加入收藏 | 设为首页 | 会员中心 | 我要投稿 惠州站长网 (https://www.0752zz.com.cn/)- 办公协同、云通信、物联设备、操作系统、高性能计算!
当前位置: 首页 > 建站 > 正文

拿来即用的企业级安全运维体系搭建指南

发布时间:2018-09-16 20:03:44 所属栏目:建站 来源:林伟壕
导读:副标题#e# 9月15日技术沙龙 | 与东华软件、AWS、京东金融、饿了么四位大咖探讨精准运维! 本文我们将针对如何解决问题来进行详细说明,从问题入手,通过纠正或者培养良好的运维安全习惯,搭建完整的运维安全技术体系。 一、培养良好的运维安全习惯 想要解决

堡垒机与VPN

  • 使用堡垒机可实现运维入口统一化,也能做到集中访问控制和审计。
  • 在登陆堡垒机时也需要拨入VPN,目前应用比较广泛的有IPSecVPN以及SSLVPN,像OpenVPN则部署维护简单、服务端较为灵活以及客户端支持丰富等优势目前被广泛应用。
  • 服务器ssh端口或者业务管理后台也可只对堡垒机与VPN Server开放白名单

2)基线审计与入侵检测

我认为基线审计与入侵检测是两个不同的概念,前者在于事后审计,看合不合格;后者在于事前预防与事中检测响应。在具体落地上,基线审计通常依赖堡垒机,入侵检测通常依赖安全agent。

堡垒机

通常堡垒机有访问控制、日志审计、操作行为审计、数据上传下载审计以及权限管理等功能。但系统补丁更新与应用版本更新等操作则不是堡垒机所能覆盖的。

对于堡垒机的落地,采购设备倒是其次,重点在于整合整套运维体系,对于有些年头的企业改造成本太大,而且大家也担心其性能与可用性。

安全agent

当然,前面说到的系统补丁更新与应用版本更新,都可以交给安全agent去做。入侵检测、基线审计,安全agent可全面覆盖。但因为要跑agent,通常没有愿意商用入侵检测系统跑在自己机器上的,如果自研则开发周期长,还会引起业务的担忧:服务器监控agent、数据上传agent等等之外还要再跑安全agent,万一agent崩了会不会引起雪崩?说到底,要取得产品的信任,还得自家底子够硬。

那么,什么样的解决方案才能众口皆调呢?在google提出beyondcorp之后,问题可能有了转机,那就是把使用轻量agent采集信息,把计算、分析、决策交给大数据后台。

当然,我们很难像google那样基于rpc协议去做访问控制、身份认证,那么在传统的堡垒机、vpn方案之上,结合轻量级agent,可能是一种更好的方式。

不过还是上面那句话,如果自家底子够硬,能取得大家信任,那就另当别论。

3)漏洞扫描

目前大中型企业谁没有自己的漏洞扫描器,不会开发购买商用的总行吧?但我觉得可能有个通病,就是漏洞扫描器做的太重。如果可以解放思路,或许可以尝试从扫描器的定位重新出发,在效率、覆盖面上进行选择,比如大型扫描器专门做周期长的、要求覆盖面广的扫描,而轻量级扫描器则定位于高效、定向扫描。

现在不光是waf在结合机器学习,漏洞扫描器也可以结合机器学习或者大数据分析,根据扫描日志或者已有的经验,做策略的自动生成,实现扫描规则的轻量化与精准化。

4)CI/CD安全

CI/CD是运维的重要一环。在CI/CD上出现的安全漏洞也多如牛毛。下面我们从如何安全的发布和应用部署来讨论。

敏感信息泄露

我们都知道发布代码应排除:源码文件和临时文件,如.py、.cc、*.swp(vim临时文件),上传版本管理相关的信息文件(如.svn/.git),以及打包/备份文件(如.gz/.bak)。这看起来更像是一种规范,其实不然,通过在代码分发系统增加钩子或者过滤模块,是可以提前发现敏感信息的上传的。比如代码提交了ssh私钥或者账号密码配置文件,只需要一个webhook就能检测到。实现上的成本与出问题付出的代价相比,其实不算什么。

代码或镜像的安全审计

随着Docker容器技术的广泛应用,CI/CD安全的落地更加充满希望。我们都知道,使用Docker容器需要经历编写dockerfile/docker-compose文件,docker build之后才有镜像,然后再docker pull、docker run部署服务,实际上可以结合Jenkins等CI/CD工具调CoreOS官方的Clair镜像安全审计工具进行漏洞扫描。此外,当然还有RASP等Runtime机制的动态检测机制,也有foritity或者Cobra等或商用或开源的代码审计工具,也可以结合使用。

5)认证授权

(编辑:惠州站长网)

【声明】本站内容均来自网络,其相关言论仅代表作者个人观点,不代表本站立场。若无意侵犯到您的权利,请及时与联系站长删除相关内容!

推荐文章
    热点阅读