SunStar ליניארי של סמל אוריון
Home » Orion   איקון עריכה

אוריון ניירות ערך

“ביטחון באמצעות עמימות הוא לא הרבה ביטחון בכלל”.

פופולרי paraphasing של מסגר אמריקאי אלפרד צ’ארלס הובס בשנת 1851, אשר בחרה בקלות את מנעולי קריסטל פאלאס במהלך תערוכה בלונדון באותה שנה. אנחנו מסכימים לגמרי, וזו הסיבה שהתוכניות שלנו למנוע האוטומציה של Oracle Cloud Infrastructure (OCI) שלנו הן זמין בכתובת GitHub.

מס’ אבטחת תשתיות אוריון

flowchart TB classDef borderless stroke-width:0px classDef darkBlue fill:#00008B, color:#fff classDef brightBlue fill:#6082B6, color:#fff classDef gray fill:#62524F, color:#fff classDef gray2 fill:#4F625B, color:#fff subgraph vcs[ ] A1[[Fort Lauderdale, FL]] B1[Air-Gapped Version Control Server] end class vcs,A1 gray subgraph vpn-us-east[ ] A2[[Reston, VA]] B2[OCI Edge Servers] end class vpn-us-east,A2 darkBlue subgraph vpn-us-west[ ] A3[[Phoenix, AZ]] B3[OCI Edge Servers] end class vpn-us-west,A3 darkBlue subgraph vpn-de-central[ ] A4[[Frankfurt, Germany]] B4[OCI Edge Servers] end class vpn-de-central,A4 darkBlue subgraph vpn-bz-west[ ] A5[[São Paolo, Brazil]] B5[OCI Edge Servers] end class vpn-bz-west,A5 darkBlue subgraph vpn-au-west[ ] A6[[Sydney, Australia]] B6[OCI Edge Servers] end class vpn-au-west,A6 darkBlue subgraph vpn-ap-west[ ] A7[[Hyderabad, India]] B7[OCI Edge Servers] end class vpn-ap-west,A7 darkBlue subgraph vpn-ap-east[ ] A8[[Seoul, South Korea]] B8[OCI Edge Servers] end class vpn-ap-east,A8 darkBlue class A1,A2,A3,A4,A5,A6,A7,A8 borderless vcs==vpn==>A2==ssh/vpn==>B2 vcs==vpn==>A3==ssh/vpn==>B3 vcs==vpn==>A4==ssh/vpn==>B4 vcs==vpn==>A5==ssh/vpn==>B5 vcs==vpn==>A6==ssh/vpn==>B6 vcs==vpn==>A7==ssh/vpn==>B7 vcs==vpn==>A8==ssh/vpn==>B8

 

תואם FIPS 140-2 עם הצפנה משולשת MFA עבור שירותי היפוך-יציאה שהועברו (HTTPS/SSH/IPsec). חגורה, משעים, ו ארכובות!

 

Passwordless חדר ליחיד מודל, peppered עם אורתרוס otp-sha1.

לא אוחסנו סיסמאות קבועות בשרתים. זה מגביל אוטומציה חסרת ראש של שימוש sudo / RBAC, מסיבה טובה. אבל יש לנו כלי.

ביצוע Sandboxed לבנייה ולתסריטי CGI

אנו פורסים בוני אזורים “משותפים-שום דבר”, המוגדרים כברירת מחדל כזמינות רשת אפס. משמעות הדבר היא שהדברים היחידים שבניית לקוח יכולה לגשת אליהם או לשנות הם הנכסים שלה, לא אלה של כל לקוח אחר, או כל נתיבי מערכת אחרים באזור עצמו (מלבד זאת). /טמפ.

Ditto לתסריטי CGI, הנעולים במלואם במונחים של גישת כתיבה לכל דבר שאינו /טמפ.

הצפנה מקצה לקצה

אפס אמון

הנחת היסוד של ארכיטקטורת אפס אמון זה כדי למנוע עיצוב אבטחת הרשת שלך סביב הפיזיולוגיה של clam: קשה מבחוץ, אבל רך רופף ברגע שאתה בפנים. אז אנחנו לא עושים את זה; כל יציאת רשת בעלת זכות משמעותית בתוך נקודות הנוכחות השונות (POP) LAN חשופה רק לממשק התקן הלולאה לאחור של מכונת מתכת חשופה lo0.

אינפרה זו היא אוטומטית לחלוטין ברגע שאזור מובא באינטרנט, אבל זה כל מה שאנחנו יכולים לחלוק בפומבי על הארכיטקטורה (איזון שקיפות הובסית עם המנטרה הצבאית “ספינות כיור שפתיים רופפות” הוא יותר אמנות מאשר מדע). היו סמוכים ובטוחים — מעבר לשבור את antispoofing lo0.

גם אם חשבון הבקרה הראשי של OCI נפרץ, הסודיות ו שלמות של כל נכסי הלקוחות עדיין מנוגדת. כל מה שחום שחור יכול לעשות הוא לעשות בלגן עם אתר הלקוח זמינות. בפרט, הם לא יכולים לגשת לרשומות הנתונים של שירות Subversion. אנו יכולים לשחזר את כל תשתית OCI מאפס תוך 48-72 שעות לאחר שהגישה ל- OCI של התפוח הגרוע הסתיימה.

רישום ביומן, מעקב וביקורת

אנו מעודדים לקוחות Enterprise ליצור חשבון Splunk, ואנו נספק יומני אינטרנט כמעט בזמן אמת לחשבון שלך מכל POP גלובלי שאתה צריך. יומני השגיאות של תסריטי CGI בצד השרת הופכים זמינים גם ל-Splunk.

אנו עוקבים אחר זמינות השירות מכל ה-OCI POPs שלנו ברחבי העולם ומפעילים את HA (תחום זמינות) או אירועים אזוריים וגיבוי בעת כשל אם הפסקת שרת נמשכת יותר מ-30 שניות.

ביקורת ACL יכולה להתבצע על ידי בניית Subversion HEAD של אתר אינטרנט באמצעות Apache Licensed אוריון SSG סקריפט ובוחן את הבנייה המתקבלת www/.acl.

גם ה-Subversion Server-Side Commit Hooks ניתנים להתאמה אישית בהתאם לחששות הפיקוח שלך. מ-commit mailer פשוט לגישה מאובטחת ל- svnpubsub daemon שלנו, יש מספר כלשהו של תצורות מותאמות אישית זמינות.

מס’ אבטחת יישומי אוריון

digraph { "@path::acl" -> "authz-svn.conf" [label="svn"]; "@path::acl" -> "/**/.htaccess" [label="httpd"]; };

 

מודל האבטחה של אוריון מנוהל באופן מרכזי על ידי ההגדרות הכלולות ב @path::acl כפי שנקבע ב- ספרייה/path.pm.

OpenIDC אבטחת SSO

קובצי Cookie של מושב עבודה הם HttpOnly ומסומנים בדגל מאובטח, ולכן ניסיונות גניבת מושב Javascript מנוטרלים ביעילות על ידי העורך המקוון של אוריון.

הצפנה לסיסמאות תת-גרסה

מספר סבבים ניתן להתאמה (כרגע ברירת המחדל היא 5).

מס’ ## הגנות נתונים צבועים

כל זמני הריצה של פרל שלנו כוללים בדיקות צבע חובה המאופשרות עם הדגל - T; מגן פרל רב עוצמה וייחודי נגד פיצוצי מעטפת מרחוק.

בעיות Wiki

אבטחת Wiki כוללת מספר גורמים:

  1. אבטחת ממשק משתמש/API

  2. אבטחת Middleware/Backend

  3. הגנות מעבר שיטתי על תבנית

  4. תאימות ACL של מנוע חיפוש

אנו מתעמקים בנושאים אלה כאשר הם מתייחסים לאוריון למטה.

עורך מקוון

העורך המקוון תומך בממשק משתמש של JSON על-ידי הגדרת הכותרת ‘הסכמה לקבל’ של סוכן המשתמש שלך כדי להעדיף את יישום/json.

אין ממשק משתמש מינהלי/API מחוץ לגישה ישירה ל-Subversion.

ACLs של תת-גרסה קובעים את גישת הקריאה של עותק העבודה בצד השרת

כל משאב של עותק עבודה הזמין באמצעות ממשק המשתמש נבדק בקישור צולב כנגד רשימות בקרת הגישה (ACL) של תת-הגרסה לפני הצגתן למשתמש. בדרך זו אנו מבטיחים גישה לקריאה לאישורים לא מורשים נמנעת עבור הנכסים תחת ניהול גרסאות (aka הכל).

גישת אישור לביצוע נשלטת ישירות עם רשימות בקרת גישה של תת-גרסה

לא ניתן לבנות דבר ולהציגו לאחר מכן ברשת ללא התחייבות מתאימה ל-Subversion. הבעיה העיקרית כאן היא בשליטה איזה מידע זמין לעריכות שבוצעו ונבנו של מחבר דף ויקי.

אם אתה מתיר עיבוד מקדים של תבנית בדפי מקור הסימון לאחור, עליך להיות מודע לאופן שבו ארגומנטים של תבנית הופכים את התוכן של קבצים אחרים בעץ לזמין כמשתנים למקור העמוד הערוך.

לעתים קרובות, אם מוגדר לעשות זאת, הדף הערוך יכול להצהיר על קבצי התלות שלו בכותרות של הדף, וזה משהו לחשוב כפי שאתה שוקל ערכות תכונות נגד בקרות אבטחה בארכיטקטורת המידע של Wiki שלך.

בעוד אנו יכולים להציע הדרכה ותמיכה כדי להתאים לצרכים שלך, זה באמת תלוי בך להחליט כיצד לאזן את המאזניים עבור הוויקי הארגוני של הארגון שלך.

עיין בסעיף שלהלן ב- בקרות הזרקת תלות/ACL לקבלת פרטים נוספים, וקופה דוגמה חיה זו של כמה קל ACL’s ניתן להגדיר באופן מרכזי ב ספרייה/acl.yml.

- path: content
  rules:
    "@staff": rw
    "@svnadmin": rw
    "*": r

- path: content/orion
  rules:
    "@marketing": rw
    "@staff": rw
    "@svnadmin": rw
    "*": r

- path: lib
  rules:
    "@svnadmin": rw
    "@devops": rw

- path: lib/acl.yaml
  rules:
    "@svnadmin": rw
    "@security": rw

- path: templates
  rules:
    "@svnadmin": rw
    "@frontend": rw

- path: cgi-bin/search.pl
  rules:
    "*":

מחברי תוכן יכולים להגדיר הגבלות דף בדף כותרות.

Title: Orion Security
Dependencies: *.md.en api/index.md.en
ACL: @staff=rw, *=r
Keywords: security,infosec,appsec,ipsec,devsecops,it,acl,svnauthz

בהערה צדדית, לא ניתן להעתיק משאבים מוגנים לענף על-ידי כוח אדם לא מורשה, גם בלי להציב בקרות ACL נוספות על יצירה ושינוי של סניפים. במילים אחרות, המערכת תתמוך בניסויים בסניפים ללא כל בקרה נוספת מצידך כדי להבטיח שנכסים מוגנים יישארו מוגנים לאורך מחזור החיים הטבעי של כל ענף.

בניית ACLs של מערכת?

מערכת הבנייה היא כל רואה וידע, אבל אנחנו יכולים להבטיח שהנכסים הבנויים והמוגנים שלך יהיו גלויים רק לצוותים שאתה מנהל ושולט ב-ACLs של Subversion.

מערכת הבנייה תחשוף את רשימת שמות הקבצים שהיא בנתה באמצעות הדפדפן IDE עם ביצוע commit, אך רשימה זו מבוססת רק על גישת קריאה של משתמש למשאבים התלויים בפעולות הוספה, עדכון או מחיקה של תוכן ב-commit של המשתמש.

בקרות מעבר שיטתי על תבנית

ראו sanitize_relative_path.

sub sanitize_relative_path {
  for (@_) {
    s#^[\\/]+##g;
    s/^\w+://g; #Windows GRR
    s#([\\/])+#$1#g;
    s#/\./#/#g;
    1 while s#[\\/][^\\/]+[\\/]\.\.[\\/]#/#;
    s#^(?:\.\.?[\\/])+##;
  }
}

קוד זה אוכף את הכללים שמופיעים להלן בחלק זה.

כולל תגיות ומרחיב אותן

כל קובצי היעד נמצאים בתיקיית משנה של /תבניות/.

תגית ###### ssi

כל קובצי היעד נמצאים בתיקיית משנה של /תוכן/.

אם נתיב היעד אינו מוגדר ב- @path::תבניות עם הגדרת התאמה שמאפשרת להעביר לארכיב את נתיב היעד או לסווג אותו לקטגוריות. ssi.

זה בגלל ssi.

בקרות הזרקת ACL/תלות

נשלט על-ידי ספרייה/path.pm.

lib/{path,view}.pm ACLs של תת-גרסה

זה חכם לשלוט בגישת כתיבה למשאבים אלה, על-ידי הגבלתם לאנשים המוסמכים בבסיס הקוד והרשאתם ליישם בקרות אבטחה עבור כל קבוצת הנכסים תחת בקרת גרסאות (ידועה גם כ- הכל).

זה גם רעיון טוב לכלול את @svnadmin.

כללים שהופקו באופן דינמי באמצעות @

מערכת הבנייה לוקחת בחשבון את ספרייה/path.pm.

פקדים מותאמים אישית בשימוש ב-seed_file_deps() וב-seed_file_acl() ב-lib/path.pm

מעבר לייבוא של סמלים אלה ספרייה/path.pm, קיימת גם אפשרות לבחור כיצד ולאילו קבצים ברצונך להחיל אותם, במהלך ביצוע בלוק קוד walk_content_tree (). אחרי הכל, זה לא רק קובץ תצורה, אלא בסיס קוד, עם כל התכונות המלאות של טיורינג של פרל.

אתר אינטרנט בנוי ו-ACL של Subversion מסונכרנים עם @

הגנה אוטומטית לבניית סניף אפמרלי. דרושה תצורה נוספת אפס.

בקרות מובנות של מנוע חיפוש של PCRE

אותו מצב כמו ממשק המשתמש למטרות כלליות: הוא מבצע בדיקות צולבות מול שרת Subversion מממשק המשתמש.

באתר החי, מנוע החיפוש יעשה את אותו הדבר בדיוק כאשר תאפשר חיפושים עם markdown (עץ מקור). אחרת, היא תפעיל בקשות משנה של httpd לאתר החי שלך כדי לבדוק אם המשתמש מורשה לגשת לקובץ החי הזה (בהנחה שהגנת באמצעות סיסמה על מנוע החיפוש שלך כך שיש לו נתוני משתמש לעבוד איתו).

כללי מדיניות של אבטחת תוכן

גוגל ו/או LinkedIn.

יש למסור נתונים מהשרתים שלנו.

התוכן חייב להימסר מהשרתים שלנו.

קוד JavaScript חייב להימסר מהשרתים שלנו.

CSS חייב להיות מועבר מהשרתים שלנו.

כרגע רק PDF.

מס’ ## שיתוף משאבים חוצי מקורות

יחסי תלות של צד שלישי

יחסי תלות קצרים במיוחד שנבדקו בזמן; המרכיבים העיקריים שבהם מכוסים על אוריון טכנולוגיה.

עץ מוצר של תוכנה (SBOM) זמין לפי בקשה

צור קשר.

אינדקס