標籤: 網頁設計

  • 四川挖礦規模全國最大!證監會原副主席姜洋:何不藉機研究區塊鏈

      區塊鏈最近又成為熱門的話題。四川日報發文稱,10 月 27 日,四川高質量發展決策諮詢(北京)懇談會上,全國政協委員、證監會原副主席姜洋帶來一組數據——全球 70% 的比特幣產自中國,排名第二的印度僅佔4%,美國僅佔1%,而四川因水電資源富集成為全國最大的比特幣挖礦地。比特幣、區塊鏈、富餘水電,姜洋認為,這三者在四川應該能擦出點什麼火花。

      “區塊鏈涉及各行各業,在金融領域的應用主要是以比特幣為代表的数字貨幣。”姜洋說,比特幣挖礦一要空調降溫,二要礦機運算,非常耗電,而未來数字貨幣相關產業也是高載能產業。他因此建議,四川應組織力量研究富餘水電對数字貨幣相關產業的吸引力,爭取在金融區塊鏈領域取得突破,從而發掘新的產業增長點。

      他補充說,正因為區塊鏈是新生事物,西部和東部、中國和全球都在同一起跑線上,“提前研究才能佔領先機。”

    本站聲明:網站內容來源於博客園,如有侵權,請聯繫我們,我們將及時處理【其他文章推薦】

    ※帶您來了解什麼是 USB CONNECTOR  ?

    平板收購,iphone手機收購,二手筆電回收,二手iphone收購-全台皆可收購

    ※自行創業 缺乏曝光? 下一步"網站設計"幫您第一時間規劃公司的門面形象

    ※如何讓商品強力曝光呢? 網頁設計公司幫您建置最吸引人的網站,提高曝光率!!

    ※綠能、環保無空污,成為電動車最新代名詞,目前市場使用率逐漸普及化

    ※廣告預算用在刀口上,網站設計公司幫您達到更多曝光效益

  • 區塊鏈概念股迅雷股價两天大漲超145% 周一漲幅回落

    區塊鏈概念股迅雷股價两天大漲超145% 周一漲幅回落

      網易科技訊,10 月 29 日消息,區塊鏈概念股迅雷周一一度漲超 41%,收盤漲 18.26%,報收於 5.70 美元,两天漲幅超 145%。

      目前迅雷總市值 3.85 億美元。

      雖然迅雷股價两天內大漲,但是在去年 9 月,其股價仍高於 7 美元。而在 2017 年 11 月,迅雷股價創造過 27 美元的歷史記錄。

      人民日報昨日評論稱,應防止利用區塊鏈發行虛擬貨幣、炒作空氣幣等行為。

    本站聲明:網站內容來源於博客園,如有侵權,請聯繫我們,我們將及時處理【其他文章推薦】

    收購3c,收購IPHONE,收購蘋果電腦-詳細收購流程一覽表

    網頁設計公司推薦更多不同的設計風格,搶佔消費者視覺第一線

    ※廣告預算用在刀口上,網站設計公司幫您達到更多曝光效益

    ※公開收購3c價格,不怕被賤賣!

    ※自行創業 缺乏曝光? 下一步"網站設計"幫您第一時間規劃公司的門面形象

  • 為了孕育恆星,銀河系正在“變胖”

    為了孕育恆星,銀河系正在“變胖”

      眾所周知,如果一個人攝入的能量高於消耗的能量,身體就可能發胖,反之則會消瘦。測量人的體重增減只需一台秤而已。

      而浩瀚宇宙中的星系,特別是人類生存的銀河系,處於怎樣的變化之中,卻是困擾全球天文學家的重大難題。日前,一個由歐洲航天局天文學家安德魯·福克斯博士領銜的國際研究團隊在《天體物理學報》上撰文指出,銀河系吸入的氣體比呼出的氣體質量更大,處於“發胖”的過程中。

      那麼,銀河系的“呼吸”和質量變化背後有怎樣的奧秘?這種“發胖”將給銀河系帶來哪些影響?

      氣體物質交換 激活“一池春水”

      銀河系中不斷有氣體被“吹”出,但這些氣體還會重新被“吸”回,落到銀河繫上。這種“呼吸”意味着什麼?

      “這是恆星的誕生與死亡所帶來的氣體塵埃物質循環。”中國科學院上海天文台副研究員左文文在接受科技日報記者採訪時表示,恆星從銀盤中的氣體分子云中坍縮形成。恆星演化過程中的星風,以及大質量恆星演化到生命晚期發生的超新星爆炸,均會將大部分物質向外拋散,並向周圍的星際物質發射激波,形成一個由膨脹的氣體和塵埃構成的殼狀結構,即超新星遺迹。

      “恆星可視為源於塵埃,死亡時又歸於塵埃。”左文文說。

      恆星從生到死的整個生命周期成就了一次大尺度的搬運——將銀盤中的氣體塵埃物質向銀河系更外圍的銀暈中轉移。而且,恆星的一生積攢了大量的金屬元素。天文學中通常把比氦元素原子數大的元素均稱作金屬元素,這些金屬元素就像是一顆恆星兢兢業業地工作——努力地燃燒自己,奮鬥一輩子攢下的財富。它在日常生活中偶爾會“消費”,即通過星風現象拋出一部分物質;更多的是在大質量恆星走向滅亡的那一刻,它窮極一生積攢的“家當”,拋散四射,豐富了整個星系的元素組成,也點燃了下一代恆星生命起源的星星之火。

      隨着時間的推移,銀暈中的氣體塵埃物質會逐漸聚集在一起,重力將導致這些氣體團塊落回銀盤,開始下一輪恆星形成。

      恆星的死亡造就了新恆星的誕生,終點即是起點。周而復始,“向死而生”。銀河系也在無數個恆星的“獻祭”中完成了與周圍環境的氣體物質交換,就像一個湖泊,裏面是一池活水。

      高速分子云 標記“流動人口”

      那麼,銀河系這個大湖泊是在“漲水”還是在“泄水”?很多研究人員都想找到答案。

      此次研究給出的答案是前者,即氣體入流大於外流。

      該項研究利用哈勃太空望遠鏡的紫外波段數據,研究了 187 個高速分子云,根據吸收線相對於靜止參考系波長的移動,測定出它們在銀河系標準靜止參考系的速度,分類成入流的高速分子云和外流的高速分子云。通過計算,研究人員估計流入率為每年 0.53±0.17 倍太陽質量,流出率為每年 0.16±0.06 倍太陽質量,表明目前銀河系處在入流主導的時期。

      入流的氣體來源於哪裡?左文文指出,銀河系的引力有可能將部分星系際介質拖拽進來,也可能會從它的衛星星系拖拽一些氣體物質過來。

      科技日報記者注意到,該研究的主要對象是高速分子云。銀河系中氣體塵埃無數,為何研究人員單單瞄向了高速分子云?

      左文文提到,恆星與恆星之間有星際介質,星系與星系之間有星系際介質。星系並不是一個有着密閉邊界的系統。

      因此,沒有任何一種氣體會給自己主動貼上“外來者”或“本地人”的標籤。那麼,研究人員如何界定哪些氣體是外流或入流的“流動人口”?哪些又是銀河系內“長居”的“常住人口”?解決這些問題的切入點就是高速分子云。

      通常,銀盤中的“常住”氣體會與銀盤的旋轉速度一致。而高速分子云中氣體的移動速度要快於銀盤的旋轉速度,這意味着它們很可能就是入流或外流氣體的一種。再觀測分子云的速度走向,分析它是向著銀盤移動還是遠離銀盤移動,即可判斷該分子云是銀河系吸入的還是呼出的氣體。

      當然,也有學者指出,該研究忽略了本就存在於銀盤中的高速氣體結構,如費米氣泡等,這些銀盤中已有的結構無疑會給實驗帶來誤差。

      左文文也表示,該研究僅基於溫度較低(約 10000 開爾文)的氣體雲塊,給出的每年入流、外流的氣體質量均是下限,還需要有更多數據才能得到更確切的結果。

      呼吸的意義 調控恆星生命周期

      “恆星的形成會受到氣體入流與外流之間關係的調節。所以研究氣體循環過程,對於研究恆星形成、星系演化有很重要的作用。”左文文表示,銀河系是我們所居住的星系,擁有相對來說更豐富的觀測數據去研究氣體循環問題。

      也許很多人都會好奇,如果銀河系一直處於氣體入流多於外流的狀態,可能會怎樣?

      “內流多於外流,表明星系會累積更多的氣體。銀河系提供了恆星產生所需的原料——氣體、塵埃,有助於後續的恆星形成。”左文文表示,相反,如果星系中氣體外流一直多於內流,總有一天,恆星形成的原材料會損失殆盡,星系中便再沒有新恆星形成了。事實上,雖然入流和外流決定了一個星系是否會有持續的恆星形成,但還要關注兩者差距有多大以及這種情況持續時間有多長。

      2018 年日本東北大學的天文學家在《自然》雜誌撰文指出,銀河系在兩次恆星形成的“嬰兒潮”之間經歷了一個持續了數十億年的休眠期,實際上是在“死亡”后“復活”了,而這一現象與星系的氣體循環密不可分。

      根據這一研究,銀河系早期吸入大量寒冷氣體,開始形成第一代恆星。大約在 70 億年前,恆星坍塌爆炸產生的衝擊波將星系內氣體加熱到高溫。這導致寒冷氣體停止流入銀河系,恆星的形成也隨之停止。隨着時間的推移,銀河系的高溫氣體逐漸輻射冷卻,並在 50 億年前開始吸入新的寒冷氣體。這導致了包括太陽在內的第二代恆星的形成。更重要的是,其他研究表明,銀河系的鄰居“仙女座”星系可能也經歷過類似的歷程。這表明大質量的旋渦星系往往會出現形成恆星的“休眠期”,而較小的星系則不會。

      事實上,星系“呼吸”的概念也適用於恆星甚至行星等宇宙中更小的系統。相比銀河系的“增重”,太陽和地球都在減重。根據美國國家航空航天局(NASA)和麻省理工學院的研究,太陽每年喪失 1324.5 萬億噸的質量,地球每年減輕 1 到 5 萬噸。

      正如今日宇宙(Universe Today)網站所寫:“無論我們談論的是行星、恆星還是星系,它們都在經歷出生、生存和死亡。在這期間,他們或許會增重或減重幾磅。生命的循環,便在宇宙的尺度上展開。”

    本站聲明:網站內容來源於博客園,如有侵權,請聯繫我們,我們將及時處理【其他文章推薦】

    ※為什麼 USB CONNECTOR 是電子產業重要的元件?

    收購3c,收購IPHONE,收購蘋果電腦-詳細收購流程一覽表

    網頁設計一頭霧水??該從何著手呢? 找到專業技術的網頁設計公司,幫您輕鬆架站!

    ※想要讓你的商品在網路上成為最夯、最多人討論的話題?

    ※高價收購3C產品,價格不怕你比較

    ※想知道最厲害的台北網頁設計公司推薦台中網頁設計公司推薦專業設計師”嚨底家”!!

  • 一文帶你深入了解 redis 複製技術及主從架構

    一文帶你深入了解 redis 複製技術及主從架構

    主從架構可以說是互聯網必備的架構了,第一是為了保證服務的高可用,第二是為了實現讀寫分離,你可能熟悉我們常用的 MySQL 數據庫的主從架構,對於我們 redis 來說也不意外,redis 數據庫也有各種各樣的主從架構方式,在主從架構中會涉及到主節點與從節點之間的數據同步,這個數據同步的過程在 redis 中叫做複製,這在篇文章中,我們詳細的聊一聊 redis 的複製技術和主從架構 ,本文主要有以下內容:

    • 主從架構環境搭建
      • 主從架構的建立方式
      • 主從架構的斷開
    • 複製技術的原理
      • 數據同步過程
      • 心跳檢測
    • 主從拓撲架構
      • 一主一從
      • 一主多從
      • 樹狀結構

    主從環境搭建

    redis 的實例在默認的情況下都是主節點,所以我們需要修改一些配置來搭建主從架構,redis 的主從架構搭建還是比較簡單的,redis 提供了三種方式來搭建主從架構,在後面我們將就介紹,在介紹之前我們要先了解主從架構的特性:在主從架構中有一個主節點(master)和最少一個從節點(slave),並且數據複製是單向的,只能從主節點複製到從節點,不能由從節點到主節點。

    主從架構的建立方式

    主從架構的建立有以下三種方式:

    • 在 Redis.conf 配置文件中加入 slaveof {masterHost} {masterPort} 命令,隨 Redis 實例的啟動生效
    • 在 redis-server 啟動命令后加入 –slaveof {masterHost} {masterPort} 參數
    • 在 redis-cli 交互窗口下直接使用命令:slaveof {masterHost} {masterPort}

    上面三種方式都可以搭建 Redis 主從架構,我們以第一種方式來演示,其他兩種方式自行嘗試,由於是演示,所以就在本地啟動兩個 Redis 實例,並不在多台機器上啟動 redis 的實例了,我們準備一個端口 6379 的主節點實例,準備一個端口 6480 從節點的實例,端口 6480 的 redis 實例配置文件取名為 6480.conf 並且在裏面添加 slaveof 語句,在配置文件最後加入如下一條語句

    slaveof 127.0.0.1 6379

    分別啟動兩個 redis 實例,啟動之後他們會自動建立主從關係,關於這背後的原理,我們後面在詳細的聊一聊,先來驗證一下我們的主從架構是否搭建成功,我們先在 6379 master 節點上新增一條數據:

    然後再 6480 slave 節點上獲取該數據:

    可以看出我們在 slave 節點上已經成功的獲取到了在 master 節點新增的值,說明主從架構已經搭建成功了,我們使用 info replication 命令來查看兩個節點的信息,先來看看主節點的信息

    可以看出 6379 端口的實例 role 為 master,有一個正在連接的實例,還有其他運行的信息,我們再來看看 6480 端口的 redis 實例信息

    可以看出兩個節點之間相互記錄著對象的信息,這些信息在數據複製時候將會用到。在這裡有一點需要說明一下,默認情況下 slave 節點是只讀的,並不支持寫入,也不建議開啟寫入,我們可以驗證一下,在 6480 實例上寫入一條數據

    127.0.0.1:6480> set x 3
    (error) READONLY You can't write against a read only replica.
    127.0.0.1:6480> 

    提示只讀,並不支持寫入操作,當然我們也可以修改該配置,在配置文件中 replica-read-only yes 配置項就是用來控制從服務器只讀的,為什麼只能只讀?因為我們知道複製是單向的,數據只能由 master 到 slave 節點,如果在 salve 節點上開啟寫入的話,那麼修改了 slave 節點的數據, master 節點是感知不到的,slave 節點的數據並不能複製到 master 節點上,這樣就會造成數據不一致的情況,所以建議 slave 節點只讀

    主從架構的斷開

    主從架構的斷開同樣是 slaveof 命令,在從節點上執行 slaveof no one 命令就可以與主節點斷開追隨關係,我們在 6480 節點上執行 slaveof no one 命令

    127.0.0.1:6480> slaveof no one
    OK
    127.0.0.1:6480> info replication
    # Replication
    role:master
    connected_slaves:0
    master_replid:a54f3ba841c67762d6c1e33456c97b94c62f6ac0
    master_replid2:e5c1ab2a68064690aebef4bd2bd4f3ddfba9cc27
    master_repl_offset:4367
    second_repl_offset:4368
    repl_backlog_active:1
    repl_backlog_size:1048576
    repl_backlog_first_byte_offset:1
    repl_backlog_histlen:4367
    127.0.0.1:6480> 

    執行完 slaveof no one 命令之後,6480 節點的角色立馬恢復成了 master ,我們再來看看時候還和 6379 實例連接在一起,我們在 6379 節點上新增一個 key-value

    127.0.0.1:6379> set y 3
    OK

    在 6480 節點上 get y

    127.0.0.1:6480> get y
    (nil)
    127.0.0.1:6480> 

    在 6480 節點上獲取不到 y ,因為 6480 節點已經跟 6379 節點斷開的聯繫,不存在主從關係了,slaveof 命令不僅能夠斷開連接,還能切換主服務器,使用命令為 slaveof {newMasterIp} {newMasterPort},我們讓 6379 成為 6480 的從節點, 在 6379 節點上執行 slaveof 127.0.0.1 6480 命令,我們在來看看 6379 的 info replication

    127.0.0.1:6379> info replication
    # Replication
    role:slave
    master_host:127.0.0.1
    master_port:6480
    master_link_status:up
    master_last_io_seconds_ago:2
    master_sync_in_progress:0
    slave_repl_offset:4367
    slave_priority:100
    slave_read_only:1
    connected_slaves:0
    master_replid:99624d4b402b5091552b9cb3dd9a793a3005e2ea
    master_replid2:0000000000000000000000000000000000000000
    master_repl_offset:4367
    second_repl_offset:-1
    repl_backlog_active:1
    repl_backlog_size:1048576
    repl_backlog_first_byte_offset:4368
    repl_backlog_histlen:0
    127.0.0.1:6379> 

    6379 節點的角色已經是 slave 了,並且主節點的是 6480 ,我們可以再看看 6480 節點的 info replication

    127.0.0.1:6480> info replication
    # Replication
    role:master
    connected_slaves:1
    slave0:ip=127.0.0.1,port=6379,state=online,offset=4479,lag=1
    master_replid:99624d4b402b5091552b9cb3dd9a793a3005e2ea
    master_replid2:a54f3ba841c67762d6c1e33456c97b94c62f6ac0
    master_repl_offset:4479
    second_repl_offset:4368
    repl_backlog_active:1
    repl_backlog_size:1048576
    repl_backlog_first_byte_offset:1
    repl_backlog_histlen:4479
    127.0.0.1:6480> 

    在 6480 節點上有 6379 從節點的信息,可以看出 slaveof 命令已經幫我們完成了主服務器的切換。

    複製技術的原理

    redis 的主從架構好像很簡單一樣,我們就執行了一條命令就成功搭建了主從架構,並且數據複製也沒有問題,使用起來確實簡單,但是這背後 redis 還是幫我們做了很多的事情,比如主從服務器之間的數據同步、主從服務器的狀態檢測等,這背後 redis 是如何實現的呢?接下來我們就一起看看

    數據複製原理

    我們執行完 slaveof 命令之後,我們的主從關係就建立好了,在這個過程中, master 服務器與 slave 服務器之間需要經歷多個步驟,如下圖所示:

    slaveof 命令背後,主從服務器大致經歷了七步,其中權限驗證這一步不是必須的,為了能夠更好的理解這些步驟,就以我們上面搭建的 redis 實例為例來詳細聊一聊各步驟。

    1、保存主節點信息

    在 6480 的客戶端向 6480 節點服務器發送 slaveof 127.0.0.1 6379 命令時,我們會立馬得到一個 OK

    127.0.0.1:6480> slaveof 127.0.0.1 6379
    OK
    127.0.0.1:6480> 

    這時候數據複製工作並沒有開始,數據複製工作是在返回 OK 之後才開始執行的,這時候 6480 從節點做的事情是將給定的主服務器 IP 地址 127.0.0.1 以及端口 6379 保存到服務器狀態的 masterhost 屬性和 masterport 屬性裏面

    2、建立 socket 連接

    在 slaveof 命令執行完之後,從服務器會根據命令設置的 IP 地址和端口,跟主服務器創建套接字連接, 如果從服務器能夠跟主服務器成功的建立 socket 連接,那麼從服務器將會為這個 socket 關聯一個專門用於處理複製工作的文件事件處理器,這個處理器將負責後續的複製工作,比如接受全量複製的 RDB 文件以及服務器傳來的寫命令。同樣主服務器在接受從服務器的 socket 連接之後,將為該 socket 創建一個客戶端狀態,這時候的從服務器同時具有服務器和客戶端兩個身份,從服務器可以向主服務器發送命令請求而主服務器則會向從服務器返回命令回復。

    3、發送 ping 命令

    從服務器與主服務器連接成功后,做的第一件事情就是向主服務器發送一個 ping 命令,發送 ping 命令主要有以下目的:

    • 檢測主從之間網絡套接字是否可用
    • 檢測主節點當前是否可接受處理命令

    在發送 ping 命令之後,正常情況下主服務器會返回 pong 命令,接受到主服務器返回的 pong 回復之後就會進行下一步工作,如果沒有收到主節點的 pong 回復或者超時,比如網絡超時或者主節點正在阻塞無法響應命令,從服務器會斷開複製連接,等待下一次定時任務的調度。

    4、身份驗證

    從服務器在接收到主服務器返回的 pong 回復之後,下一步要做的事情就是根據配置信息決定是否需要身份驗證:

    • 如果從服務器設置了 masterauth 參數,則進行身份驗證
    • 如果從服務器沒有設置 masterauth 參數,則不進行身份驗證

    在需要身份驗證的情況下,從服務器將就向主服務器發送一條 auth 命令,命令參數為從服務器 masterauth 選項的值,舉個例子,如果從服務器的配置里將 masterauth 參數設置為:123456,那麼從服務器將向主服務器發送 auth 123456 命令,身份驗證的過程也不是一帆風順的,可能會遇到以下幾種情況:

    • 從服務器通過 auth 命令發送的密碼與主服務器的 requirepass 參數值一致,那麼將繼續進行後續操作,如果密碼不一致,主服務將返回一個 invalid password 錯誤
    • 如果主服務器沒有設置 requirepass 參數,那麼主服務器將返回一個 no password is set 錯誤

    所有的錯誤情況都會令從服務器中止當前的複製工作,並且要從建立 socket 開始重新發起複制流程,直到身份驗證通過或者從服務器放棄執行複製為止

    5、發送端口信息

    在身份驗證通過後,從服務器將執行 REPLCONF listening 命令,向主服務器發送從服務器的監聽端口號,例如在我們的例子中從服務器監聽的端口為 6480,那麼從服務器將向主服務器發送 REPLCONF listening 6480 命令,主服務器接收到這個命令之後,會將端口號記錄在從服務器所對應的客戶端狀態的 slave_listening_port 屬性了,也就是我們在 master 服務器的 info replication 裏面看到的 port 值。

    6、數據複製

    數據複製是最複雜的一塊了,由 psync 命令來完成,從服務器會向主服務器發送一個 psync 命令來進行數據同步,在 redis 2.8 版本以前使用的是 sync 命令,除了命令不同之外,在複製的方式上也有很大的不同,在 redis 2.8 版本以前使用的都是全量複製,這對主節點和網絡會造成很大的開銷,在 redis 2.8 版本以後,數據同步將分為全量同步和部分同步。

    • 全量複製:一般用於初次複製場景,不管是新舊版本的 redis 在從服務器第一次與主服務連接時都將進行一次全量複製,它會把主節點的全部數據一次性發給從節點,當數據較大時,會對主節點和網絡造成很大的開銷,redis 的早期版本只支持全量複製,這不是一種高效的數據複製方式

    • 部分複製:用於處理在主從複製中因網絡閃斷等原因造成的數據丟失 場景,當從節點再次連上主節點后,如果條件允許,主節點會補發丟失數據 給從節點。因為補發的數據遠遠小於全量數據,可以有效避免全量複製的過高開銷,部分複製是對老版複製的重大優化,有效避免了不必要的全量複製操作

    redis 之所以能夠支持全量複製和部分複製,主要是對 sync 命令的優化,在 redis 2.8 版本以後使用的是一個全新的 psync 命令,命令格式為:psync {runId} {offset},這兩個參數的意義:

    • runId:主節點運行的id
    • offset:當前從節點複製的數據偏移量

    也許你對上面的 runid、offset 比較陌生,沒關係,我們先來看看下面三個概念:

    1、複製偏移量

    參与複製的主從節點都會分別維護自身複製偏移量:主服務器每次向從服務器傳播 N 個字節的數據時,就將自己的偏移量的值加上 N,從服務器每次接收到主服務器傳播的 N個字節的數據時,將自己的偏移量值加上 N。通過對比主從服務器的複製偏移量,就可以知道主從服務器的數據是否一致,如果主從服務器的偏移量總是相同,那麼主從數據一致,相反,如果主從服務器兩個的偏移量並不相同,那麼說明主從服務器並未處於數據一致的狀態,比如在有多個從服務器時,在傳輸的過程中某一個服務器離線了,如下圖所示:

    由於從服務器A 在數據傳輸時,由於網絡原因掉線了,導致偏移量與主服務器不一致,那麼當從服務器A 重啟並且與主服務器連接成功后,重新向主服務器發送 psync 命令,這時候數據複製應該執行全量複製還是部分複製呢?如果執行部分複製,主服務器又如何補償從服務器A 在斷線期間丟失的那部分數據呢?這些問題的答案都在複製積壓緩衝區裏面

    2、複製積壓緩衝區

    複製積壓緩衝區是保存在主節點上的一個固定長度的隊列,默認大小為 1MB,當主節點有連接的從節點(slave)時被創建,這時主節點(master) 響應寫命令時,不但會把命令發送給從節點,還會寫入複製積壓緩衝區,如下圖所示:

    因此,主服務器的複製積壓緩衝區裏面會保存着一部分最近傳播的寫命令,並且複製積壓緩衝區會為隊列中的每個字節記錄相應的複製偏移量。所以當從服務器重新連上主服務器時,從服務器通過 psync 命令將自己的複製偏移量 offset 發送給主服務器,主服務器會根據這個複製偏移量來決定對從服務器執行何種數據同步操作:

    • 如果從服務器的複製偏移量之後的數據仍然存在於複製積壓緩衝區裏面,那麼主服務器將對從服務器執行部分複製操作
    • 如果從服務器的複製偏移量之後的數據不存在於複製積壓緩衝區裏面,那麼主服務器將對從服務器執行全量複製操作

    3、服務器運行ID

    每個 Redis 節點啟動后都會動態分配一個 40 位的十六進制字符串作為運行 ID,運行 ID 的主要作用是用來唯一識別 Redis 節點,我們可以使用 info server 命令來查看

    127.0.0.1:6379> info server
    # Server
    redis_version:5.0.5
    redis_git_sha1:00000000
    redis_git_dirty:0
    redis_build_id:2ef1d58592147923
    redis_mode:standalone
    os:Linux 3.10.0-957.27.2.el7.x86_64 x86_64
    arch_bits:64
    multiplexing_api:epoll
    atomicvar_api:atomic-builtin
    gcc_version:4.8.5
    process_id:25214
    run_id:7b987673dfb4dfc10dd8d65b9a198e239d20d2b1
    tcp_port:6379
    uptime_in_seconds:14382
    uptime_in_days:0
    hz:10
    configured_hz:10
    lru_clock:14554933
    executable:/usr/local/redis-5.0.5/src/./redis-server
    config_file:/usr/local/redis-5.0.5/redis.conf
    127.0.0.1:6379> 

    這裏面有一個run_id 字段就是服務器運行的ID

    了解這幾個概念之後,我們一起來看看 psync 命令的運行流程,psync 命令運行流程如下圖所示:

    psync 命令的邏輯比較簡單,整個流程分為兩步:

    1、從節點發送 psync 命令給主節點,參數 runId 是當前從節點保存的主節點運行ID,參數offset是當前從節點保存的複製偏移量,如果是第一次參与複製則默認值為 -1。

    2、主節點接收到 psync 命令之後,會向從服務器返回以下三種回復中的一種:

    • 回復 +FULLRESYNC {runId} {offset}:表示主服務器將與從服務器執行一次全量複製操作,其中 runid 是這個主服務器的運行 id,從服務器會保存這個id,在下一次發送 psync 命令時使用,而 offset 則是主服務器當前的複製偏移量,從服務器會將這個值作為自己的初始化偏移量
    • 回復 +CONTINUE:那麼表示主服務器與從服務器將執行部分複製操作,從服務器只要等着主服務器將自己缺少的那部分數據發送過來就可以了
    • 回復 +ERR:那麼表示主服務器的版本低於 redis 2.8,它識別不了 psync 命令,從服務器將向主服務器發送 sync 命令,並與主服務器執行全量複製

    7、命令持續複製

    當主節點把當前的數據同步給從節點后,便完成了複製的建立流程。但是主從服務器並不會斷開連接,因為接下來主節點會持續地把寫命令發送給從節點,保證主從數據一致性。

    經過上面 7 步就完成了主從服務器之間的數據同步,由於這篇文章的篇幅比較長,關於全量複製和部分複製的細節就不介紹了,全量複製就是將主節點的當前的數據生產 RDB 文件,發送給從服務器,從服務器再從本地磁盤加載,這樣當文件過大時就需要特別大的網絡開銷,不然由於數據傳輸比較慢會導致主從數據延時較大,部分複製就是主服務器將複製積壓緩衝區的寫命令直接發送給從服務器。

    心跳檢測

    心跳檢測是發生在主從節點在建立複製后,它們之間維護着長連接並彼此發送心跳命令,便以後續持續發送寫命令,主從心跳檢測如下圖所示:

    主從節點彼此都有心跳檢測機制,各自模擬成對方的客戶端進行通信,主從心跳檢測的規則如下:

    • 主節點默認每隔 10 秒對從節點發送 ping 命令,判斷從節點的存活性和連接狀態。可通過修改 redis.conf 配置文件裏面的 repl-ping-replica-period 參數來控制發送頻率
    • 從節點在主線程中每隔 1 秒發送 replconf ack {offset} 命令,給主節點 上報自身當前的複製偏移量,這條命令除了檢測主從節點網絡之外,還通過發送複製偏移量來保證主從的數據一致

    主節點根據 replconf 命令判斷從節點超時時間,體現在 info replication 統 計中的 lag 信息中,我們在主服務器上執行 info replication 命令:

    127.0.0.1:6379> info replication
    # Replication
    role:master
    connected_slaves:1
    slave0:ip=127.0.0.1,port=6480,state=online,offset=25774,lag=0
    master_replid:c62b6621e3acac55d122556a94f92d8679d93ea0
    master_replid2:0000000000000000000000000000000000000000
    master_repl_offset:25774
    second_repl_offset:-1
    repl_backlog_active:1
    repl_backlog_size:1048576
    repl_backlog_first_byte_offset:1
    repl_backlog_histlen:25774
    127.0.0.1:6379> 

    可以看出 slave0 字段的值最後面有一個 lag,lag 表示與從節點最後一次通信延遲的秒數,正常延遲應該在 0 和 1 之間。如果超過 repl-timeout 配置的值(默認60秒),則判定從節點下線並斷開複製客戶端連接,如果從節點重新恢復,心跳檢測會繼續進行。

    主從拓撲架構

    Redis的主從拓撲結構可以支持單層或多層複製關係,根據拓撲複雜性可以分為以下三種:一主一從、一主多從、樹狀主從架構

    一主一從結構

    一主一從結構是最簡單的複製拓撲結構,我們前面搭建的就是一主一從的架構,架構如圖所示:

    一主一從架構用於主節點出現宕機時從節點 提供故障轉移支持,當應用寫命令併發量較高且需要持久化時,可以只在從節點上開啟 AOF,這樣既保證數據安全性同時也避免了持久化對主節點的性能干擾。但是這裡有一個坑,需要你注意,就是當主節點關閉持久化功能時, 如果主節點脫機要避免自動重啟操作。因為主節點之前沒有開啟持久化功能自動重啟后數據集為空,這時從節點如果繼續複製主節點會導致從節點數據也被清空的情況,喪失了持久化的意義。安全的做法是在從節點上執行 slaveof no one 斷開與主節點的複製關係,再重啟主節點從而避免這一問題

    一主多從架構

    一主多從架構又稱為星形拓撲結構,一主多從架構如下圖所示:

    一主多從架構可以實現讀寫分離來減輕主服務器的壓力,對於讀佔比較大的場景,可以把讀命令發送到 從節點來分擔主節點壓力。同時在日常開發中如果需要執行一些比較耗時的讀命令,如:keys、sort等,可以在其中一台從節點上執行,防止慢查詢對主節點造成阻塞從而影響線上服務的穩定性。對於寫併發量較高的場景,多個從節點會導致主節點寫命令的多次發送從而過度消耗網絡帶寬,同時也加重了主節點的負載影響服務穩定性。

    樹狀主從架構

    樹狀主從架構又稱為樹狀拓撲架構,樹狀主從架構如下圖所示:

    樹狀主從架構使得從節點不但可以複製主節 數據,同時可以作為其他從節點的主節點繼續向下層複製。解決了一主多從架構中的不足,通過引入複製中 間層,可以有效降低主節點負載和需要傳送給從節點的數據量。如架構圖中,數據寫入節點A 後會同步到 B 和 C節點,B節點再把數據同步到 D 和 E節點,數據實現了一層一層的向下複製。當主節點需要掛載多個從節點時為了避免對主節點的性能干擾,可以採用樹狀主從結構降低主節點壓力。

    最後

    目前互聯網上很多大佬都有 Redis 系列教程,如有雷同,請多多包涵了。原創不易,碼字不易,還希望大家多多支持。若文中有所錯誤之處,還望提出,謝謝。

    歡迎掃碼關注微信公眾號:「平頭哥的技術博文」,和平頭哥一起學習,一起進步。

    本站聲明:網站內容來源於博客園,如有侵權,請聯繫我們,我們將及時處理【其他文章推薦】

    ※為什麼 USB CONNECTOR 是電子產業重要的元件?

    收購3c,收購IPHONE,收購蘋果電腦-詳細收購流程一覽表

    網頁設計一頭霧水??該從何著手呢? 找到專業技術的網頁設計公司,幫您輕鬆架站!

    ※想要讓你的商品在網路上成為最夯、最多人討論的話題?

    ※高價收購3C產品,價格不怕你比較

    ※想知道最厲害的台北網頁設計公司推薦台中網頁設計公司推薦專業設計師”嚨底家”!!

  • 直面安全挑戰智能製造工控安全解決方案

    網站內容來源http://server.it168.com/

    直面安全挑戰智能製造工控安全解決方案

    2016-12-12 20:04    原創  作者: 廠商投稿 編輯:
    0購買

    【IT168 方案】近日,世界智能製造大會在南京召開,國內外智能製造領域專家共聚一堂,為世界智能製造發展出謀划策。大會期間,工信部正式發布《智能製造發展規劃(2016-2020年)》,繪製了中國智能製造的宏偉藍圖和推進的路線圖。

    中國製造業的發展質量、創新能力、品牌塑造等與發達國家有較大差距,大而不強的問題是急需破解的瓶頸。必須順應全球製造業發展趨勢,把推進智能製造作為培育中國製造業增長的新動力。

    智能製造具有複雜性、系統性等特點,涉及研發設計、生產製造、倉儲物流、市場營銷、售後服務、信息諮詢等各個價值鏈環節,涉及執行設備層、控制層、管理層、企業層、雲服務層、網絡層等企業系統架構,需要進行橫向集成、縱向集成和端到端集成,智能製造生產網絡與互聯網的融合交互愈加深入。

    安全挑戰

    智能製造已日益成為製造業發展的重大趨勢和核心內容,要以智能製造新模式、新理念,全面革新傳統設計、製造技術和生產方式,加快網絡協同創新,推動通過虛擬加實體空間進行異地協同創新,實現資源優化整合。

    信息化和工業化深度融合,控制網、生產網、管理網、互聯網互聯互通成為常態,智能製造生產網絡的集成度越來越高,越來越多採用通用協議、通用硬件和通用軟件,生產控制系統信息安全問題日益突出,面臨更加複雜的信息安全威脅。

    網絡安全:與互聯網的深度融合,網絡IP化、無線化以及組網靈活化給智能製造網絡帶來更大安全風險。

    數據安全:數據的開放、流動和共享使數據和隱私保護面臨前所未有的挑戰。

    應用安全:網絡化協同、個性化定製等業務應用的多樣化對應用安全提出了更高要求。

    控制安全:控制環境開放化使外部互聯網威脅滲透到生產控制環境。

    設備安全:設備智能化使生產裝備和產品更易被攻擊,進而影響正常生產。

    解決方案

    依託對工業網絡和工業協議的深度認知和深入研究,威努特公司在工控安全領域積累了深厚的技術基礎,結合智能製造的現狀及特點,依據工信部《工業控制系統信息安全防護指南》指導要求,推出了覆蓋智能製造生產全流程的主動防護安全解決方案,協助智能製造企業構建生產控制網絡全面安全體系,切實保障安全智能生產。

    方案聚焦於生產網絡,多種安全產品有機結合構建縱深安全防護體系,直面智能製造生產控制網絡的安全挑戰,切實保障智能製造生產網絡的網絡安全、應用安全、數據安全、控制安全和設備安全。而辦公網和互聯網的網絡安全、數據安全、應用安全,則通過傳統信息安全手段進行防護。

    1) 方案架構

    主動安全防護體系全面覆蓋智能製造生產全流程,涵蓋管理網絡、控制網絡和現場設備等智能製造重要組成部分,方案架構圖如下所示:

    主動防護:威努特可信網關能夠深度識別和解析工業協議,構建安全白名單防護機制,識別並防範工業攻擊;通過自學習適應生產控制模式,放行正常操作指令,阻斷異常操作,確保生產控制安全。

    主機加固:威努特工控主機衛士通過掃描上位機程序和進程,構建白名單安全基線,實現系統安全加固,有效防範已知未知病毒的入侵和攻擊。

    安全審計:威努特工控監測審計平台基於工業協議深度解析生產網絡流量,監測和識別網絡中的入侵攻擊、異常操作、生產數據、重要操作等行為,並進行統計和分析。

    漏洞識別:威努特漏洞挖掘平台針對知名的工業控制協議進行分析,採用模糊監測技術進行安全性和健壯性測試,深度挖掘工控設備存在的已知和未知漏洞,協助客戶提升自身工控安全風險評估能力。

    統一管理:威努特統一安全管理平台能夠發現網絡中所有安全產品,進行統一管理、統一策略調整下發、統一日誌收集分析、統一實時的監控,極大簡化安全運維流程。

    2) 方案特點

    嚴格遵循工信部《工業控制系統信息安全防護指南》指導要求;

    注重整體防護,技術與管理兼顧;

    主動防護,抗擊安全風險;

    白名單機制,符合生產控制網絡實際情況;

    縱深防禦,整體安全保障;

    多種安全產品有機結合,覆蓋生產製造全流程;

    集中統一可視化管理,簡化運維。

    3) 客戶價值

    全面提高智能製造生產網絡的整體安全性,確保設備、系統、網絡的可靠性、穩定性和安全性,為安全生產保駕護航。

    全面改進智能製造業務人員的安全水平和安全意識,提高安全生產管理水平、工作效率和管理效率。

    全面提升智能製造網絡安全防護管理的合規性,符合國家主管部門智能製造發展規劃要求及工控安全防護要求,

    協助智能製造企業建立工控安全防護規範,樹立行業標桿,形成示範效應。

    小結

    智能製造面臨的安全風險、入侵途徑、攻擊手段等多種多樣,具有很大的不確定性,但是智能製造的安全防護必須是確定的。確定的安全,強調的是防護動作的可預期性,產生效果的可預知性。能夠確定的告訴用戶,用戶也能確定的知道,安全設備上去之後能做什麼事情,能夠對生產控制網絡帶來哪些防護的效果。

    威努特致力於為智能製造企業提供“確定的安全”,深入研究智能製造生產網絡存在的安全風險,確定安全問題出現的根源,針對癥結提供基於白名單機制的安全產品,構建智能製造工控安全的“白環境”。

    工控系統來不得半點虛假,不需要概念的炒作,要談工控安全,一定得是確定的安全。

    ,
    網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

    【精選推薦文章】

    自行創業 缺乏曝光? 下一步”網站設計“幫您第一時間規劃公司的門面形象

    網頁設計一頭霧水??該從何著手呢? 找到專業技術的網頁設計公司,幫您輕鬆架站!

    評比前十大台北網頁設計台北網站設計公司知名案例作品心得分享

    台北網頁設計公司這麼多,該如何挑選?? 網頁設計報價省錢懶人包”嚨底家”

    直面安全挑戰智能製造工控安全解決方案

  • 銳捷解決廈門百年醫院終端管控的安全問題

    網站內容來源http://server.it168.com/

    銳捷解決廈門百年醫院終端管控的安全問題

    2017-12-13 19:20    原創  作者: 廠商投稿 編輯:
    0購買

    【IT168 案例】互聯網時代,由信息泄露導致的各種悲劇和案件時有發生。在醫療領域,患者的隱私信息泄露已成為社會的巨大隱憂,不少醫院的用戶信息更是成為犯罪分子的重點盜取目標。為了更好地防範安全風險,廈門市第一醫院杏林院區(以下簡稱:杏林院區)一直在尋找克服終端安全隱患的“良藥”。

    終端准入面臨多重困境

    杏林院區位於廈門杏林台商投資區,創立於1898年,歷經百餘年的發展,杏林院區已經成為國內專治肺病的特長專科醫院。

    在醫療行業中,網絡常分為內網和外網,其中內網為生產網,基於安全考慮通常會進行終端的准入控制,合法的終端才允許接入網絡, 因此,對終端准入的管控,自然而然地成為杏林院區防範安全風險的第一道門禁。

    廈門市第一醫院杏林院林主任對於終端准入的重要性早已有所認識,且對目前主流廠商的技術有充分的認知。與客戶訪談中客戶告知我們現在常見的准入策略有認證(如802.1X認證、Web認證),但是由於認證方式引入的認證服務器單點故障,認證性能瓶頸,需要客戶端等,可靠性等問題,造成了當前醫療行業內選擇動態認證方式的不多。

    痛點一:動態認證型准入局限性

    比如:醫院門診有非常多的啞終端,目前業界的方案都是要裝客戶端或者網頁認證,無法在諸如取號機,電視牆,LED叫號機等設備上使用。

      圖:自助機/自助打印機

      痛點二:IP+MAC綁定的局限性

    和不少醫院通行的做法一樣,杏林院區開始選擇了常見的准入部署方式,即靜態IP+MAC綁定方式。然而,杏林院區逐漸發現,使用接入交換機的IP+MAC綁定的方式更帶來了多重問題:

    信息收集麻煩。如果人工收集每一台接入終端的MAC地址,並且知曉其所連接的接入交換機,初始實施時還相對方便,後續的設備變更則會隨着網絡維護時間變長而信息混亂。

    配置繁瑣。手工對每台接入交換機進行配置,當生產網範圍較大時,實施工作量倍增。比如mac地址的8跟B有時候長太像了十分容易出錯。

    表項遺留。接入交換機上會存在大量的靜態配置,進行IP+MAC綁定關係變更時,比較容易出錯,因為同一批採購的終端可能MAC地址段相近。

    在醫院中後期進行病區裝修,辦公室調整時,需要對接入交換機的IP+MAC綁定表項重新配置,如果設備跨網關遷移時,還需要重新分配IP地址。

     典型痛點三:IP地址的複雜

    同時對於IP地址的管理維護,廈門市第一醫院杏林院區採用的是execl登記,為信息中心人工帶來不少麻煩。

    1.IP衝突

    整網800多個終端採用手工Excel維護,太繁瑣,效率低。網絡中經常出現IP地址衝突。

    2.Mac地址收集難

    一台設備的mac地址好的話有貼標籤,有些設備沒有貼標籤的壓根無法收集mac。

    3.設備報廢

    設備報廢后,因為設備也無法開機,所以ip也就跟着石沉大海。ip地址回收使用率低。

    4.私設IP/欺騙嘗盡

    有時候護士會看看換個ip地址是否能上網,換完IP后,直接導致跟主任醫師的IP地址衝突,導致斷網。

    輕量級准入方案——針對痛點的精準“外科手術”

    對於醫療行業經常遇到的終端管控這一“疑難病症”,銳捷創新推出的輕量級准入方案可以說是切中痛點的“精準外科手術”,其優勢主要體現在以下三個方面:

    1.免客戶端准入

    在醫院所有場景,各類取號機,電視牆,LED叫號機等無客戶端的啞終端都能做准入,簡單安全。

    2.IP+MAC信息的自動收集

    通過自動IP+MAC信息收集和綁定,減少廈門市第一醫院杏林院區用戶成倍的工作量,告別MAC地址手動手機,告別IPHEMAC的手動綁定,告別接入交換機的手動配置。極大減少出錯的概率。

    3.可視化IP地址管理

    廈門市第一醫院使用靜態IP地址。這樣的應用場景自然不可迴避的就是IP地址管理的問題。輕量級准入的IP可視化管理讓原來只能通過Excel來簡單記錄IP地址的廈門市第一醫院杏林院區有了更直觀簡單的解決辦法。

    杏林醫院從7月份割接運行20多台接入設備,門診、住院部等地區近百台客戶各種類型終端,截止到目前穩定運行。

    “輕量級准入方案的功能實用方便,IP地址管理清晰直觀,自動化水平高,讓內網終端接入管理變得輕鬆簡單,在減輕IT運維人員的工作壓力的同時,有效保護了醫院的數據和信息系統安全。”杏林院區的IT運維負責人對方案的評價也銳捷輕量級准入方案的最終“療效”。

    ,
    網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

    【精選推薦文章】

    智慧手機時代的來臨,RWD網頁設計已成為網頁設計推薦首選

    想知道網站建置、網站改版該如何進行嗎?將由專業工程師為您規劃客製化網頁設計及後台網頁設計

    帶您來看台北網站建置台北網頁設計,各種案例分享

    廣告預算用在刀口上,網站設計公司幫您達到更多曝光效益

    銳捷解決廈門百年醫院終端管控的安全問題

  • 威脅聚焦:快速追蹤BadRabbit勒索軟件

    網站內容來源http://server.it168.com/

    威脅聚焦:快速追蹤BadRabbit勒索軟件

    2017-10-25 23:54    原創  作者: 思科 編輯:
    0購買

    【IT168 技術】2017 年 10 月 24 日,思科 Talos 接到警報,網絡上出現了一種大規模的勒索軟件攻擊活動,影響到了東歐和俄羅斯的很多組織。與以前一樣,我們迅速行動起來,評估局勢並確保保護客戶不受此勒索軟件和其他新出現的威脅影響。

    最近幾個月來已經出現了好幾次大規模的勒索軟件攻擊活動。這次的勒索軟件與 Nyetya 存在一些相似之處,也是以 Petya 勒索軟件為基礎,但是對大部分代碼進行了改寫。這次傳播的病毒似乎沒有我們最近發現的供應鏈攻擊那麼複雜。

    傳播

    Talos 進行了評估,確信攻擊者通過 “路過式下載” 方法傳播了一種虛假 Flash Player 更新,並通過此更新入侵系統。攻擊者將被入侵的網站重定向至 BadRabbit,受影響的網站很多,主要位於俄羅斯、保加利亞和土耳其。

    當用戶訪問被入侵的網站時,系統會重定向至 1dnscontrol[.]com 這一託管該惡意文件的網站。在下載實際的惡意文件之前,攻擊者會向靜態 IP 地址 (185.149.120[.]3) 發送一個 POST 請求。我們發現該請求發布到了 “/scholasgoogle” 靜態路徑,並向用戶提供代理、引用站點、Cookie 和域名。在發布 POST 請求之後,系統從 1dnscontrol[.]com 的兩個不同路徑 /index.php 和 /flash_install.php 下載了植入程序。儘管使用了兩個路徑,但卻只下載了一個文件。根據當前信息,在服務器 1dnscontrol[.]com 被入侵之前,該惡意軟件似乎已經活動了大約六小時。我們觀察到的首次下載時間大約在 UTC 時間 2017 年 10 月 24 日早上 8:22。

    植入程序 (630325cac09ac3fab908f903e3b00d0dadd5fdaa0875ed8496fcbb97a558d0da) 需要用戶協助實施感染,而未使用任何漏洞攻擊包來直接入侵系統。該植入程序包含 BadRabbit 勒索軟件。該植入程序安裝之後,它會使用一個 SMB 組件來進行內部擴散和進一步感染。其做法似乎是組合使用隨附的弱憑證列表和與 Nyetya 所用的類似的 mimikatz 版本。下面是我們觀察到的用戶名/密碼組合的列表。請注意,這與 1995 年臭名昭着的 “黑客” 存在重合。

    ▲我們觀察到的密碼列表

       儘管已經製作初步報告,但是我們目前沒有任何證據表明攻擊者利用了 EternalBlue 漏洞攻擊包來傳播感染。然而,我們的研究還在繼續,如果獲得更多信息,我們將及時公布。

     技術詳情

    該惡意軟件包含一個負責提取和執行蠕蟲負載的植入程序。這個負載包含以下存儲於資源中的附加二進制文件(使用 zlib 壓縮):

    ●若干與 DiskCryptor 關聯的合法二進制文件(2 個驅動程序 x86/x64 和 1 個客戶端);

    ●2 個類似於 mimikatz 的二進制文件 (x86/x64),與 Nyetya 中發現的樣本相似。這是一種常見的開源工具,用於通過幾種不同的方法從計算機內存中恢復用戶憑證。

    該植入程序向 C:\Windows\ 目錄植入若干文件。攻擊者利用 Nyetya 攻擊活動中相同的方法執行那些類似於 mimikatz 的二進制文件。負載和憑證竊取程序之間使用指定管道命令進行通信,下面是一個這種管道命令的示例:

    C:\WINDOWS\561D.tmp \\.\pipe\{C1F0BF2D-8C17-4550-AF5A-65A22C61739C}

    然後,該惡意軟件使用 RunDLL32.exe 執行惡意軟件並繼續進行惡意操作。隨後,該惡意軟件使用如下屏幕截圖所示的參數創建一個預定任務:

    除了上述預定任務,該惡意軟件還會再創建一個負責重啟系統的預定任務。這第二個任務不會立即執行,而是按照計劃稍後執行。

    如果感覺這些預定任務的名稱看起來很熟悉,那是因為它們引用了《權利的遊戲》的內容,具體而言它們與裏面那些龍的名字是一致的。該惡意軟件還在受感染用戶的桌面上創建了一個名為 DECRYPT 的文件。如果受害者執行此文件,系統會显示一封如下所示的勒索信。

    為了揭示這類威脅在全球的傳播速度有多快,我們繪製了下圖,從中可以看出,在用於傳播那個在受害者系統上植入惡意軟件的虛假 Adobe Flash 更新的域中,其中一個域就存在非常活躍的 DNS 相關活動。

    該惡意軟件修改了被感染系統硬盤的主啟動記錄 (MBR),將啟動過程重定向到惡意軟件製作者代碼中,從而显示勒索信。系統重啟之後显示的勒索信如下,與今年其他重大攻擊中發現的其他勒索軟件變體(即 Petya)所显示的勒索信非常相似。

    以下是 TOR 網站显示的付款頁面:

    結論

    這次攻擊活動又一次證明了,勒索軟件可以如何高效地使用 SMB 等輔助傳播方法進行快速傳播。在此例中,初始攻擊媒介不是複雜的供應鏈攻擊,而是利用被入侵的網站實現的 “路過式下載” 基本攻擊。這正在迅速成為威脅形勢的新常態。威脅傳播速度越快,留給防禦者的響應時間就越短,勢必造成巨大的危害。無論攻擊者是想謀取錢財,還是想蓄意破壞,勒索軟件都是首選威脅方式。只要還有牟利或造成破壞的可能,這類威脅就會繼續肆虐。

    這類威脅也擴大了需要處理的另一重要問題,那就是對用戶進行宣傳教育。在此次攻擊中,用戶需要協助攻擊者實現初步感染。如果用戶不安裝那個 Flash 更新,就不會幫助完成這個攻擊過程,該惡意軟件就會保持良性狀態,不會對該地區造成嚴重破壞。一旦用戶幫助完成了初步感染,該惡意軟件就可以利用現有的方法(例如 SMB)在整個網絡內傳播病毒,而無需用戶交互。

    防護

    ●高級惡意軟件防護(AMP )– 解決方案可以有效防止執行威脅發起者使用的惡意軟件。

    ●CWS 和 WSA Web–掃描功能可以阻止訪問惡意網站,並檢測這些攻擊中所用的惡意軟件。

    ●網絡安全設備–(例如 NGFW、NGIPS 和 Meraki MX)可以檢測與此威脅相關的惡意活動。

    ●AMP ThreatGrid–可幫助識別惡意二進制文件,使所有思科安全產品都有內置保護措施。

    ●Umbrella–我們的安全互聯網網關 (SIG),可阻止用戶連接惡意域、IP 和 URL(無論用戶是否位於公司網絡上)。

    此次沒有發現攻擊者以郵件作為攻擊媒介。如果該惡意軟件在您網絡的這些系統之間傳輸,將會受到阻止。

    思科 Talos 簡介

    思科 Talos 團隊由業界領先的網絡安全專家組成,他們分析評估黑客活動,入侵企圖,惡意軟件以及漏洞的最新趨勢。包括 ClamAV 團隊和一些標準的安全工具書的作者中最知名的安全專家,都是思科 Talos 的成員。這個團隊同時得到了 Snort、ClamAV、Senderbase.org 和 Spamcop.net 社區的龐大資源支持,使得它成為網絡安全行業最大的安全研究團隊,也為思科的安全研究和安全產品服務提供了強大的後盾支持。

    網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

    【精選推薦文章】

    自行創業 缺乏曝光? 下一步”網站設計“幫您第一時間規劃公司的門面形象

    網頁設計一頭霧水??該從何著手呢? 找到專業技術的網頁設計公司,幫您輕鬆架站!

    評比前十大台北網頁設計台北網站設計公司知名案例作品心得分享

    台北網頁設計公司這麼多,該如何挑選?? 網頁設計報價省錢懶人包”嚨底家”

    威脅聚焦:快速追蹤BadRabbit勒索軟件

  • IOT安全:Logitech Harmony Hub安全性分析

    網站內容來源http://server.it168.com/

    IOT安全:Logitech Harmony Hub安全性分析

    2018-05-15 09:31    來源:安全客  作者: Joel Hopwood 編輯:
    0購買

      一、前言

    FireEye的Mandiant Red Team最近在Logitech Harmony Hub物聯網(IoT)設備上發現了一些漏洞,這些漏洞可以被攻擊者利用,通過SSH渠道獲得目標設備的root訪問權限。Harmony Hub是一款家庭控制系統,用來連接並控制用戶家庭環境中的各種設備。在本地網絡中利用這些漏洞后,攻擊者可以控制連接到Hub的設備,也可以利用Hub做為執行節點,攻擊本地網絡中的其他設備。由於Harmony Hub所支持的設備較多,包括智能門鎖、智能恆溫器以及其他智能家居設備等,因此這些漏洞會給用戶帶來極高的風險。

    FireEye在2018年1月向Logitech披露了這些漏洞,Logitech積極響應,與FireEye一起溝通協作,發布固件更新(4.15.96)解決了這些問題。

    Red Team發現了如下幾個漏洞:

    1、未驗證證書有效性;

    2、不安全的更新過程;

    3、生產固件鏡像中遺留開發者(developer)調試符號;

    4、空的root用戶密碼。

    Red Team組合使用了這幾個漏洞,最終獲得了Harmony Hub的管理員訪問權限。在本文中我們介紹了這些漏洞的發現及分析過程,與大家分享了對消費者設備進行嚴格安全測試的必要性:現如今公眾對設備越來越信任,而這些設備不僅連接到家庭網絡中,也會透露關於公眾日常生活的各種細節,此時安全形勢也更加嚴峻。

      二、設備分析

    設備準備

    已公開的一些研究報告表明,Harmony Hub的測試點上存在一個UART(universal asynchronous receiver/transmitter,通用異步收發傳輸器)接口。我們將跳線連接到這些測試點上,這樣就能使用TTL轉USB串行線路連接到Harmony Hub。初步分析啟動過程后,我們發現Harmony Hub會通過U-Boot 1.1.4啟動,運行一個Linux內核,如圖1所示。

    ▲圖1: 從UART接口獲得的啟動日誌

      在啟動過程後續階段中,控制台不再輸出任何信息,因為內核並沒有配備任何控制台接口。我們在U-Boot中重新配置了內核啟動參數,想查看完整的啟動過程,但並沒有恢復出有用的信息。此外,由於設備將UART接口配置成僅傳輸模式,因此我們不能通過該接口與Harmony Hub進一步交互,因此我們將研究重點轉移到了Harmony Hub所運行的Linux操作系統上,想進一步了解整個系統以及其上運行的相關軟件。

      固件恢復及提取

    Harmony Hub可以使用配套的Android或者iOS應用通過藍牙來進行初始化配置。我們使用hostapd創建了一個無線網絡,在Android測試設備上安裝了Burp Suite Pro CA證書,以捕捉Harmony移動應用發往互聯網以及發往Harmony Hub的通信流量。一旦初始化配對完成,Harmony應用就會搜索本地網絡中的Harmony Hub,使用基於HTTP的API與Harmony Hub通信。

    一旦成功連接,Harmony應用就會向Harmony Hub的API發送兩個不同的請求,以便Harmony Hub檢查是否存在更新,如:2所示。

    ▲ 圖2:使Harmony Hub檢查更新的請求報文

      Harmony Hub會向Logitech服務器發送當前的固件版本,以確定是否存在更新(如圖3所示)。如果需要更新,Logitech服務器會發送一個響應包,其中包含新固件版本所對應的一個URL(如圖4所示)。由於我們使用了自簽名的證書來捕捉Harmony Hub發送的HTTPS流量,因此我們可以順利觀察到這個過程(Harmony Hub會忽略無效的SSL證書)。

    ▲圖3:Harmony Hub檢查固件更新

    ▲圖4. 服務器返回的響應包中包含更新固件的URL

      我們獲取了這個固件並檢查了相關文件。剝離好幾個壓縮層后,我們可以在harmony-image.squashfs文件中找到固件。固件所使用的文件系統鏡像為SquashFS文件系統,採用lzma壓縮算法(這是嵌入式設備常用的壓縮格式)。然而,廠商經常使用老版本的squashfstools,這些版本與最新的squashfstools並不兼容。我們使用了firmware-mod-kit中的unsqashfs_all.sh腳本,自動化探測unsquashfs的正確版本,以便提取文件系統鏡像,如圖5所示。

    ▲圖5. 使用firmware-mod-kit提取文件系統

      提取文件系統內容后,我們檢查了Harmony Hub搭載的操作系統的某些詳細配置信息。經過檢查后,我們發現這個生產鏡像中包含大量的調試信息,比如沒有刪掉的內核模塊等,如圖6所示。

    ▲圖6. 文件系統中未刪掉的Linux內核對象

      檢查/etc/passwd后,我們發現root用戶並沒有設置密碼(如圖7所示)。因此,如果我們可以啟用dropbear SSH服務器,我們就能通過SSH接口獲取Harmony Hub的root訪問權限,無需使用密碼。

    ▲圖7. /etc/passwd文件显示root用戶未設置密碼

      我們發現,如果文件系統中存在/etc/tdeenable文件,則會在初始化階段中啟用dropbear SSH服務器,如圖8所示。

    ▲圖8. 如果存在/etc/tdeenable,/etc/init.d/rcS腳本則會啟用dropbear SSH服務器

      劫持更新過程

    在初始化過程中,Harmony Hub會在Logitech API上查詢GetJson2Uris地址,獲取各種過程所需的一個URL列表(如圖9所示),其中包括檢查固件更新所使用的URL以及獲取更新所需的額外軟件包信息的URL。

    ▲圖9. 發送請求獲取各種過程所需的URL地址

      我們攔截並修改了服務器返回的響應數據包中的JSON對象,將其中的GetUpdates成員指向我們自己的IP地址,如圖10所示。

    ▲圖10. 修改過的JSON對象

      與固件更新過程類似,Harmony Hub會向GetUpdates所指定的端點發送一個POST請求,請求中包含設備內部軟件包的當前版本信息。HEOS軟件包對應的請求如圖11所示。

    ▲圖11. 包含系統中“HEOS”軟件包當前版本信息的JSON請求對象

      如果POST請求正文中的sysBuild參數與服務器已知的當前版本不匹配,服務器就會響應一個初始數據包,其中包含新軟件包版本信息。由於某些不知名的原因,Harmony Hub忽略了這個初始響應包,發送了第二個請求。第二個響應包中包含多個URL地址,這些地址指向了新的軟件包,如圖12所示。

    ▲圖12. 包含軟件更新包的JSON響應數據

      我們下載了響應數據包中列出的.pkg文件,檢查后發現這些文件其實是ZIP壓縮文件。壓縮文件的文件結果比較簡單,如圖13所示。

    ▲圖13. .pkg壓縮文檔結構

      其中,manifest.json文件可以告訴Harmony Hub在更新過程中如何處理壓縮文檔的內容,如圖14所示。

    ▲圖14. manifest.json文件內容

      manifest文件中installer參數所指定了一個腳本,如果壓縮文件中存在該腳本,那麼Harmony Hub在更新過程中就會執行這個腳本。我們修改了這個腳本,如圖15所示,修改后該腳本會創建/etc/tdeenable文件,前面提到過,這樣啟動過程就會啟用SSH接口。

    ▲圖15. 修改后的update.sh文件

      我們創建了帶有.pkg擴展名的一個惡意壓縮文檔,使用本地web服務器託管該文檔。當下一次Harmony Hub根據被篡改的GetJson2URIs響應包中給出的URL地址來檢查更新時,我們返回經過修改的響應包,指向這個更新文件。Harmony Hub會接收我們提供的惡意軟件更新包,重啟Harmony Hub后就會啟用SSH接口。這樣我們就可以使用root用戶名以及空密碼來訪問該設備,如圖16所示。

    ▲圖16. 重啟後設備啟用了SSH接口

      三、總結

    隨着科技逐步融入我們的日常生活中,我們也在不知不覺中越來越信任各種設備。Harmony Hub與許多物聯網設備一樣,採用了通用處理器架構,因此攻擊者可以輕鬆將惡意工具添加到被攻破的Harmony Hub上,進一步擴大攻擊活動的影響力。Logitech與我們的團隊積極合作,發布了4.15.96固件解決了這些漏洞。如果用戶對某些設備非常信任,那麼這些設備的開發者就應該保持警惕,移除讓用戶處於危險境地的潛在攻擊因素。Logitech在與Red Team的研究工作中發表過一則聲明,在此我們也想與大家一起分享:

    “Logitech非常重視客戶的安全及隱私。2018年1月下旬,FireEye發現了可能影響Logitech Harmony Hub產品的一些漏洞,如果某個惡意黑客已經獲取Hub用戶網絡的訪問權限,就可以利用這些漏洞。我們非常感謝FireEye等專業安全研究公司在挖掘探索IoT設備上這類漏洞所付出的努力。

    在FireEye將這些研究成果告知我們后,我們第一時間啟動了內部調查,並且馬上開始研發固件以解決這些問題。4月10日,我們發布了固件更新,全部解決了這些漏洞。如果還有客戶沒有將固件更新到4.15.96版,我們建議您檢查MyHarmony軟件,同步基於Hub的遠程設備並接收該固件。用戶可以查看此鏈接了解關於固件更新的完整說明。

    基於Hub的產品包括: Harmony Elite、Harmony Home Hub、Harmony Ultimate Hub、harmony Hub, Harmony Home Control、Harmony Pro、Harmony Smart Control、Harmony Companion、Harmony Smart Keyboard、Harmony Ultimate以及Ultimate Home”。

    ,
    網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

    【精選推薦文章】

    智慧手機時代的來臨,RWD網頁設計已成為網頁設計推薦首選

    想知道網站建置、網站改版該如何進行嗎?將由專業工程師為您規劃客製化網頁設計及後台網頁設計

    帶您來看台北網站建置台北網頁設計,各種案例分享

    廣告預算用在刀口上,網站設計公司幫您達到更多曝光效益

    IOT安全:Logitech Harmony Hub安全性分析

  • 開創萬兆組網時代 新華三商用萬兆解決方案解讀

    開創萬兆組網時代 新華三商用萬兆解決方案解讀

    2019-05-10 14:51    原創  作者: 高博 編輯:
    0購買

    隨着網絡技術的不斷髮展,越來越多的終端設備紛紛接入網絡,用戶對於高速網絡的需求越來越高。網絡速率也從10兆到百兆再到千兆一步步得以提升。我們享受了高速網絡所帶來的極大便利,但這些還遠遠不夠……

    由於物聯網技術的大量延伸應用,以及企業業務對網絡需求的不斷提升,傳統的全千兆組網已經略顯吃力,由此對於萬兆組網的呼聲越來越高。針對用戶痛點問題,新華三認為商用全萬兆網絡的時代已經來臨,並正式推出商用萬兆解決方案。

    為了不滿足不同場景下的真實需求,面向不同應用場景新華三推出多場景下的商用萬兆解決方案,從而最大化的滿足用戶需求。

     S6520-SI+S5130S-LI——開創中小場景萬兆組網時代

    針對中小場景,新華三推出了H3C S6520-SI全萬兆交換機產品,共包含S6520-16S-SI(16SFP+)、S6520-24S-SI(24SFP+)兩種分銷款型,能夠為用戶提供大容量的交換服務;此外該產品定位於高速無線設備接入、匯聚,數據中心萬兆服務器接入、高速率園區網匯聚等應用場景。

    在產品性能層面,H3C S6520-SI全萬兆交換機產品配備高速率的全萬兆接入端口,並支持全面的路由協議,此外還能夠提供多種認證方式等多重安全策略,為了滿足用戶的組網需求,H3C S6520-SI全萬兆交換機產品支持智能彈性架構,最多能夠支持9台設備堆疊並進行彈性擴展,並對產品的可靠性以及性能進行了提升。

    除此之外,H3C S6520-SI全萬兆交換機產品還能夠搭配S5130S-LI系列全千兆網管接入交換機,從而打造全萬兆高性價比解決方案。

     S7000E+S5130S-SI——定位中小企業

    除了中小場景下的應用,新華三還自主研發了H3C S7000E高端多業務路由交換機產品,該產品主要定位於中小型企業網絡核心層路由交換機。根據不同需求,用戶能夠對增強版主控、標準版主控以及各類板卡進行相關搭配,能夠配置多種端口形態的萬兆板卡。

    和H3C S6520-SI一樣,H3C S7000E路由交換機同樣支持豐富的功能特性,其支持IRF2(第二代智能彈性架構—橫向虛擬化)功能,並能夠對組合的模塊化主機進行靈活配置,而H3C S7000E增強版主控還自帶隨板AC功能,能夠幫助企業組成便捷的有線無線一體化組網模式。而在安全防護層面,H3C S7000E能夠為用戶提供全方位的安全保障,從而幫助用戶抵禦多種網絡安全威脅。

    當然,根據組網需要,H3C S7000E路由交換機需要搭載接入交換機進行使用,譬如通過搭載H3C S5130S-SI,為用戶打造高性能的全萬兆解決方案。根據介紹,H3C S5130S-SI是H3C自主開發的第二代二層萬兆上行以太網交換機產品,是為要求具備高性能、高端口密度、高上行速率且易於安裝的網絡環境而設計的第二代智能型可網管交換機。主要定位於對安全防禦能力要求較高的企事業單位萬兆上行辦公網使用。

      寫在最後

    通過全方位的介紹不難發現,新華三商用萬兆解決方案能夠滿足用戶多場景下的使用需求,那新華三萬兆商用解決方案究竟能夠為用戶帶來哪些優勢呢?通過總結,其優勢主要體現在以下幾點:

    首先,新華三商用萬兆解決方案能夠為用戶提供更高的帶寬,高帶寬可以讓用戶的網絡更快速的連接服務器,更順暢的訪問外網資源;其次能夠為用戶的網絡開闢更寬的“車道”,避免網絡擁塞和網絡卡頓,滿足高速無線設備接入、匯聚;在網絡傳輸層面,能夠做到更快速的網絡收斂,讓用戶的網絡性能更強、速度更快;最後,對於常存在突發大流量的組網需求,萬兆解決方案處理起來高併發流量更是不在話下。

    網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

    【精選推薦文章】

    自行創業 缺乏曝光? 下一步”網站設計“幫您第一時間規劃公司的門面形象

    網頁設計一頭霧水??該從何著手呢? 找到專業技術的網頁設計公司,幫您輕鬆架站!

    評比前十大台北網頁設計台北網站設計公司知名案例作品心得分享

    台北網頁設計公司這麼多,該如何挑選?? 網頁設計報價省錢懶人包”嚨底家”

    開創萬兆組網時代 新華三商用萬兆解決方案解讀

  • 等保2.0正式發布,如何做到標準合規?

    等保2.0正式發布,如何做到標準合規?

    2019-05-16 15:48    來源:廠商稿  作者: 廠商動態 編輯:
    0購買

         等級保護制度是我國在網絡安全領域的基本制度、基本國策,是國家網絡安全意志的體現。《網絡安全法》出台後,等級保護制度更是提升到了法律層面,等保2.0在1.0的基礎上,更加註重全方位主動防禦、動態防禦、整體防控和精準防護,除了基本要求外,還增加了對雲計算、移動互聯、物聯網、工業控制和大數據等對象全覆蓋。等保2.0標準的發布,對加強中國網絡安全保障工作,提升網絡安全保護能力具有重要意義。

    從等保基本要求的結構來看,從等保1.0到等保2.0試行稿,再到等保2.0最新稿,變化過程如下:

     

    等保2.0充分體現了“一个中心三重防禦“的思想,一个中心指“安全管理中心”,三重防禦指“安全計算環境、安全區域邊界、安全網絡通信”,同時等保2.0強化可信計算安全技術要求的使用。

     

    控制項的變化來看,等保2.0更加精簡,但實質上內涵更加豐富完善。

    等保2.0第三級安全要求結構:

     

    為幫助大家更好地理解等保2.0的變化,以等保三級為例,以下是1.0到2.0各控制點變化情況(紅色字體為新增內容、綠色字體為控制點名稱做了變化、灰色字體為已刪除控制點)。

    在各類變化當中,特別值得關注的一個變化是等保二級以上,從1.0的管理制度中把“安全管理中心”獨立出來進行要求,包括“系統管理、審計管理、安全管理、集中管控“等,這是為了滿足等保2.0的核心變化——從被動防禦轉變為主動防禦、動態防禦。完善的網絡安全分析能力、未知威脅的檢測能力將成為等保2.0的關鍵需求。部署安全設備但不知道是否真的安全、不知道發生什麼安全問題、不知道如何處置安全的“安全三不知”將成為歷史。

       銳捷網絡近幾年陸續推出的大數據安全平台RG-BDS、動態防禦系統RG-DDP、沙箱RG-Sandbox、雲端安服中心等產品能極大地加強整網的“主動安全分析能力”,及時掌握網絡安全狀況,對層出不窮的“未知威脅與突發威脅”起到關鍵的檢測和防禦作用.這些產品和其它安全產品、網絡產品等一起結合AI、大數據、雲計算等技術構築了銳捷網絡的“動態安全”體系架構,為用戶提供一個具備動態響應、持續進化的符合等保2.0標準的整網安全保障體系。

     

    ,
    網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

    【精選推薦文章】

    智慧手機時代的來臨,RWD網頁設計已成為網頁設計推薦首選

    想知道網站建置、網站改版該如何進行嗎?將由專業工程師為您規劃客製化網頁設計及後台網頁設計

    帶您來看台北網站建置台北網頁設計,各種案例分享

    廣告預算用在刀口上,網站設計公司幫您達到更多曝光效益

    等保2.0正式發布,如何做到標準合規?