您好、欢迎来到现金彩票网!
当前位置:秒速快3 > 数据高速缓存 >

安全地管理内存及高速缓存

发布时间:2019-05-17 18:09 来源:未知 编辑:admin

  如果一个程序能够长时间地充分地利用某些高速缓存或内存,我们就称这部分内存空间为持久内存。

  内存和高速缓存一直是黑客攻击的重点领域之一,程序开发人员必须重视安全管理内存和高速缓存的策略问题。

  当今程序员编制的许多软件都能持久而充分地利用高速缓存,从而实现软件性能的最大化。持久利用高速缓存的问题在于,数据在内存中的保留时间越长,如果故障导致存储器的信息转储,或者造成内存的内容可被直接访问,那么,数据被有意或无意泄露的可能性就越大。产生这个问题在原因在于,内存并不受操作系统级文件系统的访问控制的保护。

  例如,当在Java企业版平台上使用Entity Bean时,数据可被存储到服务器上,并拥有容器级的持久性或bean级的持久性。无论是哪种情况,处理数据并将数据放到高速缓存的程序都需要提供安全的高速缓存管理功能,能够适应程序必须同时处理的所有进程(即接收并处理请求、会话管理、从数据库或文件系统读取数据)。开发人员可以在每次完成业务后,强制要求一个程序使用EJB来将数据写到持久的非易失存储器上,而不是将数据长久地放在内存中;此问题的平衡点在于性能(很少的数据库访问意味着更好的性能)与安全(很小的内存持久性意味着攻击者几乎没有机会访问没有被文件系统或数据库访问控制所保护的敏感数据)。在一个多用户的程序中,如果要求安全地管理持久使用的高速缓存,其成本和代价也会受到同时访问程序的用户数量的影响;被放到高速缓存的数据量越大,其它进程可用的内存量就越低。

  在编制一个持久使用内存的程序时,程序员应当确保其持久度是可配置的,以便于管理员或用户可以根据需要而经常进行清除。理想情况下,程序还可以提供一个命令,允许管理员或用户随意清除内存。不管程序运行时的内存持久度如何,在程序关闭时都应当从内存中清除数据。对于极重要的可信任程序,程序不应当保留进程完成之后的内存空间,在进程完成时,程序应当清除内存。

  理想情况下,极端敏感的数据,如认证令牌和加密令牌绝对不能放在持久内存中。但是,持久内存不可避免存在于商业化成品软件(包括开源软件)组件中。在这些情况下,如果组件有可能将敏感数据存放到持久内存中,开发者应当利用操作系统的高速缓存管理和对象重用功能。而且如果有的话,开发人员还应当利用数据库管理系统来覆盖每一个持久的内存位置。在利用商业化成品软件组件时,如果它使用持久内存,且它放到内存中的数据有可能是敏感数据,就应当把这个组件放到一个可信的上,从而将其持久内存与系统的其它部分分离开来。

  程序员应当使每个进程占用的计算机资源最小化。例如,对于运行在Unix上的软件而言,应使用ulimit()、getrlimit()、getrusage()、sysconf()、 quota()、 quotactl()、quotaon()等,用以限制在特定进程发生故障或遭到破坏后导致的潜在损失,并防止对软件的拒绝服务攻击。

  如果软件是一个Web服务、应用程序或Web服务,开发人员应当建立一个独立的过程,用以处理每次会话,并限制每个过程中每次会话被允许的CPU时间量。这样做可以防止任何攻击者过度使用内存或CPU周期的请求,防止他干扰其它任务。这样做可以使攻击者难以通过产生多个会话而制造拒绝服务攻击。

  高速缓存缓冲区的内存位置不应当与可执行的堆栈部分相连。只要有可能,堆栈就应当是不可执行的。数据执行保护(DEP)是Windows操作系统的一个安全特性,这是可以确保可写内存无法被执行的一个简单方法。数据执行保护可以阻止被病毒或其它恶意代码感染的恶意程序,防止其运行被注入的代码。在一个支持DEP的系统上,执行被注入的代码会导致例外。强化DEP有助于阻止利用Windows的例外处理机制的恶意程序。

  在返回库函数(return-to-libc)攻击中,程序的返回地址会被覆盖,用以执行攻击者想运行的代码,因而应当将系统代码移动到内存中的不同点上。地址空间的布局随机化(ASLR)是Windows操作系统的另一个安全特性,它可以在系统每次启动时将可执行的代码、库和代码的其它重要部分迁移到内存中的随机点上。这种特性可以使攻击者在利用代码时更难以提前做出预测。

  比特软件信息化周刊提供以数据库、操作系统和管理软件为重点的全面软件信息化产业热点、应用方案推荐、实用技巧分享等。以最新的软件资讯,最新的软件技巧,最新的软件与服务业内动态来为IT用户找到软捷径。

  比特商务周刊是一个及行业资讯、深度分析、企业导购等为一体的综合性周刊。其中,与中国计量科学研究院合力打造的比特实验室可以为商业用户提供最权威的采购指南。是企业用户不可缺少的智选周刊!

  比特网络周刊向企业网管员以及网络技术和产品使用者提供关于网络产业动态、技术热点、组网、建网、网络管理、网络运维等最新技术和实用技巧,帮助网管答疑解惑,成为网管好帮手。

  比特服务器周刊作为比特网的重点频道之一,主要关注x86服务器,RISC架构服务器以及高性能计算机行业的产品及发展动态。通过最独到的编辑观点和业界动态分析,让您第一时间了解服务器行业的趋势。

  比特存储周刊长期以来,为读者提供企业存储领域高质量的原创内容,及时、全面的资讯、技术、方案以及案例文章,力求成为业界领先的存储媒体。比特存储周刊始终致力于用户的企业信息化建设、存储业务、数据保护与容灾构建以及数据管理部署等方面服务。

  比特安全周刊通过专业的信息安全内容建设,为企业级用户打造最具商业价值的信息沟通平台,并为安全厂商提供多层面、多维度的媒体宣传手段。与其他同类网站信息安全内容相比,比特安全周刊运作模式更加独立,对信息安全界的动态新闻更新更快。

  新闻中心以独特视角精选一周内最具影响力的行业重大事件或圈内精彩故事,为企业级用户打造重点突出,可读性强,商业价值高的信息共享平台;同时为互联网、IT业界及通信厂商提供一条精准快捷,渗透力强,覆盖面广的媒体传播途径。

  比特云计算周刊关注云计算产业热点技术应用与趋势发展,全方位报道云计算领域最新动态。为用户与企业架设起沟通交流平台。包括IaaS、PaaS、SaaS各种不同的服务类型以及相关的安全与管理内容介绍。

  比特CIO俱乐部周刊以大量高端CIO沙龙或专题研讨会以及对明星CIO的深入采访为依托,汇聚中国500强CIO的集体智慧。旨为中国杰出的CIO提供一个良好的互融互通 、促进交流的平台,并持续提供丰富的资讯和服务,探讨信息化建设,推动中国信息化发展引领CIO未来职业发展。

  IT专家新闻邮件长期以来,以定向、分众、整合的商业模式,为企业IT专业人士以及IT系统采购决策者提供高质量的原创内容,包括IT新闻、评论、专家答疑、技巧和白皮书。此外,IT专家网还为读者提供包括咨询、社区、论坛、线下会议、读者沙龙等多种服务。

  X周刊是一份IT人的技术娱乐周刊,给用户实时传递I最新T资讯、IT段子、技术技巧、畅销书籍,同时用户还能参与我们推荐的互动游戏,给广大的IT技术人士忙碌工作之余带来轻松休闲一刻。

http://billsauctions.com/shujugaosuhuancun/31.html
锟斤拷锟斤拷锟斤拷QQ微锟斤拷锟斤拷锟斤拷锟斤拷锟斤拷锟斤拷微锟斤拷
关于我们|联系我们|版权声明|网站地图|
Copyright © 2002-2019 现金彩票 版权所有