遠離“人禍”，關(guān)于安全運維，我們建了個系統(tǒng)……

近日，微盟“刪庫”事件引起廣泛關(guān)注，再次給廣大企業(yè)敲響 運維安全及數(shù)據(jù) 安全 警鐘。面對日漸復(fù)雜的企業(yè)IT系統(tǒng)，完善企業(yè)運維安全體系，讓運維自動化、規(guī)范化，消除潛在風(fēng)險，是企業(yè)當前急需解決的問題。  

BeyondBSM自動化運維平臺是為企業(yè)信息部門提供的建設(shè)運維自動化體系的一體化解決方案， 經(jīng)過多年實踐經(jīng)驗積累， 能夠幫助企業(yè)適應(yīng)隨業(yè)務(wù)發(fā)展而逐漸復(fù)雜的IT系統(tǒng)， 實現(xiàn)企業(yè)運維流程標準化、規(guī)范化、通用化，幫助 企業(yè)系統(tǒng)運維更加高效、 安全， 支撐企業(yè)業(yè)務(wù)安全 穩(wěn)定的快速發(fā)展。

構(gòu)建企業(yè)運維安全體系

隨著數(shù)字化的高速發(fā)展，企業(yè)業(yè)務(wù)系統(tǒng)承載 巨大 價值的業(yè)務(wù)數(shù)據(jù)，運維安全不言而喻，而 惡意破壞或誤操作而導(dǎo)致的運維安全事件卻屢見不鮮。 此類事件一旦發(fā)生，將給企業(yè)運作帶來巨大影響及重大的經(jīng)濟損失。 面對運維安全的潛在威脅，企業(yè)如何做到防患于未然？ 如何降低運維和數(shù)據(jù)安全風(fēng)險，避免“刪庫跑路”或誤操作等“人禍”再次發(fā)生？

作為曾經(jīng)的信息安全專業(yè)學(xué)生，目前負責(zé)運維系統(tǒng)建設(shè)和交付的工程師，雖然不能深入給大家介紹怎么弄個蠕蟲、木馬、病毒等，但是可以先跟大家介紹下信息安全的體系結(jié)構(gòu)。

面向目標的安全體系結(jié)構(gòu)

信息安全的三個最基本目標（CIA 三元組）：機密性(Confidentiality)、完整性(Integrity)、可用性(Availability)。

面向應(yīng)用層次的安全體系結(jié)構(gòu)

面向過程的信息安全保障體系

OSI（開放系統(tǒng)互聯(lián)）安全體系結(jié)構(gòu)

當然，整個信息安全體系是個非常龐大的課題，在每個主題下，都有很細很深的知識點，比如密碼、網(wǎng)絡(luò)、認證體系、訪問控制、入侵檢測、數(shù)字水印等，但是各位只要粗略的了解上面的幾個安全維度，就可以很直觀地把這次事件出現(xiàn)問題的大致定位，方便下文針對此次事件的回顧反思。

從安全目標三要素上來看，  這次事件破壞了系統(tǒng)的可用性 ，造成300萬用戶中的核心7萬多用戶的服務(wù)不可用，微盟市值蒸發(fā)10多億，由于服務(wù)中斷對用戶間接損失暫不可估。

從安全基本要素來看，  基本上系統(tǒng)、信息和人員三要素都有不同程度的缺失 ，比如運行安全和數(shù)據(jù)安全以及人員管理不到位等，這個后文細說。

從安全過程上來看，系統(tǒng)能夠在故障后幾分鐘內(nèi)識別告警處理，整體響應(yīng)和恢復(fù)過程也還算迅速，因此  主要的問題還是發(fā)生在事前的保護環(huán)節(jié) 。

企業(yè)運維安全核心要點

不要把雞蛋放在一個籃子里——備份的重要性

在服務(wù)器業(yè)務(wù)系統(tǒng)的日常運行過程中，可能會存在人為誤操作或者一些無法預(yù)見性的事件發(fā)生，最終導(dǎo)致數(shù)據(jù)丟失。為了減輕對業(yè)務(wù)系統(tǒng)影響，需要最大程度的減小數(shù)據(jù)丟失，在最短的時間內(nèi)恢復(fù)數(shù)據(jù)，通過定期執(zhí)行合理、完善的備份策略，可以在必要時最大限度的減少業(yè)務(wù)停機時間以及數(shù)據(jù)丟失所帶來的影響。

無論是磁盤RAID陣列、磁帶冷備份數(shù)據(jù)，還是兩地三中心的實時備份業(yè)務(wù)架構(gòu)，只要能夠定期執(zhí)行、并保證介質(zhì)安全（注意，很多企業(yè)恢復(fù)的時候才發(fā)現(xiàn)備份的數(shù)據(jù)有問題），相信對業(yè)務(wù)的影響應(yīng)該有限。

很不幸，這次事件之所以損失如此之大，原因就是生產(chǎn)的備份數(shù)據(jù)也被刪除了！

顯然，這個核心人員權(quán)限足夠大。

權(quán)限控制的重要性

針對訪問權(quán)限過大的問題，業(yè)內(nèi)使用訪問控制（Access control）來管理用戶對資源的訪問權(quán)限，其核心要素是  訪問控制策略的制定 。

訪問控制的策略模型通常有DAC（自主訪問控制）、MAC（強制訪問控制）、RBAC（基于角色的訪問控制模型）三種。

自主訪問控制模型 ：特權(quán)用戶為普通用戶分配訪問權(quán)限，可以授予或收回普通用戶的權(quán)限，靈活性較高，但是特權(quán)用戶的用戶權(quán)限太高。

此次事件，這位核心運維人員顯然擁有過高的操作權(quán)限了。

強制訪問控制模型 ：相較于DAC，增加了多級訪問控制，每次訪問的主體（提出資源訪問的實體）和客體（被訪問資源實體）都有對應(yīng)的等級，通過主客體之間的登記比較，決定主體對客體的訪問形式。

基于角色的訪問控制模型 ：引入了組合角色的概念，將主客體進行進一步抽象，是目前大部分系統(tǒng)中常用的解決方案；RBAC模型遵照三個基本模型：

• 最小特權(quán)原則

• 最小泄露原則

• 多級安全策略

如果基于角色訪問控制，備份數(shù)據(jù)和生產(chǎn)數(shù)據(jù)的訪問權(quán)限分開，狀況就會好很多。

操作審計

除了事前控制，在運維過程中，也需要進行審計，最好能實時審計，這樣才能防止有人不遵守規(guī)范，從而帶來損失。例如：

1. 通過遠程運維審計系統(tǒng)，增加堡壘機進行服務(wù)器管理；
2. 采用動態(tài)令牌等身份ID認證，實現(xiàn)抗抵賴性；
3. 運維審計系統(tǒng)可以設(shè)計高危指令禁止或提醒確認機制；

人員管理

任你技術(shù)通天、嚴防死守，抵不住內(nèi)部人員一頓操作猛如虎！ 所以，最大的風(fēng)險永遠不是規(guī)章制度、技術(shù)手段，而是——人。

所有的流程規(guī)則、技術(shù)控制，也都是為了防止人的風(fēng)險：

• 加強人員的技術(shù)培訓(xùn)和管理培訓(xùn)，增強安全意識、培養(yǎng)職業(yè)道德；
• 對員工以應(yīng)有的尊重，大多數(shù)技術(shù)崗位人員，沒有什么深仇大恨不會做這么絕；
• 適當分工，小公司為了節(jié)約成本，一個人干兩個人甚至多個人的活兒，連自己的分內(nèi)事兒都容易忙中出錯，更別提有人員分擔(dān)工作或者A/B互補了；

所有以上建議，無非就是滿足信息安全里的：可追溯性(Accountability)、抗抵賴性(Non-repudiation)、真實性(Authenticity)、可控性(Controllable)這些原則而已。

血淚經(jīng)驗做成一個自動化運維產(chǎn)品

上面的這些建議可不是信口開河，都是從血與淚的經(jīng)驗中總結(jié)出來的。

關(guān)于自動化運維，我們認真做了個產(chǎn)品！

BeyondBSM自動化運維系統(tǒng)中不光  沉淀了多個客戶多年的運維使用經(jīng)驗  ，而且自己在實際過程中也深有體會，因為在運維一旦自動化后，原來的效益會指數(shù)級放大，同樣的，風(fēng)險也會指數(shù)級放大！ 

在設(shè)計上，BeyondBSM自動化運維系統(tǒng)有以下幾個考慮：

基于BRAC模型的權(quán)限控制和認證管理

針對不同角色分配系統(tǒng)、菜單、按鈕權(quán)限； 人員和角色可以靈活配置：

所有按鈕操作的權(quán)限都可進行細化，防止不具有權(quán)限的人進行操作：

所有腳本執(zhí)行，均納入審批流程，防止單個人員完成整個運維操作：

靈活的認證方式

系統(tǒng)腳本執(zhí)行引擎與各維護資源均采用互信方式，防止密碼泄露。

提供針對特定場景的獨立主機認證方式管理（只有創(chuàng)建人有權(quán)限，密碼采用不可逆加密存儲）。

相對隔離的上下游數(shù)據(jù)

系統(tǒng)的用戶數(shù)據(jù)均對接企業(yè)內(nèi)部sso、ldap，防止后門賬戶。

所有操作的資源對象，都是由上游資產(chǎn)管理等類CMDB系統(tǒng)提供，保證了數(shù)據(jù)的準確性和一致性；同時阻止了未納入系統(tǒng)的資源控制。

人機隔離和安全審計

系統(tǒng)底層通過自動化執(zhí)行引擎worker訪問機器，隔離了人直接操作機器；

圖形化編排引擎

所有腳本執(zhí)行均盡量通過圖形化選擇、編排等形式完成，最大可能避免引入人為錯誤；

同時所有操作（無論系統(tǒng)內(nèi)部操作還是運維執(zhí)行）均有審計日志；

實時查看腳本執(zhí)行結(jié)果：

對于腳本中含有的高危命令，具有  事前識別  的機制 ：

支持定時任務(wù)：

內(nèi)置備份恢復(fù)等常用場景：

后記

有了自動化運維系統(tǒng)的幫助，相信很多企業(yè)的員工可以從多個方面減少出錯的機會和概率，降低了被刪庫跑路的風(fēng)險。

以BeyondBSM自動化運維產(chǎn)品為核心的運維系統(tǒng)已經(jīng)交付多個金融行業(yè)客戶使用，其中包括中國某知名卡機構(gòu)，該套系統(tǒng)在生產(chǎn)環(huán)境平穩(wěn)運行三年多，極大地提高了運維人員的工作效率和便利性 ，支撐企業(yè)業(yè)務(wù)快速穩(wěn)定發(fā)展。