搜索

[14323] 2019-07-08_企业安全体系架构分析：开发安全架构之可用性架构

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-07-08_企业安全体系架构分析：开发安全架构之可用性架构 企 业 安 全 体 系 架 构 分 析 ： 开 发 安 全 架 构 之 可 用 性 架 构 F r e e B u f   2 0 1 9 - 0 7 - 0 8 以 下 文 章 来 源 于 F r e e B u f 企 业 安 全   ， 作 者 宋 子 烨 上 一 期 上 一 期 大 概 讲 述 了 安 全 体 系 架 构 的 概 述 以 及 管 理 层 面 的 安 全 体 系 架 构 ， 这 一 期 来 讲 讲 业 务 在 设 计 时 制 定 安 全 架 大 概 讲 述 了 安 全 体 系 架 构 的 概 述 以 及 管 理 层 面 的 安 全 体 系 架 构 ， 这 一 期 来 讲 讲 业 务 在 设 计 时 制 定 安 全 架 构 的 落 地 实 施 。 构 的 落 地 实 施 。 一 、 一 、   确 定 业 务 接 口 确 定 业 务 接 口 因 为 业 务 的 特 殊 性 ， 业 务 接 口 可 能 不 止 是 w e b 层 面 的 ， 有 些 业 务 为 了 保 证 传 输 速 率 甚 至 有 可 能 是 u d p 协 议 传 输 ， 也 有 些 业 务 走 的 是 s o c k e t 协 议 ， 首 先 就 是 要 确 定 你 的 业 务 接 口 走 的 是 什 么 协 议 ， 以 下 以 T C P - H T T P 协 议 为 主 ， 其 他 协 议 的 架 构 安 全 会 在 后 期 叙 述 。 二 、 二 、   业 务 逻 辑 设 计 业 务 逻 辑 设 计 通 过 上 面 步 骤 确 定 好 了 业 务 接 口 后 ， 需 要 按 照 业 务 的 逻 辑 去 设 计 架 构 （ 以 下 均 为 h t t p 接 口 设 计 架 构 ） ， 举 例 ， 某 业 务 分 为 以 下 几 点 ， A P I 接 口 与 客 户 对 接 ， 静 态 资 源 展 示 企 业 信 息 ， 管 理 接 口 对 应 企 业 内 部 人 员 审 核 等 工 作 ， 客 户 接 口 对 应 客 户 的 管 理 工 作 。 在 资 金 并 不 充 足 的 情 况 下 （ 不 投 入 厂 商 安 全 设 备 ） ， 那 么 对 应 的 架 构 应 该 如 何 设 计 呢 ？ F r e e B u f 企 业 安 全 企 业 安 全   . 专 注 企 业 安 全 的 精 品 内 容 分 享 平 台 ， 聚 焦 热 点 企 业 安 全 话 题 与 策 略 方 案 ， 助 推 企 业 安 全 建 设 发 展 。
逻 辑 架 构 图 （ 可 用 性 部 分 ） ： 首 先 要 有 代 理 服 务 器 ， 保 证 应 用 服 务 器 不 会 直 接 暴 露 在 公 网 上 。 其 次 要 有 日 志 服 务 器 ， 汇 总 应 用 日 志 与 攻 击 日 志 ， 防 御 服 务 器 可 以 自 己 组 建 ， 各 种 脚 本 的 匹 配 来 确 定 请 求 是 否 合 法 。 由 互 联 网 访 问 的 请 求 首 先 经 过 代 理 服 务 器 ， 这 么 做 的 好 处 在 于 会 保 护 应 用 服 务 器 的 真 实 I P 与 端 口 ， 举 个 例 子 ， 应 用 服 务 器 对 外 接 口 是 4 4 3 ， 那 么 在 代 理 服 务 器 仅 需 要 代 理 4 4 3 端 口 对 应 应 用 服 务 器 的 4 4 3 端 口 ， 其 他 端 口 全 部 封 闭 ， 那 么 应 用 服 务 器 上 多 余 的 端 口 是 在 互 联 网 无 法 扫 描 到 的 ， 另 外 代 理 服 务 器 上 仅 做 转 发 ， 性 能 上 消 耗 会 很 小 ， 一 台 应 用 服 务 器 上 跑 一 个 应 用 ， 然 后 通 过 代 理 服 务 器 汇 总 ， 会 很 大 程 度 上 方 便 人 员 进 行 统 一 管 理 ， 不 会 造 成 应 用 堆 砌 的 现 象 。
通 过 代 理 服 务 器 转 发 进 来 的 请 求 ， 首 先 进 行 行 为 异 常 分 析 ， 此 处 可 以 是 使 用 厂 商 设 备 ， 也 可 以 自 研 脚 本 ， 根 据 经 费 情 况 自 行 选 择 合 适 的 方 案 。 关 于 防 御 服 务 器 ， 有 几 点 想 跟 大 家 分 享 ， 第 一 是 W A F ， 第 二 是 防 C C 攻 击 。 首 先 W A F 我 们 都 知 道 是 通 过 正 则 表 达 式 做 内 容 匹 配 ， 如 果 内 容 匹 配 上 则 判 定 为 攻 击 ， 那 么 就 会 产 生 三 个 问 题 ： 第 一 是 正 则 的 绕 过 第 二 是 正 则 的 业 务 阻 断 第 三 是 正 则 书 写 本 身 的 b u g 第 一 点 举 个 例 子 好 了 ， 目 前 开 源 的 W A F 中 规 则 写 的 不 错 的 就 是 m o d s e c u r i t y 了 ， 以 它 举 例 ， 规 则 基 本 上 每 周 都 会 有 更 新 ， 但 是 绕 过 方 法 还 是 屡 见 不 鲜 ， 没 有 哪 种 防 御 是 能 完 全 阻 断 攻 击 的 ， 总 会 有 各 种 各 样 没 有 被 发 现 或 已 经 被 发 现 的 漏
洞 ， 时 常 关 注 信 息 ， 及 时 查 漏 补 缺 方 能 在 一 定 程 度 上 体 现 安 全 性 。 第 二 点 是 所 有 W A F 的 一 个 硬 伤 ， 因 为 业 务 是 不 固 定 的 ， 随 时 可 能 有 业 务 信 息 触 发 了 W A F 的 规 则 而 导 致 业 务 阻 断 ， 这 也 是 为 什 么 知 名 厂 商 W A F 要 先 观 察 一 段 时 间 调 优 后 才 能 开 启 阻 断 的 原 因 。 第 三 点 还 是 以 m o d s e c u r i t y 举 例 ， 毕 竟 是 开 源 代 码 都 能 看 到 ， 正 则 表 达 式 本 身 因 为 书 写 的 问 题 ， 会 有 很 多 模 糊 匹 配 或 者 联 合 匹 配 ， 当 这 些 匹 配 内 容 过 大 的 时 候 就 会 因 为 变 相 D o S 攻 击 ， 这 在 m o d s e c u r i t y 3 中 也 是 被 证 实 的 ， 同 样 的 问 题 在 日 志 写 入 的 时 候 也 会 发 生 ， 导 致 i / o 读 写 通 道 堵 塞 引 起 的 D o S 攻 击 同 样 在 m o d s e c u r i t y 2 中 被 证 实 。 安 全 无 止 境 ， 并 不 是 设 备 的 堆 砌 ， 脚 本 的 堆 砌 就 能 保 证 业 务 的 安 全 可 用 ， 这 点 是 我 通 过 以 上 3 个 问 题 重 点 想 要 说 的 。 关 于 防 C C 攻 击 ， 一 般 的 防 C C 设 置 是 判 定 为 是 C C 攻 击 ， 阻 断 ， 而 非 丢 弃 ， 这 块 我 有 不 同 的 看 法 ， 假 如 说 一 个 正 常 访 问 请 求 我 响 应 需 要 1 0 0 k 的 相 应 包 ， 一 个 阻 断 包 （ 返 回 4 0 3 或 自 定 义 页 面 ） 假 设 需 要 5 k ， 但 是 流 量 还 是 通 过 入 口 进 来 了 ， 尤 其 是 云 服 务 器 有 的 可 能 是 按 量 付 费 ， 那 我 们 是 不 是 应 该 思 考 一 下 如 何 让 非 法 流 量 不 能 通 过 入 口 进 来 ？ 传 统 的 抗 D D o S 设 备 做 的 流 量 清 洗 或 者 黑 洞 阀 值 不 会 设 置 的 很 低 ， 那 么 这 块 要 如 何 做 ？ 后 期 我 会 分 享 出 来 我 的 解 决 办 法 。 三 、 三 、   业 务 架 构 图 设 计 业 务 架 构 图 设 计 根 据 逻 辑 架 构 图 来 制 定 业 务 的 整 体 现 实 架 构 （ 可 用 性 部 分 ）
通 过 负 载 均 衡 实 现 代 理 服 务 器 的 双 活 ， 大 程 度 保 证 访 问 不 会 中 断 ， 同 时 应 用 服 务 器 使 用 主 备 双 服 务 器 ， 数 据 库 也 是 主 备 双 活 ， 很 大 程 度 上 保 证 了 业 务 的 可 用 性 ， 防 御 服 务 器 集 群 用 来 分 析 入 侵 行 为 ， 日 志 服 务 器 用 来 汇 总 业 务 相 关 的 所 有 日 志 。 当 然 防 御 服 务 器 集 群 是 至 少 3 台 以 上 ， 并 且 每 台 都 会 向 下 兼 容 应 用 服 务 器 ， 这 么 做 的 目 的 在 于 ， 行 为 分 析 是 十 分 耗 资 源 的 一 件 事 ， 搭 建 集 群 会 降 低 单 一 服 务 器 的 运 算 压 力 ， 并 且 不 用 担 心 出 现 单 点 故 障 。 同 时 保 证 每 个 业 务 接 口 的 入 口 均 为 独 立 入 口 ， 这 样 可 以 将 业 务 分 离 出 来 ， 也 方 便 防 御 服 务 器 做 单 一 业 务 的 规 则 ， 保 证 规 则 的 准 确 性 。 下 一 期 会 根 据 可 用 性 架 构 图 来 设 计 安 全 性 部 分 的 架 构 图 和 保 密 性 部 分 的 架 构 图 ， 完 整 的 一 套 安 全 架 构 设 计 逻 辑 才 算 是 完 整 的 ， 本 期 就 先 介 绍 可 用 性 这 一 部 分 。 * 本 文 作 者 ： 煜 阳 本 文 作 者 ： 煜 阳 y u y a n g ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理