您可以捐助,支持我们的公益事业。

1元 10元 50元





认证码:  验证码,看不清楚?请点击刷新验证码 必填



  求知 文章 文库 Lib 视频 iPerson 课程 认证 咨询 工具 讲座 Model Center   Code  
会员   
   
 
     
   
 订阅
  捐助
企业安全体系架构分析:开发安全架构之安全性架构
 
作者: 煜阳yuyang
   次浏览      
 2020-3-9
 
编辑推荐:
本文首先介绍了什么是安全性架构,如何构建网络层面传输层面以及系统层面的安全,希望对您的学习有所帮助。
本文来自于freebuf,由火龙果软件Alice编辑、推荐。

什么是安全性?

安全包括网络层面、传输层面、系统层面、应用层面、数据层面的安全,要考虑安全性架构需要从这5方面入手,当然最不能忽视的还是业务本身。

如何构建网络层面的安全?

其实在上一篇的架构体系中已经涉及了一部分了,就是代理服务器,用于隐藏真实应用服务器地址,当然这只是很小的一部分,网络层面发生的入侵事件一般以DoS攻击为主,而DoS指向是通过DNS解析或者真实IP而判定的,那么隐藏真实IP有助于迷惑DoS攻击目标。而通过DNS解析到的一般采用CDN或者SLB负载均衡来达到抗DoS的效果,如果涉及云架构,基础云防护就有抗DDoS黑洞,会把超过阀值的ip拉到运营商黑洞,从而解决DoS攻击产生的威胁。

如何构建传输层面的安全?

在数据传输层面,通常发生的是监听行为,或者中间人攻击,这里其实涉及到保密性架构的东西,我们假如业务是使用的HTTP协议,那么明文的HTTP流量显然是不安全的,通过wireshark、burp等工具都可以轻松抓到,这时个人信息就一览无余。那么使用了HTTPS就能解决这个问题吗?这种说法并不绝对,早在多年以前SSL加密算法就爆出安全漏洞,随后推出TLS,目前TLS1.0也已经被广大解密极客突破,信息赤裸裸的被泄露,2018年PCI DSS推出3.2.1版本,已经明令TLS1.1为过检的必要项,而且是最低要求,也从侧面证实了解密极客团队的实力。仅采用HTTPS的方式是远远不够的,重要信息的加密应该通过更复杂的加密手段来进行,这块留在保密性架构中叙述。

如何构建系统层面的安全?

近日Linux出现0day漏洞,TCP-sack存在重大漏洞,可利用此漏洞造成DoS攻击,使服务器瘫痪,具体信息详见:https://access.redhat.com/security/vulnerabilities/tcpsack

操作系统一直不太平,包括Windows、Linux、MAC OS其实都是在不断的修复与曝光中,像这次的TCP-sack内核漏洞等等,我们没有办法提前发现操作系统底层的为止漏洞,但是我们可以很大程度上预防这样的漏洞,那么归根结底还是隐藏目标,在隐藏目标的同时要发现系统上存在的异常,并且进行日常监控。

应用安全很简单也很好理解,像Windows的SMB漏洞,RDP漏洞,Linux的SSH漏洞等等,这些应用要在业务允许的情况下保持最新保本以保证应用的安全性,并且要实时检测监控。

数据安全同样是老生常谈的话题了,其实并不像多说什么,数据存放不管是在大数据集群,还是在什么地方,底层都是数据库,在传输层做好加密后,数据库安全就是重中之重,包括数据脱敏、数据加密等等。

直接见架构设计吧。

详细理解这个架构,那么从监控的角度来说,5大层面都需要监控到位,每层的日志、行为分析都要掌控到,并且联动告警,这里可以是MQ,可以是短信可以是邮件等等。

从5大层面的角度来说,最重要的意义是防御攻击防御入侵防御数据泄露,那么严格的登录流程,复杂的登录手续,加密算法的复杂程度等等都直接影响架构的安全性。

根据每个功能模块的特点,制定如下的设计图

办公区需要连接VPN登录堡垒机去访问可用性架构中的服务器,可用性架构中的每台服务器都安装HIDS和防病毒软件,旁路的漏扫集群随时对服务器进行漏洞扫描,数据库审计来审计数据库操作日志,同时所有服务器日志与应用日志均反馈给日志分析集群,公网访问通过抗DDoS设备和加密机访问到服务器,图中没有体现告警系统与监控系统。

监控系统一般由两部分组成,应用监控与主机监控

主机监控主要监控CPU、内存、文件是否变更、网络流量等等

而应用监控则需要监控应用状态、接口是否异常、访问请求是否有效等等

针对监控系统,目前我采用的是zabbix+grafana联合监控,业务监控则需要自己根据业务选择对应语言进行脚本监控,与告警系统联动

 

 

   
次浏览       
相关文章

企业架构、TOGAF与ArchiMate概览
架构师之路-如何做好业务建模?
大型网站电商网站架构案例和技术架构的示例
完整的Archimate视点指南(包括示例)
相关文档

数据中台技术架构方法论与实践
适用ArchiMate、EA 和 iSpace进行企业架构建模
Zachman企业架构框架简介
企业架构让SOA落地
相关课程

云平台与微服务架构设计
中台战略、中台建设与数字商业
亿级用户高并发、高可用系统架构
高可用分布式架构设计与实践