免费注册 查看新帖 |

Chinaunix

  平台 论坛 博客 文库
最近访问板块 发新帖
楼主: cryboy2001

[系统安全] IT安全,你准备好了吗? [复制链接]

论坛徽章:
2
午马
日期:2015-01-27 11:22:392015年辞旧岁徽章
日期:2015-03-03 16:54:15
发表于 2015-01-25 17:15 |显示全部楼层

1、在贵公司IT建设中,网络安全方面主要采用哪些措施,效果如何?
这个问题其实很宽泛。
从人员和内容管理来讲, 内容分级,访问权限,物理隔离都有。
单纯的讲硬件或者系统级别的话。

     防火墙,系统和软件补丁,漏洞快速响应。 。。
       这些东西谁都做, 但是一般大企业才能养得起一班人做这些事情, 小公司的话不可能覆盖很全面,我见过一些案例是把自己的私有云交给大企业代管的。

     在大公司,有一点很重要,就是严格的流程和快速响应。 <<<<   这两点有点冲突。
     
     平时我们做一些操作,都要遵循流程,都有要日志log,有audit。 这都是安全的要求, 但是出了事之后的响应不是这样子的, 快速响应要求的是不把问题扩散,不让损失蔓延,需要立即采取措施,做隔离 甚至无奈的时候 拔插头。   从我个人来讲,这是一个问题。  在演练中遇到的一个案例, 因为安全原因临时切断主业务系统,然后确保备份系统高可用和性能, 这就不仅仅是安全那么简单了,系统一旦不能failover, 丢了数据,再安全都是不可挽回的损失。

    另外,像Internet和Intranet 必须 隔离,或者用VPN来进行通讯。  这是必须的。 不能让很多企业内部应用暴露在互联网上。 这个决定基本上可以消除很多外来的攻击。  当然 公司太大,如果是因为某个员工的VPN ID 保管不善,导致被入侵,那就是另一回事了, 快速的安全报告, 内部的内容分级和访问权限,能尽量减少这种损失。

    有一些应用需要对客户开放, 在一些静态的页面/文档方面,我们尽量关闭评论或者讨论,另外由community论坛来处理, 这样就分离了动态静态的应用,减少了问题。

    从我个人的经验来看, 不能单纯地依赖一层防火墙, 我见过一些客户,外面有防火墙,而里面一层无论是操作系统,数据库都没有安全防护,也没有audit, SELinux为了省事也是关掉的。 我认为这是不可取的。




2、你认为要成为安全方面的专业人员,要具备什么方面的知识?

首先我觉得,我们这边 会一直是 "防守"人员 ,而不是"进攻"的选手。  
A question,  就是我们不知道 什么地方会出问题, 而且很 棘手的是, 有一个墨菲定律。。。

这一点上我比较悲观, 总会有些新的问题出来,甚至像heartbeat/bash这种全方位的漏洞。

但我们能做的就是 按照流程 做好自己这边的防护。

首先是了解我们的系统架构,产品。 比如linux server,我们要关注CVE, 关心SELinux policy, 关心白名单的端口策略。
比如我们不太愿意布置php的页面,我们更愿意一些静态化的页面呈现给客户。

要学的东西 其实还好, 比起那些fullstack engineer ,也不会多太多知识, 当然要明白很多 网络协议的原理。






3、你曾经在IT安全方面是如何学习的,或有什么计划要如何加强自己安全方面的知识?

以前啃文档, 比如SELinux的文档, 比如Redhat等发行版本的Security Guide., 读网络协议。

还会追一些渗透测试的工具, 基本工具如nmap要熟练。

像Kali这样的版本 也是很好的学习途径,因为把很多工具集都放在一起学习了,  可以 搭配Metasploitable2 一起学习。

我不建议在任何商业环境或者企业内部生产环境中实践, 有想法 就自己搭环境验证。

论坛徽章:
9
技术图书徽章
日期:2014-10-14 15:48:13数据库技术版块每日发帖之星
日期:2015-06-04 22:20:00数据库技术版块每日发帖之星
日期:2015-06-10 22:20:00数据库技术版块每日发帖之星
日期:2015-06-11 22:20:00数据库技术版块每日发帖之星
日期:2015-06-13 22:20:00IT运维版块每日发帖之星
日期:2015-09-22 06:20:00IT运维版块每日发帖之星
日期:2015-12-08 06:20:00综合交流区版块每日发帖之星
日期:2016-02-02 06:20:00IT运维版块每日发帖之星
日期:2016-07-25 06:20:00
发表于 2015-01-25 20:48 |显示全部楼层
回复 99# xbokx


    需要充实的是你自己而不是别人,练吹牛是做不好技术岗位的。

论坛徽章:
9
技术图书徽章
日期:2014-10-14 15:48:13数据库技术版块每日发帖之星
日期:2015-06-04 22:20:00数据库技术版块每日发帖之星
日期:2015-06-10 22:20:00数据库技术版块每日发帖之星
日期:2015-06-11 22:20:00数据库技术版块每日发帖之星
日期:2015-06-13 22:20:00IT运维版块每日发帖之星
日期:2015-09-22 06:20:00IT运维版块每日发帖之星
日期:2015-12-08 06:20:00综合交流区版块每日发帖之星
日期:2016-02-02 06:20:00IT运维版块每日发帖之星
日期:2016-07-25 06:20:00
发表于 2015-01-25 20:48 |显示全部楼层
回复 100# sense565


    除非是管理员疏忽,否则你从外网不可能突破CENTOS安全机制,这是非常确定的,如果你真有能力突破,整个互联网上你可以为所欲为,我觉得吹牛是最没意思的事。

论坛徽章:
9
技术图书徽章
日期:2014-10-14 15:48:13数据库技术版块每日发帖之星
日期:2015-06-04 22:20:00数据库技术版块每日发帖之星
日期:2015-06-10 22:20:00数据库技术版块每日发帖之星
日期:2015-06-11 22:20:00数据库技术版块每日发帖之星
日期:2015-06-13 22:20:00IT运维版块每日发帖之星
日期:2015-09-22 06:20:00IT运维版块每日发帖之星
日期:2015-12-08 06:20:00综合交流区版块每日发帖之星
日期:2016-02-02 06:20:00IT运维版块每日发帖之星
日期:2016-07-25 06:20:00
发表于 2015-01-25 20:55 |显示全部楼层
回复 100# sense565

网站也跑了40年么???你换了人家主页,主机安全还是没有突破,对吧?网站平台如果太久没升级,漏洞就会在网上公开,很容被人黑掉主页,你做的事只是重复了别人做的事,没有任何创造。
我真的希望你能黑掉我们学校网站,这样领导就同意换平台了,十年前就已经落后的老平台,运行到现在,功能上各种不便。你能黑掉我们网站,我请你吃海鲜。
实际上我当初干了件很蠢的事,不应该用PHP安全模式。
   

论坛徽章:
9
技术图书徽章
日期:2014-10-14 15:48:13数据库技术版块每日发帖之星
日期:2015-06-04 22:20:00数据库技术版块每日发帖之星
日期:2015-06-10 22:20:00数据库技术版块每日发帖之星
日期:2015-06-11 22:20:00数据库技术版块每日发帖之星
日期:2015-06-13 22:20:00IT运维版块每日发帖之星
日期:2015-09-22 06:20:00IT运维版块每日发帖之星
日期:2015-12-08 06:20:00综合交流区版块每日发帖之星
日期:2016-02-02 06:20:00IT运维版块每日发帖之星
日期:2016-07-25 06:20:00
发表于 2015-01-25 20:57 |显示全部楼层
回复 98# sense565


    这么简单的事?还需要说多少???VPN还是IPTABLES你不会用?

论坛徽章:
2
辰龙
日期:2015-01-11 00:34:002015年亚洲杯之巴勒斯坦
日期:2015-01-28 10:35:37
发表于 2015-01-26 04:29 |显示全部楼层
回复 101# to407

".....在大公司,有一点很重要,就是严格的流程和快速响应。 <<<<   这两点有点冲突。
     
     平时我们做一些操作,都要遵循流程,都有要日志log,有audit。 这都是安全的要求, 但是出了事之后的响应不是这样子的, 快速响应要求的是不把问题扩散,不让损失蔓延,需要立即采取措施,做隔离 甚至无奈的时候 拔插头。....  "

严格的流程和快速响应并不冲突!对突发事件的成功处理需要周密的应急计划(contingency plan)作保证。而应急计划中最重要的组成部分就是突发事件处理流程。 你说的“立即采取措施,做隔离 甚至无奈的时候 拔插头”实际上就可能是突发事件处理方案流程的一种。


   

论坛徽章:
2
午马
日期:2015-01-27 11:22:392015年辞旧岁徽章
日期:2015-03-03 16:54:15
发表于 2015-01-26 13:28 |显示全部楼层
回复 106# securitypluscn


    怎么会不冲突。。。

    平时做变更 需要邮件,报告来要求权限等级 要求经理的批准。  出问题的时候, 需要的是一线人员果断的决定。  

   
    变更是有计划 有流程的。   出问题 更多的是突然的,没有照本宣科的。

  
     就举一个简单的例子, 当发现系统内存 快速地消耗,基本上每小时都线性地 leak。 这时候怎么办,重启系统,下线应用,还能做别的?

论坛徽章:
0
发表于 2015-01-26 15:34 |显示全部楼层
回复 105# bbjmmj


    VPN iptables 不能绕过?逗

论坛徽章:
2
辰龙
日期:2015-01-11 00:34:002015年亚洲杯之巴勒斯坦
日期:2015-01-28 10:35:37
发表于 2015-01-26 16:28 |显示全部楼层
本帖最后由 securitypluscn 于 2015-01-27 00:08 编辑

回复 107# to407

"
你“平时做变更 需要邮件,报告来要求权限等级 要求经理的批准。” 走的流程和突发事件处理预案中的流程是不同的。对突发事件的处理方法和具体步骤也应该是有计划有准备的。

"。。。。就举一个简单的例子, 当发现系统内存 快速地消耗,基本上每小时都线性地 leak。 这时候怎么办,重启系统,下线应用,还能做别的?。。。。"

这个问题问的好,你如果有突发事件处理预案,就知道该怎么做了。
给你个链接,你先看看
http://doc.mbalib.com/view/23f258d806def155fda549c00b5e803c.html



   

论坛徽章:
2
午马
日期:2015-01-27 11:22:392015年辞旧岁徽章
日期:2015-03-03 16:54:15
发表于 2015-01-27 10:43 |显示全部楼层
回复 109# securitypluscn


    这种预案没有任何的可操作性。

    讲的是 多层级的负责制, 在IT业务上 是有大问题的。 IT业务的紧急响应 应该是更加扁平化的结构。

   
还是前面提到的案例

1) .  系统垮掉,需要 failover到备库。  这个决定谁能做?如果是层级负责制, 那么一线的工程师是不敢做决定的,一旦他们切换失败,将负所有责任,上级会推得一干二净。于是就是几个层级间的扯皮,  这样 failover 就没有意义了。


2).   新上一个业务, 导致服务器的内存有泄漏。  一线有没有权利做决定?  他需要同产品经理去吵架, 如果他擅自下线产品,强势的产品经理会认为在系统没有垮掉的情况下,这么做损害他的利益。    当然对于一线工程师, 最保险的办法, 等着服务器垮掉,这样就有理由有证据说明是这个产品导致的。 大家不得罪,但这对于公司来讲就是大损失。


有的时候 不做一线的人 想法很天真, 以为平时权限归领导, 打仗了就把枪往一线工程师手上一扔, 就是最佳实践了。

这样的安全策略 经不起考验。

比较可行的办法是妥协, 不要一味喊安全的口号, 平时多给一线 权限,扁平化,  加强audit 和log。  才能有效地减少重大问题的发生。  多层级的架构容易 导致推诿责任,不敢负责,小问题积成大问题。

您需要登录后才可以回帖 登录 | 注册

本版积分规则 发表回复

DTCC2020中国数据库技术大会 限时7.5折

【架构革新 自主可控】2020年6月4日~6日第十一届中国数据库技术大会将在北京隆重召开。

大会设置2大主会场,20+技术专场,将邀请超百位行业专家,重点围绕数据架构、AI与大数据、传统企业数据库实践和国产开源数据库等内容展开分享和探讨,为广大数据领域从业人士提供一场年度盛会和交流平台。

http://dtcc.it168.com


大会官网>>
  

北京盛拓优讯信息技术有限公司. 版权所有 16024965号-6 北京市公安局海淀分局网监中心备案编号:11010802020122
中国互联网协会会员  联系我们:huangweiwei@it168.com
感谢所有关心和支持过ChinaUnix的朋友们 转载本站内容请注明原作者名及出处

清除 Cookies - ChinaUnix - Archiver - WAP - TOP