写点什么

数据千万条,安全第一条

  • 2019-11-19
  • 本文字数:1876 字

    阅读完需:约 6 分钟

数据千万条,安全第一条

短短一个月内 Elasticsearch 被曝了 5 次数据泄露事件。他们一定没有看到女主大大之前发过的文章《谨慎前行-浅谈 Elasticsearch 安全策略》,今天带大家回顾一下~


ElasticSearch 服务器这一为搜索功能提供动力的技术,在 2019 年的第一个月就频繁地发生了数据泄露事件,而且泄露数据的辐射面都不算小。


VOIPO 超百万的电话和短信数据泄露; 青年学生组织 AIESEC 的 400 万条志愿者信息泄露; 在线赌场泄漏 1.08 亿投注信息; 美国多家大银行贷款文件遭泄露,文件数量达 2400 万; 美国多家大银行贷款文件遭泄露,文件数量达 2400 万;

安全策略

网络层

除却“内鬼”的因素,骇客的攻击基本都是通过外部网络,所以这里是保障 Elasticsearch 安全的第一道屏障。相信大家都有自己的网络安全策略,硬件防火墙也好,软件防火墙也罢,按照自己的需求做好设置和维护即可。可是如果没有的话,那对不起,“蓬门今始为君开”,骇客岂有不光顾的道理。

OS 层

卸载公网 IP

如果说网络屏障给大家圈起了“院墙”,那我们服务器上的公网 IP 就像是搭在后院墙上的“梯子”。虽然有了围墙,却也难保不会有顺梯翻墙的“梁上君子”。所以如果大家的 Elasticsearch 都在内网环境使用,尽量卸载掉没有使用的公网 IP 吧,腾出网卡做更多有意义的事情。

普通用户启动

之前已经不止一次的曝出 Linux 下各种 ROOT 提权的问题,所以还是建议使用非 ROOT 用户启动 Elasticsearch 吧,并且相关数据目录的权限和属主一并改为非 ROOT 用户。就像是把你家金库托管给你最信任的人一样。

Server 层

替换默认端口

众所周知,Elasticsearch 默认的 http.port 是 9200,集群各节点间的通信端口 transport.tcp.port 是 9300;这就像是你家金库的大门,如果一眼就能辨识,那骇客攻击就可以在最短的时间做到有的放矢。


所以强烈建议替换掉 Elasticsearch 的监控端口,就像是给你家金库做了个“暗门”,骇客想要进入金库至少先得找到门路才行。

用户及权限认证

如果说 Elasticsearch 是一个存放着宝贝,时刻受到“梁上君子”觊觎的保险柜,那么没有开启权限认证的 Elasticsearch 就像是没有密码锁一样,只要找到了这个保险柜,那里面的宝贝就可以任之取之了。所以要避免骇客入侵的最有力的手段,也是最后一层屏障,那就是用户及权限认证。


可是在开题我们就说到了,Elasticsearch 本身没有用户及权限认证体系。


虽然官方提供了自己的权限管理系统—— Shield, 但是它——收费! (小编不自觉的竖起了中指)


本着“能免费用,绝不花钱买”的持家宗旨,在这里给大家介绍一款实用的开源 Elasticsearch 权限管理系统——Search Guard


先来看看 Search Guard 都支持哪些功能及特性:



接下来就大家最关心的问题简单总结一下(这里只翻译一下免费版提供的功能)


1.Search Guard 支持 Transport Layer(Node-to-node)和 REST Layer(HTTP/HTTPS)的 SSL/TLS 加密传输,并且 Transport Layer 和 REST Layer 都可以单独配置是否开启 SSL/TLS 加密。


2.Search Guard 提供了一套完整的“用户-角色-权限”控制系统。免费版权限可以控制到 indice/type、host 级别。


3.如果需要 Document level security(DLS)和 Field level security(FLS)级别的权限控制,或者 Audit logging 审计功能,或者需要支持如 LDAP、Kerberos 等第三方用户认证系统的话,那就乖乖购买 Enterprise License 吧(每个集群一个 License,无所谓集群规模)。


4.Search Guard 权限可以动态配置,我们可以把需要的权限添加到对应的文件,这些文件都作为文档存储在 Elasticsearch 中的 searchguard 索引中,然后通过 sgadmin 工具来更新配置(即将文件加载到 ES),加载后立即生效,无需重启 ES 节点。


5.Search Guard 以插件的形式发布,它要提供服务需要依赖 Search Guard SSL。在 Elasticsearch 5.x 之前需要单独安装 Search Guard 和 Search Guard SSL;Elasticsearch 5.x 之后,Search Guard 默认已经集成了对应版本的 Search Guard SSL,无需单独安装了。


补充一点,Search Guard 可以实现和 Logstash、Kibana 的完美结合,对于使用 ELK 的用户大可不必担心,修改集成很容易的。


并且,Elasticsearch 在 5.x 之后,对 Search Guard、Search Guard SSL (当然还有 Logstash 、Kibana)等插件的版本号都做了统一,变得更加的简单直观了。

总结

以上是我们在部署 Elasticsearch 时所作的一些安全策略,把这些分享出来希望可以帮助到大家。有一些策略其实很简单,可往往越是细小的点,越容易被大家忽略,越容易成为日后维护的坑。


本文转载自公众号 360 云计算(ID:hulktalk)。


原文链接:


https://mp.weixin.qq.com/s/XUF9x2tBlIX9QCGOI41-og


2019-11-19 23:531213

评论

发布
暂无评论
发现更多内容

网易智企斩获“2021全球新经济卓越成就奖”两项大奖

网易云信

大数据 云通信 通信云

拍乐云基于AV1的实时视频系统技术实践 | 2021 LiveVideoStackCon 演讲回顾

拍乐云Pano

音视频 WebRTC RTC

实现连续测试,要做的事情【译】

FunTester

敏捷 自动化 持续集成 FunTester 连续测试

【等保小知识】等保、分保以及关保分别是什么意思?

行云管家

网络安全 等保 等级保护 分保

【Redis技术专题】分析一下Redission实现分布式锁的点点滴滴

码界西柚

redis redission redisson 分布式锁 11月日更

LCN基本原理

平凡人生

增量编译:让小程序包编译速度提升11倍!

Speedoooo

容器 ios开发 APP开发 Andriod开发

WeTest六周年 | 匠心不改 初心不变

WeTest

公司刚来的阿里p8,看完我构建的springboot框架,甩给我一份文档

Java 编程 程序员 Spring Boot

APP与小程序,相爱相杀

Speedoooo

容器 ios开发 APP开发 Andriod开发

一分钟带您了解,堡垒机主要功能有哪些?

行云管家

网络安全 服务器 堡垒机 等级保护

pygame 中的图形绘制函数、帧速率和文字相关知识,简单的的不得了

梦想橡皮擦

11月日更

极客 - 大数据 - 作业 Flink

西伯利亚鼯鼠

云小课|三大灵魂拷问GaussDB(DWS)数据落盘安全问题

华为云开发者联盟

安全 云小课 GaussDB(DWS) 数据仓库服务 数据落盘安全

闻香识代码,什么是衡量代码质量的终极标准?

Zilliz

Java 代码质量 JavaScrip

不懂乐理和五线谱也能快速入门电子音乐制作!用FL Studio 搞音乐创作有时候就是这么简单!

懒得勤快

我凭借这份pdf,最终拿到了阿里,腾讯,京东等八家大厂offer

Java 编程 程序员 面试

如何快速搞定第三方登录且易扩展?

Tom弹架构

Java 架构 设计模式

当你在跑步时在想什麽? 这个是村上春树的,当你在骑摩托车时在想什麽? 这个是波西格的

叶小鍵

拥有3000多万用户的录屏软件,到底强在哪儿?

淋雨

Camtasia

APP上跑小程序,一箭双雕

Speedoooo

ios开发 APP开发 Andriod开发

30K成功入职京东:拿到京东offer经验分享「面试经历+面试真题」

Java redis spring 程序员 JVM

恒源云(GpuShare)_【功能更新】镜像市场上线

恒源云

深度学习

MRS HetuEgine的数据虚拟化实践

华为云开发者联盟

大数据 数据湖 云原生 华为云 数据虚拟化

03 K8S之网络互联通信

穿过生命散发芬芳

k8s 11月日更

OCR的工作原理和应用场景

澳鹏Appen

人工智能 机器学习 OCR 训练数据 文本识别

lims实验室信息监控管理系统解决方案

低代码小观

企业管理 管理系统 LIMS实验室信息管理系统 LIMS系统 信息管理系统

Android技术分享| Android WebRTC 开启H264软件编解码教程

anyRTC开发者

android 音视频 WebRTC ffmpeg H264

Linux 系统资源查看及硬件故障排查(qbit)

qbit

操作系统 故障 资源

Apache ShenYu源码阅读系列-基于Http长轮询的数据同步

子夜2104

网关 shenyu

《黑客之道》- kali LInux之WireShark抓包及常用协议分析

学神来啦

网络安全 Wireshark 渗透 kali

数据千万条,安全第一条_文化 & 方法_HULK_InfoQ精选文章