限时领|《AI 百问百答》专栏课+实体书(包邮)! 了解详情
写点什么

微服务与安全

  • 2016-11-20
  • 本文字数:1364 字

    阅读完需:约 4 分钟

“我们都知道洗手在预防疾病传播上的重要性,但是在面对应用安全问题时,类似的行为却变成了马后炮。我们已经掌握了在开发工作流中加入测试的做法,但是对于安全问题却常假定稍后会有其他的人去解决。”这是 Sam Newman 近期在伦敦微服务大会主题演讲中所提出的观点。他的演讲内容围绕微服务环境中的安全问题而展开。

Newman 当前供职于 Atomist ,他认为各个微服务构成了一种六边形的形态,其中每种微服务的命名是与它们的业务职责相对应的。这些微服务具备自治能力。Newman 特别指出,这些微服务的自治能力主要来自于它们的独立可部署性。

单体系统通常会具有一个边界,以及一个需要得到保护的数据库。如果攻击者借助安全漏洞闯入了这样的系统,他很有可能会窃取到系统内的全部东西。如果基于微服务的系统具备了适当的安全性,我们就可以限制攻击者窃取的权限,以及在一次攻击破坏了某个服务后所能窃取到的东西。但是在使用微服务的同时,也暴露了更大的可攻击面,使得更多的服务器可被攻击。单体进程内的方法调用,现在变成了对远程API 的网络调用。另外为大量服务器手动打补丁容易出现漏打补丁的情况。

通常我们在发现渗透或潜在的攻击时并不会采取理性思考。我们通常会修补漏洞以防止被再次利用,而不是退后一步从整体看待这个问题。这意味着我们常将钱花在了错误的事情上,反而将容易受攻击的缺陷留在了系统中。

正确的做法应该是建立威胁模型,并仔细思考如何在防范攻击问题上合理地分配你的精力。Newman 给出了他们所使用的两个例子,分别是由Bruce Schneider 提出的 Attack trees 以及使用了 STRIDE 和 DREAD 威胁建模技术的 Microsoft 安全开发生命周期

增强安全性的一个简单做法是对包括内部网络在内的所有地方都使用 HTTPS。该做法可确保消息载体不会被篡改,而且不会出现恶意的冒牌服务器。 Let’s encrypt 是一个免费且自动化的认证机构,它的目标是试图为在公共网络中随意获取 HTTPS 认证提供便利。Newman 指出 Let’s encrypt 最重要的特点在于它是自动化的。服务器在对客户端进行验证时需要客户端认证,但是通常情况下管理这些认证信息会是一种负担。

Newman 认为 Docker 是一项伟大的技术,但是他同时也指出许多受信任的官方镜像都具有严重的缺陷,这意味着安装了这些镜像的系统同时也包含了该镜像的缺陷。Newman 极力推荐使用 clair 这类工具,它具有缺陷静态分析及日常打补丁的功能。

检测或是对已发生的攻击事件了如指掌对防止新的攻击是十分有用的,但是在运行中的服务器上发现新的缺陷也是十分重要的。一般情况下攻击会在日志中留下痕迹,因此 Newman 指出,我们首先要去做的一件事情是如何在一个集中的地点获取对所有日志的访问。这不仅是出于安全方面的考虑,而且是来自应用开发上的考虑。

除了预防和检测问题,Newman 还指出对漏洞问题做出响应和恢复受攻击系统的重要性。你如何对一个安全漏洞问题做出响应并就该问题与客户进行沟通?你如何去恢复一个被攻击的系统?在数据散布到微服务系统中去之后,从备份进行恢复会变得更加困难。

明年的伦敦微服务大会将在11 月6 日至7 日期间召开。

查看英文原文: Microservices and Security


感谢薛命灯对本文的审校。

给InfoQ 中文站投稿或者参与内容翻译工作,请邮件至 editors@cn.infoq.com 。也欢迎大家通过新浪微博( @InfoQ @丁晓昀),微信(微信号: InfoQChina )关注我们。

2016-11-20 18:003752
用户头像

发布了 227 篇内容, 共 81.5 次阅读, 收获喜欢 28 次。

关注

评论

发布
暂无评论
发现更多内容

亮相2023全球工业互联网大会,天翼云为工业夯实算力底座!

天翼云开发者社区

人工智能 云计算

交易所开发 dapp开发:DeFi领域取得成功的综合指南

区块链软件开发推广运营

交易所开发 dapp开发 区块链开发 链游开发 NFT开发

外贸独立站谷歌SEO优化:提升网站排名和流量的关键要素

九凌网络

外贸网站如何做好站内优化

九凌网络

Codigger:在线协同开发革新

知者如C

荣耀主题设计师邀请有礼

荣耀开发者服务平台

设计师 资源分享 安卓 ios 活动推荐

第14期 | GPTSecurity周报

云起无垠

外贸网站流量下降可能是这五点原因造成的

九凌网络

直播预告 | YashanDB 2023年度发布会正式定档11月8日,邀您共同见证国产数据库发展实践!

墨天轮

数据库 深圳 国产数据库 yashandb

云网融合再加码!天翼云SD-WAN PON来了!

天翼云开发者社区

云计算

技术分享| anyRTC低延时直播优化

anyRTC开发者

音视频 CDN 低延时 视频直播 播放器

【论文解读】RLAIF基于人工智能反馈的强化学习

合合技术团队

人工智能 论文 RLAIF

官宣|Apache Flink 1.18 发布公告

Apache Flink

大数据 flink 实时计算

API商品数据接口调用爬虫实战

Noah

扩展Nginx的无限可能:掌握常见扩展模块和第三方插件的使用方法

互联网工科生

nginx

数字先锋| 天翼云助力金州教育云平台智慧升级,让优质教育资源“活起来”!

天翼云开发者社区

云计算 大数据

微服务与安全_语言 & 开发_Jan Stenberg_InfoQ精选文章