建站
咨詢
售后
建站咨詢
新聞中心
集中管理用于訪問應(yīng)用程序、服務(wù)和IT生態(tài)系統(tǒng)所有其他部分的工具、方法和憑據(jù)是值得企業(yè)關(guān)注的。
創(chuàng)新互聯(lián)公司主要從事做網(wǎng)站、網(wǎng)站建設(shè)、網(wǎng)頁設(shè)計、企業(yè)做網(wǎng)站、公司建網(wǎng)站等業(yè)務(wù)。立足成都服務(wù)井陘礦,十年網(wǎng)站建設(shè)經(jīng)驗,價格優(yōu)惠、服務(wù)專業(yè),歡迎來電咨詢建站服務(wù):18982081108
如今的企業(yè)IT場景的特點是持續(xù)的數(shù)字化轉(zhuǎn)型和大規(guī)模的數(shù)據(jù)生成。隨著遠程工作和移動工作成為新冠疫情發(fā)生之后的新常態(tài)，移動性和敏捷性已經(jīng)成為企業(yè)業(yè)務(wù)連續(xù)性的重要驅(qū)動因素。
為了自動化和集成所有可能的業(yè)務(wù)功能，集中并加快數(shù)據(jù)和信息的流動，提高生產(chǎn)力并提供更好的客戶體驗，很多企業(yè)正在使用復(fù)雜的混合多云的運營模型構(gòu)建敏捷的DevOps環(huán)境。
然而，隨著巨大的移動性和即時的數(shù)據(jù)，隨之而來的是巨大的責任。企業(yè)在保持數(shù)據(jù)、服務(wù)和個人身份信息(PII)安全方面面臨著越來越多的挑戰(zhàn)。盡管技術(shù)一直不斷進步，但人們?nèi)匀荒陱?fù)一年地看到大量的數(shù)據(jù)泄露事件。
企業(yè)如何發(fā)展其數(shù)據(jù)存儲、管理和保護方法，以確保員工能夠直接訪問數(shù)字資源，同時加強整個IT基礎(chǔ)設(shè)施的安全性?答案在于有效的企業(yè)機密管理。
什么是機密管理?為什么需要機密管理?
機密管理是一套適當?shù)墓ぞ吆妥罴褜嵺`，用于在整個生命周期內(nèi)安全地存儲、訪問和集中管理數(shù)字身份驗證憑證。機密是用于身份驗證和授權(quán)的數(shù)據(jù)項——它們包括密碼、公共和私人加密密鑰、SSH密鑰、API、令牌和證書。機器和人類都使用機密進行身份驗證和通信。
但是，為什么首先需要機密管理?基于SaaS的機密管理工具Akeyless公司首席執(zhí)行官兼聯(lián)合創(chuàng)始人Oded Hareven解釋說，“隨著向混合多云基礎(chǔ)設(shè)施的普遍轉(zhuǎn)變以及對應(yīng)用程序容器化的依賴，機器和人員持續(xù)訪問系統(tǒng)和數(shù)據(jù)的需求已經(jīng)大幅增長。例如，越來越多的應(yīng)用程序必須不斷地訪問不同的數(shù)據(jù)源、云服務(wù)和服務(wù)器，通常每個資源都需要不同類型的憑據(jù)。這在DevOps流程中產(chǎn)生了對機密的指數(shù)級需求?！?/p>
棘手的是，開發(fā)人員經(jīng)常將各種機密編碼到應(yīng)用程序或微服務(wù)代碼、腳本、自動化工具和代碼庫中——所有這些都駐留在各種基礎(chǔ)設(shè)施中。更糟糕的是，這些代碼處于不同的開發(fā)階段，存在管理不當和未受保護的實際風險。其結(jié)果是總體上缺乏對機密的控制和整合，導致安全行業(yè)稱之為“機密蔓延”。
麻煩還不止于此。在執(zhí)行持續(xù)集成(CI)/持續(xù)交付(CD)的云平臺中保存的機密本質(zhì)上是管理和允許訪問其他機器和軟件所必需的。為此，他們需要存儲機密和簽名密鑰(用于密封代碼和軟件更新)，這些密鑰通常存儲在非安全位置，如開發(fā)人員的筆記本電腦或他們構(gòu)建的服務(wù)器。
機密蔓延不僅使憑證難以跟蹤和管理，而且容易受到黑客攻擊。事實上，根據(jù)Verizon公司日前發(fā)布的一份調(diào)查報告，被盜憑證占所有數(shù)據(jù)泄露的近一半。
最近發(fā)生的許多黑客攻擊，包括軟件供應(yīng)鏈黑客攻擊，都利用了代碼中的機密，這些機密再次存儲在GitHub等易于訪問的存儲庫中。事實上，GitHub最近在數(shù)千個私有存儲庫中檢測到70多萬次潛在的憑證泄漏，并且已經(jīng)準備就緒。
這些例子不斷涌現(xiàn)。最近曝光的軟件供應(yīng)鏈攻擊劫持了流行的PHP和Python庫以竊取AWS密鑰。在另一個例子中，一項幫助開源開發(fā)人員編寫和測試軟件的常用服務(wù)被發(fā)現(xiàn)泄露了數(shù)千個身份驗證令牌和其他機密，允許黑客訪問開發(fā)人員在Docker、Github、AWS和其他代碼存儲庫上的私人賬戶.
但是有人會問，是否已經(jīng)有方法可以保護密碼、密鑰和其他憑據(jù)?有，這就是問題的一部分。
機密管理中的挑戰(zhàn)
在管理機密方面，當今的安全解決方案存在相當?shù)偷男屎椭貜?fù)。其中的一些挑戰(zhàn)是：
(1)機密蔓延
很多企業(yè)將業(yè)務(wù)從內(nèi)部部署遷移到云端——機密也是如此。全球三大云計算提供商和其他云計算提供商都提供自己的機密管理解決方案，大多數(shù)企業(yè)默認接受這些解決方案，只是為了獲得更好的解決方案，還有什么比云計算提供商自己采用的平臺更安全的呢?
但是，隨著混合多云架構(gòu)占據(jù)中心位置(這是唯一一種越來越多采用的IT運營模型)，大多數(shù)DevOps團隊發(fā)現(xiàn)自己要處理充滿不同工作負載的微服務(wù)和容器的多個環(huán)境。這些環(huán)境擁有數(shù)千個相互通信的機器對機器組件，導致流通中的密鑰、令牌和其他機密的數(shù)量多得驚人。
機密的爆炸式增長和分散對管理員和DevOps從業(yè)者來說是一個巨大的運營負擔。當今可用的大量云計算和虛擬化解決方案讓用戶可以大規(guī)模創(chuàng)建和銷毀虛擬機和應(yīng)用程序。不用說，這些虛擬機實例中的每一個都有自己的一組需要管理的機密。此外，在企業(yè)中僅SSH密鑰就可以達到數(shù)百萬個。除此之外，Ansible作業(yè)、Kubernetes容器和日常批處理例程都傾向于使用需要輪換的密碼。
所有這些系統(tǒng)都無法訪問其環(huán)境外部的安全資源。沒有統(tǒng)一的控制平臺可以幫助企業(yè)管理存儲在不同平臺上的多個機密存儲庫。
(2)能見度不足
本地化到不同環(huán)境(如云平臺、內(nèi)部部署、邊緣計算或混合部署)的靜態(tài)機密由不同的個人、團隊和管理員管理，從而創(chuàng)建“機密孤島”。這不可避免地會導致審計挑戰(zhàn)和安全漏洞。
(3)保管庫解決方案的復(fù)雜性
由于大量現(xiàn)有和遺留工具和平臺(包括DevOps和非DevOps)以及每個工具和平臺的大量擴展，本地庫解決方案在許多情況下都無法正常工作。此外，在混合環(huán)境中很難根據(jù)底層計算、存儲和網(wǎng)絡(luò)基礎(chǔ)設(shè)施配置保管庫。頻繁更新的需求只會增加內(nèi)部部署保管庫的復(fù)雜性。
基于云計算的保管庫也并不安全。一個巨大的危險信號是，這些產(chǎn)品是云計算提供商專有的，只支持在他們自己的環(huán)境和生態(tài)系統(tǒng)中運行的工作負載，因此它們也不適合混合云架構(gòu)。即使企業(yè)只采用一個主要的云提供商提供的服務(wù)，也只會導致保管庫蔓延。另一個問題是企業(yè)的主密鑰與云計算提供商共享。這意味著流氓管理員、黑客或政府機構(gòu)可以訪問它們，而用戶卻束手無策。
完美的機密管理解決方案
完美的機密管理解決方案可能并不存在。但這并不意味著企業(yè)無法創(chuàng)建萬無一失的身份和訪問管理(IAM)策略來保護自己免受已知類型的威脅。
身份和訪問管理(IAM)是新的邊界——它是現(xiàn)代安全策略的基礎(chǔ)。隨著自動化程度的提高和隨需求波動的動態(tài)工作負載的數(shù)量的增加，驗證人類和機器用戶的身份(身份驗證)并證明他們訪問資源(授權(quán))的需求變得越來越復(fù)雜。
此外，身份驗證的性質(zhì)在不斷變化。應(yīng)用程序和數(shù)據(jù)庫模塊不再像以前那樣局限于一些代碼。與其相反，它們是微服務(wù)和子組件的復(fù)雜且動態(tài)的集成，每個子組件都有自己的身份驗證過程。
以下是在多云環(huán)境中運營或擁有內(nèi)部部署、私有云和公有云系統(tǒng)混合組合的企業(yè)應(yīng)該在機密管理平臺或解決方案中尋找的內(nèi)容：
- 適用于混合云、多云和多個云區(qū)域設(shè)置：這可能是企業(yè)最重要的一個關(guān)注因素。盡可能選擇使用云原生技術(shù)與跨平臺、跨環(huán)境工作流無縫集成的平臺。企業(yè)的機密管理解決方案應(yīng)支持啟用身份和訪問管理(IAM)的機器對機器和人對機器身份驗證和驗證不同類型的機密，例如SSH證書、API密鑰、x.509證書、加密密鑰等，以強制執(zhí)行連續(xù)安全合規(guī)性。
- 適用于不同的身份驗證協(xié)議、語言和設(shè)備：重要的是，企業(yè)的機密管理工具通過所有主要接口(當然)包括命令行、GUI、RESTAPI和SDK，通過第三方身份提供者支持人工、硬件和軟件身份驗證主要語言。不用說，它應(yīng)該促進動態(tài)機密并與常見的基于云的平臺集成，例如Docker、Kubernetes、Terraform、Ansible和Jenkins，以實現(xiàn)不間斷的DevOps操作。
然后是擴展問題。如果企業(yè)想以“云計算規(guī)模”增長并擴展其地理或技術(shù)基礎(chǔ)設(shè)施，需要能夠擴展其機密管理功能以支持所有現(xiàn)有以及即將推出的工具和插件。
- 可以通過統(tǒng)一的SaaS平臺進行管理：當今的安全團隊需要對企業(yè)使用的所有環(huán)境中的所有用戶、應(yīng)用程序和設(shè)備的身份驗證進行集中可見性和控制。Hareven說，“一些安全負責人表示，直觀的基于SaaS的機密管理工具可以實時查看每個機密使用實例、審計日志記錄和強大的分析，這是他們的需求?！?/li>
- 實現(xiàn)機密零問題并實施零信任模型：密碼管理是當今的常見功能。例如某人可能有一個電子表格或文檔，其中存儲了他們使用的各種應(yīng)用程序或控制面板的所有密碼。然而，要打開這個電子表格，他們可能需要另一個密碼。他們還需要用戶憑據(jù)才能登錄操作系統(tǒng)并訪問電子表格。
機密管理解決方案應(yīng)該提供一組初始憑證，其中包含一個臨時令牌或密鑰，用于進行持續(xù)身份驗證，以便永遠不會泄露機密。
這屬于零信任架構(gòu)(ZTA)的前提，該架構(gòu)遵循最小特權(quán)(PoLP)原則，在這一原則下，用戶和應(yīng)用程序被授予“即時”和細粒度訪問特定時間內(nèi)的特定數(shù)量的資源——只有在向管理員“證明”他們的請求合理之后。這些特權(quán)是動態(tài)授予的，并在預(yù)設(shè)的時間范圍后自動過期。
保守機密
理想的機密管理平臺通過使不同的團隊能夠訪問他們需要的資源并自主管理他們的機密，從而為企業(yè)中的DevOps、云遷移和數(shù)字化轉(zhuǎn)型提供支持。通過從云中“即服務(wù)”交付的解決方案，可以減少維護開銷、提高可用性并擴展運營，以滿足企業(yè)的增長目標。
網(wǎng)站欄目：企業(yè)機密管理的快速指南
本文網(wǎng)址：http://m.5511xx.com/article/coiiope.html
