搜索

[18108] 2020-08-02_安全运维以及AWS云安全之外的一点点思考

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-08-02_安全运维以及AWS云安全之外的一点点思考 安 全 运 维 以 及 A W S 云 安 全 之 外 的 一 点 点 思 考 m y l a m o u r   H A C K 之 道   2 0 2 0 - 0 8 - 0 2 到 B T C C 也 快 一 个 月 了 ， 入 职 以 来 的 第 一 件 事 就 是 负 责 安 全 架 构 的 设 计 和 整 个 体 系 的 架 构 。 很 忙 ， 东 西 基 本 也 有 出 来 个 眉 目 了 。 干 了 不 少 事 ， 也 没 时 间 记 录 ， 抽 空 码 一 点 吧 。 当 然 ， 此 处 特 别 感 谢 安 全 小 飞 侠 师 傅 最 初 给 的 一 些 建 议 。 思 路 吻 合 ， 非 常 不 错 。 整 理 了 一 下 ， 我 在 整 个 过 程 中 需 要 面 临 的 问 题 。   基 线 加 固 和 架 构 安 全   A W S 云 安 全   ( D o n e ,   A W S 配 置 策 略 检 查 ， I A M 权 限 划 分 ， 并 依 托 A W S 自 身 的 G u a r d d u t y ,   W A F & s h i e l d , C l o u d w a t c h 等 服 务 , 建 立 监 测 报 警 体 系 ， S N S 推 送 )   内 网 安 全 ( D o i n g ,   已 经 做 了 划 出 单 独 网 段 ， 与 市 场 ， 运 营 ， 客 服 分 开 。 跳 板 机 记 录 开 发 人 员 操 作 历 史 )   开 发 S D L 落 地 与 安 全 意 识 培 训   流 量 监 控 和 服 务 器 状 态 监 控 分 析 ( D o i n g , 基 于 A W S 的 一 套 已 经 差 不 多 了 ， 但 是 目 前 计 划 要 切 k 8 s )   日 志 聚 集 和 分 析   入 侵 检 测 和 应 急 响 应   S R C 的 构 建 ( D o i n g :   拖 了 运 维 和 I T 小 哥 算 是 组 了 个 超 级 简 陋 的 S R C ) 那 么 又 如 何 结 合 云 平 台 如 何 实 现 ， 云 上 安 全 体 系 的 构 建 是 否 完 全 等 同 于 传 统 构 建 思 路 。 根 据 常 规 的 安 全 运 维 方 案 对 比 A W S 实 现 来 做 ， 如 何 结 合 A W S 自 身 的 一 些 产 品 建 立 起 监 控 报 警 体 系 ， 是 否 需 要 拥 抱 新 技 术 。 例 如 在 云 上 无 法 收 集 到 E C 2 服 务 器 间 的 内 部 流 量 请 求 ， 依 旧 需 要 采 用 E L K 的 方 式 去 收 集 日 志 并 进 行 分 析 。 同 时 还 有 的 就 是 ， 和 E L K 对 比 ， 是 不 是 可 以 采 用 G r a f a 替 代 K i b a n a ,   采 用 G r a y l o g 更 好 一 些 。 采 用 S p l u n k 进 行 日 志 分 析 呢 ( S p l u n k 真 是 好 ， 就 是 目 前 买 不 起 企 业 版 的 ) ？ 如 果 拥 抱 新 技 术 的 话 ， k 8 s 是 一 个 不 错 的 选 择 ， 当 然 需 要 一 定 的 学 习 成 本 ， 但 依 旧 是 最 好 的 选 择 ， 按 照 S e r v e r   M e s h 的 理 念 去 做 。 无 疑 来 说 监 控 监 测 等 方 面 会 更 加 的 方 便 。 A W S 安 全 安 全 这 边 主 要 采 用 得 就 是 E C 2 , R D S , E L B , E B S , S 3 .   基 本 原 则 就 是 记 录 一 切 l o g ， 定 期 打 快 照 ， 以 备 不 测 ， 由 于 快 照 是 增 量 的 ， 也 不 会 增 加 过 多 的 收 费 。 S 3 安 全 ， 策 略 配 置 ， 是 否 未 授 权 访 问 ， 访 问 t o k e n 过 期 时 间 是 否 设 置 ， 访 问 s 3 是 否 记 录 访 问 l o g V P C 与 安 全 组 ， 入 站 和 出 站 的 流 量 ， 是 否 开 启 了 不 必 要 的 端 口 ， 是 否 只 允 许 指 向 特 定 i p 或 只 允 许 特 定 i p 访 问 。 V P C 附 加 的 是 否 有 冲 突 ， 优 先 级 由 哪 个 来 确 定 R D S 所 有 l o g 开 启 以 及 记 录 慢 查 询 ， 是 否 属 于 未 授 权 访 问 。 错 误 日 志 ， 访 问 日 志 打 到 S 3 , 配 合 后 期 进 行 分 析 ， 同 时 通 过 G u a r d d u t y 触 发 特 定 动 作 操 作 ， 并 启 动 通 知 至 S N S 。 E C 2 服 务 器 安 全 ， 服 务 器 安 全 参 照 常 规 服 务 器 安 全 加 固 ， 以 及 c h e c k l i s t I A M 配 置 以 及 策 略 配 置 ， 角 色 和 策 略 需 要 控 制 好 ， 道 理 很 明 白 ， 切 勿 权 限 过 大 。 C l o u d W a t c h   通 过 对 不 同 事 件 和 服 务 器 的 物 理 指 标 以 及 网 络 流 量 ( 入 站 出 站 ) 进 行 监 控 ， 并 触 发 相 应 的 设 定 操 作 G u a r d d u t y ,   W A F   &   S h i e l d   配 置 W A F   进 行 网 络 层 和 应 用 层 的 攻 击 拦 截 ， 可 以 挂 载 到 C D N 后 ， 也 可 以 挂 载 到 E L B 后 面 。 G u a r d D u t y
和 W A F 都 支 持 自 定 义 威 胁 i p 列 表 ， 而 且 W A F 支 持 更 多 的 配 置 项 。 相 对 于 阿 里 云 w a f ， 有 一 定 的 使 用 门 槛 ， 但 是 定 制 度 高 。 ( 不 过 最 后 还 是 选 择 了 阿 里 云 w a f ， 因 为 省 事 . . . ) 其 实 还 有 要 改 进 的 地 方 ， 例 如 采 用 k m s 控 制 s 3 / r d s 数 据 流 加 密 。 对 E B S 卷 加 密 都 还 没 有 做 。 暂 时 不 是 很 需 要 。 O t h e r 即 便 如 此 ， 出 在 应 用 层 的 问 题 还 是 不 少 的 。 开 张 没 两 天 就 有 人 来 勒 索 5 个 B T C ， 后 来 又 来 要 1 0 个 B T C 。 当 然 也 有 一 些 安 全 研 究 员 提 交 漏 洞 。 自 己 也 挖 了 几 个 简 单 的 X S S 和 C S R F 的 漏 洞 。 但 是 总 归 精 力 有 限 ， 职 责 有 限 。 联 系 的 知 道 创 宇 的 测 试 服 务 也 就 要 开 展 了 。 拥 抱 新 技 术 或 者 说 学 习 新 技 术 的 过 程 中 总 是 充 满 乐 趣 ( 踩 坑 ) D e v O p s 。 目 前 已 经 可 以 采 用 T e r r a f o r m 进 行 了 自 动 化 多 区 域 部 署 不 同 币 种 的 钱 包 同 步 节 点 ， 并 采 用 S 3 进 行 增 量 更 新 。 来 确 保 区 块 同 步 时 尽 量 不 丢 块 ， 这 样 对 于 交 易 所 来 说 检 测 交 易 对 是 否 成 交 从 而 确 认 交 易 是 否 到 账 起 到 了 很 大 的 作 用 。 k 8 s 把 资 源 对 象 化 ， 就 像 T e r r a f o r m 把 基 础 架 构 代 码 化 ( I A C ) 一 样 , 为 S R E 提 供 了 极 大 的 方 便 ， 我 是 刚 接 触 使 用 k 8 s , 不 多 做 评 价 ， 感 觉 极 好 ， 尤 其 是 在 自 动 化 扩 容 和 磁 盘 共 享 上 有 天 然 优 势 ， 监 控 也 是 。 等 后 期 更 加 深 入 再 做 介 绍 。 保 持 思 考 ， 如 果 自 己 的 观 点 正 确 ， 请 保 持 自 己 的 立 场 保 持 思 考 ， 如 果 自 己 的 观 点 正 确 ， 请 保 持 自 己 的 立 场 关 注 公 众 号 : H A C K 之 道
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理