proto.lib

WAF Rule Tuning & Bypass: Bộ lọc không phải bản vá

Rule của WAF chặn các dạng payload đã biết nên cản được scanner và khai thác đại trà, nhưng một kẻ tấn công kiên trì có thể mã hoá lại, chia nhỏ tham số hoặc dùng đường mà rule không kiểm tra để vượt qua; WAF chỉ mua thời gian, không thay thế việc sửa lỗi trong code.

SecurityTrung bình2026-08-25
WAF Rule Tuning & Bypass: Bộ lọc không phải bản vá

Tags

#waf#rule-tuning#bypass#false-positive#detect-only#defense-in-depth

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityNâng cao

Ứng cứu Zero-day: Vá chưa có, vẫn phải chặn (Emergency Response)

Khi một lỗ hổng nghiêm trọng bị công bố mà chưa có bản vá, nhóm bảo mật phải đánh giá phạm vi phơi nhiễm trong vài giờ rồi áp compensating control tạm thời (chặn vector, tắt tính năng, xoay khoá) trong lúc chờ vendor phát hành patch, đồng thời rà soát log để xác định đã bị khai thác trước đó chưa.

#zero-day#incident-response#waf#compensating-control
SecurityTrung bình

Triage SAST: Khi scanner kêu 'có sói' quá nhiều lần

Static analysis báo hàng nghìn candidate, phần lớn không thể tới được sink nguy hiểm hoặc đã được giảm nhẹ; pipeline lọc theo reachability và data-flow, nhóm theo rule, và chỉ chặn build khi có finding MỚI trên code vừa thay đổi, còn nợ cũ được đóng băng làm baseline chỉ được phép giảm.

#sast#static-analysis#triage#false-positive
SecurityCơ bản

Lockfile là hàng rào cung ứng: integrity, npm ci và audit PR

package-lock.json không chỉ ghi số phiên bản mà còn ghi resolved URL và integrity hash sha512 của từng tarball; npm ci từ chối cài khi lệch lock, còn reviewer cần soi resolved URL lạ và chặn script cài đặt tuỳ tiện để đóng các đường tiêm mã qua chuỗi cung ứng npm.

#npm#lockfile#supply-chain#integrity-hash