了解必要的JVM（Java虚拟机）选项，以提高性能和调试. 如果您是Java开发人员或中间件管理员，那么您应该知道JVM选项的含义及其重要性，以及它们如何影响您的应用程序。让我们找出它们. JVM选项概述 在谈论JVM选项时，可以将三种类型的选项包括在JVM中：标准，非标准和高级选项。如果尝试使用高级选项，则始终将选项与-XX一起使用。同样，如果要应用非标准选项，请使用-X。标准选项不带任何选项. 您的应用程序使用了哪些JVM选项? 如果应用程序在Linux上运行，则可以使用ps -ef | grep java来识别Java进程并查看打印为进程参数的JVM选项。如果系统上正在运行多个Java进程，那么您可能需要使用Java应用程序唯一的关键字. 如果您的参数太长，请尝试使用ps -auxww，因为此命令也会显示较长的参数列表. 列出JVM标志后，您可以了解任何Java应用程序（例如Tomcat）的行为. Java堆大小  -Xms – 设置初始Java堆大小 -Xmx – 设置最大Java堆大小 -s – 设置Java线程堆栈大小 -Xms – 此选项用于定义JVM的起始堆大小，例如Xms2048m，这意味着JVM的初始堆大小约为2 GB。因此，当JVM启动时，堆内存将很大。令人惊讶的是！这样做是为了防止在启动期间调整大小并延长JVM的启动时间. -Xmx – 此选项用于定义JVM的最大堆大小，例如Xmx2048m，这意味着JVM的最大堆大小仅为2 GB. 您基本上总是在一起拥有-Xmsand-Xmx. 设置堆的百分比 -XX：MaxHeapFreeRatio –设置GC之后的最大可用堆百分比，以避免缩小. -XX：MinHeapFreeRatio –设置GC后最小堆可用百分比，以避免扩展；要监视堆使用情况，可以使用JCosole. 启用课程数据共享 指定Xshareclasses选项以在共享的类缓存中启用类数据共享。 JVM连接到现有高速缓存，或者如果不存在则创建一个高速缓存。您可以具有多个缓存，并且可以通过在-Xshareclasses选项中添加子选项来指定正确的缓存. PermGen大小 较早的JVM选项定义堆内存的大小，但是-XX：PermSize定义存储字符串池和类元数据的PermGen空间的大小。此选项对于像Tomcat这样的Web服务器特别有效，该服务器通常在部署期间加载Web应用程序的类. 顺便说一下，值得意识到的是PermGen空间已由Java 8中的Metaspace接管，并且如果您使用JRE 8 JVM运行，则此选项不适用. 打印GC -详细：gc – 记录垃圾收集器的运行以及它们需要多长时间. -XX：+ PrintGCDetails – 包含-verbose：gc中的数据，但还添加了有关新一代大小和更精确计时的信息. -XX：-PrintGCTimeStamps…

网站被Google，McAfee Site Advisor，Norton Safe Web，搜索引擎等列入黑名单的原因多种多样. 只看 Google透明度报告, 您可以看到数百万个网站被归类为危险网站. 网站可能会被列入黑名单的原因有很多，其中包括以下几种. 垃圾内容 恶意软件感染 网络钓鱼活动 不需要的程序下载 使用的漏洞库/插件/组件 确保Google或其他搜索引擎 不会降低排名或向用户显示警告 –您不应该做上面列出的任何事情. 但是有时候当网站被插件，模块等入侵或注入恶意代码时，网站可能无法控制。如果您想知道，这就是网站在Chrome中的显示方式. 或者该网站感染了恶意软件. 让我们看看一些可以帮助您的工具 查找您的网站是否被列入黑名单. 以下某些内容还用于检查发送电子邮件服务器是否在垃圾邮件列表中. Google安全浏览 您可以在其中检查Google是否对您的网站进行了分类的最流行和最重要的方法之一是不安全的. 网站状态 立即检查给定的URL，并在安全或不安全的情况下为您提供结果. MX Toolbox列入黑名单 MX工具箱 提供一个中央搜索框来检查是否将IP或域列入了黑名单 102个已知当局. 如果有兴趣，您还可以安排定期监视黑名单，并在发现黑名单时得到通知，以便您可以立即采取必要的措施. 苏克里 SUCURI网站检查, 一款出色的扫描仪，可以从以下流行的权威机构进行免费的安全检查，以检查恶意软件，垃圾邮件，污秽和状态. Google安全浏览 ESET Yandex Spamhaus 网站顾问 歌剧 鱼缸 诺顿 SUCURI恶意软件实验室 SUCURI为包括WordPress，Joomla，PHP，Drupal，Magento等在内的多个平台提供了全面的Web安全性。 监控，检测 & 保护. 它们还有助于清除被恶意软件感染，被黑客入侵的污损 & 黑名单网站. Hetrix工具 您可以 运行测试 按需或监控以通过电子邮件，SMS，电报，Slack，Mattermost等获得通知. 如果您正在寻找连续的黑名单监控，那么Hetrix解决方案将是值得尝试的。不仅是单个域或IP，还可以添加要监视的IP范围。当您有一个完整的子网要监视时，这将很方便….

使用Detectify安全漏洞扫描程序在Web应用程序中查找安全漏洞的分步指南. 97％ TrustWave测试的应用程序中有一个或多个安全风险易受攻击. 这篇博客文章与Detectify合作. Web应用程序漏洞可能导致 商业 和 名声 如果不及时补救会给公司造成损失. 可悲的事实是，大多数网站在大多数时间都是脆弱的。一个 有趣 报告人 白帽安全 显示按行业修复漏洞的平均天数. 你如何确保自己 知道的 Web应用程序中已知和未知的漏洞? 有许多基于云的安全扫描程序可以帮助您。在本文中，我将讨论最有前途的SaaS平台之一- 侦查. 侦查 与您的开发流程集成，以发现安全隐患 早期 （分段/非生产环境），因此您可以在上线之前缓解它们. 开发集成只是众多集成中的一种 出色的功能 如果没有暂存环境，则为可选. Detectify使用内置的搜寻器来爬行您的网站，并根据Web应用程序中使用的技术优化测试. 抓取后，您的网站已进行了超过 500个漏洞，其中包括OWASP的前10个漏洞, 并为您提供每个发现的可行报告. 检测功能 一些值得一提的功能是： 报告中 –您可以将扫描结果导出为摘要或完整报告。您可以选择导出为PDF，JSON或Trello。您还可以通过以下方式查看报告 OWASP前10名;如果您的目标是仅使用OWASP结果进行修复，这将非常方便. 积分 –您可以使用Detectify API与您的应用程序或以下应用程序集成. Slack，Pager Duty，Hipchat –立即收到通知 JIRA –为调查结果创建问题 Trello –在Trello板中获得结果 Zapier –自动化工作流程 大量测试 –如前所述，它检查了500多个漏洞，其中一些是： SQL / Blind / WPML /…

深入研究保护我们的互联网连接的加密 虽然Netscape最初是在90年代中期发明SSL的，但直到2018年夏天Google开始标记未加密的网站时，每个网站都没有强制安装SSL / TLS证书的义务，不安全.” 尽管Google（带有搜索引擎，Chrome浏览器和Android OS）可以单方面重新定义Internet，但在执行此任务时并不孤单。苹果，微软，Mozilla和技术行业的其他主要利益相关者都做出了共同决定，以强制执行SSL / TLS证书和HTTPS. 原因很简单：如果没有SSL / TLS，并且无法通过HTTPS安全连接，则网站及其访问者之间的所有通信都将以纯文本格式进行交换，并且易于第三方读取. 最近推动通用加密的唯一弊端是，它迫使大量新客户涌入一个陌生的市场，这几乎没有使自己对普通网站或企业主产生混淆. 本文将作为SSL / TLS的全面指南，我们将通过介绍诸如加密，HTTPS和互联网连接性质等基本概念来奠定基础. 希望最后，您将对选择，购买和实施TLS证书充满信心，并记住是否有任何疑问可以将其留在下面的评论中. 基础要素 让我们首先讨论所有概念的核心：加密. 在最直接的迭代中，加密只不过是使用预定的密码或密钥对数据进行加扰，因此，除了具有相同私钥的另一方以外，任何人都无法读取它。. 纵观历史，私钥加密一直是最常用的模型。在私钥加密中，双方必须拥有或至少交换可以用于加密和解密信息的私钥. 早期，支持这些密码系统的大多数密码都是原始密码，它们依靠简单的替换或用字符替换普通单词。但是随着时间的流逝，密码越来越受到数学的影响，并且变得越来越复杂. 例如，在法国的1600年代中期，路易十四国王的密码学家创建了一种密码，密码设计得非常好，直到250年后才被破解，然后才被部分破解。到目前为止，法国档案馆中已有数百年的记录，可能永远无法破译. 但是，尽管从历史上看，加密一直是秘密或秘密的手段，但互联网的出现使这一概念更加主流。互联网无处不在，它处理一系列关键功能。每天都有数十亿人使用它来访问和发送敏感信息，管理其财务状况，与企业进行交易-您将其命名为. 问题在于，互联网并非完全旨在适应其已经发展的规模。早期，当学术界和美国政府首次开发网络协议时，互联网仅被视为政府与学术机构之间自由交换信息的机制。那时，商业活动在网上是非法的。电子商务甚至还没有被创造出来。网站更像是一个地理概念. 因此，当1991年首次引入HTTP或超文本传输​​协议时，它所形成的连接以明文交换数据的事实并不是一个取消资格的问题。. 今天的情况大不相同。在线交流的信息不是学术研究或免费提供的信息，而是可识别个人身份的信息和敏感数据，可能会导致人们甚至在某些地区丧生。这要求一种更安全的方法. 答案是加密. 交换钥匙的问题 一直困扰着最好的密码系统的问题一直持续到今天. 我们前面讨论的以及传统上一直是加密标准的是私钥加密。这也称为对称加密或双向加密-私钥同时处理通信所需的加密和解密功能. 为了使私钥加密起作用，私钥必须在各方之间转移，或者双方都需要拥有自己的副本。无论哪种方式，私钥安全性对于密码系统的完整性都是至关重要的，而且，正如您毫无疑问地推测，密钥交换是一个与加密本身一样古老的问题。. 然后，在1970年代-从技术上讲两个不同的时期，整个海洋相隔-一种新的加密形式被概念化并付诸实践：公钥加密. 私有密钥加密是一种双向功能，对称，私有密钥既可以加密也可以解密数据，而公共密钥加密则是非对称的。单程。没有一个私钥，而是一个公私钥对。公用密钥处理加密，顾名思义，公用密钥可公开使用，而处理解密的专用密钥由其所有者保密。使用公共密钥，人们可以加密一段数据并将其发送给密钥所有者，只有他们才能解密该数据. 很好，但这有什么用? 嗯，单向加密并不是加密互联网连接的理想选择，当一方只能加密而另一方只能解密时，这种通信方式比较困难。不，要加密互联网连接，您需要使用对称的私钥加密. 但是如何交换密钥？特别是在线? 公钥加密. 归根到底，这就是SSL / TLS的全部意义：安全密钥交换. 在这里，我们将所有这些概念结合在一起。如果您希望与网站的通信是私有的，则需要安全地连接到该网站。如果要安全地与该网站连接，则需要交换对称私钥，以便可以使用它们进行通信。 SSL / TLS（通常是PKI）只是一种用于创建和交换会话密钥的机制. 使用SSL / TLS，您可以验证将要连接的服务器或组织，并确保安全地交换用于加密与目标方的通信的私钥. 不幸的是，SSL / TLS和PKI有很多术语和活动部分，很容易使人们感到困惑，但是这些事实掩盖了一个事实，那就是当您剥夺所有的数学和技术术语时，这只是一个时代的优雅现代技术解决方案老问题：密钥交换. 现在让我们来看一些关键术语 在继续之前，我们先介绍几个其他关键术语。我们已经引入了HTTP，超文本传输​​协议，数十年来一直是Internet的骨干。但是正如我们所讨论的那样，Internet的发展与1991年HTTP首次发布时的发展截然不同. 需要一个更安全的协议。因此，HTTPS. HTTPS，有时也称为TLS上的HTTP，使用加密技术使连接期间交换的数据对目标方来说是不可读的。当您考虑现代互联网连接的本质时，这一点尤其重要. 在互联网的早期，连接是相当直接的，而现在，连接是通过数十个设备路由到其最终目的地的。如果您想进行实际演示，请在操作系统上打开命令提示符，然后输入命令“…

你经常需要 调试与SSL / TLS相关的问题 以网站工程师，网站管理员或系统管理员的身份工作. 有很多 线上工具 用于SSL证书，测试SSL / TLS漏洞，但是当涉及到测试基于Intranet的URL，VIP，IP时，它们将无济于事. 要对Intranet资源进行故障排除，您需要一个独立的软件/工具，可以将其安装在网络中并执行必要的测试. 可能有多种情况，例如： 使用Web服务器实施SSL证书期间出现问题 想要确保使用最新/特定密码，协议 实施后，希望验证配置 渗透测试结果中发现安全风险 以下工具将很容易解决此类问题. 深紫罗兰色 深紫罗兰色 是二进制形式的基于Java的SSL / TLS扫描工具，也可以使用源代码进行编译. 如果您正在寻找在内部网络上使用的SSL实验室的替代方案，那么DeepViolet将是一个不错的选择。扫描以下内容. 弱密码暴露 弱签名算法 认证撤销状态 证书到期状态 可视化信任链，一个自签名的根 SSL诊断 快速评估您网站的SSL强度. SSL诊断 提取SSL协议，密码套件，heartbleed，BEAST. 不只是HTTPS，您还可以测试SMTP，SIP，POP3和FTPS的SSL强度. SSLyze SSLyze 是一个Python库和命令行工具，它连接到SSL端点并执行扫描以识别任何SSL / TLS丢失配置. 通过SSLyze进行扫描非常快速，因为测试是通过多个进程进行分发的。如果您是开发人员或想与现有应用程序集成，则可以选择以XML或JSON格式写入结果. SSLyze在Kali Linux中也可用. 的OpenSSL 不要低估OpenSSL，这是Windows或Linux可以执行各种与SSL相关的任务（例如验证，CSR生成，证书转换等）的功能强大的独立工具之一。. SSL实验室扫描 喜欢Qualys SSL实验室？你不是一个人;我也爱它. 如果您正在寻找SSL实验室的命令行工具以进行自动化或批量测试，则 SSL实验室扫描 会有用的. SSL扫描 SSL扫描 与Windows，Linux和MAC兼容。 SSL扫描可快速帮助您确定以下指标. 突出显示SSLv2 / SSLv3…

使用这些工具快速跟踪与证书相关的工作，以帮助您创建，测试，转换，安全，配置等. 实施中 SSL / TLS证书 是 网站必不可少的. 不仅可以确保安全，而且在搜索引擎中的排名更高. 如果您是Web工程师，那么您可能需要处理各种 证书相关任务. 您可以使用OpenSSL或其他一些步骤手动执行. 你可以 购买SSL证书 可以从赛门铁克（Symantec），GeoTrust，RapidSSL，Thawte等知名品牌购买，也可以从Let’s Encrypt免费获得. 把事情做好是好事，但是做得更快总是更好。为了更快地执行任务，您需要工具。可以帮助您完成任务的工具. 以下在线工具将 涵盖大量任务 你手动做. 1.建立企业社会责任 在提供必要的身份信息时，需要生成CSR（证书签名请求）. CN –通用名称（通常为URL） OU –组织单位（部门） O –组织（公司名称） 签名算法（SHA2） 密钥大小 您可以使用 企业社会责任生成器 在其中放置所有信息，并获得CSR和私钥. 其他CSR生成器. 产生企业社会责任 通过SSL商店 OpenSSL CSR Digicert创作 2. CSR验证 如果您在输入所有信息 企业社会责任的产生过程, 那么您可能不需要，但是，如果要进行双眼检查，则可以使用以下工具进行验证. 通过验证，可以确保您的CSR生成了准确的信息. CSR解码器 通过SSL购物者 检查您的CSR 由赛门铁克 使用SAN（主题备用名称）或通配符生成CSR且不确定CSR是否已选择它们时，验证工具非常方便. 3.转换证书格式 一项耗时的任务是更改证书格式。当您为一个平台创建证书而为另一个平台创建证书时，通常需要这样做. 如果您处在 转换格式 并且不确定命令，那么以下工具将有很大帮助. SSL转换器…

我敢打赌，如果您还不知道“道德黑客”之类的话，您的脸上就会有“惊讶的表情”. 您甚至可能在考虑黑客如何成为道德规范。现在，我假设是这样，因为我是第一次学习道德黑客，这正是我的想法. 然而： 简而言之，道德黑客就是通过使用实际的黑客策略来定位信息系统和网站的漏洞，然后让网络，信息系统或站点的所有者知道可以通过以下方式入侵和入侵他们的设置：做你所做的一样. 当相关网站和系统的所有者了解此类漏洞和漏洞时，他们不会对道德黑客感到恼火，但他们会向他们支付可观的支票作为奖金，甚至雇用他们以使系统坚不可摧. 让我向您展示一些企业雇用道德黑客的有趣场景. 当您知道您的网站可能被黑客入侵时 想一想经常受到黑客攻击的网站。这样的网站可以是重要的，中等大小的. 如今，黑客最常见的做法是入侵系统并以比特币的形式索要赎金. 所以： 假设您的网站最近遭到邪恶的黑客攻击，并且成功进行了数据盗窃尝试. 然而： 幸运的是，这些数据并不是那么重要。那没有任何金钱价值，而且您知道黑客会回来获取有意义的数据，因此他们可以在Dark Web上出售或索要赎金。. 在这种情况下，您可以在尝试进行黑客攻击后立即与一些经过认证的道德黑客联系，并要求他们在您的系统周围建立更好的防火墙。. 这些黑客还将执行其他检查，并确保您填补了漏洞. 因此，让团队中的道德黑客打败黑帽黑客是最关键的情况之一. 你猜怎么着? 甚至 Twitter付钱给黑客 闯入其系统，看看是否仍然存在任何漏洞. 保护最受保护的资产 曾经有过这样的骗局，即黑客追捕诸如Facebook或Google之类的网站，因为如果他们追捕任何一个，那将是一个巨大的游戏. 毫无疑问，许多大型网站都发生了数据泄露事件，包括 谷歌. 然而： 这些都是价值数十亿美元的公司，其网络和系统对于黑客而言并不容易破解. 这就是为什么您会听汤姆，迪克和哈利的故事。如今，拥有稍微著名网站的每个人都会收到那些“黑客或比特币”电子邮件. 在目前的日子里，雇用经认证的道德黑客来保护公司网站或您网站应用程序等受保护程度最低的资产非常重要。. 从物理托管迁移到云托管时 当您知道您的网站托管在物理或“本地”服务器上时，您会非常清楚地知道，进入该网站并非易事. 我们看到黑帽黑客数量激增是有原因的。原因是云计算。我不在这里. 我们知道云计算是一项了不起的创新，它减少了此人与该服务器之间的距离. 然而： 我们还知道，虚拟化和IT外包已经消除了边界并降低了防护。威胁的程度有所增加，因为现在您的心血结晶确实位于您可以控制的地方，但是无处不在. 在这种情况下，您甚至更需要合乎道德的黑客，因为随着计算的简便性，线程的级别也增加了. 当您面临财务欺诈威胁时 黑客攻击不是一维游戏。黑客行为有很多方面，就像纪律一样，其中之一就是财务欺诈. 当您可以直接入侵银行帐户和信用卡/借记卡数据以滥用它们时，为什么要入侵网站并出售数据或勒索网站所有者以回购数据. 可能对财务舞弊构成真正威胁的组织和机构是银行. 有比银行账户持有人的存款被抢劫更多的证据，证明有必要成为道德黑客吗？? 几乎没有任何系统比在线银行系统更安全，但是在许多不同的国家，黑客已经成功地入侵了银行. 所以是的，您可能需要有人来保存您的金融资产. 积极主动 & 抢先保护 谁不想在攻击发生之前停止攻击? 贼来时谁不想准备? 是： 我们所有人都想积极主动地保护我们宝贵的业务和资产. 这与道德黑客有什么关系？好吧，自然而然地，有道德的黑客是主动采取行动并提前阻止渗透的人. 想象一下，当您最期待黑客的时候就聘请他们来获得业务成功的边缘，并想象当他们看到您的系统100％防止黑客企图时，他们的感受。. 局外人的意见有帮助 您是否曾在下象棋或象象棋这样的其他游戏时发生过这样的事情，即仅仅是观众而不是玩游戏的人对游戏的看法更好而又不同? 这个家伙经常预见到即将来临的攻击和意想不到的动作。而且，这是从不同角度看比赛并且知道101种立即进行核对的人….