PowerPoint 演示文稿

Size: px

Start display at page:

Download "PowerPoint 演示文稿"

泱顾
4 years ago
Views:

1 DevOps 在重大活动网站安全保障中的应用厦门大学郑海山 /11/24 武汉大学

2 CONTENT 01 静态网站安全性 02 DevOps 介绍 03 应用和落地 JINGTAI WANGZHAN ANQUAN XIN SUIBIAN LUANXIE NI MEIYOU ZHUYI DAO BA

3 01 静态网站安全性 SECURITY OF STATIC WEBSITES

com/ 静态网页安全防护可看中国教育网络 2017 年 11 月 P55 页电子版暂缺 DNS 安全

4 01 静态网站安全性介绍相关信息在金砖会晤和十九大期间, 我们整个保障措施可以看许卓斌月初在安全工作组会议分享的重点服务保障期间的安全实践静态网页安全防护可看中国教育网络 2017 年 11 月 P55 页电子版暂缺 DNS 安全 :

01 静态网站安全性网页传输路径姜开达 : 网络安全的特点是攻防高度不对称, 黑客可以一点突破引发目标全线奔溃作为防护的一方, 全局体系任何一处都不能存在短板用户端浏览器 -> hosts 文件 -> DNS -> 浏览器缓存 -> Safe Browsing -> 证书检查 -> 网关 / 无线 / 路由器 -> 代理 -> CDN -> 防火墙 -> IPS/IDS -> WAF

5 01 静态网站安全性网页传输路径姜开达 : 网络安全的特点是攻防高度不对称, 黑客可以一点突破引发目标全线奔溃作为防护的一方, 全局体系任何一处都不能存在短板用户端浏览器 -> hosts 文件 -> DNS -> 浏览器缓存 -> Safe Browsing -> 证书检查 -> 网关 / 无线 / 路由器 -> 代理 -> CDN -> 防火墙 -> IPS/IDS -> WAF -> 负载均衡 -> 虚拟化宿主机 -> 虚拟机 -> 操作系统 -> HTTP 服务器 -> HTTP 服务器 WAF -> URL 重写 -> 文件载入 -> 脚本解析 -> URL 路由分发 -> Cache - > 数据库 -> 渲染结果 -> 压缩 -> HTTPS 加密 -> 返回 -> 网络层分包 -> 重组包 -> 浏览器接收 -> 浏览器插件 -> JS 渲染 -> 字符集 -> 页面载入完成 Westworld Teddy

6 01 静态网站安全性简单还是冗余简单和冗余的平衡漏洞扫描 /FW/WAF/IPS/IDS/DDOS/Lynis/OpenScap/nmap/ClamAV/chkrookit/RootKit Hunter/Fail2ban/mod_evasive/mod_reqtimeout/mod_qos/OSSEC/mod_security 纵深防御奥卡姆剃刀原则 : 若无必要, 勿增实体 KISS(Keep It Simple, Stupid)

7 01 静态网站安全性用户的问题怼用户 : 你的问题, 不是我的问题云 DNS 投毒 CDN 投毒客户端本身 ARP 攻击客户端接入商随意插入广告甚至被人截图后 PS 修改等如发现应当及时下线, 并执行检查, 如果确定非自身因素则应当及时上线, 并在页面上显著位置公布以消除不良影响

8 01 静态网站安全性通知页面通知页面的技巧 - 对于一些存在安全隐患而被暂时性下线的网站, 可使用应用交付设备或者把 DNS 导入到一个特定的通知页面, 以减少突然关闭对网站管理员和浏览者带来的不便 - 为避免临时性替换网站页面内容导致搜索引擎删除原有网站信息, 通知页面应当返回 503 HTTP 状态码, 也可根据恢复时间指定 Retry-After 返回值

9 02 DevOps 介绍 INTRODUCTION

10 02 DevOps INTRODUCTION DevOps 介绍 DevOps(Development 和 Operations 的组合词 ) 是一种重视软件开发人员 (Dev) 和 IT 运维技术人员 (Ops) 之间沟通合作的文化运动或惯例透过自动化软件交付和架构变更的流程, 来使得构建测试发布软件能够更加地快捷频繁和可靠 wikipedia.org DevOps 是一种方法论, 其中包含一系列基本原则和实践

11 02 DevOps INTRODUCTION 宽以待己, 严以律人的开发

12 02 DevOps INTRODUCTION 话说天下大势, 分久必合, 合久必分开发和运营之间的矛盾 : 开发不希望产品经理频繁变更需求, 运营不希望开发随意变更软件运行环境在我的电脑上运行得好好的开发只关注实现功能, 性能让运维处理分层, 关注点分离 Dev 和 Ops 结合,Dev 不能只搞开发, 也要去蹚运维的浑水运维要把触角伸到开发新名词 :DevSecOps

13 02 DevOps INTRODUCTION 带来新的问题技能点要求不同 : 前端工程师后端工程师 ios 工程师 Android 工程师架构师 DBA 网络工程师基础架构工程师发布经理成本不同

14 02 DevOps SUMMERY 基础架构代码化解放效率, 可复制可重复运行, 幂等 1^n 减少人为出错, 执行人员可替换代码就是文档, 方便审计版本控制, 变更记录不可变服务器改变部署的方法, 原先替换一个文件, 现在可以替换整个服务器打补丁更安全蓝绿部署金丝雀发布 DevOps 反馈快走太快容易扯着 X, 小步快跑每天部署几百次编译测试要快部署流水线管道, 链式调用, 部署流水线,Gulp 或者 Grunt

15 02 DevOps 部署流水线管道示例 : cat dog.txt sort uniq -c sort -n -r -k 1 -t ' ' awk -F '//' '{print $2}' head -5 JavaScript 链接调用示例 : d3.select("#wordcloud_topn_by_post").append("svg").style("width", "100%").attr("preserveAspectRatio", "xmidymin meet").append("g").attr("transform", "translate(100, 100)").selectAll("text").data(words).enter().append("text").style("font-size", function(d) { return d.size + "px"; }).style("font-family", "Impact").style("fill", function(d, i) { return color(i); }).attr("text-anchor", "middle").text(function(d) { return d.text; })

16 02 DevOps 部署流水线部署流水线 : 开发 -> 单元测试 -> 提交 Git -> Pull 代码 -> 编译 -> 测试 - > JavaScript 混淆整合最小化版本化 - > 图片优化整合 -> 打包编译 Docker - > 自动化集成测试 -> 正式环境配置 -> 数据库 Migrate -> 蓝绿发布 -> 正式发布 -> 监控

17 02 DevOps 基础架构代码化 Why Ansible Ansible, 主控模式, 依赖小, 通过 SSH, 基于 Python,YAML 语法顺序执行 Puppet,Pull 模式 Ruby,DSL 语法执行顺序必须显式写出依赖 Chef SaltStack CFEngine

18 03 应用和落地 PRACTICE

19 03 应用和落地 PRACTICE 厦门大学主页安全保障中应用基础架构代码化静态网站生成自动化 :wget 下来,Python 脚本更改链接地址,PhantomJS 截图 DNS 自动化 : 更改条目后, 跑一个命令 reload.sh, 自动比对所有 DNS 条目是否有备案, 没有备案劫持到通知页面, 域名指向校外 IP 直接忽略 Master/Master 架构复制, 更新缓存服务器的.xmu.edu.cn 域,dig 测试 view 和 4 台服务器解析是否正确巡检自动化 :Ansible 获取 Facts, 比对

20 02 03 应用和落地 PRACTICE

21 01 03 应用和落地 PRACTICE ansible-playbook site.yml -i hosts.production hosts.production 定义 IP 和服务器名 site.yml 定义服务器的角色

22 01 03 应用和落地 PRACTICE task/main.yml 定义角色的具体操作内容我需要安装什么软件我的软件如何配置 ( 修改配置文件 ) - name: Update all packages to the latest version apt: update_cache: yes cache_valid_time: # day upgrade: dist autoclean: yes autoremove: yes purge: yes - name: install apache2 package: pkg: apache2 state: installed - name: install php7.0-xml package: pkg: php7.0-xml state: installed notify: restart apache2 - file: path=/var/www/cache/ state=directory owner=www-data group=www-data - name: copy template: src= dest=/etc/apache2/sites-available/ owner=root group=root mode="a+r" vars: conf_type: http notify: restart apache2 - apache2_module: state: absent name: "{{ item }}" force: true with_items: - autoindex - alias notify: restart apache2 - apache2_module: state: present name: "{{ item }}" with_items: - ssl - rewrite - headers notify: restart apache2

$ufw: rule: allow port: 22 with_items: - {{host}} - ufw: rule: allow port: 5044$ $with_items: - {{host}} - ufw: state: enabled policy: deny tags: testufw -$ rules owner=root group=root notify: restart ufw user.rules.j2 {% for host in groups['master-server'] %} {% if hostvars[host].

rules owner=root group=root notify: restart ufw user.rules.j2 {% for host in groups['master-server'] %} {% if hostvars[host].

0.0.0/0 any {{host}} in -A ufw-user-input -p tcp --dport 22 -s {{host}} -j

groups['resolver-server'] %} ### tuple ### allow tcp 504

23 01 03 应用和落地防火墙配置技巧 - ufw: state: reset - ufw: state: enabled policy: deny - ufw: rule: allow port: 22 with_items: - {{host}} - ufw: rule: allow port: 5044 with_items: - {{host}} - ufw: state: enabled policy: deny tags: testufw - name: copy user.rules template: src=user.rules.j2 dest=/etc/ufw/user.rules owner=root group=root notify: restart ufw user.rules.j2 {% for host in groups['master-server'] %} {% if hostvars[host].is_controller == 'true' %} ### tuple ### allow tcp /0 any {{host}} in -A ufw-user-input -p tcp --dport 22 -s {{host}} -j ACCEPT {% endif %} {% endfor %} {% for host in groups['master-server'] + groups['resolver-server'] %} ### tuple ### allow tcp /0 any {{host}} in -A ufw-user-input -p tcp --dport s {{host}} -j ACCEPT {% endfor %}

01 03 应用和落地配置文件修改技巧 conf.d 目录 apache: /etc/apache2/conf-enabled crontab: /etc/cron.daily included local_setting.conf - lineinfile: path: /etc/apache2/conf-enabled/security.

conf regexp: '^ServerSignature' line: 'ServerSignature Off' notify: restart apache2 - lineinfile: path: /etc/apache2/conf-enabled/security.conf regexp: '#?

24 01 03 应用和落地配置文件修改技巧 conf.d 目录 apache: /etc/apache2/conf-enabled crontab: /etc/cron.daily included local_setting.conf - lineinfile: path: /etc/apache2/conf-enabled/security.conf regexp: '^ServerTokens' line: 'ServerTokens Prod' notify: restart apache2 - lineinfile: path: /etc/apache2/conf-enabled/security.conf regexp: '^ServerSignature' line: 'ServerSignature Off' notify: restart apache2 - lineinfile: path: /etc/apache2/conf-enabled/security.conf regexp: '#?Header set X-Frame-Options: "sameorigin"' line: 'Header set X-Frame-Options: "sameorigin"' notify: restart apache2 - blockinfile: path: /etc/elasticsearch/elasticsearch.yml block: indices.breaker.fielddata.limit: 9gb http.cors.enabled: true http.cors.allow-origin: "*" notify: restart Elasticsearch

25 谢谢厦门大学郑海山

26 标注字体使用英文微软雅黑中文微软雅黑行距正文 1.3 背景图片出处 OfficePLUS Pexels 模板作者 Healthyyang2 OfficePLUS

Chapter #

Chapter # 第三章 TCP/IP 协议栈本章目标通过本章的学习, 您应该掌握以下内容 : 掌握 TCP/IP 分层模型掌握 IP 协议原理理解 OSI 和 TCP/IP 模型的区别和联系 TCP/IP 介绍主机主机 Internet TCP/IP 早期的协议族全球范围 TCP/IP 协议栈 7 6 5 4 3 应用层表示层会话层传输层网络层应用层主机到主机层 Internet 层 2 1 数据链路层