搜索

[15103] 2020-03-07_删库背后，是权限管控的缺失

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-03-07_删库背后，是权限管控的缺失 删 库 背 后 ， 是 权 限 管 控 的 缺 失 船 长 P l u s   F r e e B u f   2 0 2 0 - 0 3 - 0 7 “ 删 库 删 库 ” 事 件 过 去 了 ， 微 盟 数 据 已 经 全 面 找 回 ， 并 公 布 了 相 应 的 赔 付 方 案 。 这 事 儿 就 算 渐 渐 淡 出 了 人 们 的 视 野 ， 事 件 过 去 了 ， 微 盟 数 据 已 经 全 面 找 回 ， 并 公 布 了 相 应 的 赔 付 方 案 。 这 事 儿 就 算 渐 渐 淡 出 了 人 们 的 视 野 ， 观 众 吃 瓜 一 时 爽 ， 企 业 也 纷 纷 顺 着 热 点 蹭 上 来 ， 踩 着 别 人 的 错 误 往 上 爬 ， 还 能 花 样 踢 腿 加 劈 叉 。 整 个 安 全 圈 一 观 众 吃 瓜 一 时 爽 ， 企 业 也 纷 纷 顺 着 热 点 蹭 上 来 ， 踩 着 别 人 的 错 误 往 上 爬 ， 还 能 花 样 踢 腿 加 劈 叉 。 整 个 安 全 圈 一 片 喜 气 洋 洋 。 片 喜 气 洋 洋 。 实 际 上 大 家 彼 此 心 知 肚 明 ， 这 次 事 件 只 需 要 最 简 单 的 双 人 复 核 就 能 避 免 ， 多 一 次 打 扰 ， 少 亏 1 2 亿 。 那 么 为 什 么 最 初 级 的 操 作 也 做 不 到 呢 ？ 一 、 原 因 分 析 篇 一 、 原 因 分 析 篇 有 人 指 出 这 次 “ 删 库 ” 原 因 是 微 盟 没 有 使 用 堡 垒 机 ， 仅 仅 如 此 吗 ？ 爱 因 斯 坦 说 ， 问 题 往 往 不 会 在 它 发 生 的 那 个 层 面 得 到 解 决 。 现 在 很 多 互 联 网 公 司 对 自 己 的 技 术 非 常 有 信 心 ， 为 了 节 省 成 本 ， 会 选 择 基 于 开 源 软 件 自 主 研 发 安 全 产 品 。 但 在 设 计 产 品 和 管 理 产 品 的 过 程 中 ， 难 免 缺 乏 专 业 经 验 。 专 业 的 人 做 专 业 的 事 。 脱 离 钱 去 谈 安 全 ， 就 有 可 能 丢 了 孩 子 还 套 不 着 狼 。 “ 删 库 ” 这 么 狗 血 的 事 情 已 经 在 历 史 上 重 演 很 多 次 了 ， 有 蓄 意 破 坏 的 ， 也 有 失 手 误 删 的 ， 归 根 结 底 ， 都 是 人 的 因 素 。 当 你 大 门 敞 开 ， 这 库 就 迟 早 要 删 ， 即 便 现 在 没 有 动 机 ， 也 不 能 保 证 没 有 手 误 的 可 能 。 人 永 远 存 在 犯 错 的 可 能 性 ， 而 安 全 又 是 一 个 神 奇 的 四 两 拨 千 斤 的 问 题 ， 任 何 一 点 小 错 误 都 有 发 展 成 大 规 模 破 坏 的 潜 力 。 因 此 运 维 安 全 的 第 一 步 ， 就 是 对 “ 人 ” 的 权 限 管 控 。 构 建 成 熟 的 权 限 管 控 体 系 ， 才 能 最 小 化 排 除 人 的 不 稳 定 因 素 。 二 、 整 体 方 案 篇 二 、 整 体 方 案 篇 数 据 中 心 内 的 运 维 安 全 体 系 分 为 身 份 验 证 ， 授 权 ， 访 问 控 制 ， 审 计 和 主 机 防 护 5 个 方 面 ， 而 其 中 的 授 权 + 访 问 控 制 实 现 权 限 管 控 。 从 字 面 意 义 上 理 解 ： 授 权 就 是 授 予 相 应 的 人 相 应 的 权 限 （ 人 + 账 号 + 资 产 ） ， 访 问 控 制 就 是 在 人 在 获 得 权 限 之 后 允 许 做 哪 些 事 情 不 允 许 做 哪 些 事 情 （ 时 间 + 地 点 + 操 作 ） 。 二 者 本 质 上 是 一 个 授 予 和 执 行 的 关 系 。
1 . 授 权 授 权 - 修 桥 铺 路 修 桥 铺 路 在 数 据 中 心 内 ， 根 据 业 务 场 景 的 不 同 有 三 种 授 权 通 道 ： 工 单 申 请 、 动 态 授 权 、 静 态 授 权 。 工 单 授 权 工 单 授 权 操 作 人 员 根 据 每 天 需 要 处 理 的 事 务 向 部 门 领 导 提 交 工 单 申 请 ， 包 括 ： 服 务 器 I P 、 账 号 、 运 维 事 项 、 时 间 范 围 等 ， 领 导 审 批 后 操 作 人 员 才 可 在 堡 垒 机 中 查 看 到 申 请 的 访 问 权 限 。 优 点 ： 按 需 供 给 ， 通 过 流 程 严 格 控 制 访 问 权 限 。 缺 点 ： 需 要 紧 急 处 理 事 务 时 ， 流 程 审 批 耗 时 会 耽 误 处 理 时 机 。 静 态 授 权 静 态 授 权 对 于 人 员 固 定 ， 访 问 目 标 固 定 且 低 风 险 的 访 问 权 限 可 以 使 用 静 态 授 权 ， 如 ： 张 三 每 周 一 至 周 五 早 上 9 点 到 1 0 点 之 间 都 需 要 对 备 份 机 做 巡 检 ， 巡 检 用 到 的 账 号 是 一 个 只 读 的 低 权 账 号 。 在 执 行 授 权 的 过 程 中 ， 通 常 会 伴 随 常 规 策 略 设 置 ， 定 义 基 础 权 限 ， 主 要 包 括 人 、 账 号 、 资 产 ， 偶 尔 也 会 涉 及 到 事 件 、 地 点 、 操 作 等 策 略 配 置 。 优 点 ： 权 限 管 控 粒 度 细 缺 点 ： 配 置 过 程 相 对 复 杂 且 难 调 整 动 态 授 权 动 态 授 权 相 对 于 静 态 授 权 的 条 目 多 ， 配 置 复 杂 ， 动 态 授 权 提 供 了 一 种 按 属 性 ， 按 标 签 的 更 便 捷 的 配 置 方 式 。 例 如 ： 按 用 户 部 门 （ 系 统 ， 数 据 库 ， 网 络 ） ， 角 色 （ 管 理 员 ， 值 班 员 ） ， 设 备 类 型 （ 主 机 ， 数 据 库 ， 中 间 件 ） ， 业 务 系 统 （ 网 银 ， 手 机 银 行 ） 等 ， 根 据 标 记 自 动 生 成 访 问 权 限 ， 实 现 动 态 授 权 。 优 点 ： 配 置 灵 活 ， 组 合 条 件 多 缺 点 ： 权 限 查 看 和 搜 索 比 较 麻 烦 2 . 访 问 控 制 访 问 控 制 - 分 道 限 速 分 道 限 速 授 权 阶 段 足 以 满 足 登 陆 访 问 的 基 础 需 求 了 ， 然 而 不 足 以 将 “ 人 ” 的 风 险 降 至 最 低 。 访 问 控 制 则 是 对 “ 人 的 行 为 ” 进 行 风 险 控 制 的 强 力 补 充 。 通 过 时 间 策 略 、 源 地 址 策 略 、 操 作 规 则 的 进 一 步 设 置 ， 连 同 人 、 账 号 、 资 产 的 基 础 权 限 ， 形 成 六 维 细 粒 度 权 限 管 控 体 系 ， 实 现 权 限 最 小 化 管 理 。 时 间 条 件 ： 按 时 间 维 度 缩 小 权 限 范 围 ， 比 如 ： 2 0 2 0 年 1 月 1 日 9 : 0 0   - 1 0 ： 0 0 ， 每 周 一 至 周 五 0 0 : 0 0 - 0 2 : 0 0 源 地 址 条 件 ： 按 I P 地 址 为 度 缩 小 权 限 范 围 ， 比 如 ： 只 允 许 在 1 9 2 . 1 6 8 . 1 . 1 0 - 2 0 地 址 范 围 访 问 操 作 条 件 ： 按 指 令 ， 剪 贴 板 上 下 行 ， 磁 盘 映 射 ， 文 件 传 输 上 下 行 等 缩 小 权 限 范 围 ， 比 如 ： 不 允 许 支 持 r m   - r f * ， 只 允 许 文 件 上 传 不 允 许 下 载 控 制 动 作 ： 当 触 发 以 上 规 则 时 系 统 执 行 相 应 的 动 作 ， 比 如 ： 不 阻 断 但 发 邮 件 报 警 ， 阻 断 并 发 s y s l o g ， 等 待 管 理 员 审 批 等 。 目 前 常 见 的 几 种 权 限 管 控 包 括 ： A C L （ 基 于 黑 白 名 单 ） 【 1 】 、 R B A C （ 基 于 角 色 ） 【 2 】 、 A B A C （ 基 于 属 性 ） 【 3 】 ， 在 不 同 的 业 务 场 景 下 ， 适 配 不 同 的 技 术 手 段 。 三 、 结 语 三 、 结 语
不 得 不 承 认 ， 权 限 管 控 是 一 件 干 起 来 十 分 吃 力 又 不 讨 好 的 事 情 ， 安 全 本 身 看 不 见 效 果 。 即 便 是 比 较 好 的 自 动 化 平 台 ， 至 少 也 需 要 人 来 审 批 。 从 前 期 准 备 到 后 期 运 用 ， 很 容 易 形 成 成 本 升 高 、 效 率 却 降 低 的 局 面 。 的 确 ， 树 上 的 果 子 摘 下 来 就 能 吃 ， 何 必 要 洗 一 遍 呢 ？ 但 最 近 这 个 世 界 在 告 诫 我 们 ， 你 不 知 道 那 个 果 子 有 没 有 被 果 蝠 碰 过 。 愿 大 家 身 体 健 康 ， 也 愿 行 业 更 健 康 。 R e f e r e n c e ： ： 【 1 】 A C L （ A c c e s s   C o n t r o l   L i s t ） 访 问 控 制 表 ， 基 于 白 名 单 和 黑 名 单 提 供 决 策 依 据 ， 其 中 ， 白 名 单 用 于 允 许 ， 黑 名 单 用 于 拒 绝 。 通 过 访 问 控 制 模 块 ， 对 数 据 进 行 匹 配 ， 命 中 则 执 行 设 定 的 动 作 。 比 较 常 见 的 场 景 ： 传 统 防 火 墙 策 略 。 【 2 】 R B A C （ R o l e - B a s e d A c c e s s   C o n t r o l ） 基 于 角 色 的 访 问 控 制 ， 常 见 于 软 件 管 理 系 统 的 用 户 分 权 。 与 A C L 中 一 一 对 应 的 授 权 执 行 关 系 不 同 ， R B A C 引 入 了 角 色 （ r o l e ） ， 与 操 作 权 限 和 资 源 权 限 相 关 联 ， 适 合 在 操 作 权 限 和 资 源 权 限 控 制 简 单 ， 且 相 对 固 化 ， 但 人 员 变 更 频 繁 的 场 景 下 使 用 。 比 较 常 见 的 场 景 ： 数 据 库 的 用 户 角 色 （ r o l e ） 管 理 。 【 3 】 A B A C （ A t t r i b u t e - B a s e d A c c e s s   C o n t r o l ） 基 于 属 性 的 访 问 控 制 ， 常 见 于 分 布 式 业 务 场 景 的 用 户 分 权 。 A B A C 是 一 种 贴 近 自 然 语 言 的 权 限 控 制 模 型 ， 抽 取 异 构 场 景 的 共 性 属 性 ， 用 属 性 的 自 然 组 合 来 解 决 权 限 控 制 问 题 。 针 对 复 杂 、 分 布 式 、 动 态 、 细 粒 度 的 权 限 管 控 要 求 ， A B A C 拥 有 难 以 取 代 的 优 势 。 * 本 文 作 者 ： 船 长 本 文 作 者 ： 船 长 P l u s ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理