微服務(wù)的安全挑戰(zhàn)和處理

責(zé)任編輯:editor004

作者:Harris編譯

2017-08-11 11:42:44

摘自:機(jī)房360

雖然有些事情有所改善,但微服務(wù)仍然存在一些重大的安全挑戰(zhàn),開發(fā)人員和架構(gòu)師將不得不面臨這些挑戰(zhàn)。雖然微服務(wù)公平地分享他們的利益,但在安全性方面需要重視,包括新的威脅和工具。

雖然微服務(wù)公平地分享他們的利益,但在安全性方面需要重視,包括新的威脅和工具。

隨著越來越多的組織從整體轉(zhuǎn)向更分散的基于微服務(wù)的體系結(jié)構(gòu),那么其安全性是否隨之提高?雖然有些事情有所改善,但微服務(wù)仍然存在一些重大的安全挑戰(zhàn),開發(fā)人員和架構(gòu)師將不得不面臨這些挑戰(zhàn)。

獨(dú)立技術(shù)顧問,Specto Labs公司首席技術(shù)官Daniel Bryant對(duì)提高微服務(wù)的安全性以及可以使用的一些工具和技術(shù)解決出現(xiàn)的一些挑戰(zhàn)進(jìn)行了闡述。

與傳統(tǒng)架構(gòu)相比,微服務(wù)在安全性方面面臨著哪些新挑戰(zhàn)?

Bryant:按照傳統(tǒng)的方法,如果有一件事妥協(xié)了,那就麻煩不斷。這就像將所有的雞蛋放在一個(gè)籃子里。另一方面,當(dāng)事情弄糟之后,突然之間,就必須確保更多的事物的安全。然后隨著攻擊面變得越來越大,就不必再做類似硬化邊緣的事情。

現(xiàn)在最大的挑戰(zhàn)是每個(gè)開發(fā)人員必須更加意識(shí)到安全。還有更多的事情,還有更多的攻擊面,所有這些暴露的東西之間還有更多的溝通。

什么樣的工具和技術(shù)對(duì)于微服務(wù)安全性至關(guān)重要?

Bryant:有一些像Web應(yīng)用程序防火墻這樣非常受歡迎的東西。很多公司使用F5這樣的工作,實(shí)際上就是F5防火墻。人們將越來越多地看到更多的軟件防火墻。

這顯然是預(yù)防,但也需要考慮檢測(cè)。因此,基本內(nèi)容是:記錄通信中的低帶寬、記錄Web流量、記錄SSH[安全套接字shell]訪問。在任何面向公眾的Web服務(wù)器中,如果查看日志,人們就會(huì)不斷地探測(cè)邊緣。如果查看這個(gè)IP地址,或來自己哪個(gè)國家…需要對(duì)來自哪里的東西做某種類似于持續(xù)分析。

還有哪些攻擊呢?他們?cè)噲D探測(cè)什么向量?如果沒有修補(bǔ)系統(tǒng),可能有一天會(huì)遭遇到黑客攻擊。所以肯定需要檢測(cè),需要確保所有的修補(bǔ)完成。用戶將大量的費(fèi)用花費(fèi)在網(wǎng)絡(luò)上和計(jì)算上。這些是很好的東西,但不要忘記應(yīng)用程序。如果應(yīng)用程序有很大的漏洞,那么所有其他的東西都會(huì)受到損害。只有漏洞才會(huì)讓黑客進(jìn)入,并開始造成傷害。

我認(rèn)為像威脅建模這樣的東西也是非常有用的。了解威脅是如何工作的,存在哪些威脅,并建模它們可能如何攻擊系統(tǒng)。人們經(jīng)常發(fā)現(xiàn),正確地建模的副作用讓人們對(duì)事情發(fā)生的不同方式有了不同的認(rèn)識(shí)。所以,如果開始做攻擊向量,會(huì)突然想,‘我真的在應(yīng)用程序中強(qiáng)化了這個(gè)東西,’你會(huì)意識(shí)到你的電子郵件系統(tǒng)或其他東西有一個(gè)巨大的缺陷。

開放Web應(yīng)用程序安全項(xiàng)目(OWASP),他們是一個(gè)非常優(yōu)秀的組織。他們有一系列語言類型的診斷工具,用于掃描依賴關(guān)系中的關(guān)鍵漏洞。所以,如果使用Java或Maven,可以把它放在MavenPalm中。

在微服務(wù)安全性方面,每個(gè)人都應(yīng)該問什么問題?

Bryant:人們?cè)撛趺醋觯繂栕约旱膱F(tuán)隊(duì)和管理層我該怎么辦?這樣的工作與安全有什么關(guān)系?應(yīng)該遵守某些標(biāo)準(zhǔn)嗎?應(yīng)該重新檢查工作嗎?這些東西是最關(guān)鍵的。

我認(rèn)為微服務(wù)安全性與傳統(tǒng)安全性沒有大的不同。作為開發(fā)人員,人們的工作越來越多,必須成為一名操作人員以及開發(fā)人員。你知道,前端和后端,所有這些東西這么繁雜,那么技術(shù)人員的知識(shí)就會(huì)全面卻不深入。

與此同時(shí),如果開發(fā)人員在整個(gè)堆棧中受過良好教育,但對(duì)安全性并不太了解,則很容易留下大量漏洞。如果留下一些巨大的安全漏洞,這可能是非常糟糕的。所以,開發(fā)意識(shí),建模,記錄,分享,到會(huì)議,與人聊天,學(xué)習(xí)等這些因素都很重要。

專家們?cè)谖⒎?wù)安全方面十分重視,但為什么還不能有效的解決呢?

Bryant:這并不是明確所指的是微服務(wù)。隨著世界越來越多的連接,像比特幣這樣的新生事物現(xiàn)在越來越受到攻擊者的攻擊。

我認(rèn)為,IT行業(yè)并沒有像應(yīng)該承擔(dān)的那樣負(fù)責(zé)任。所以,更重要的一個(gè)例子就是人為因素。作為開發(fā)人員還是作為架構(gòu)師,人們是否對(duì)此給予足夠的關(guān)注?人們是不是做了像縱深防御之類的事情?人們是在做審計(jì)和記錄,然后回顧那些事情嗎?有一些基本的東西,比如編碼術(shù)語。這里再次重申,人們并沒有做到。

在安全性方面,傳統(tǒng)架構(gòu)(如面向服務(wù)架構(gòu)(SOA))與分布式微服務(wù)體系結(jié)構(gòu)有何好轉(zhuǎn)?

Bryant:原則上沒有太大的變化。我唯一想說的是,在SOA中,我們有更多的治理。SOA是由供應(yīng)商的法律驅(qū)動(dòng)的。他們說,“你必須使用我的ESB(企業(yè)服務(wù)總線)或我的特定的技術(shù)”,這有很多缺點(diǎn),但其中一個(gè)好處有這個(gè)ESB,可以管理服務(wù)中的所有連接。所以,他們真的投資于政策和治理以及所有這些事情。如果出了問題,你知道應(yīng)該打電話聯(lián)系誰。

然而,這些天來,我們傾向于更輕量級(jí)的技術(shù),但作為一名開發(fā)人員和架構(gòu)師,必須承擔(dān)更多的責(zé)任。治理、政策和事物,盡管有時(shí)是糟糕的,但還是有好處的。擁有更多的控制權(quán),其自由顯然就少了,但這是一種平衡。

DevOps團(tuán)隊(duì)如何能夠與安全團(tuán)隊(duì)合作,確保服務(wù)得到保障?

Bryant:DevOps的理念是讓大家加入。所以,很多顧問公司嘗試引入信息安全。在一個(gè)傳統(tǒng)的組織中,他們通常被稱為信息。讓他們?cè)缛者M(jìn)入項(xiàng)目,他們的知識(shí)是非常有價(jià)值的,所以讓他們?cè)缛諈⑴c是正確的舉措。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)