微服务安全的思考与一些实践.PDFVIP

X i a n S e c u r e D a y 微服务安全思考与实践 yczhang@ ThoughtWorks Security Community Zhang Yuchen INTRO ■ 微服务简介，更⼤的灵活性伴随着更复杂的安全挑战 ■ 微服务安全范围介绍——从⼈到服务 ■ 从⼈员到组织，从安全知识培养到组间合作模式 ■ 尝试治理基础设施——平台、⽹络、运⾏环境等 ■ 资源的离散式分布所带来的管理难题 ■ 设计、开发、测试、部署、运维——该如何考虑服务的安全 ■ 微服务的认证与授权 ■ 强⼤的开发⼯具⼀定是安全的吗？ ■ Q A 微服务简介，灵活性 与治理难题 微服务带来了更⼩的开发团队，更快的迭代，更少的依赖，更低的交付⻛险 谁该为服务的安全负责？Dev or Ops？⼜有什么 办法能确保上百个互相调⽤的服务是安全的呢？ 于是我们开始思考…… ■ 如何保证你的内部服务不被外界访问？ ■ 如何确保核⼼⽹络不被⼊侵？ ■ 服务之间的通信会被窃听吗？ ■ 服务之间的授信该怎么处理？ ■ 中间件⼀定是安全的吗？ ■ 我们在哪⾥做⽤户的身份验证？哪⾥去做授权验证？ ■ 如果攻击者拿下了⼀个服务，他可以⼗分简单的调⽤下游的服务吗？ ■ 我们怎么知道请求是没有被篡改的呢？ ■ 数据库密码，管理员身份，API Key ，秘钥等等该怎么办？ ■ 你现在有多少个服务，多少个容器，多少个数据库，多少个队列？ ■ ⼀个⼩组只有五个⼈，怎样才能把安全做到位呢？ ■ 你能说出最新版 OWASP Top 10 的名字吗？ …… ■ 尝试划定微服务安全的范围 ⼈员 组织结构 基础设施 资源 服务 身份 ⼯具 安全咨询团队 安全团队 I T 团队 基础设施团队 开发团队 ⽅法论 最佳实践 教育培训 信息更新 安全评估 威胁漏洞 身份安全 隐私保护 安全评估与安全教育 利⽤强⼤的基础设施 Philosophy: Automation, Infrastructure as Code, Resource Treating 基础设施方面的思考 基础设施方面的思考 —— NETWORK ■ VPN ■ Multi AZ ■ Cross Region ■ Firewall ■ CDN ■ ACL