搜索

[12695] 2018-05-12_跟着大公司学数据安全架构之AWS&Google

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-05-12_跟着大公司学数据安全架构之AWS&Google 跟 着 大 公 司 学 数 据 安 全 架 构 之 A W S & G o o g l e m c v o o d o o   F r e e B u f   2 0 1 8 - 0 5 - 1 2 近 年 来 数 据 泄 漏 的 事 件 层 出 不 穷 ， 网 上 可 以 搜 到 大 量 的 数 据 泄 漏 新 闻 。 从 业 者 也 都 明 白 ， 数 据 泄 漏 只 是 一 个 结 近 年 来 数 据 泄 漏 的 事 件 层 出 不 穷 ， 网 上 可 以 搜 到 大 量 的 数 据 泄 漏 新 闻 。 从 业 者 也 都 明 白 ， 数 据 泄 漏 只 是 一 个 结 果 ， 而 原 因 有 很 多 种 ， 可 能 是 一 个 越 权 漏 洞 ， 也 可 能 是 一 个 弱 口 令 ， 有 果 ， 而 原 因 有 很 多 种 ， 可 能 是 一 个 越 权 漏 洞 ， 也 可 能 是 一 个 弱 口 令 ， 有 N 种 可 能 都 会 导 致 泄 漏 。 传 统 的 数 据 安 种 可 能 都 会 导 致 泄 漏 。 传 统 的 数 据 安 全 保 障 体 系 为 什 么 没 能 有 效 遏 制 数 据 泄 漏 ？ 是 方 法 论 出 错 了 ， 还 是 执 行 不 到 位 ？ 带 着 这 个 问 题 ， 笔 者 研 究 了 两 全 保 障 体 系 为 什 么 没 能 有 效 遏 制 数 据 泄 漏 ？ 是 方 法 论 出 错 了 ， 还 是 执 行 不 到 位 ？ 带 着 这 个 问 题 ， 笔 者 研 究 了 两 家 云 服 务 厂 商 ， 试 图 从 框 架 上 寻 找 可 借 鉴 的 地 方 。 结 论 是 ， 有 可 借 鉴 的 地 方 ， 但 仍 然 不 足 以 保 证 数 据 安 全 。 家 云 服 务 厂 商 ， 试 图 从 框 架 上 寻 找 可 借 鉴 的 地 方 。 结 论 是 ， 有 可 借 鉴 的 地 方 ， 但 仍 然 不 足 以 保 证 数 据 安 全 。 本 文 仅 选 择 数 据 安 全 强 相 关 内 容 ， 两 家 公 司 在 云 架 构 上 比 较 相 似 ， 框 架 上 都 是 通 过 I A M 、 K M S 、 加 密 、 日 志 ， 并 且 都 有 专 门 针 对 数 据 安 全 的 服 务 可 供 选 择 。 一 、 一 、   I A M I A M 本 质 上 是 一 个 信 任 系 统 ， 提 供 身 份 识 别 和 访 问 管 理 功 能 。 访 问 控 制 、 角 色 、 资 源 、 审 计 、 认 证 、 日 志 、 策 略 等 都 是 这 里 要 考 虑 的 要 素 ， 对 于 大 多 数 互 联 网 公 司 而 言 ， 面 上 的 东 西 其 实 都 有 ， 但 缺 少 的 是 精 细 度 。 尤 其 体 现 在 资 源 的 细 颗 粒 程 度 ， 例 如 我 要 对 E C 2 进 行 I P 分 配 ， 这 就 是 一 个 资 源 ， 而 I A M 针 对 这 个 资 源 的 策 略 可 以 有 允 许 、 禁 止 、 申 请 等 不 同 的 资 源 级 权 限 ， 再 进 一 步 ， 要 能 够 根 据 不 同 的 角 色 甚 至 标 签 进 行 。 诸 如 此 类 ， 要 把 资 源 做 到 细 颗 粒 ， 表 面 上 是 对 资 源 、 角 色 、 权 限 的 框 架 定 义 ， 本 质 上 是 对 整 个 系 统 底 层 基 础 统 一 化 的 要 求 。 在 一 个 底 层 不 统 一 的 基 础 上 去 谈 框 架 ， 则 要 求 框 架 有 大 规 模 的 扩 展 性 ， 对 性 能 也 是 一 个 较 大 考 验 。 此 外 日 志 记 录 也 是 I A M 的 一 项 重 要 内 容 ， 从 这 里 可 以 发 现 异 常 。 G o o g l e 相 对 提 供 了 另 外 一 个 I D E N T I T Y   A W A R E   P R O X Y ， 简 称 I A P ， 控 制 着 云 上 的 应 用 访 问 通 道 ， 也 是 B e y o n d C o r p 的 作 品 之 一 。 本 质 上 是 对 应 用 的 访 问 建 立 了 一 个 代 理 的 授 权 层 ， 建 立 了 一 个 应 用 级 访 问 访 问 控 制 ， 而 不 是 网 络 级 的 访 问 控 制 。
二 、 二 、   H S M / K M S 由 于 用 户 对 上 云 的 数 据 安 全 考 虑 ， 因 此 加 密 是 云 厂 商 的 重 点 工 作 之 一 ， 这 意 味 着 你 的 数 据 在 我 的 云 上 是 加 密 的 ， 而 我 无 法 窃 取 你 的 数 据 ， 因 为 只 有 你 才 拥 有 密 钥 。 因 此 我 会 为 你 提 供 密 钥 管 理 服 务 、 硬 件 加 密 模 块 服 务 ， 当 然 你 也 可 以 不 信 任 我 ， 我 也 支 持 你 用 第 三 方 的 密 钥 服 务 。 H S M / K M S 除 了 对 静 态 数 据 的 加 密 ， 也 可 以 用 在 其 他 的 场 景 中 。 比 如 W e b   服 务 器 分 载   S S L / T L S   处 理 ， 需 要 公 有 – 私 有 密 钥 对 和 公 有 密 钥 证 书 ， 和 每 个 客 户 端 建 立   H T T P S   会 话 ， 这 时 可 以 把 计 算 工 作 让 H S M 承 担 ， 以 达 到 S S L 加 速 。 再 比 如 你 在 O r a c l e 启 用 了 加 密 ， 主 加 密 密 钥 可 以 存 在 H S M 中 ， 因 为 H S M 是 个 硬 件 ， 所 以 具 有 更 高 的 安 全 性 。 加 密 不 是 问 题 ， 实 践 中 的 问 题 在 于 密 钥 管 理 ， 密 钥 如 何 分 发 ， 怎 样 进 行 轮 换 ， 何 时 撤 销 ， 都 是 密 钥 的 安 全 管 理 问 题 。 两 家 云 厂 商 都 提 供 了 自 动 更 换 密 钥 或 到 时 提 醒 的 功 能 ， 而 且 都 能 避 免 更 换 密 钥 时 的 重 新 加 密 。 K M S 的 密 钥 层 次 上 和 信 任 根 ： 数 据 被 分 块 用 D E K 加 密 ， D E K 用 K E K 加 密 ， K E K 存 储 在 K M S 中 ， K M S 密 钥 使 用 存 储 在 根 K M S 中 的 K M S 主 密 钥 进 行 包 装 ， 根 K M S 密 钥 使 用 存 储 在 根 K M S 主 密 钥 分 配 器 中 的 根 K M S 主 密 钥 进 行 包 装 ， 如 果 看 晕 了 的 话 ， 直 接 看 下 图 ：
除 此 之 外 ， a m a z o n 还 单 独 提 供 了 一 个 S e c r e t s   M a n a g e r 的 工 具 ， 用 来 管 理 各 种 k e y 。 例 如 有 些 开 发 会 把 数 据 库 连 接 字 符 串 写 死 在 代 码 里 ， 这 样 本 身 就 有 风 险 ， 再 者 如 果 需 要 更 新 凭 证 的 话 ， 也 很 容 易 漏 掉 某 个 程 序 。 而 S e c r e t s   M a n a g e r 可 以 把 凭 证 嵌 入 到 应 用 里 。 同 时 不 仅 限 于 数 据 库 连 接 串 ， 也 支 持 各 种 密 码 A P I 密 钥 ， 密 码 的 管 理 。
三 、 三 、   加 密 加 密 H S M / K M S 是 个 基 础 设 施 提 供 密 钥 服 务 ， 真 正 的 数 据 则 在 传 输 中 、 静 态 、 使 用 中 都 进 行 了 加 密 ， G o o g l e 和 a m a z o n 都 花 了 很 多 篇 幅 来 说 明 加 密 。 其 中 要 点 是 ： 都 是 通 过 多 层 加 密 方 式 ， 多 层 加 密 能 提 供 冗 余 数 据 保 护 ， 并 可 以 根 据 需 求 选 择 最 佳 方 法 。 而 多 层 则 包 括 了 在 存 储 块 、 设 备 层 、 备 份 等 多 层 。 但 这 仍 然 不 能 满 足 全 部 的 要 求 ， 例 如 按 照 G D P R ， 存 储 系 统 使 用 的 临 时 文 件 ， 进 程 失 败 的 核 心 转 储 写 入 ， 也 都 是 需 要 加 密 的 。 四 、 四 、   数 据 防 泄 漏 数 据 防 泄 漏 如 果 说 以 上 都 是 基 础 防 护 建 筑 的 话 ， 到 数 据 防 泄 漏 这 里 ， 则 是 两 家 各 自 大 放 异 彩 的 地 方 。 A m a z o n 提 供 了 M a c i e ， G o o g l e 提 供 了 D L P   A P I ， 基 本 上 这 两 个 工 具 是 数 据 防 泄 漏 的 核 心 工 具 ， 特 别 值 得 一 提 的 是 G o o g l e 的 D L P A P I ， 其 中 的 部 分 功 能 走 在 了 行 业 的 前 列 。 1 、 、 M a c i e 先 说 M a c i e ， 有 两 个 主 要 功 能 ， 自 动 发 现 分 类 和 保 护 敏 感 数 据 。 自 动 发 现 与 分 类 ： 在 内 容 上 ， M a c i e 识 别 文 件 头 的 标 识 符 ， 也 可 以 通 过 扩 展 名 、 关 键 字 搜 索 、 正 则 表 达 式 ， 这 些 都 是 比 较 传 统 的 。 M a c i e 单 独 对 个 人 身 份 信 息 进 行 了 设 计 ， 为 了 提 高 个 人 身 份 信 息 的 准 确 性 ， 使 用 了 一 些 可 调 参 数 的 分 类 ， 例 如 大 于 5 0 个 姓 名 和 电 子 邮 件 的 组 合 ， 则 标 记 为 高 准 确 性 的 P I I ， 而 大 于 5 个 姓 名 或 电 子 邮 件 的 组 合 则 标 记 为 中 ， 这 样 可 以 让 用 户 根 据 自 己 的 数 据 特 点 灵 活 的 去 定 义 个 人 敏 感 信 息 。 通 过 这 些 分 类 方 法 ， 再 加 上 对 扩 展 名 、 类 型 ， 提 供 一 个 复 合 的 风 险 值 。 在 机 器 学 习 上 ， 使 用 支 持 向 量 机 （ S V M ） 的 分 类 ， 这 里 包 括 了 对 象 类 和 元 数 据 ， 对 象 则 包 括 了 文 本 、 令 牌 n - g r a m 和 字 符 n - g r a m ， 元 数 据 则 包 括 文 档 的 长 度 、 扩 展 名 、 编 码 格 式 、 标 题 。 对 源 代 码 、 日 志 、 文 档 、 数 据 库 备 份 进 行 检 测 。 但 M a c i e 这 里 的 问 题 是 ， 仅 支 持 对 S 3 存 储 进 行 检 测 ， 而 且 只 能 对 前 2 0 M 检 测 。 另 外 基 于 中 文 自 然 语 言 处 理 、 中 国 的 身 份 证 号 码 和 驾 照 也 都 不 能 支 持 。 数 据 保 护 ： A m a z o n 的 做 法 不 同 于 传 统 上 我 们 认 知 的 数 据 保 护 ， 它 是 通 过 对 敏 感 数 据 的 日 志 分 析 得 出 结 论 ， 但 并 不 直 接 阻 断 干 涉 。 观 察 M a c i e 的 报 警 其 实 也 很 有 意 思 ， 可 以 作 为 实 战 中 的 规 则 ： •   配 置 合 规 性   -   与 合 规 性 控 制 的 内 容 ， 策 略 ， 配 置 设 置 ， 控 制 和 数 据 日 志 以 及 修 补 程 序 相 关 。 •   数 据 合 规 性   -   与 合 规 性 或 受 安 全 控 制 的 内 容 有 关 ， 如 存 在 个 人 身 份 信 息 （ P I I ） 或 访 问 凭 证 。 •   文 件 托 管   - 主 机 或 存 储 服 务 遭 盗 用 而 导 致 托 管 恶 意 软 件 、 不 安 全 软 件 或 攻 击 者 的 命 令 和 控 制 基 础 设 施 相 关 。 。 •   服 务 中 断   -   导 致 无 法 访 问 自 己 环 境 中 的 资 源 的 配 置 更 改 。 •   勒 索 软 件   -   潜 在 的 勒 索 软 件 或 活 动 。 •   可 疑 访 问   -   从 有 风 险 的 异 常 I P 地 址 ， 用 户 或 系 统 访 问 您 的 资 源 。 •   身 份 枚 举   -   一 系 列 A P I 调 用 或 访 问 ， 列 举 您 系 统 的 访 问 级 别 ， 可 能 指 示 攻 击 的 早 期 阶 段 或 账 号 被 盗 。 •   权 限 升 级   -   成 功 或 失 败 的 尝 试 获 得 对 应 用 或 用 户 通 常 不 受 保 护 的 资 源 的 高 级 访 问 权 限 ， 或 试 图 长 时 间 访 问 您 的 系 统 或 网 络 。 •   匿 名 访 问   -   尝 试 从 I P 地 址 ， 用 户 或 服 务 访 问 您 的 资 源 ， 意 图 隐 藏 用 户 的 真 实 身 份 。 例 子 包 括 使 用 代 理 服 务 器 ， 虚 拟 专 用 网 络 和 其 他 匿 名 服 务 ， 如 T o r 。 •   开 放 权 限   -   识 别 过 度 的 访 问 敏 感 资 源 。
•   位 置 异 常   -   对 您 的 敏 感 数 据 进 行 访 问 的 异 常 位 置 和 风 险 位 置 。 •   信 息 丢 失   -   对 敏 感 数 据 的 异 常 和 风 险 访 问 。 •   凭 证 丢 失   -   可 能 损 害 您 的 凭 证 。 2 、 、 D L P   A P I G o o g l e 的 D L P   A P I 功 能 比 较 丰 富 ： 分 类 识 别 ： 采 用 了 上 下 文 分 析 、 模 式 匹 配 、 校 验 和 、 单 词 和 短 语 列 表 这 四 种 。 同 样 也 支 持 自 调 整 和 关 键 字 搜 索 、 正 则 表 达 。 和 A m a z o n 相 比 ， 缺 少 算 法 的 支 持 ， 但 支 持 了 多 个 国 家 的 检 测 器 模 板 ， 包 括 中 国 （ 但 只 有 护 照 号 码 ） 。 编 辑 和 解 除 身 份 ： 字 面 翻 译 是 这 个 意 思 ， 但 本 质 上 是 将 数 据 流 通 过 A P I 进 行 脱 敏 动 作 。 这 里 包 括 了 多 种 方 式 ， 有 一 些 比 较 新 鲜 有 趣 。 对 文 字 流 的 处 理 最 简 单 ， 使 用 占 位 符 “ * ” 输 出 。 对 图 像 的 脱 敏 是 业 界 比 较 少 见 的 ， 他 先 把 图 片 转 为 b a s e 6 4 编 码 ， 处 理 后 用 相 同 的 图 像 格 式 返 回 ： 脱 敏 泛 化 处 理 ： 除 此 之 外 ， 还 提 供 了 针 对 部 分 常 见 场 景 的 脱 敏 泛 化 ： 日 期 ： 可 以 把 2 0 1 8 - 0 5 - 0 1 转 变 为 2 0 1 8 ， 或 者 加 一 个 随 机 转 移 值 变 成 2 0 1 8 - 0 1 - 0 9 ， 来 避 免 某 些 场 景 下 的 数 据 聚 合 风 险 。 分 组 ： 例 如 一 张 学 生 成 绩 的 表 ， 分 别 是 序 列 号 和 分 数 ， 那 就 可 以 调 用 方 法 ， 把 他 转 为 0 - 2 5 低 分 ， 2 6 - 7 5 中 等 这 种 形 式 ， 保 留 了 数 据 的 作 用 ， 也 降 低 了 数 据 的 可 识 别 性 。 除 了 这 些 针 对 结 构 化 数 据 场 景 的 转 换 ， 也 支 持 自 定 义 的 非 结 构 化 数 据 。 假 名 化 ： 其 实 就 是 t o k e n i z a t i o n ， 把 敏 感 数 据 替 代 掉 ， 但 保 留 着 真 实 数 据 和 替 代 数 据 的 关 系 。 如 下 图 ， 把 真 实 员 工 的 I D 换 成 一 个 随 机 值 ， 这 样 就 无 法 定 位 到 是 哪 个 员 工 ， 但 又 不 影 响 分 析 。 风 险 分 析 ： 其 含 义 在 于 再 识 别 风 险 ， 即 使 你 做 了 上 面 的 泛 化 或 者 脱 敏 ， 数 据 也 仍 然 有 被 聚 合 的 可 能 性 ， 比 如 字 段 包 括 姓 名 、 性 别 、 疾 病 、 年 龄 ， 即 使 把 姓 名 和 年 龄 处 理 掉 ， 也 仍 然 可 能 存 在 一 个 特 殊 疾 病 患 者 ， 而 从 这 个 特 殊 疾 病 患 者 就 可 以 定 位 到 某 人 。 因 此 需 要 对 这 类 数 据 进 行 风 险 识 别 ， 而 方 法 则 包 括 了 k - a n o n y m i t y 、 多 样 性 、 k - m a p 。 五 、 安 全 日 志 监 控 五 、 安 全 日 志 监 控 特 别 值 得 单 独 但 出 来 一 说 的 是 A m a z o n 的 G u a r d D u t y ， 这 是 个 安 全 监 控 系 统 ， 可 以 监 控 V P C 流 日 志 、 C l o u d T r a i l 事 件 日 志 和 D N S 日 志 ， 而 其 检 测 方 法 包 括 了 威 胁 情 报 和 机 器 学 习 。 多 说 无 益 ， 直 接 看 规 则 ， 就 能 知 道 他 能 干 什 么 ： ! [ i m a g e . p n g ] ( h t t p : / / i m a g e . 3 0 0 1 . n e t / i m a g e s / 2 0 1 8 0 5 1 1 / 1 5 2 6 0 4 8 1 8 4 4 4 3 3 . p n g ! s m a l l )
•   E C 2 与 X o r D D o s 恶 意 软 件 的 I P 地 址 进 行 通 信 •   E C 2 的 2 5 端 口 启 动 ， 可 能 对 外 发 垃 圾 邮 件 或 密 信 •   E C 2 查 询 C ＆ C 服 务 器 关 联 的 域 名 •   与 异 常 服 务 器 端 口 上 的 远 程 主 机 进 行 通 信 •   向 远 程 主 机 生 成 异 常 大 量 的 网 络 流 量 •   查 询 与 比 特 币 相 关 活 动 相 关 的 域 名 •   一 个 A P I 是 从 K a l i   L i n u x   E C 2 实 例 调 用 的 •   调 用 账 户 中 安 全 组 ， 路 由 和 A C L 的 网 络 访 问 权 限 的 A P I •   调 用 通 常 用 于 更 改 账 户 中 各 种 资 源 的 安 全 访 问 策 略 的 A P I •   调 用 通 常 用 于 账 户 中 添 加 ， 修 改 或 删 除 I A M 用 户 ， 组 或 策 略 的 A P •   未 受 保 护 的 端 口 ， 正 在 被 一 个 已 知 的 恶 意 主 机 进 行 探 测 ， 例 如 2 2 或 3 3 8 9 •   从 T o r 出 口 节 点 I P 地 址 调 用 A P I •   从 自 定 义 威 胁 列 表 中 的 I P 地 址 调 用 A P I •   A P I 从 已 知 的 恶 意 I P 地 址 被 调 用 •   E C 2 实 例 正 在 执 行 出 站 端 口 扫 描 •   调 用 通 常 用 于 发 现 与 A W S 账 户 中 各 种 资 源 相 关 的 权 限 的 A P I •   调 用 通 常 用 于 启 动 计 算 资 源 （ 如 E C 2 实 例 ） 的 A P I •   帐 号 密 码 策 略 被 削 弱 •   C l o u d T r a i l 日 志 被 禁 用 •   调 用 通 常 用 于 停 止 C l o u d T r a i l 日 志 记 录 ， 删 除 现 有 日 志 以 及 删 除 A W S 账 户 活 动 跟 踪 的 A P I •   试 图 与 远 程 主 机 的 I P 地 址 进 行 通 信 ， 该 远 程 主 机 存 在 恶 意 软 件 •   通 过 D N S 泄 露 数 据 •   查 询 涉 及 网 络 钓 鱼 攻 击 的 域 名 •   多 个 全 球 成 功 的 控 制 台 登 录 •   从 异 常 I S P 的 I P 地 址 调 用 A P I •   参 与 了 S S H 暴 力 攻 击 •   涉 及 R D P 强 力 攻 击 •   I A M 用 户 发 生 异 常 控 制 台 登 录 •   启 动 了 一 个 不 寻 常 类 型 的 E C 2 实 例 •   与 比 特 币 矿 池 进 行 通 信
六 、 总 结 六 、 总 结 关 于 两 家 的 文 档 ， 其 实 还 有 更 丰 富 的 细 节 值 得 推 敲 学 习 。 这 些 文 档 可 以 在 h t t p s : / / c l o u d . g o o g l e . c o m / 和 h t t p s : / / d o c s . a w s . a m a z o n . c o m / 上 找 到 ， 其 实 还 有 一 家 也 值 得 学 习 的 是 a p p l e ， 但 a p p l e 和 这 两 家 的 产 品 区 别 很 大 ， 可 以 留 在 以 后 单 独 做 一 个 分 析 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理