BT

如何利用碎片时间提升技术认知与能力? 点击获取答案

如何确保基础设施机密信息安全

| 作者 谢丽 关注 10 他的粉丝 发布于 2015年4月1日. 估计阅读时间: 2 分钟 | 都知道硅谷人工智能做的好,你知道 硅谷的运维技术 也值得参考吗?QCon上海带你探索其中的奥义

信用卡和个人身份信息的存储和传输都有遵从性标准,PCI-DSS是其中最常用的标准之一。但有一类信息,现有的标准没有覆盖,RackspacePaul Querna将它们称为“基础设施机密信息(Infrastructure Secrets)”。

基础设施机密信息是指经常用于构建或部署应用程序的证书或机密信息,如Github API keys、AWS IAM identities、Heroku API Tokens、Rackspace Cloud API Keys和SSH Private Keys等。许多使用这类信息的系统在没有直接人工监督的情况下运行,它们使用的证书也没有锁定到特定的应用场景。Querna结合他在Cloudkick从事相关工作的经验阐述了基础设施机密信息面临的威胁和应该采取的应对措施。

基础设施机密信息面临的威胁可能来自以下几个方面:

  • 糟糕的密码;
  • 支持服务工具:这是SaaS企业的关键组件,这类工具中的大部分都允许员工做任何客户可以做的事,但它们的安全预防措施或日志常常很糟糕;
  • 数据库:数据库备份在员工的硬盘上,甚至由第三方托管;NoSQL数据存储的访问控制常常很简单;
  • 服务器入侵:攻击者可能会发现类似Ruby on Rails允许远程执行代码的漏洞。

纵深防御(Defense in depth)”是信息安全的常用方法。Querna建议采取以下措施:

  • 使用谷歌开源加密工具Keyczar进行加密;
  • 服务隔离:后台服务器应该位于隔离的网路中,并且只在通信通道上提供准确的操作,比如在服务中提供下面这样的操作:
    deploy_project_to_host(host, project)

    而不是下面这样的:

    run_command(host, command)
  • 特殊事件通知:除了正常的日志之外,在员工激活身份验证时发送通知邮件;
  • 多重身份验证:这是应对“糟糕的密码”这一最常见的威胁的一种简单有效的方法。

有一点需要提醒读者注意,Querna在文章最后指出,上述内容只是他的一些随感,并不全面。


感谢徐川对本文的审校。

给InfoQ中文站投稿或者参与内容翻译工作,请邮件至editors@cn.infoq.com。也欢迎大家通过新浪微博(@InfoQ@丁晓昀),微信(微信号:InfoQChina)关注我们,并与我们的编辑和其他读者朋友交流。

评价本文

专业度
风格

您好,朋友!

您需要 注册一个InfoQ账号 或者 才能进行评论。在您完成注册后还需要进行一些设置。

获得来自InfoQ的更多体验。

告诉我们您的想法

允许的HTML标签: a,b,br,blockquote,i,li,pre,u,ul,p

当有人回复此评论时请E-mail通知我
社区评论

允许的HTML标签: a,b,br,blockquote,i,li,pre,u,ul,p

当有人回复此评论时请E-mail通知我

允许的HTML标签: a,b,br,blockquote,i,li,pre,u,ul,p

当有人回复此评论时请E-mail通知我

讨论

登陆InfoQ,与你最关心的话题互动。


找回密码....

Follow

关注你最喜爱的话题和作者

快速浏览网站内你所感兴趣话题的精选内容。

Like

内容自由定制

选择想要阅读的主题和喜爱的作者定制自己的新闻源。

Notifications

获取更新

设置通知机制以获取内容更新对您而言是否重要

BT