SunStar Символ Ориона линейный
Home » Orion   Значок изменения

Безопасность Orion

«Безопасность через неясность – это совсем не большая безопасность».

Популярный парафинг американского слесаря Альфред Чарльз Хоббс В 1851 году он легко выбрал замки Хрустального дворца во время лондонской выставки в этом году. Мы полностью согласны, поэтому наши схемы для нашего механизма автоматизации Oracle Cloud Infrastructure (OCI) являются доступно на сайте GitHub.

Безопасность инфраструктуры Orion

flowchart TB classDef borderless stroke-width:0px classDef darkBlue fill:#00008B, color:#fff classDef brightBlue fill:#6082B6, color:#fff classDef gray fill:#62524F, color:#fff classDef gray2 fill:#4F625B, color:#fff subgraph vcs[ ] A1[[Fort Lauderdale, FL]] B1[Air-Gapped Version Control Server] end class vcs,A1 gray subgraph vpn-us-east[ ] A2[[Reston, VA]] B2[OCI Edge Servers] end class vpn-us-east,A2 darkBlue subgraph vpn-us-west[ ] A3[[Phoenix, AZ]] B3[OCI Edge Servers] end class vpn-us-west,A3 darkBlue subgraph vpn-de-central[ ] A4[[Frankfurt, Germany]] B4[OCI Edge Servers] end class vpn-de-central,A4 darkBlue subgraph vpn-bz-west[ ] A5[[São Paolo, Brazil]] B5[OCI Edge Servers] end class vpn-bz-west,A5 darkBlue subgraph vpn-au-west[ ] A6[[Sydney, Australia]] B6[OCI Edge Servers] end class vpn-au-west,A6 darkBlue subgraph vpn-ap-west[ ] A7[[Hyderabad, India]] B7[OCI Edge Servers] end class vpn-ap-west,A7 darkBlue subgraph vpn-ap-east[ ] A8[[Seoul, South Korea]] B8[OCI Edge Servers] end class vpn-ap-east,A8 darkBlue class A1,A2,A3,A4,A5,A6,A7,A8 borderless vcs==vpn==>A2==ssh/vpn==>B2 vcs==vpn==>A3==ssh/vpn==>B3 vcs==vpn==>A4==ssh/vpn==>B4 vcs==vpn==>A5==ssh/vpn==>B5 vcs==vpn==>A6==ssh/vpn==>B6 vcs==vpn==>A7==ssh/vpn==>B7 vcs==vpn==>A8==ssh/vpn==>B8

 

FIPS 140-2 совместим с тройным шифрованием MFA для служб обратного переноса портов (HTTPS/SSH/IPsec). Ремень, подтяжки и перемешивания!

 

Passwordless RBAC модель, перец с орфрус otp-sha1.

На серверах не сохранены фиксированные пароли. Это лимит автономная автоматизация использования sudo / RBAC, по уважительной причине. Однако у нас есть оснастка.

Выполнение в песочнице для сборок и сценариев CGI

Мы развертываем сборки зоны «общий-ничего», по умолчанию устанавливая нулевую доступность сети. Это означает, что единственное, к чему клиент может получить доступ или изменить, это его собственные активы, а не другие клиенты или любые другие системные пути в самой зоне. /tmp.

Ditto для скриптов CGI, которые полностью заблокированы с точки зрения доступа на запись к чему-либо, кроме /tmp.

Сквозное шифрование

аспекты нулевого доверия

Основная предпосылка архитектура нулевого доверия это избегать проектирования вашей сетевой безопасности вокруг физиологии моллюска: жесткий снаружи, но мягкий и свободный, как только вы находитесь в. Таким образом, мы этого не делаем; каждый значимый привилегированный сетевой порт внутри различных локальных сетей точки присутствия (POP) подвергается только интерфейсу устройства обратной петли на голом металле lo0.

Эта инфракрасная система полностью автоматизирована после того, как регион будет подключен к сети, но это все, что мы можем публично рассказать об архитектуре (балансировка прозрачности Хоббса с военной мантрой «тонущие корабли с губами» – это больше искусство, чем наука). Будьте уверены — за пределами разрушения антиспуфинга lo0.

Даже если основная контрольная учетная запись OCI скомпрометирована, конфиденциальность** и целостность всех активов клиентов остается неприкосновенной. Все, что может сделать черная шляпа, это сделать беспорядок с сайтом клиента доступность. В частности, они не могут получить доступ к записям данных службы Subversion. Мы можем реконструировать всю инфраструктуру OCI «с нуля» за 48-72 часа после прекращения доступа к OCI компании Bad Apple.

Ведение журналов, мониторинг и аудит

Мы призываем корпоративных клиентов создать учетную запись Splunk, и мы доставим веб-журналы практически в реальном времени на вашу учетную запись из каждого глобального POP, который вам нужен. Журналы ошибок для сценариев CGI на стороне сервера также доступны для Splunk.

Мы отслеживаем доступность сервисов из всех наших POP OCI по всему миру и инициируем HA (домен доступности) или региональные события аварийного переключения, если сбой сервера длится более 30 секунд.

Аудит ACL может быть выполнен путем простого создания веб-сайта Subversion HEAD с использованием лицензии Apache Орион SSG скрипт и изучение итоговой сборки www.acl.

Крючки фиксации на стороне сервера Subversion также настраиваются в соответствии с вашими проблемами надзора. От простого отправителя фиксации до защищенного доступа к нашему демону svnpubsub, доступно любое количество пользовательских конфигураций.

Защита приложения Orion

digraph { "@path::acl" -> "authz-svn.conf" [label="svn"]; "@path::acl" -> "/**/.htaccess" [label="httpd"]; };

 

Модель безопасности Orion централизованно управляется настройками, содержащимися в @path::acl как в lib/path.pm.

OpenIDC Безопасность SSO

Сессионные куки HttpOnly и Secure отмечены флагом, поэтому попытки кражи сеанса JavaScript эффективно нейтрализуются онлайн-редактором Orion.

Bcrypt для паролей Subversion

Регулируемое число раундов (в настоящее время по умолчанию 5).

Защита испорченных данных

Все наши среды выполнения Perl имеют обязательные проверки задержек, включенные с флагом -T; мощная, уникальная защита Perl от удаленных команд оболочки.

Проблемы с вики

Безопасность вики включает в себя несколько факторов:

  1. Безопасность ИП/API

  2. Безопасность промежуточного ПО и бэкендов

  3. Защита от обхода шаблона

  4. Совместимость ACL поисковой системы

Мы углубляемся в эти вопросы, поскольку они касаются Ориона ниже.

Онлайн редактор

Онлайн-редактор поддерживает пользовательский интерфейс JSON, просто устанавливая заголовок Accept вашего агента пользователя, чтобы он предпочитал приложение/json.

Нет административного ИП/API за пределами прямого доступа к Subversion.

ACL Subversion управляют доступом для чтения рабочей копии на стороне сервера

Каждый ресурс рабочей копии, доступный через пользовательский интерфейс, проверяется на соответствие спискам управления доступом Subversion перед их представлением пользователю. Таким образом, мы гарантируем, что доступ для чтения к несанкционированным ресурсам запрещен для активов, находящихся под контролем версий (также все).

Доступ к фиксации напрямую контролируется с помощью списков контроля доступа Subversion

Ничто не может быть построено и впоследствии просмотрено по сети без соответствующей авторизованной фиксации Subversion. Основная проблема здесь заключается в контроле того, какая информация доступна для сделанных и построенных редакций автора вики-страницы.

Если разрешена предварительная обработка шаблона на исходных страницах снижения цен, необходимо знать, как аргументы шаблона делают содержимое других файлов в дереве доступным в качестве переменных для источника отредактированной страницы.

Часто, если вы настроены для этого, отредактированная страница может объявлять свои собственные файлы зависимостей в заголовках страницы, что является чем-то, чтобы подумать, когда вы взвешиваете наборы функций против средств управления безопасностью в вашей информационной архитектуре Wiki.

Хотя мы можем предложить рекомендации и поддержку в соответствии с вашими потребностями, вы действительно должны решить, как сбалансировать масштабы для корпоративной вики вашей организации.

См. ниже раздел на Контроль впрыска зависимости/ACL для получения более подробной информации и ознакомьтесь с этим живым примером того, как простые списки управления доступом можно централизованно настроить в lib/acl.yml.

- path: content
  rules:
    "@staff": rw
    "@svnadmin": rw
    "*": r

- path: content/orion
  rules:
    "@marketing": rw
    "@staff": rw
    "@svnadmin": rw
    "*": r

- path: lib
  rules:
    "@svnadmin": rw
    "@devops": rw

- path: lib/acl.yaml
  rules:
    "@svnadmin": rw
    "@security": rw

- path: templates
  rules:
    "@svnadmin": rw
    "@frontend": rw

- path: cgi-bin/search.pl
  rules:
    "*":

Авторы контента могут настраивать ограничения страницы на странице заголовков.

Title: Orion Security
Dependencies: *.md.en api/index.md.en
ACL: @staff=rw, *=r
Keywords: security,infosec,appsec,ipsec,devsecops,it,acl,svnauthz

Как примечание, защищенные ресурсы не могут быть скопированы в филиал несанкционированным персоналом, даже без размещения дополнительных элементов управления ACL для создания и модификации филиала. Другими словами, система будет поддерживать отраслевые эксперименты без каких-либо дополнительных средств контроля с вашей стороны, чтобы обеспечить защиту защищенных активов на протяжении всего естественного жизненного цикла каждой отрасли.

Создать список контроля доступа системы?

Система сборки является всевидящей и всезнающей, но мы можем гарантировать, что ваши построенные, защищенные активы видны только командам, которыми вы управляете и контролируете в списках управления доступом Subversion.

Система сборки покажет список имен файлов, созданных в среде IDE браузера при фиксации, но этот список основан только на доступе пользователя к ресурсам, зависящим от действий пользователя по добавлению, обновлению или удалению содержимого в фиксации.

элементы управления обходами шаблонов

См. sanitize_relative_path.

sub sanitize_relative_path {
  for (@_) {
    s#^[\\/]+##g;
    s/^\w+://g; #Windows GRR
    s#([\\/])+#$1#g;
    s#/\./#/#g;
    1 while s#[\\/][^\\/]+[\\/]\.\.[\\/]#/#;
    s#^(?:\.\.?[\\/])+##;
  }
}

Этот код применяет правила, приведенные ниже в этом разделе.

теги include и extensions

Все целевые файлы находятся в подпапке /шаблоны/.

тег ssi

Все целевые файлы находятся в подпапке /контент/.

Если конечный путь не настроен в @path::шаблоны с соответствующей настройкой, которая позволяет архивировать или классифицировать рассматриваемый конечный путь, ssi.

Это потому, что ssi.

Элементы управления внедрением зависимостей/ACL

Контролируется lib/path.pm.

lib/{path,view}.pm Списки контроля доступа Subversion

Разумно контролировать доступ к этим ресурсам для записи, ограничивая их людьми, компетентными в кодовой базе, и уполномоченными внедрять средства контроля безопасности для всего набора активов, находящихся под контролем версий (также известные как «все»).

Это также хорошая идея, чтобы включить @svnadmin.

Динамически генерируемые правила с помощью @

Система сборки принимает к сведению lib/path.pm.

Пользовательские элементы управления для использования seed_file_deps() и seed_file_acl() в lib/path.pm

Помимо импорта этих символов в lib/path.pm, есть также выбор в том, как и к каким файлам вы хотите применить их, во время выполнения блока кода walk_content_tree (). В конце концов, это не просто файл конфигурации, а кодовая база со всеми полными функциями Тьюринга. Перл.

Созданный веб-сайт и список ACL Subversion синхронизирован с @

Автоматическая защита для эфемерных ветвей. Требуется нулевая дополнительная конфигурация.

Встроенные элементы управления ядра поиска PCRE

Та же ситуация, что и универсальный пользовательский интерфейс: он перекрестно проверяет сервер Subversion из пользовательского интерфейса.

На действующем сайте поисковая система будет делать то же самое, когда вы включите поиск со снижением цен (исходное дерево). В противном случае он будет запускать подзапросы httpd на ваш действующий сайт, чтобы проверить, авторизован ли пользователь для доступа к этому действующему файлу (при условии, что у вас есть защищенный паролем поисковая система, поэтому у него есть пользовательские данные для работы).

Политики защиты содержимого

Гугл и/или LinkedIn.

Данные должны быть доставлены с наших серверов.

Контент должен быть доставлен с наших серверов.

Код JavaScript должен быть доставлен с наших серверов.

CSS должен быть доставлен с наших серверов.

Только в настоящее время PDF.

Совместное использование ресурсов из разных источников

Зависимости от третьих сторон

Замечательно короткие и проверенные временем зависимости, основные компоненты которых охватываются Технология Orion.

Спецификация программного обеспечения (СП), доступная по запросу

Свяжитесь с нами.

индекс