构建零信任网络安全的技术介绍 – 作者:糖果L5Q

0x01 概要

现在很多企业单位开始重视零信任网络安全的建设,基于代理流量和外部准入认证,对于外部可见的请求进行安全性的确认。

对于业务来说,在7层网络操作和控制需求集中,基于流量代理网关应用很常见,做转发、限流、认证都是普通的就应用场景,包括WAF这些常常见的利用反向代理的方式都基于HTTP请求的安全检查,基于流量的复制镜像和串行反向代理,都是将7层协议的数据做了一份“复制”,然后地“复制”的数据进行取关键信息鉴权、输入内容的安全性检查。

0x02 API应用安全

我们用代理网关对应用进行保护,对业务的API进行保护、对请求资源的保护等等, 这种类似需求被集中在网关中实现,在保护别的业务的安全性之前也确保网关自己本身的安全。

确保网关的安全,就要确保构成网关软件的安全, 基于7层HTTP的流量代理,最常见的软件就是Nginx/Openresty。

image.png

(引用“一图看懂API安全”配图:李老师)

基于7层构建零信任网络,大概率会使用这种软件服务,软件的业界接受程度,软件生态丰富,软件服务稳定,是构建零信任网络安全建设的基石。

经过这些年的发展,大家对开源解决方案的接受度高,从国人将Lua加入Nginx中使用以后的几年发展,已经在是最初的在原生Nginx上打拼的原始状态,从基于Nginx的基础WEB框架,到各种网关产品,经过几年的发展,开始进入社区发展快速路,可以与开源界更多的相关产品,一样进入人们的视界,同时表现不俗。

0x03 网关

类似网关产品, 要么自己原生动手写直接Nginx+Lua,或者基于社区版本,在社区有相对充份的使用和测试的基础上,增加自己的功能。

当确认了使用Nginx、Openresty构建零信任方案的前提下,面临的问题:

1.系统的操作用户体验

2系统的本身的安全性

3.系统的速度性能

3.1 系统的操作用户体验

从简单的命令行到图形化用户体验,本身对于人机交互来说,可操作的伸缩性是很强的。

无论用户体验上是否更好,背后的业务逻辑是相同,用户体验可变。

3.2 系统本身的安全性

如果您的零信任系统也是Nginx+Lua写的,是否对代码做过白盒代码审计,是否做过充分的黑盒测试,对网关本身的输入输出做过检查。现在真的有Lua的白盒检查审计工具吗?

3.3 系统的速度性能

如果安全检查系统本身的安全检查消耗时间很长,整体会造成用户体验的下降,各家自己实现的系统性能是有差异的,有的网关之间处理能力相差很大。

image.png

(引用“一图看懂API安全”配图:李老师)

以上几种网关系统,有3三种都是基于Openresty+Lua实现。

0x04 关键指标:性能

对于安全代理来说,基于正则匹配是最常见,也是最关键的核心应用场景,我们这有一组对比数据。

通过这组数据可以看到不同网关实现方案之间存在的性能差异,企业自己原生写的Nginx+Lua,不一定比优化后的开源网关产品性能更快。

image.png

image.png

image.png

性能是需要特定优化的,这种性能优势是根本源设计思想和实现细节的不同。

image.png

(引用“一图看懂API安全”配图:李老师)

网关作为零信任场景下的可选构成组件,在实现基础功能的同时,需要强劲的性能保障。用于零信任的安全系统构建,不单纯的只是WAF功能,扩展增加很多功能。

upstream.png

基于一种数模式,可以延伸在各种应用场景下使用。

0x05 网关的自身安全性

网关来保证业务的安全,那谁来保证网关的安全吗?

企业有多种手段来监控企业的安全:网络流量分析、HIDS主机监控代理、蜜罐系统等,通过这些系统之间的互相协助和补充,联合保证网络的安全性。

5.1 网络流量分析

通过流量镜像技术,对流量数据文本日志化后进行日志数据分析,分析网络中的异常联系安全隐患。对IP与IP间的关联,恶意端口访问、网络协议的分析、威胁情报关联等等应用场景。

5.2 HIDS主机监控代理

HIDS同样可以通过netstat来取得网络的通信数据,HIDS占了几乎一半的数据收集比例是网络数据,这些网络数据和网流复制数据分析,有交集或是重合的,HIDS更主动,区别在于HIDS获取这些网络流量不是简单的流量汇聚,需要在大量的服务器上部署agent,需要覆盖率、对网络流量分析互补充。流量聚合成本和agent覆盖成本那个高,看具体情况。

5.3 蜜罐系统

通过交换机的端口聚合技术,将网络蜜罐部署到各个网络网段进行流量交互监听。发现攻击事件通过数据的关联进行对攻击者的溯源。

0x06 动态跟踪技术

某些场景下,我们可以通过传统手段进行流量交互数据的取得,查看系统进程在整个存活周期间的各种数据,但成本是有时要进行复杂的处理流程,这种形式下,动态跟踪技术的出现。可以让某些问题的处理更的容易的被解决。

案例A: 找不到是那个进程是通过那个端口发出的请求!

另一个李老师在生产当中, 发现Gearman总是在一个特定时间发出一个请求,但本身Geraman做为一个请求代理,没有提供更多的日志数据让用户去跟踪分析问题,这请求是通过那临时端口发送出去的, 所有端口查看命令 ,SS都不好用后, 李老师最后采用了SystemTap采样查到谁在什么时间通过啥端口发出的这个请求。

01 * * * /bin/bash /root/systemtap/run.shprobe syscall.open{result=isinstr(filename,".php") 
if (result == 1){  
printf("pid(%d) include:%d  filename:%s execname(%s)\n",pid(),result, filename,execname())  cmd=sprintf("grep XXXXXX %s -RHn",filename)  system(cmd) }}probe timer.s(300){ 
exit()
}

其实Nginx本身也有安全问题,比如之前的输入参数造成的内存泄漏问题。

location~ /memleak {    rewrite^.*$"^@asdfasdfasdfasdfasdfasdfasdfasdfasdfasdfasdasdf";}

并且SystemTap还能参与分析性能问题,配合热力图。

案例B:判断SSL证书是否过期。

之前发生的一个事件,特斯拉汽车因为证书过期的问题,造成了汽车使用的问题。那我们有没有一种手段,可以实时的监控证书是否过期呢?

实际上社区提供了基于systemtab技术监控证书是否过期的方法:openssl握手诊断。

https://github.com/openresty/stapxx#openssl-handshake-diagnosis

0x07 总结

对于API安全与零信任安全建设,网关产品作为一个整体的基础设施,对于方案的落地实际有着很好的促进作用,网关提供了很多现实存在的功能,并且经过优化的网关性能,比一般原生系统未优化的性能高很多,不简单只是完成了需求的功能,背后有社区的支持和测试。

传统HIDS和网络分析对于一般性网络安全问题,有很强的追溯源功能,随着更精细的安全细节发现SystemTap动态跟踪,在某些场景下, 可以更高效的取得安全相关的数据凭证。进行更多场景的安全分析。

这篇我们对Nginx、Openresty作为构建7层零信任网络安全的基础部件进行了一些描述,对于SystemTap动态跟踪技术进行了简介,安全业务的发展离不开底层技术支持,持续关注底层的技术,对于安全业务场景的发展提供各种实现上的新可能性。

*本文作者:糖果L5Q,转载请注明来自FreeBuf.COM

来源:freebuf.com 2020-06-08 12:30:53 by: 糖果L5Q

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论