建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
安全領(lǐng)域眾多，分享這個(gè)議題，是因?yàn)樵谥暗墓ぷ鬟^(guò)程中我們發(fā)現(xiàn)像大家非常關(guān)心的機(jī)密數(shù)據(jù)泄露 、資產(chǎn)盜竊、數(shù)據(jù)篡改、服務(wù)中斷，以及物理邏輯的破壞行為通常都發(fā)生在運(yùn)維安全環(huán)節(jié)，需要通過(guò)安全運(yùn)維確保整個(gè)系統(tǒng)在一定的安全級(jí)別中運(yùn)行。
一、安全建設(shè)思考
當(dāng)企業(yè)開(kāi)始著手考慮安全建設(shè)時(shí)，要考慮的因素有很多，其中包括管理層的期望、業(yè)務(wù)部門(mén)的安全訴求、組織環(huán)境、企業(yè)治理模式等。綜合了解這些信息后，需要評(píng)估這個(gè)時(shí)候安全所處的階段，可能還會(huì)做一下同行差距分析，然后才著手做安全規(guī)劃，就需要引入企業(yè)安全建設(shè)的有一份論，一般來(lái)說(shuō)建設(shè)信息安全有四個(gè)階段。
第一個(gè)階段通常是救火，優(yōu)先解決業(yè)務(wù)痛點(diǎn)，同時(shí)做一些基礎(chǔ)的“保命”工作，來(lái)降低安全事件發(fā)生的概率，快速找到可能導(dǎo)致內(nèi)外網(wǎng)安全入侵的安全隱患并修復(fù)，比如無(wú)線(xiàn)安全、VPN遠(yuǎn)程訪(fǎng)問(wèn)、弱口令、服務(wù)器后門(mén)等。這個(gè)時(shí)候也是最困難的，要人沒(méi)有，錢(qián)也很有限，關(guān)鍵買(mǎi)設(shè)備也來(lái)不及，就得根據(jù)以住滲透經(jīng)驗(yàn)轉(zhuǎn)換成防御方法，做最有效的工作，按照2/8法則。另一個(gè)方面快速組織團(tuán)隊(duì)，因?yàn)檫@個(gè)時(shí)候，你的安全項(xiàng)目計(jì)劃里已經(jīng)有很多活等著干了。
第二個(gè)階段是體系化建設(shè)階段。過(guò)了救火期，可以稍微喘口氣，進(jìn)行有序的安全建設(shè)。主要精力是在基礎(chǔ)安全建設(shè)，比如安全老三樣、堡壘機(jī)、雙因素、VPN之類(lèi)的。這個(gè)階段還互聯(lián)網(wǎng)不了，因?yàn)閳F(tuán)隊(duì)里基本上不具備開(kāi)發(fā)能力，主要是以商業(yè)安全設(shè)備為主，外加少量的安全工具自研，提升運(yùn)維的效率;這個(gè)階段也可以考慮參考ISO27001體系出臺(tái)三、四級(jí)的管理規(guī)范，并推動(dòng)落地，這樣確保從源頭解決問(wèn)題，否則你永遠(yuǎn)處在擦地板的過(guò)程，因?yàn)樗坝卸矗诓粩嗟纬鰜?lái)，擦一次是干凈了，過(guò)一會(huì)兒又流出來(lái)了。
第三個(gè)階段屬于安全的高階階段，商用系統(tǒng)可能并不能很好地滿(mǎn)足需求，所以就需要大量自研工具來(lái)解決實(shí)際問(wèn)題，有能力的話(huà)安全大數(shù)據(jù)和APT也可以考慮進(jìn)來(lái)。
第四個(gè)階段進(jìn)入安全的智能級(jí)別，智能的檢測(cè)、阻斷、響應(yīng)代表公司安全未來(lái)的方向。
架構(gòu)一詞，起源于古羅馬時(shí)代，就是描述如何去構(gòu)建一個(gè)建筑物以及它的實(shí)用和非實(shí)用功能繪畫(huà)的過(guò)程和相關(guān)的藝術(shù)科學(xué)，這個(gè)詞，同樣在IT領(lǐng)域廣泛使用。
拿這個(gè)圖說(shuō)例子，可以更好地幫助理解IT系統(tǒng)的安全架構(gòu) 。因?yàn)檐浖軜?gòu)尤其在運(yùn)行環(huán)境中會(huì)比較抽象。以往我們做安全系統(tǒng)的架構(gòu)，由于對(duì)系統(tǒng)缺乏全面的了解，通常都是拿一張平面的網(wǎng)絡(luò)拓?fù)鋱D;做架構(gòu)設(shè)計(jì)之前需要對(duì)系統(tǒng)做有機(jī)的分析，架構(gòu)是分不同的層次和視圖的。根據(jù)業(yè)務(wù)的差別，功能的不同，觀(guān)眾人員的差別，就需要不同視角的視圖。
回到我們的主題，系統(tǒng)安全的架構(gòu)應(yīng)該包含哪些東西? 我認(rèn)為它至少應(yīng)該包含三個(gè)主要的維度，第一個(gè)就是系統(tǒng)自然的技術(shù)堆棧，這個(gè)在IT技術(shù)里面，任何一下系統(tǒng)的技術(shù)堆棧都是天然存在的。我們最常見(jiàn)的系統(tǒng)分層架構(gòu)，有客戶(hù)端或者瀏覽器、APP，下面有運(yùn)行的代碼，它可能運(yùn)行在中間件服務(wù)器上，再下面可能是數(shù)據(jù)庫(kù)、操作系統(tǒng)、服務(wù)器、網(wǎng)絡(luò)和基礎(chǔ)設(shè)施，這是一個(gè)最簡(jiǎn)單的分層方式;
第二個(gè)維度是業(yè)務(wù)流程視角，這個(gè)業(yè)務(wù)流程視角，其實(shí)和安全這個(gè)課題是沒(méi)有太大關(guān)系的，它更多是關(guān)注業(yè)務(wù)功能實(shí)現(xiàn)。比如說(shuō)支付業(yè)務(wù)有支持業(yè)務(wù)的流程，網(wǎng)購(gòu)有網(wǎng)購(gòu)業(yè)務(wù)的流程，理財(cái)業(yè)務(wù)有理財(cái)?shù)牧鞒?，它是隨著系統(tǒng)差別，實(shí)現(xiàn)不同的業(yè)務(wù)目標(biāo);
第三個(gè)維度安全視圖，比如客戶(hù)端、應(yīng)用、中間件、DB都有不同的保護(hù)機(jī)制。在另外一個(gè)維度就是業(yè)務(wù)流程，業(yè)務(wù)的每個(gè)模塊也需要不同的保護(hù)機(jī)制，這些保護(hù)機(jī)制最后貫穿成一個(gè)網(wǎng)狀的結(jié)構(gòu)， 如何選擇合適的保護(hù)機(jī)制對(duì)它進(jìn)行保護(hù)，那就需要第三個(gè)軸安全技術(shù)構(gòu)成三維視角，在安全的機(jī)制里面其實(shí)它分為2類(lèi)：第一類(lèi)是系統(tǒng)自身的防護(hù);第2類(lèi)是對(duì)業(yè)務(wù)系統(tǒng)的保護(hù)。
為了便于理解，我們把這個(gè)框架對(duì)應(yīng)到建筑架構(gòu)上，第一層可能是地基代表基礎(chǔ)設(shè)施，第二層是網(wǎng)絡(luò)，第三層是服務(wù)器，第四層是中間件及應(yīng)用，再往上就是應(yīng)用、客戶(hù)端，系統(tǒng)堆棧的概念比較好理解。
業(yè)務(wù)系統(tǒng)視圖對(duì)應(yīng)的橫軸，比如我可能有101、102、103房間 業(yè)務(wù)流程我把它想象在，101 房間先辦理注冊(cè)，102 房間去選1個(gè)東西，103加到購(gòu)物車(chē)，104我可能是支付，105完成退出。
接下來(lái)我們看第三個(gè)軸，系統(tǒng)自身的保護(hù)。你構(gòu)建一個(gè)房子，自身要堅(jiān)固，柱子要牢靠，墻體要結(jié)實(shí)，這樣這個(gè)建筑才能穩(wěn)定在這里。 除了本身安全，還要考慮在里面住的住客，要為他們提供安全保護(hù)，走廊、消防、空調(diào)的排布是不是合理的，能否有效保護(hù)內(nèi)部用戶(hù)的安全。這里你就能看出系統(tǒng)安全架構(gòu)的基本維度，而對(duì)于保護(hù)機(jī)制的選擇有一個(gè)逐步評(píng)估分解的過(guò)程。這里還需要大家注意每一個(gè)IT系統(tǒng)，不管是系統(tǒng)開(kāi)發(fā)還是安全開(kāi)發(fā)，都有生命周期的概念，而生命周期對(duì)安全架構(gòu)的設(shè)計(jì)是有影響的。
今天我們能感覺(jué)到網(wǎng)絡(luò)攻擊已經(jīng)在進(jìn)化，比如基于國(guó)家、政治團(tuán)體、有組織的犯罪機(jī)構(gòu)發(fā)起的攻擊越來(lái)越多，攻擊者更有耐心，可能會(huì)從不起眼的用戶(hù)入手。還有一個(gè)變化是一些高級(jí)的攻擊逃逸技術(shù)越來(lái)越先進(jìn)。還有一些攻擊是針對(duì)我們的個(gè)人，針對(duì)人的弱點(diǎn)進(jìn)行社會(huì)工程學(xué)的攻擊，非常難防范，會(huì)突破我們?cè)瓉?lái)認(rèn)為不會(huì)被攻破的防御系統(tǒng)，把一些惡意的程序注入到你的系統(tǒng)里面去。
但是我們?nèi)匀豢梢岳^續(xù)遵循基本的計(jì)算機(jī)安全實(shí)踐，來(lái)構(gòu)建安全體系。按照合規(guī)的方法去做，其實(shí)這一點(diǎn)是非常重要的。我們都知道之前在禁止酒駕立法之前，發(fā)生非常多酒駕引起的人員傷亡的事故，但是立法之后很少有人去觸碰法律的紅線(xiàn)。信息安全也一樣，如果真正做到監(jiān)管合規(guī)的要求，你安全的等級(jí)已經(jīng)到一個(gè)比較高的維度了。
第二個(gè)身份管理，這個(gè)人是誰(shuí)，在我的系統(tǒng)里面有什么樣的權(quán)限，授予他可以訪(fǎng)問(wèn)哪些數(shù)據(jù)。第三個(gè)是數(shù)據(jù)保護(hù)，數(shù)據(jù)保護(hù)目前仍是很多企業(yè)最關(guān)心和最擔(dān)心的問(wèn)題，因?yàn)槿?0%的企業(yè)都認(rèn)為自己可能有數(shù)據(jù)泄漏方面的風(fēng)險(xiǎn)。
從整個(gè)2016年來(lái)看，全球總共爆發(fā)900多起非常嚴(yán)重的數(shù)據(jù)泄露事件，泄漏數(shù)據(jù)達(dá)到5億多條，包括小米、京東、雅虎在2016都發(fā)生過(guò)大規(guī)模的數(shù)據(jù)泄漏的事件。
另外一塊是日志，記錄和監(jiān)控可以協(xié)助發(fā)現(xiàn)未經(jīng)經(jīng)授權(quán)的安全事件，有助于確定安全措施有意義的改進(jìn)，以保護(hù)您的公司的機(jī)密信息。這里只是一個(gè)示例，我們?cè)跇?gòu)建技術(shù)保障體系的時(shí)候，按分層原則，每個(gè)層次上都需要考慮相應(yīng)的保護(hù)機(jī)制。
除了像BAT一樣的先進(jìn)公司，大多數(shù)企業(yè)在安全運(yùn)維層面還是離不開(kāi)找到合適的人、買(mǎi)到合適的設(shè)備這兩條。我談?wù)勝I(mǎi)到合適的設(shè)備時(shí)的一些經(jīng)驗(yàn)。
給大家講個(gè)與老板偏好相關(guān)的真實(shí)案例。之前老板傳達(dá)的信息是買(mǎi)設(shè)備，別買(mǎi)大了，省下的錢(qián)公司用于投資，會(huì)產(chǎn)生更多的收益。聽(tīng)上去沒(méi)毛病，所以我們?cè)谶x購(gòu)數(shù)據(jù)中心邊界防火墻時(shí)，按年30%的復(fù)合增長(zhǎng)計(jì)算，1套墻滿(mǎn)意3年業(yè)務(wù)增長(zhǎng)是沒(méi)有問(wèn)題的，到第四年插塊板卡，就能扛5年。結(jié)果2年后，業(yè)務(wù)以每年超過(guò)100%的速度增長(zhǎng)。在這個(gè)過(guò)程中，新老板上任了，說(shuō)容量怎么不夠了，就把之前的設(shè)計(jì)翻出來(lái)，也說(shuō)得通，那就買(mǎi)板卡擴(kuò)容吧。沒(méi)成想只過(guò)了6、7個(gè)月，容量又報(bào)警了，業(yè)務(wù)成長(zhǎng)實(shí)在太快了。只好去找新老板說(shuō)板卡已經(jīng)擴(kuò)到頭了;只能換一套更強(qiáng)處理能力的設(shè)備;你們可以體會(huì)一下向老板做匯報(bào)的心情。
第二個(gè)案例是關(guān)于品牌的。在采購(gòu)過(guò)程中，有個(gè)品牌為了進(jìn)來(lái)，殺低價(jià)中標(biāo)。都是國(guó)際一線(xiàn)品牌，按道理來(lái)說(shuō)沒(méi)什么問(wèn)題。但是有點(diǎn)水土不服，各種妖怪問(wèn)題全來(lái)了，在短時(shí)內(nèi)就發(fā)生了7次嚴(yán)重故障，所以用了不到1年，果斷換掉。這次之后，我們對(duì)品牌的考慮更加慎重，和采購(gòu)死磕，提升技術(shù)評(píng)分的比例，確保不讓不符合預(yù)期的產(chǎn)品進(jìn)來(lái)。
關(guān)于中心端產(chǎn)品的容量，如果是互聯(lián)網(wǎng)公司，我建議按當(dāng)前量，放大5至10倍考慮，因?yàn)闃I(yè)務(wù)的增長(zhǎng)往往是倍數(shù)成長(zhǎng)，非常嚇人，不能總是出現(xiàn)性能瓶頸;另外一方面需要考慮架構(gòu)優(yōu)化，用Scal Out方式橫向擴(kuò)容。
關(guān)于測(cè)試，這里指實(shí)際環(huán)境測(cè)試。實(shí)驗(yàn)室不全面，如果條件允許，時(shí)間、人充足，測(cè)試當(dāng)然沒(méi)有壞處。如果時(shí)間緊、人手不足的情況下，就選擇性地進(jìn)行測(cè)試，比如性能類(lèi)產(chǎn)品首次選擇使用時(shí)，最好先測(cè)試一下。
另外，這幾者之間要互相平衡，它們之間都是有聯(lián)系的 。比如容量估算不準(zhǔn)，又沒(méi)做實(shí)際環(huán)境測(cè)試，等設(shè)備買(mǎi)來(lái)，一上線(xiàn)直接掛掉也是有可能的。
二、安全運(yùn)維之術(shù)
這一部分主要介紹一下，安全運(yùn)維需要考慮的一些點(diǎn)。
這里講兩個(gè)重要概念。Due care中文通常翻譯成適度關(guān)注或應(yīng)用的注意，Due diligence翻譯成適度勤勉或是盡職調(diào)查;
在信息安全領(lǐng)域，Due care實(shí)際上是說(shuō)一個(gè)企業(yè)要制定各種各樣的策略、規(guī)程和標(biāo)準(zhǔn)等，用來(lái)對(duì)企業(yè)信息資產(chǎn)的保護(hù)，也就是企業(yè)應(yīng)該做的事情。而Due diligence則是要保證Due care要做的那些事情一直保持在最新?tīng)顟B(tài)。
舉個(gè)例子說(shuō)明。你要外出時(shí)，做了兩個(gè)動(dòng)作：
1、想著手機(jī)會(huì)不會(huì)電不夠用呢，不夠用怎么辦;
2、隨手把充電寶裝口袋了。
1是你的思想活動(dòng)，有沒(méi)有“想”就屬于Due care，也可能會(huì)順手查看手機(jī)電量。想過(guò)之后，可能會(huì)覺(jué)得電夠用不帶充電寶，也可能會(huì)覺(jué)得不夠用而帶上充電寶，這都不重要，重要的是你“想沒(méi)想”，有沒(méi)有檢查手機(jī)電量的意識(shí)(這根弦)。
2是你的實(shí)際動(dòng)作。如果你覺(jué)得電不夠用帶了充電寶，但沒(méi)檢查充電寶是否有電，或忘了充電線(xiàn)，那就是沒(méi)做到Due diligence。也就是說(shuō)雖然采取了相應(yīng)的動(dòng)作，但沒(méi)達(dá)到預(yù)期的效果。
而對(duì)于安全來(lái)說(shuō)，需要想到，如果沒(méi)有采取這個(gè)措施，可能存在怎樣的安全風(fēng)險(xiǎn)，為了降低風(fēng)險(xiǎn)，采取了一定的行動(dòng)，并且要確保這個(gè)行動(dòng)是有效的、而且一定要真實(shí)的執(zhí)行。
IT系統(tǒng)會(huì)有各種各樣的變更，如發(fā)布、升級(jí)、割接、改造等。變更是最容易引發(fā)系統(tǒng)故障的操作，為了降低變更對(duì)系統(tǒng)的影響，我們推進(jìn)三思而行的三步工作法。做變更之前先問(wèn)自己三個(gè)問(wèn)題，首先我是這項(xiàng)工作的合適人選嗎?其次我有能力執(zhí)行這個(gè)任務(wù)嗎?最后我能控制整個(gè)變更嗎?
當(dāng)三個(gè)問(wèn)題得到的答案是肯定的，我再去申請(qǐng)執(zhí)行這個(gè)變更。如果任何問(wèn)題的答案有遲疑，會(huì)和自己的主管協(xié)商，制定最佳方案，包括變更失敗的回退計(jì)劃;通過(guò)這一舉措，大大降低了變更造成的業(yè)務(wù)影響。
研發(fā)的同事通常關(guān)注的是HTTP xxx返回值相關(guān)問(wèn)題、延遲、擴(kuò)展性、代碼重用、Deadline、KPI、需求變更、框架、形式源、功能如何實(shí)現(xiàn)、以及代碼質(zhì)量等問(wèn)題，最主要關(guān)注代碼有沒(méi)有bug;運(yùn)維的同事通常關(guān)注HTTP 4xx及5xx錯(cuò)誤、性能、可靠性、對(duì)閥值進(jìn)行預(yù)警、監(jiān)控圖斷崖、是否出現(xiàn)異常，最關(guān)心別出故障;
研發(fā)和運(yùn)維的同事對(duì)安全的理解會(huì)有不同，但大體上對(duì)安全的理解包括DDoS攻擊、病毒木馬、堡壘機(jī)、數(shù)據(jù)脫敏、拖庫(kù)和數(shù)據(jù)泄露，只能理解和自己工作關(guān)系比較大的那個(gè)部分。而安全的同事關(guān)注的是1-7層上我的防護(hù)措施會(huì)不會(huì)被繞過(guò)，然后就是各種漏洞，開(kāi)源框架的、編程語(yǔ)言的，代碼里的、邏輯上存在的各種安全漏洞公交站，傳輸過(guò)種中以及存儲(chǔ)過(guò)程中的漏洞，bug的修復(fù)，更高級(jí)的漏洞利用方式。找出各種高、中、低危漏洞。除此之外還在時(shí)刻關(guān)注無(wú)線(xiàn)滲透、弱口令、0day、彩虹表、各種馬、注入、后門(mén)。這里就不一一列舉了，反正就是能黑進(jìn)入能拿數(shù)據(jù)，能偷錢(qián)的技術(shù)都需要了解和防范，弦崩的還是很緊的 。
其它非技術(shù)部門(mén)的同事對(duì)安全的關(guān)注僅僅是看看熱點(diǎn)，誰(shuí)家出什么事了，旁觀(guān)者心態(tài)。視野的不同決定了在安全這件工作上采取行動(dòng)的不同。
在安全運(yùn)維的過(guò)程中，有時(shí)不得不去做一些高危操作，就像給飛行中的飛機(jī)更換故障發(fā)動(dòng)機(jī)，因?yàn)檎军c(diǎn)業(yè)務(wù)是7*24服務(wù)的，不可能或很少拿到停機(jī)操作窗口。前面已經(jīng)說(shuō)過(guò)，做變更有一套方法規(guī)避風(fēng)險(xiǎn)，包括參與變更人員、廠(chǎng)商和我們工作師的配合。但總有疏漏的時(shí)候，有一次我們更換防火墻引擎故障，結(jié)果導(dǎo)致防火墻雙活，業(yè)務(wù)中斷約10分鐘。后來(lái)復(fù)盤(pán)故障時(shí)領(lǐng)導(dǎo)也民覺(jué)得這類(lèi)操作的確很危險(xiǎn)，即使再小心，也是十分危險(xiǎn)的 。所以就設(shè)定了Outage Window操作，高危操作放在這個(gè)窗口內(nèi)，訂單損失是不計(jì)入ATP監(jiān)控的，并沒(méi)有人會(huì)因此濫用這個(gè)窗口。
關(guān)于漏洞
漏洞年年有，今年特別多，像前段時(shí)間出的Struts2，還有4月15日國(guó)外黑客組織Shadow Brokers泄露出了一份機(jī)密文檔，其中包含了多個(gè)Windows遠(yuǎn)程漏洞利用工具，可以覆蓋全球70%的Windows服務(wù)器，影響程度非常巨大。這兩次事件影響面都非常的廣，修復(fù)花很大力氣，在企業(yè)里面推動(dòng)補(bǔ)丁管理還是挺難的，簡(jiǎn)單來(lái)說(shuō)就是補(bǔ)洞的人不懂安全，懂安全的插不上手。需要說(shuō)的是補(bǔ)丁是必須要打的，不然你就給入侵者留下方便之門(mén)，不做為，亦作惡。
關(guān)于安全意識(shí)
需要足夠的耐心，一次次的去宣講，普通員工到技術(shù)人員到管理層，大家整體的安全意識(shí)才會(huì)提高，特別是管理層，宣講的時(shí)候講技術(shù)通常效果不好。這時(shí)應(yīng)該選擇講案例，將安全與商業(yè)價(jià)值聯(lián)系起來(lái)管理層才會(huì)真正重視。安全工作成功的關(guān)鍵是高層和重視和承諾。
關(guān)于變化
這個(gè)也好理解，整個(gè)IT環(huán)境是不斷動(dòng)態(tài)變化的，當(dāng)前有效的安全防護(hù)措施，因?yàn)槟硞€(gè)不安全系統(tǒng)的上線(xiàn)，就有了突破口，需要持續(xù)的檢查，發(fā)現(xiàn)變化帶來(lái)的新風(fēng)險(xiǎn)。
關(guān)于堅(jiān)持
其實(shí)安全運(yùn)維是整個(gè)安全的基石，你需要耐心去踏踏實(shí)實(shí)做一些事情，而很多我們身邊的大牛在最初入行時(shí)也是從調(diào)設(shè)備寫(xiě)代碼開(kāi)始的，通過(guò)一些真正的接觸一線(xiàn)的工作，你在后期的提升會(huì)比較快，而不是說(shuō)看幾本安全的書(shū)就能怎樣。
三、安全運(yùn)維自動(dòng)化
我們?yōu)榱颂嵘踩\(yùn)維效率，在運(yùn)維自動(dòng)化方面有過(guò)很多嘗試，比如防御DDoS攻擊方面，分布式漏洞掃描方面、交換機(jī)封IP、基于VPN的鏈路容災(zāi)方案，防火運(yùn)維自動(dòng)化方面等等，在DevOps深入推進(jìn)的今天，可以說(shuō)能夠自動(dòng)化你想自動(dòng)化的一切。
關(guān)于DDoS攻擊分為兩種類(lèi)型，一種是已經(jīng)被打怕的人，另外一種是已經(jīng)被打習(xí)慣的人。DDoS攻擊目前仍是網(wǎng)絡(luò)安全的頭號(hào)大敵，超過(guò)100G規(guī)模的攻擊很常見(jiàn)。我們是被打習(xí)慣的一類(lèi)人，在戰(zhàn)斗中增加經(jīng)驗(yàn)值，并且考慮了一些自動(dòng)化的防御手段，比如自研DDoS攻擊看板，實(shí)時(shí)了解受攻擊情況，與運(yùn)營(yíng)商BGP聯(lián)動(dòng)，實(shí)現(xiàn)被攻擊IP一鍵丟黑洞。快速釋放被攻擊帶寬;云端防護(hù)是必須要借助的，因?yàn)楝F(xiàn)在的攻擊量太大了，需要云清洗能力。
這個(gè)是我們自研的DDoS攻擊看板，分成三個(gè)狀態(tài)，第一塊是誰(shuí)正在被攻擊，第二塊是哪些被攻擊系統(tǒng)正在引流，第三塊顯示哪些被引流的系統(tǒng)正在做流量清洗，正在做流量清洗的系統(tǒng)，需要特別關(guān)注業(yè)務(wù)的運(yùn)行情況，確保業(yè)務(wù)得到保護(hù)。
第二個(gè)講一下交換器封IP，由于我們系統(tǒng)架構(gòu)的特殊性，需要由交換機(jī)設(shè)備完成IP自動(dòng)封鎖的任務(wù)。我們先看一下流程，比較簡(jiǎn)單，分為4個(gè)過(guò)程，發(fā)現(xiàn)惡意IP，可以通過(guò)IPS或其它系統(tǒng)檢測(cè)出來(lái)，送入IP封鎖系統(tǒng)進(jìn)行規(guī)則匹配，符合封鎖條件的IP直接自動(dòng)下發(fā)到交換機(jī)進(jìn)行封鎖，達(dá)到封鎖時(shí)間則自動(dòng)解封。
我們看一下實(shí)現(xiàn)原理。最上面通過(guò)API對(duì)接Web Portal和惡意IP識(shí)別系統(tǒng)，Web可以實(shí)現(xiàn)IP的增刪查以及交換機(jī)ACL查詢(xún)，有IP白名單機(jī)制，確保受保護(hù)IP不會(huì)被封鎖。比如分公司IP或合作伙伴IP地址，ACL下推到交換機(jī)時(shí)增加了防呆機(jī)制，防止系統(tǒng)發(fā)生將不該封的IP封鎖或是大批量封鎖用戶(hù)IP的情況發(fā)生。這些系統(tǒng)我們?cè)谥暗囊恍┪恼禄蛟趯?zhuān)利里面都具體講了實(shí)現(xiàn)的方法，有興趣的朋友可以去參考一下。
這個(gè)是一個(gè)基于VPN的鏈路容災(zāi)系統(tǒng)設(shè)計(jì)，這里面我們做的自動(dòng)化有幾塊。一個(gè)是全國(guó)有幾百家汽車(chē)站需要與總部系統(tǒng)通訊，如果采購(gòu)商用VPN系統(tǒng)造價(jià)很高，那我們?cè)谀硨毶腺I(mǎi)了Netgear的路由器，安裝Openwrt開(kāi)源固件提供VPN服務(wù)，大約節(jié)省80多萬(wàn)元成本。在這個(gè)設(shè)計(jì)里的專(zhuān)利部分是設(shè)計(jì)了一套全冗余的結(jié)構(gòu)，冗余的程度達(dá)到就算任何一個(gè)機(jī)房的鏈路壞了、設(shè)備壞了甚至其中1個(gè)IDC全部crash，我的這套系統(tǒng)仍然是可以持續(xù)運(yùn)行。
維護(hù)和管理幾百條VPN隧道是非常麻煩的事情，我們開(kāi)發(fā)了VPN管理工具，可以批量生成中心端VPN的配置信息，遠(yuǎn)端的VPN小盒子也通過(guò)腳本實(shí)現(xiàn)即插即用。大大降低了維護(hù)的復(fù)雜度。上圖界面是VPN隧道存活情況的監(jiān)控。
隨著互聯(lián)網(wǎng)技術(shù)的不斷發(fā)展，在線(xiàn)網(wǎng)站的規(guī)模越來(lái)越大，防火墻作為網(wǎng)絡(luò)的安全屏障在廣泛使用，其數(shù)量也在相應(yīng)的增加。這張拓?fù)鋱D展示的一些較大規(guī)?；ヂ?lián)網(wǎng)公司或企業(yè)典型的防火墻部署示意圖，體現(xiàn)了邊界防護(hù)、重要業(yè)務(wù)系統(tǒng)隔離保護(hù)、辦公與生產(chǎn)隔離的一些保護(hù)需求。
據(jù)我了解使用幾臺(tái)到幾十臺(tái)的企業(yè)有很多，也有一些大型集團(tuán)公司或跨國(guó)公司使用數(shù)百臺(tái)防火墻。面對(duì)這么多防火墻，要把它管理好，難度是很大的。有些廠(chǎng)商就說(shuō)了，你可以使用我們的防火墻集中管理系統(tǒng)幫助降低運(yùn)維復(fù)雜度。但當(dāng)告訴他，我們有好幾個(gè)品牌的墻，他們往往會(huì)說(shuō)對(duì)不起，他的系統(tǒng)管不了，只能管自家的墻。有商用產(chǎn)品可以實(shí)現(xiàn)不同品牌防火墻策略集中管理，但是按License算錢(qián)，價(jià)格昂貴，而且不靈活，不能實(shí)現(xiàn)個(gè)性化的需求。在這種多品牌，多數(shù)量的情況下，防火墻系統(tǒng)的運(yùn)維難度和挑戰(zhàn)將變得非常的大。
我們自主開(kāi)發(fā)了防火墻運(yùn)維管理系統(tǒng)，這張圖是核心功能模塊的索引和實(shí)現(xiàn)功能簡(jiǎn)介。拓?fù)溆?jì)算，通過(guò)計(jì)算路由，生成防火墻拓?fù)?，判斷出一個(gè)策略需求，經(jīng)過(guò)哪幾臺(tái)防火墻。策略查詢(xún)2個(gè)功能，一是用戶(hù)自助查詢(xún)2點(diǎn)間的防火墻策略;二是申請(qǐng)策略時(shí)后臺(tái)會(huì)自動(dòng)判斷是否已有策略支持，如果有的話(huà)，會(huì)返回消息告訴用戶(hù)說(shuō)已經(jīng)有策略了，無(wú)須申請(qǐng)。
策略生成模塊，抽象策略對(duì)象，判斷策略申請(qǐng)是增刪改哪種場(chǎng)景生成相應(yīng)的工藝。工單對(duì)接是指如何與企業(yè)中的變更管理工單管理系統(tǒng)對(duì)接。自動(dòng)化不能逾越流程，反而要嚴(yán)格遵循流程。在工單對(duì)接環(huán)節(jié)會(huì)重點(diǎn)強(qiáng)調(diào)。其它工具，VPN管理、改密碼、審批關(guān)系維護(hù)、墻元素查詢(xún)，都非常有價(jià)值，極大提升運(yùn)維工作效率。
總結(jié)
最后簡(jiǎn)單談一些感想。第一做安全運(yùn)維也要理解業(yè)務(wù)，理解業(yè)務(wù)才能針對(duì)不同業(yè)務(wù)實(shí)施不一樣的保護(hù)級(jí)別，如果全部采用相同保護(hù)級(jí)別的話(huà)，你的安全成本會(huì)非常高。
第二個(gè)要有充分的預(yù)案，因?yàn)槲覀儾恢澜酉聛?lái)會(huì)發(fā)生什么，我們通常認(rèn)為防火墻HA部署的可靠性已經(jīng)很高了，但是極端情況下會(huì)出現(xiàn)兩臺(tái)防火墻同時(shí)壞掉的悲劇，就需要有應(yīng)急預(yù)案處理這樣的極端情況。
第三個(gè)是定期演練。即使有了預(yù)案，還需要定期演練，不然真出現(xiàn)問(wèn)題，對(duì)方案不熟悉或是預(yù)案針對(duì)的環(huán)境已經(jīng)發(fā)生變化，預(yù)案早已不再有效卻沒(méi)有及時(shí)發(fā)現(xiàn)。
第四是善用乙方的資源，在系統(tǒng)的專(zhuān)業(yè)性方面，已方的工程師可能比較強(qiáng)，但對(duì)于業(yè)務(wù)本身，當(dāng)然是甲方工程師更清楚，要利用相應(yīng)的優(yōu)勢(shì)，為業(yè)務(wù)提供保護(hù)。
第五是創(chuàng)新思維，就是用創(chuàng)新的想法去解決實(shí)際問(wèn)題，并且成為一種能力。
第六是全面安全視角，安全運(yùn)維不僅是對(duì)各種安全設(shè)備和軟件進(jìn)行運(yùn)維保障系統(tǒng)安全，還要兼顧運(yùn)維安全，解決研發(fā)、運(yùn)維同事產(chǎn)生的各種危險(xiǎn)坑點(diǎn)，基本上是涵蓋了整個(gè)系統(tǒng)安全的方方面面。所以需要有全面的安全視角，才能應(yīng)對(duì)不斷產(chǎn)生的安全風(fēng)險(xiǎn)和挑戰(zhàn)。
分享名稱(chēng)：互聯(lián)網(wǎng)企業(yè)安全運(yùn)維實(shí)踐
網(wǎng)站路徑：http://m.5511xx.com/article/dhosjoc.html
