Tag: top

Mozilla 對 Alexa Top 1M Sites 的分析

Mozilla 對 Alexa Top 1M Sites 偏安全面向的分析：「Analysis of the Alexa Top 1M Sites」。

對一般情況比較有用的應該是看絕對數字，也就是哪些功能是大家都優先採用了... 然後可以看出 HPKP 跟 SRI 果然是大家都懶得上的功能 (事倍功半 XDDD)。

另外也可以當作是安全性確認的 list，把 HTTP header 類的安全性設定都放上去了。

AWS WAF 提供隨時更新的 Managed Rules

AWS WAF 推出了隨時更新的 Managed Rule：「Ready-to-Use Managed Rules Now Available on AWS WAF」。

這些 ruleset 是由 3rd-party 提供的：

Choose from preconfigured RuleGroups provided in the AWS Marketplace by industry leading security experts: Alert Logic, Fortinet, Imperva, Trend Micro and TrustWave.

然後隨時更新：

Rules are automatically updated as new threats emerge and offer a wide range of protections, including OWASP Top 10 mitigations, bad-bot defenses, and virtual patching against recent CVE’s.

然後是要收費的：

Each RuleGroup is the product of a Seller’s unique expertise, made available to you at an affordable pay-as-you-go price.

在 AWS Marketplace 的「Managed Rules for AWS WAF - Web Application Firewall」裡拿兩家來看看。

趨勢的「Trend Micro Managed Rules for AWS WAF - WebServer (Apache, Nginx)」與「Trend Micro Managed Rules for AWS WAF - Content Management System (CMS)」都是：

Charge per month in each available region (pro-rated by the hour) $5.00 / unit
Charge per million requests in each available region $0.20 / unit

而 Imperva 則是提供不一樣的選擇，在「Imperva - Managed Rules for WordPress Protection on AWS WAF」是：

Charge per month in each available region (pro-rated by the hour) $30.00 / unit
Charge per million requests in each available region $0.60 / unit

而「Imperva - Managed Rules for IP Reputation on AWS WAF」則是：

Charge per month in each available region (pro-rated by the hour) $40.00 / unit
Charge per million requests in each available region $0.40 / unit

Alexa Top 1M 網站使用 HTTPS 的改善

Mozilla 觀測 Alexa Top 1M 網站，對 HTTPS 使用情況的分析：「Analysis of the Alexa Top 1M sites」。

可以看到比較明顯的是 HTTPS 以及 HTTP → HTTPS Redirection 這兩塊：

不過用 Alexa 的資料有種怪怪的感覺啊... 在討論 HTTPS (有點在推廣的感覺)，但 Alexa 的網站現在是做反過來的 HTTPS → HTTP Redirection XDDD

SaltStack 的 Masterless 模式

最近在試 SaltStack，先從 Masterless 模式開始玩，可以拿來練習寫 SaltStack 專門的 sls 檔。相關的文件可以參考「Standalone Minion」這篇。

我是裝 Ubuntu 14.04.1 LTS，然後用 ppa 裝 SaltStack 最新版，避免與與官方的文件差異太大：

# apt-add-repository ppa:saltstack/salt
# apt-get update
# apt-get install salt-minion

然後建立 /srv/salt 後就可以在這個目錄下面開始做事。這個目錄是 SaltStack 的預設值 (可以參考 /etc/salt 下面的檔案)，所以不需要另外再設定：

# mkdir /srv/salt
# cd /srv/salt

SaltStack 讀取的起點預設是 top.sls，這個檔案預設的格式是 YAML：

base:
    '*':
        - default

然後就可以寫 default.sls：

most:
  pkg:
    - installed

locale:
  cmd.run:
    - name: locale-gen zh_TW.UTF-8

然後在機器上呼叫 salt-call 執行：

# salt-call --local state.highstate

或是開 debug 訊息：

# salt-call --local -l debug state.highstate

這樣就可以看到各種輸出結果了。這樣應該就會看到 most 被裝起來，另外 zh_TW.UTF-8 的 locale 應該也會生出來。

OWASP's Top 10，2013 版

在 Slashdot 上看到 OWASP 給出 2013 年的網站安全威脅 Top 10 名單：「OWASP Top 10 2013 Released」。

一如往常，Slashdot 的第一個 comment 還是很經典 XDDD

The offered list of vulnerabilities is in a pdf.

這... XD

在 Wiki 上有一份非 PDF 的版本可以看：「Category:OWASP Top Ten Project」，可以跟「Rails' Insecure Defaults」(副標題「13 Security Gotchas You Should Know About」) 一起看 (不是看 Rails 的問題，是看有哪些攻擊技巧)。

memkeys：用 C++ 寫的 mctop (memcache top)

在「mctop：memcache top」介紹過由 Etsy 所開發的 memcache top 工具 mctop。

這套軟體用 Ruby 寫，其實就是個 sniffer + packet analyzer，但這套軟體有效能問題。在流量很高的時候無法處理所有封包，而變成 sampling 類型的監控。

Tumblr 用 C++ 新寫了一個版本，叫做 memkeys。依照軟體的說明，在 1Gbps 滿載時 mctop 約 50% 到 75% 的 packet drop (sampling rate 約 25% 到 50%)，而 memkeys 只有 3% packet drop (sampling rate 約 97%)：「Open Source - Memcache Top」。

This was originally inspired by mctop from etsy. I found that under load mctop would drop between 50 and 75 percent of packets. Under the same load memkeys will typically drop less than 3 percent of packets. This is on a machine saturating a 1Gb network link.

效能好不少 :p

mctop：memcache top

mctop 其實是個看得懂 L7 packet 的 sniffer XDDD

軟體是由 Etsy 所開發，出自：「mctop - a tool for analyzing memcache get traffic」。跑起來像這樣 (官方的範例圖)：

在 GitHub 頁面上官方有提到因為是透過 ruby-pcap，目前沒有辦法完全承載大流量 (會有 packet loss)，不過看起來是 profiling 必備工具 :p