🌳 線上課程介紹：Nginx 基礎：從零開始架設高性能伺服器
學習如何安裝，配置和調整 Nginx，從頭開始建立安全，高性能的 Web 伺服器。

在 Nginx 基礎上打下堅實的基礎，適合初學者和經驗豐富的人。

✅ 學習客製化 Nginx 安裝
✅ 將 Nginx 配置為 Web 伺服器
✅ 安裝並配置一個伺服器端程式語言作為 Nginx 的後端
✅ 學習調整 Nginx 以獲得最佳效能
✅ 用一些安全最佳實踐來保護 Nginx

本課程共有 39 個簡潔而實用的講座，目標在教授 Nginx 的基礎知識，適用於對網路和 Linux 命令列界面有基本了解的人。

本課程一開始針對已經有 Apache 伺服器經驗的人比較 Nginx 和 Apache 的差異，然後解釋安裝 Nginx 的不同方式，客製化你的安裝，配置 Nginx 作為一個服務。

安裝部分還包括更新 Nginx 而不停機以及添加/刪除模組。

課程其它的大部分將專注於設定 Nginx 為一個網頁伺服器，包括將它連接到 PHP 後端，並配置一些 Nginx的 最佳功能，例如 Gzipping 和 GeoIP。

最後一節將介紹保護伺服器和用戶 SSL 以及其它安全最佳實踐。
完成本課程後，你將擁有實際技能，可以立即開始架構高性能的 Web 伺服器，或者改進和更好地了解你可能使用既有的託管解決方案。

🔥 對這個線上課程學習有興趣，請參考底下留言區，課程目前 NT390 特價中

Ref: https://security.googleblog.com/2021/06/introducing-slsa-end-to-end-framework.html

今天要探討的是一個由 Google Blog 於上個月所推廣的軟體安全性框架，該框架名為 SLSA，全名則是 Supply Chain Levels for Software Artifacts，中文部分我不知道該怎麼翻譯才可以精準達到意思，所以建議就唸英文就好了。

該框架的目的是希望於整個軟體生產鏈中能夠進一步的去提升且確保所有產物的完整性(Integrity 這個詞該怎麼翻呢..)。

文章中用了一個很簡易的流程來清楚的解釋到底何謂 Software Supply Chain 以及整個流程中可能會有什麼問題。

Software Supply Chain 一個範例譬如
1. 開發者撰寫程式碼，並且提交到遠方的 SCM Repository
2. SCM Repo 因為程式碼改變，所以觸發相關的 CI/CD 流程
3. CI/CD 建置結束後則需要打包整個程式碼，產生最後的 Package.
4. 產生後的 Packet 則可以正式上場使用

文章認為上述的流程中有兩個不同類別的安全性問題，分別是
1. Source Integrity
2. Build Integrity.

Source Integrity 這邊主要是針對 Source Code 相關的問題，譬如
1. 開發者是否有意的故意塞入一些會不懷好意的程式碼到 SCM Repo 內。
範例: Linux Hypocrite commits, 之前美國某大學研究團隊基於研究嘗試上傳一些不太好的程式碼而影響的討論風波
2. SCM 的管理平台是否可能被惡意攻擊
範例: PHP 事件: 之前自架的 PHP Git Server 被攻擊者惡意攻擊並且塞入兩筆不懷好意的 Commit

而 Build Integrity 本身則是有更多不同的面向，譬如
1. SCM 觸發 CI/CD 過程是否有可能有問題
範例: Webmin 事件，攻擊者去修改團隊的建置系統去使用沒有被 SCM 所記錄的修改檔案。
2. CI/CD 建置系統本身被攻擊
範例: SolarWinds 事件，攻擊者攻破建置系統去安裝一些軟體來修改整的建置流程
3. CI/CD 建置過程中引用到錯誤的 Dependency
4. 攻擊者上傳一些惡意產物到應該只有 CI/CD 系統才可以存取的場所。
... 等

目前來說， SLSA 還處於非常早期階段，經由業界的共識來思考每個領域有什麼好的措施與指引來避免與偵測系統是否被攻破。其最終目標狀態是希望能夠根據環境自動產生出一套可整合到系統中的產物，並且最後可以給出 SLSA 憑證來給平台或是建置後的 Package。

對 SLSA 這個專案有興趣看看的請參考原始連結，內容不長但是頗有趣的

查看到某些人會說什麼Mac, Linux都不會中毒...Windows才會的論點 實在是有點可笑 今早發現手邊管理的某台伺服器CPU使用率異常 查看後發現是被植入了門羅幣的挖礦程式 這台主機使用的東西其實很簡單, 就是單純的Wordpress(Nginx+PHP+MySQL搭配Redis) 加上高強度的密碼...不過居然還是會碰上這種問題 只能說, 不要不信邪阿, 放在網路上的東西沒有絕對安全的 管你是什麼系統! 首先先查找執行檔的位置 再把相關程序殺了 再把相關問題檔給砍了 掃毒... 主機改密碼並且安裝即時掃描 至於這台主機的安全性, 再觀察一段時間看看吧 畢竟手邊一堆主機 也只有這台有問題就是@@
https://mshw.info/mshw/?p=22754