路由網(wǎng)產(chǎn)品和基礎(chǔ)設(shè)施工程團(tuán)隊的利益與安全工程團(tuán)隊的利益時常不一致。安全的價值不像業(yè)務(wù)價值或?qū)嵱媒鉀Q方案那樣直接可見，因此很難讓人理解在事故發(fā)生前投入資金或努力是值得的。然而，宣傳具有商業(yè)價值的安全解決方案比采用傳統(tǒng)的發(fā)現(xiàn)漏洞、實(shí)施補(bǔ)救措施和通過案例管理進(jìn)行跟進(jìn)的循環(huán)更有效。例如，使用基于 OAuth 和 IAM 的訪問代替靜態(tài)密鑰，使用加密代替更精細(xì)的訪問控制，這些都可以顯著簡化基礎(chǔ)架構(gòu)、降低復(fù)雜性并減輕運(yùn)營負(fù)擔(dān)，這對產(chǎn)品和平臺工程團(tuán)隊都極具吸引力。
產(chǎn)品和基礎(chǔ)設(shè)施工程團(tuán)隊的利益并不總是與安全工程團(tuán)隊的利益一致。雖然產(chǎn)品和基礎(chǔ)設(shè)施專注于推動業(yè)務(wù)價值和提供實(shí)用解決方案，但安全側(cè)重于檢測、預(yù)防和補(bǔ)救，這些似乎沒有那么直接的價值。就像保險單一樣，如果還沒有發(fā)生事故，就很難看出它為什么值得花錢或付出努力。
我發(fā)現(xiàn)，與傳統(tǒng)的發(fā)現(xiàn)漏洞、實(shí)施補(bǔ)救措施和通過案例管理進(jìn)行跟進(jìn)的循環(huán)相比，倡導(dǎo)能夠帶來商業(yè)價值的安全解決方案更為有效。例如，使用基于 OAuth 和 IAM 的訪問代替靜態(tài)密鑰，使用加密代替更精細(xì)的訪問控制可以顯著簡化基礎(chǔ)架構(gòu)、降低復(fù)雜性并減輕運(yùn)營負(fù)擔(dān)，這對產(chǎn)品和平臺工程團(tuán)隊都非常有吸引力。
示例：使用基于 IAM 的 OAuth 替換靜態(tài)密鑰
傳統(tǒng)上，系統(tǒng)之間的訪問是通過靜態(tài)密鑰對實(shí)現(xiàn)的。這種方法雖然很常見，但由于管理密鑰生成、輪換和應(yīng)用程序生命周期的復(fù)雜性，往往會導(dǎo)致可靠性問題。平臺團(tuán)隊還必須投入大量精力來監(jiān)控和檢測異常，以防止意外的密鑰泄露，例如通過 Slack 或 GitHub 意外泄露。即使開發(fā)人員報告并補(bǔ)救泄漏，輪換過程也可能很費(fèi)力。更糟糕的是，開發(fā)人員可能認(rèn)為這是低風(fēng)險泄漏，因此泄漏可能不會被報告。
平臺團(tuán)隊有兩種選擇：
-
添加更復(fù)雜的訪問控制和批準(zhǔn)流程。
-
用基于 IAM 的 OAuth 替換靜態(tài)密鑰對。
第一種選擇可能很誘人，因?yàn)樗恍杼砑?ServiceNow 等供應(yīng)商，而無需做太多額外工作。然而，第二種選擇雖然需要更多的實(shí)施變更，但更安全，并減少了應(yīng)用程序團(tuán)隊更新機(jī)密、重啟 Pod 和確保機(jī)密被獲取的運(yùn)營負(fù)擔(dān)。事實(shí)上，最近出現(xiàn)了幾家專注于非人類身份驗(yàn)證的公司，如 P0 和 Clutch，突顯了更安全、更高效的身份驗(yàn)證方法日益流行的趨勢。
這個例子展示了如何通過不同的安全實(shí)施方法提高安全標(biāo)準(zhǔn)、簡化基礎(chǔ)設(shè)施架構(gòu)、提高整體開發(fā)速度。
數(shù)據(jù)加密案例
數(shù)據(jù)加密是另一個例子，雖然安全團(tuán)隊不能簡單地“添加供應(yīng)商”，但從安全和架構(gòu)設(shè)計的角度來看，它大大降低了所有平臺的復(fù)雜性和實(shí)施工作量。
典型的數(shù)據(jù)流包括：
-
源應(yīng)用程序發(fā)布數(shù)據(jù)
-
數(shù)據(jù)被發(fā)送到傳輸層（例如 Kafka、Kinesis）
-
數(shù)據(jù)存儲在數(shù)據(jù)庫（MySQL、Postgres）、數(shù)據(jù)倉庫（Redshift、Snowflake）或數(shù)據(jù)湖（S3、Databricks）中
不同的解決方案對“訪問控制”的理解和實(shí)現(xiàn)方式不同，導(dǎo)致平臺團(tuán)隊各自實(shí)現(xiàn)不同的版本，這往往導(dǎo)致公司內(nèi)部實(shí)現(xiàn)方式的碎片化。對于安全工程師來說，實(shí)現(xiàn)方式越碎片化，就越難實(shí)現(xiàn)標(biāo)準(zhǔn)化的治理、控制和監(jiān)控，最終導(dǎo)致系統(tǒng)安全性下降。
基礎(chǔ)設(shè)施/供應(yīng)商授權(quán)和權(quán)限比較
| 平臺 | 基于 IAM 的身份驗(yàn)證 | 行/列權(quán)限 |
|---|---|---|
| 數(shù)據(jù)塊 | 支持基于 IAM 的權(quán)限 | 支持行和列級安全性 |
| 雪花 | 本身不支持基于 IAM 的權(quán)限 |
支持行和列級安全性 |
| MySQL | 不支持基于 IAM 的權(quán)限 | 通過授權(quán)和策略支持行級和列級安全性 |
| PostgreSQL | 不支持基于 IAM 的權(quán)限 | 支持行和列級安全性 |
結(jié)論
借助數(shù)據(jù)加密，只需使用加密密鑰配置一次訪問權(quán)限，然后就可以將其分配給數(shù)據(jù)流不同階段的各個工作負(fù)載。這大大降低了在不同平臺上實(shí)施和協(xié)調(diào)權(quán)限策略的復(fù)雜性。加密可確保數(shù)據(jù)在所有平臺上受到一致保護(hù)，從而簡化治理和控制，同時增強(qiáng)整體安全性。
路由網(wǎng)(www.lu-you.com)您可以查閱其它相關(guān)文章！
