vida del desarrollo de software y a crear una cultura que dé prioridad a la ciberseguridad. Tanto si es usted responsable de seguridad de aplicaciones, desarrollador, director de seguridad de la información o cualquier otra persona relacionada con la seguridad, podemos ayudar a su organización a reducir los riesgos asociados al código inseguro.
Reservar una demostración
Matias Madou, Ph.D. es experto en seguridad, investigador y CTO y cofundador de Secure Code Warrior. Matias obtuvo su doctorado en Seguridad de Aplicaciones en la Universidad de Gante, centrándose en soluciones de análisis estático. Más tarde se incorporó a Fortify en EE.UU., donde se dio cuenta de que no bastaba con detectar problemas de código sin ayudar a los desarrolladores a escribir código seguro. Esto le inspiró para desarrollar productos que ayuden a los desarrolladores, alivien la carga de la seguridad y superen las expectativas de los clientes. Cuando no está en su escritorio como parte de Team Awesome, le gusta estar en el escenario presentando en conferencias como RSA Conference, BlackHat y DefCon.
Matías es un investigador y desarrollador con más de 15 años de experiencia práctica en seguridad de software. Ha desarrollado soluciones para empresas como Fortify Software y su propia empresa Sensei Security. A lo largo de su carrera, Matías ha dirigido múltiples proyectos de investigación sobre seguridad de aplicaciones que han dado lugar a productos comerciales y cuenta con más de 10 patentes en su haber. Cuando está lejos de su escritorio, Matias ha servido como instructor para la formación de seguridad de aplicaciones avanzadas courses y regularmente habla en conferencias mundiales como la Conferencia RSA, Black Hat, DefCon, BSIMM, OWASP AppSec y BruCon.
Matías es doctor en Ingeniería Informática por la Universidad de Gante, donde estudió la seguridad de las aplicaciones mediante la ofuscación de programas para ocultar el funcionamiento interno de una aplicación.
如今，网络安全威胁无处不在，持续不断。情况变得如此糟糕，以至于在部署程序后试图跟上他们的步伐几乎是不可能的。取而代之的是，精明的组织正在接受基础设施即代码的概念，在这种概念中，开发人员在仍在创建安全的应用程序的同时为制作应用程序做出贡献。本系列旨在让您做好安全准备，这样您就可以了解作为开发人员可以采取的步骤，开始在自己的组织中以代码形式部署安全基础架构。
安全配置错误，尤其是权限不当的配置错误，通常发生在开发人员为完成任务而创建新用户或授予应用程序权限时。例如，可以这样做来从数据库收集信息。但是，如果将新用户的权限设置得过高，或者没有为手头的任务进行默认配置，则可能会在代码中引入严重漏洞。
在我们开始之前，为什么不现在就测试一下你的技能呢？尝试找到并修复一些不当权限漏洞：
你做得怎么样？让我们更深入地挖掘一下：
授予用户或应用程序完全权限，或者干脆不费心去定义新用户应该能够完成什么以及哪些行为受到限制，无疑是获得新代码的最快方法。如果一切顺利，应用程序将利用这些权限来完成其分配的任务。危险在于，黑客会发现这个过程，然后危及该用户。尽管创建用户是为了完成特定应用程序的特定功能，但如果遭到入侵，则可能允许攻击者危及其他应用程序、数据甚至网络。
如何利用安全配置错误？
为了直观地了解危险，让我们来看看在 Docker 云环境中有时是如何编码常见任务的。假设开发人员正在使用 Prometheus MySQL 导出器服务从数据库收集信息。允许这种情况发生的最简单方法是授予导出者访问数据库的权限。所以代码可能像这样：
来自 mysql: 最新
复制。/scripts/create_users.sh /docker-entrypoint-initdb.d/
用户 999
创建由 $EXPORTER_PASSWORD 标识的用户导出器@%；
将 ALL ON *.* 授予出口商@%;
在 performance_schema.* 上向导出者授予选择权@%;
这肯定会使出口商能够完成其任务。但是，由于未定义权限，因此导出器实际上几乎可以做任何事情。显然，出口商本身永远不会在其编程行为之外采取行动。但是，如果攻击者能够破坏导出器服务，会发生什么？在这种情况下，由于获得了完全权限，攻击者可以使用 SQL 服务执行各种未经授权的任务。
保护和消除不当权限
在这里，我们再次谈谈基础设施即代码的概念。如果你在创建应用程序时就将安全性编码到应用程序中，那么在网络安全方面，网络的整体基础总是会好得多。
在上面的 Docker 示例中，如果开发人员希望 Prometheus MySQL 导出器能够查询数据库，他们可以通过定义应该允许它完成的任务来更安全地做到这一点。一个很好的例子是：
来自 mysql: 最新
复制。/scripts/create_users.sh /docker-entrypoint-initdb.d/
用户 999
创建由 $EXPORTER_PASSWORD 标识的用户导出器@%；
授权进程，复制客户端开启*.* 给 exporter@%;
在 performance_schema.* 上向导出者授予选择权@%;
在这种情况下，为 Prometheus MySQL Exporter 服务配置的 MySQL 用户对 MySQL 服务仅具有有限的权限。具体而言，只允许使用 “进程” 和 “复制客户端” 权限。这将防止恶意用户利用受损的 Prometheus MySQL 导出器服务。
在代码级别限制权限可以确保用户和应用程序只有足够的权限来完成手头的任务。这可以大大有助于保护您的网络和采用基础设施即代码的概念。
来看看 安全代码勇士 博客页面，详细了解此漏洞以及如何保护您的组织和客户免受其他安全漏洞的破坏。你也可以 试试我们的展示柜 Secure Code Warrior 培训平台可让您的所有网络安全技能不断磨练并保持最新状态。
如今，网络安全威胁无处不在，持续不断。情况变得如此糟糕，以至于在部署程序后试图跟上他们的步伐几乎是不可能的。取而代之的是，精明的组织正在接受基础设施即代码的概念，在这种概念中，开发人员在仍在创建安全的应用程序的同时为制作应用程序做出贡献。本系列旨在让您做好安全准备，这样您就可以了解作为开发人员可以采取的步骤，开始在自己的组织中以代码形式部署安全基础架构。
安全配置错误，尤其是权限不当的配置错误，通常发生在开发人员为完成任务而创建新用户或授予应用程序权限时。例如，可以这样做来从数据库收集信息。但是，如果将新用户的权限设置得过高，或者没有为手头的任务进行默认配置，则可能会在代码中引入严重漏洞。
在我们开始之前，为什么不现在就测试一下你的技能呢？尝试找到并修复一些不当权限漏洞：
你做得怎么样？让我们更深入地挖掘一下：
授予用户或应用程序完全权限，或者干脆不费心去定义新用户应该能够完成什么以及哪些行为受到限制，无疑是获得新代码的最快方法。如果一切顺利，应用程序将利用这些权限来完成其分配的任务。危险在于，黑客会发现这个过程，然后危及该用户。尽管创建用户是为了完成特定应用程序的特定功能，但如果遭到入侵，则可能允许攻击者危及其他应用程序、数据甚至网络。
如何利用安全配置错误？
为了直观地了解危险，让我们来看看在 Docker 云环境中有时是如何编码常见任务的。假设开发人员正在使用 Prometheus MySQL 导出器服务从数据库收集信息。允许这种情况发生的最简单方法是授予导出者访问数据库的权限。所以代码可能像这样：
来自 mysql: 最新
复制。/scripts/create_users.sh /docker-entrypoint-initdb.d/
用户 999
创建由 $EXPORTER_PASSWORD 标识的用户导出器@%；
将 ALL ON *.* 授予出口商@%;
在 performance_schema.* 上向导出者授予选择权@%;
这肯定会使出口商能够完成其任务。但是，由于未定义权限，因此导出器实际上几乎可以做任何事情。显然，出口商本身永远不会在其编程行为之外采取行动。但是，如果攻击者能够破坏导出器服务，会发生什么？在这种情况下，由于获得了完全权限，攻击者可以使用 SQL 服务执行各种未经授权的任务。
保护和消除不当权限
在这里，我们再次谈谈基础设施即代码的概念。如果你在创建应用程序时就将安全性编码到应用程序中，那么在网络安全方面，网络的整体基础总是会好得多。
在上面的 Docker 示例中，如果开发人员希望 Prometheus MySQL 导出器能够查询数据库，他们可以通过定义应该允许它完成的任务来更安全地做到这一点。一个很好的例子是：
来自 mysql: 最新
复制。/scripts/create_users.sh /docker-entrypoint-initdb.d/
用户 999
创建由 $EXPORTER_PASSWORD 标识的用户导出器@%；
授权进程，复制客户端开启*.* 给 exporter@%;
在 performance_schema.* 上向导出者授予选择权@%;
在这种情况下，为 Prometheus MySQL Exporter 服务配置的 MySQL 用户对 MySQL 服务仅具有有限的权限。具体而言，只允许使用 “进程” 和 “复制客户端” 权限。这将防止恶意用户利用受损的 Prometheus MySQL 导出器服务。
在代码级别限制权限可以确保用户和应用程序只有足够的权限来完成手头的任务。这可以大大有助于保护您的网络和采用基础设施即代码的概念。
来看看 安全代码勇士 博客页面，详细了解此漏洞以及如何保护您的组织和客户免受其他安全漏洞的破坏。你也可以 试试我们的展示柜 Secure Code Warrior 培训平台可让您的所有网络安全技能不断磨练并保持最新状态。
Haga clic en el siguiente enlace y descargue el PDF de este recurso.
Secure Code Warrior puede ayudar a su organización a proteger el código a lo largo de todo el ciclo de vida del desarrollo de software y a crear una cultura que dé prioridad a la ciberseguridad. Tanto si es usted responsable de seguridad de aplicaciones, desarrollador, director de seguridad de la información o cualquier otra persona relacionada con la seguridad, podemos ayudar a su organización a reducir los riesgos asociados al código inseguro.
Ver informeReservar una demostración
Matias Madou, Ph.D. es experto en seguridad, investigador y CTO y cofundador de Secure Code Warrior. Matias obtuvo su doctorado en Seguridad de Aplicaciones en la Universidad de Gante, centrándose en soluciones de análisis estático. Más tarde se incorporó a Fortify en EE.UU., donde se dio cuenta de que no bastaba con detectar problemas de código sin ayudar a los desarrolladores a escribir código seguro. Esto le inspiró para desarrollar productos que ayuden a los desarrolladores, alivien la carga de la seguridad y superen las expectativas de los clientes. Cuando no está en su escritorio como parte de Team Awesome, le gusta estar en el escenario presentando en conferencias como RSA Conference, BlackHat y DefCon.
Matías es un investigador y desarrollador con más de 15 años de experiencia práctica en seguridad de software. Ha desarrollado soluciones para empresas como Fortify Software y su propia empresa Sensei Security. A lo largo de su carrera, Matías ha dirigido múltiples proyectos de investigación sobre seguridad de aplicaciones que han dado lugar a productos comerciales y cuenta con más de 10 patentes en su haber. Cuando está lejos de su escritorio, Matias ha servido como instructor para la formación de seguridad de aplicaciones avanzadas courses y regularmente habla en conferencias mundiales como la Conferencia RSA, Black Hat, DefCon, BSIMM, OWASP AppSec y BruCon.
Matías es doctor en Ingeniería Informática por la Universidad de Gante, donde estudió la seguridad de las aplicaciones mediante la ofuscación de programas para ocultar el funcionamiento interno de una aplicación.
如今，网络安全威胁无处不在，持续不断。情况变得如此糟糕，以至于在部署程序后试图跟上他们的步伐几乎是不可能的。取而代之的是，精明的组织正在接受基础设施即代码的概念，在这种概念中，开发人员在仍在创建安全的应用程序的同时为制作应用程序做出贡献。本系列旨在让您做好安全准备，这样您就可以了解作为开发人员可以采取的步骤，开始在自己的组织中以代码形式部署安全基础架构。
安全配置错误，尤其是权限不当的配置错误，通常发生在开发人员为完成任务而创建新用户或授予应用程序权限时。例如，可以这样做来从数据库收集信息。但是，如果将新用户的权限设置得过高，或者没有为手头的任务进行默认配置，则可能会在代码中引入严重漏洞。
在我们开始之前，为什么不现在就测试一下你的技能呢？尝试找到并修复一些不当权限漏洞：
你做得怎么样？让我们更深入地挖掘一下：
授予用户或应用程序完全权限，或者干脆不费心去定义新用户应该能够完成什么以及哪些行为受到限制，无疑是获得新代码的最快方法。如果一切顺利，应用程序将利用这些权限来完成其分配的任务。危险在于，黑客会发现这个过程，然后危及该用户。尽管创建用户是为了完成特定应用程序的特定功能，但如果遭到入侵，则可能允许攻击者危及其他应用程序、数据甚至网络。
如何利用安全配置错误？
为了直观地了解危险，让我们来看看在 Docker 云环境中有时是如何编码常见任务的。假设开发人员正在使用 Prometheus MySQL 导出器服务从数据库收集信息。允许这种情况发生的最简单方法是授予导出者访问数据库的权限。所以代码可能像这样：
来自 mysql: 最新
复制。/scripts/create_users.sh /docker-entrypoint-initdb.d/
用户 999
创建由 $EXPORTER_PASSWORD 标识的用户导出器@%；
将 ALL ON *.* 授予出口商@%;
在 performance_schema.* 上向导出者授予选择权@%;
这肯定会使出口商能够完成其任务。但是，由于未定义权限，因此导出器实际上几乎可以做任何事情。显然，出口商本身永远不会在其编程行为之外采取行动。但是，如果攻击者能够破坏导出器服务，会发生什么？在这种情况下，由于获得了完全权限，攻击者可以使用 SQL 服务执行各种未经授权的任务。
保护和消除不当权限
在这里，我们再次谈谈基础设施即代码的概念。如果你在创建应用程序时就将安全性编码到应用程序中，那么在网络安全方面，网络的整体基础总是会好得多。
在上面的 Docker 示例中，如果开发人员希望 Prometheus MySQL 导出器能够查询数据库，他们可以通过定义应该允许它完成的任务来更安全地做到这一点。一个很好的例子是：
来自 mysql: 最新
复制。/scripts/create_users.sh /docker-entrypoint-initdb.d/
用户 999
创建由 $EXPORTER_PASSWORD 标识的用户导出器@%；
授权进程，复制客户端开启*.* 给 exporter@%;
在 performance_schema.* 上向导出者授予选择权@%;
在这种情况下，为 Prometheus MySQL Exporter 服务配置的 MySQL 用户对 MySQL 服务仅具有有限的权限。具体而言，只允许使用 “进程” 和 “复制客户端” 权限。这将防止恶意用户利用受损的 Prometheus MySQL 导出器服务。
在代码级别限制权限可以确保用户和应用程序只有足够的权限来完成手头的任务。这可以大大有助于保护您的网络和采用基础设施即代码的概念。
来看看 安全代码勇士 博客页面，详细了解此漏洞以及如何保护您的组织和客户免受其他安全漏洞的破坏。你也可以 试试我们的展示柜 Secure Code Warrior 培训平台可让您的所有网络安全技能不断磨练并保持最新状态。
Índice
Matias Madou, Ph.D. es experto en seguridad, investigador y CTO y cofundador de Secure Code Warrior. Matias obtuvo su doctorado en Seguridad de Aplicaciones en la Universidad de Gante, centrándose en soluciones de análisis estático. Más tarde se incorporó a Fortify en EE.UU., donde se dio cuenta de que no bastaba con detectar problemas de código sin ayudar a los desarrolladores a escribir código seguro. Esto le inspiró para desarrollar productos que ayuden a los desarrolladores, alivien la carga de la seguridad y superen las expectativas de los clientes. Cuando no está en su escritorio como parte de Team Awesome, le gusta estar en el escenario presentando en conferencias como RSA Conference, BlackHat y DefCon.
Secure Code Warrior puede ayudar a su organización a proteger el código a lo largo de todo el ciclo de vida del desarrollo de software y a crear una cultura que dé prioridad a la ciberseguridad. Tanto si es usted responsable de seguridad de aplicaciones, desarrollador, director de seguridad de la información o cualquier otra persona relacionada con la seguridad, podemos ayudar a su organización a reducir los riesgos asociados al código inseguro.
Reservar una demostraciónDescargarRecursos para ayudarle a empezar
Temas y contenidos de la formación sobre códigos de seguridad
Nuestro contenido líder en el sector está en constante evolución para adaptarse al cambiante panorama del desarrollo de software, teniendo en cuenta su función. Los temas abarcan desde la IA hasta la inyección de XQuery, y son aptos para puestos que van desde arquitectos e ingenieros hasta gestores de productos y control de calidad. Eche un vistazo por adelantado a nuestro catálogo de contenidos, ordenados por tema y función.
La Cámara de Comercio establece el estándar para la seguridad impulsada por desarrolladores a gran escala
Kamer van Koophandel comparte cómo ha integrado la codificación segura en el desarrollo diario mediante certificaciones basadas en roles, evaluaciones comparativas de Trust Score y una cultura de responsabilidad compartida en materia de seguridad.
%20(1).avif)
.avif)
Modelado de amenazas con IA: convertir a cada desarrollador en un modelador de amenazas
Saldrá mejor equipado para ayudar a los desarrolladores a combinar ideas y técnicas de modelado de amenazas con las herramientas de IA que ya utilizan para reforzar la seguridad, mejorar la colaboración y crear software más resistente desde el principio.
Recursos para ayudarle a empezar
Cybermon ha vuelto: la misión de derrotar al jefe IA ya está disponible bajo demanda.
Cybermon 2025 ya está disponible en SCW durante todo el año. Guerra de seguridad de IA/LLM de alto nivel de la tribu, desarrollo de IA de seguridad reforzada con modelos de gran escala.
Interpretación de la Ley de Resiliencia de la Red: ¿Qué significa lograr la seguridad mediante el diseño del desarrollo de software?
Comprenda los requisitos de la Ley de Resiliencia de las Redes de la Unión Europea (CRA), a quiénes se aplica y cómo los equipos de ingeniería pueden prepararse mediante prácticas de diseño, prevención de vulnerabilidades y desarrollo de capacidades de los desarrolladores.
Factor impulsor 1: Criterios de éxito claros y medibles
El facilitador 1 es el preludio de nuestra serie de 10 partes sobre los impulsores del éxito, que muestra cómo vincular la codificación segura con los resultados empresariales, como la reducción del riesgo y el aumento de la velocidad de maduración de los planes a largo plazo.
