ساختن یک بستر تجاری ایمن و کاملاً مدیریت شده مبتنی بر ابر

Adaptive در ساخت راه حل های تجاری ایمن برای مشتریان ما در بازارهای سرمایه تخصص دارد. بسیاری از مشتریان ما به دنبال ارائه دهنده ای هستند که نه تنها می توانند یک راه حل معاملاتی را طراحی و بسازند ، بلکه پلتفرم خود را به عنوان یک سرویس مدیریت شده نیز اداره می کنند. با نیازهای امنیتی مورد نیاز برای این بازارها ، در کنار نیاز مکرر برای یک سرویس کاملاً مدیریت شده ، مشتریان ما به شریک زندگی نیاز دارند که مهارت و توانایی هایی برای ساخت و اجرای یک بستر تجاری بسیار ایمن و انعطاف پذیر مبتنی بر ابر داشته باشد.

Adaptive ، از طریق ارائه عملیاتی خود ، به خوبی موقعیتی را برای ارائه خدمات کاملاً مدیریت شده به صنعت بازارهای سرمایه برای میزبانی و اجرای سیستم عامل های معاملاتی خود ارائه می دهد. ما تیمی از متخصصان از جمله زیرساخت ها ، مهندسی قابلیت اطمینان سایت (SRE) ، امنیت ، پشتیبانی فنی و مدیران خدمات را داریم که به این بازوی ارائه خدمات تطبیقی اختصاص داده شده اند و در پشتیبانی از سیستم های تجاری تخصص دارند. Adaptive همچنین تعدادی از ابزارهای شتاب دهنده را ایجاد کرده است که به آنها امکان می دهد بازار پشتیبانی و میزبانی کاملاً مدیریت شده را ارائه دهند ، که باعث صرفه جویی در وقت و هزینه مشتری و به حداقل رساندن ریسک می شود.

خدمات عملیاتی Adaptive به مشتریان ما این امکان را می دهد تا مالکیت مالکیت معنوی (IP) راه حل پیش بینی خود را حفظ کنند ، در حالی که هزینه و سربار عملیاتی مدیریت خود راه حل را حذف می کنند. حفظ مالکیت IP به مشتریان این امکان را می دهد تا در بازار خود متمایز شوند و این امکان را برای آنها فراهم می کند تا برای سهم بازار به مراتب مؤثرتر از خرید یک راه حل مدیریت شده از یک فروشنده سنتی رقابت کنند. چنین فروشندگان یک محصول واحد را ارائه می دهند و توسعه را دشوار می کنند و مالکیت مشتری از همین موارد حتی بیشتر نیز می شود. با سازگاری ، مشتری ها می توانند با سرعت خود به نوآوری در پلتفرم خود ادامه دهند ، در حالی که ما این سیستم عامل را مدیریت می کنیم ، میزبان و ایمن می کنیم. همراه با شتاب دهنده های ما ، این پیشنهاد ما را در بازار متمایز می کند و ما را برای کسانی که از طریق فناوری تفاوت قائل هستند ، انتخابی قانع کننده می کند.

در این پست به چگونگی ارائه تیم تطبیقی یک بستر استراتژیک مبتنی بر ابر که بسیار ایمن ، در دسترس و انعطاف پذیر است ، می پردازد.

طراحی یک بستر تجاری ایمن مبتنی بر ابر

هنگام طراحی سیستم‌های تجاری و برنامه‌های مالی برای استقرار ابر، یکی از نگرانی‌های اصلی این است که اطمینان حاصل شود که داده‌ها و تراکنش‌ها به درستی در برابر دسترسی و دستکاری غیرمجاز محافظت می‌شوند. متأسفانه، نقض امنیت در سیستم های سازمانی غیر معمول نیست و گهگاه خبرساز می شود. در این محیط‌ها، امنیت معمولاً از طریق طراحی دقیق معماری و کنترل‌ها، قوانین و فرآیندهای به شدت خودکار در زیرساخت پلت فرم پیاده‌سازی می‌شود.

تیم ما در حین طراحی زیرساختی برای دستیابی به سطح بسیار بالایی از امنیت در محیط پلت فرم به عنوان سرویس خدمات وب آمازون (AWS)، زمان قابل توجهی را صرف تحقیق و توسعه کرد.

هدف اصلی توسعه یک زیرساخت با امنیت بالا تنها با استفاده از خدمات موجود توسط AWS بود. در طول توسعه متوجه شدیم که چنین سرویس هایی نمی توانند تمام ویژگی های امنیتی مورد نیاز را برآورده کنند. به عنوان مثال، در زمان توسعه، سرویس انتقال AWS در حالت خصوصی از محدودیت های مبتنی بر IP پشتیبانی نمی کرد. به نوبه خود، اجزای خارجی را نمی توان از طریق فرآیندهای خودکار اجرا شده از داخل یک شبکه مجازی خصوصی مدیریت کرد. علاوه بر این، AWS CloudFront نمی‌تواند به متعادل‌کننده‌های بار داخلی به یک شبکه پلت فرم خصوصی متصل شود. در نهایت، ناسازگاری هایی را در دست دادن بین علامت واحد ما در ارائه دهنده و گزینه های اتصال AWS یافتیم.

با توجه به کنترل‌های امنیتی لازم برای دستیابی به زیرساخت بسیار ایمن و محدودیت‌های کشف شده در چندین سرویس AWS در طول تجزیه و تحلیل اولیه، یک معماری سیستم شامل اجزایی که به طور بومی توسط AWS ارائه نشده بود، ابداع شد. این نقاط رابط اضافی را به عنوان بردارهای بالقوه برای حمله معرفی کرد. به عنوان بخشی از این پروژه، مکانیسم‌های حفاظتی برای جلوگیری و/یا کاهش این ناقل‌های حمله بالقوه توسعه داده شد.

ساختن پلتفرم روی ابر

مهم است که اصل مسئولیت مشترک در محیط های ابری را به خاطر بسپارید: آمازون بر امنیت فیزیکی و زیرساختی امکانات و نرم افزار خدمات AWS تمرکز دارد. به عنوان مشتری، ما باید تصمیمات درستی بگیریم و استفاده ایمن از این منابع در دسترس داشته باشیم. ما با استفاده از ترکیبی از خدمات بومی AWS یک پلتفرم امن برای مشتریان خود ایجاد کردیم و یک لایه امنیتی اضافی با خدمات سفارشی و خارجی اضافه کردیم.

بهترین شیوه های مدیریت دسترسی

با شروع با مدیریت هویت و دسترسی (IAM)، ما مجموعه ای جامع از نقش ها و سیاست ها را برای کاربران ایجاد کرده ایم. یکی از عناصر کلیدی یک پلت فرم تولید زنده، مسدود کردن تمام دسترسی های خروجی از منابع محاسباتی و همچنین جلوگیری از دسترسی کارکنان به داده های حساس است. ما مجموعه‌ای از سیاست‌های IAM را با پیروی از رویکرد "کمترین امتیاز" برای ایمن کردن منابع تعریف کردیم. دسترسی کاربر به صورت مرکزی از طریق یک ارائه دهنده هویت خارجی مدیریت می شود. احراز هویت و مجوز برای مدیریت پلتفرم با استفاده از مجوزهای مبتنی بر نقش، نشانه‌های امنیتی موقت و احراز هویت چند عاملی اجرا می‌شود.

امنیت شبکه

ما تا حد امکان از خدمات ارائه شده توسط AWS برای استقرار یک شبکه امن برای پلتفرم خود استفاده می کنیم. به منظور اطمینان از حمل و نقل ایمن داده ها، ارتباطات سرتاسری به طور کامل با مشتریان و بین اجزای داخلی رمزگذاری شده است. با این حال، پس از استقرار شبکه خصوصی مجازی با ترکیبی پویا از گروه‌های امنیتی محدوده، لیست‌های دسترسی به شبکه و نقاط پایانی داخلی، باید دید بیشتری برای شناسایی فعالیت‌های مخرب، حملات brute force یا رفتارهای مشکوک داشته باشیم. ما یک محصول شخص ثالث را برای بهبود تجزیه و تحلیل شبکه، ارائه قابلیت ردیابی و ممیزی برای تیم SRE خود معرفی کردیم. کنترل‌های امنیتی که ما بر روی پلتفرم و شبکه اجرا می‌کنیم، برای برآورده کردن اهداف کنترلی مشتریانمان هماهنگ هستند.

ذخیره سازی و رمزگذاری

استفاده از فضای ذخیره سازی نامحدود S3 آسان است. اما ذخیره اطلاعات تجاری یا مشتری با مرزهای امن قطعا سخت تر است. این نیاز به استفاده از رمزگذاری با استفاده از KMS یا CloudHSM، IP، محدودیت‌های سرویس یا جغرافیایی، سیاست‌های ذخیره‌سازی قوی (با بیانیه‌های رد کردن پیش‌فرض)، دسترسی مبتنی بر نقش و لایه‌های شبکه: CDN، قوانین WAF، فایروال‌های NG، متعادل‌کننده‌های بار دارد. در صورت لزوم، ما اصل Write Once, Read many (WORM) را اجرا می کنیم که در آن اطلاعات، پس از نوشتن، قابل تغییر نیستند. همچنین اجباری است که داده‌ها را در حالت استراحت، از حجم سرور، s3، گزارش‌ها یا هر سرویس پردازش و ذخیره‌سازی داده‌ها، رمزگذاری شده نگه دارید.

زیرساخت های تغییرناپذیر ایمن

ساختن یک پلتفرم ایمن خیلی زود در چرخه عمر توسعه شروع می شود. برای اطمینان از کیفیت، سازگاری و امنیت کد، از تعدادی تجزیه و تحلیل استاتیک، ابزارهای تحلیل کد و بازرسی مداوم اجزا برای آسیب‌پذیری‌ها و الگوهای بد استفاده می‌کنیم. در طول چرخه انتشار، کانتینرهای برنامه اسکن شده و به طور ایمن در مخازن مستقر می شوند. ما یک تصویر سیستم عامل طلایی را که برای مصرف در طول انتشار در حساب‌ها توزیع می‌کنیم، خودکار و استاندارد می‌کنیم. این یک بهترین روش استاندارد SRE برای ایجاد تصاویر طلایی به عنوان اشیاء تغییرناپذیر و مدیریت یک خط پایه امنیتی و نرم افزار از طریق خط لوله استاندارد است. این فرآیند از بهترین روش مشابه پیروی می‌کند و با این امکان را به ما می‌دهد که به محض یافتن یک آسیب‌پذیری مهم، از تصویر جدید استفاده کنیم.

نظارت

اگر نظارت مناسبی نداشته باشید، محیط ایمن و اقدامات خوب ناکارآمد هستند. دید همه چیز است. یک محیط تولید تعداد زیادی لاگ تولید می کند. حجم عظیم گزارش‌ها و معیارها، هضم آن را بدون زیرساخت مناسبی که قادر به تجزیه و تحلیل و همبستگی هوشمند باشد، به یک وظیفه قابل توجه تبدیل می‌کند. راه‌حلی که ما پیاده‌سازی کردیم، جریان‌های گزارش‌های زیرساخت رایج AWS، مانند گزارش‌های جریان VPC، Cloudtrail، گزارش‌های load balancer را مصرف می‌کند. همراه با فعالیت های رویداد محور، این پلت فرم به تیم ما اجازه می دهد تا سلامت عمومی، نقاط قوت و ضعف محیط معاملات را به درستی مدیریت و نظارت کند.

برای اینکه پلتفرم را در راستای اتوماسیون خود نگه داریم و انطباق با خط‌مشی‌های خود را اعمال کنیم، یک موتور قوانین بدون حالت اجرا کردیم که فعالیت‌ها را در برابر زیرساخت نظارت می‌کند. این به ما کمک می کند تا از انحراف ناشی از اشتباهات یا نیت مخرب جلوگیری کنیم. این به شدت با زمان‌های اجرا بدون سرور ادغام می‌شود تا اصلاح/پاسخ در زمان واقعی را با سربار عملیاتی کم ارائه دهد.

کاهش بردارهای حمله

در زیر چند نمونه از راه‌حل‌ها یا بهبود برای افزایش برخی محدودیت‌ها با خدمات AWS آورده شده است.

محدودیت های مبتنی بر IP سرویس انتقال AWS

در طول تلاش ما برای افشای SFTP/SSH در اختیار کاربران نهایی ، پروتکل ای که به طور گسترده توسط ربات ها و هکرها مورد استفاده قرار می گیرد ، ما این رویکرد را برای ارائه سرویس با استفاده از Whitelist IP انجام دادیم. ما متعهد شدیم که در هنگام قرار گرفتن در اینترنت ، ابزاری برای عدم پشتیبانی از محدودیت های مبتنی بر IP از سرویس انتقال AWS (SSH) ایجاد کنیم. ما توپولوژی سرویس را تغییر دادیم تا فقط از ابر خصوصی داخلی (VPC) اجرا شود. با این حال ، در محیط خصوصی خود ، سرویس انتقال فقط می تواند محدودیت های IP را در صورت فراخوانی از مؤلفه های داخلی به VPC پردازش کند.

در نتیجه ، تماس های ناشی از خارج از شبکه خصوصی از دسترسی محروم شد. برای استفاده از محدودیت های مبتنی بر IP در تماس های خارجی ، ما یک فایروال را که در معماری پلتفرم به عنوان نمای در حاشیه شبکه AWS گنجانیده شده است ، مستقر کردیم تا تماس های ورودی را فیلتر کنیم که می تواند به طور ایمن به سرویس انتقال AWS منتقل شود. محدودیت های مبتنی بر IP و لیست سفید سپس توسط فایروال انجام می شود.

از زمان راه اندازی این سیستم عامل ، AWS قابلیت فیلتر IP را در سرویس انتقال عمومی با استفاده از گروه های امنیتی اضافه کرد.

مبادله داده های معاملاتی را از طریق اتصال WebSocket ایمن کنید

شرط دیگر تأمین تبادل داده های معاملاتی از طریق اتصال WebSocket (کانال دو طرفه) بین مشتری و شبکه تحویل محتوا (CDN) در سرور AWS بود.

این کانال پیشنهاد شده است که از طریق سرویس AWS CloudFront ، که به طور بومی محافظت در برابر حملات توزیع خدمات توزیع شده (DDOS) و یک فایروال برنامه وب (WAF) را برای دسترسی به هر دو منبع و دروازه WebSocket ارائه می دهد ، انجام دهد. با این حال ، CloudFront نمی تواند به تعادل بار داخلی به یک شبکه پلت فرم خصوصی متصل شود. بنابراین ، ما با استفاده از متعادل بار عمومی در نظر داشتیم ، اما برای جلوگیری از دور زدن قوانین اجرا شده در سطح ابر ، نیاز به تأمین این مسیر لازم بود.

ما برای اولین بار سعی کردیم با استفاده از لیست های سفیدپوست IP که توسط شبکه تحویل محتوا ، به صورت پویا از طریق توابع Lambda به روز می شود ، یک راه حل مستند استفاده کنیم تا بتوانیم اتصالات بین CloudFront و Balancers را مجاز کنیم. با این حال ، معلوم شد که این آدرس های IP دائماً در حال تغییر هستند ، دامنه IP بسیار بزرگ است و می توان آنها را با سایر مشتری های AWS به اشتراک گذاشت و این رویکرد را غیر عملی و ناامن کرد. بنابراین ، این رویکرد اول کنار گذاشته شد و ما به دنبال گزینه های دیگری برای محدود کردن دسترسی به متعادل بار عمومی و به حداقل رساندن سطح حمله با مجبور کردن دسترسی از طریق Cloudfront بودیم.

ما با رویکردی آزمایش کردیم که شامل تزریق یک نشانه امن در یک هدر HTTP سفارشی کنترل شده توسط Cloudfront بود و در طول پروتکل لرزش دست متعادل بار تأیید شد. این دسترسی به اندازه کافی محدود به تعادل بار عمومی ما توسط یک کاربر مخرب.

نتیجه

در طول این پروژه ، تیم مهندسی برای محدود کردن دسترسی غیرمجاز به سیستم های نرم افزاری مالی مستقر در محیط های ابری و انجام آنها تا حد امکان با مکانیسم های مختلف مورد بررسی و آزمایش قرار گرفت. برای دستیابی به این هدف ، فعالیت های تحقیق و توسعه برای ادغام سیاست ها و کنترل های بیشمار امنیتی در یک سیستم یکپارچه انجام شد. با همکاری نزدیک با مشتریان خود با تعامل مداوم به طور منظم ، استاندارد را با آخرین بهترین شیوه های امنیتی ابر بهبود می بخشیم و هماهنگ می کنیم.

از آنجا که این تیم دانش عمیق تری از محیط خدمات وب آمازون (AWS) به عنوان یک سرویس به دست آورد ، چندین محدودیت عملکردی را کشف کرد. این تیم سپس به دنبال اضافه کردن مؤلفه های خارجی برای غلبه بر این محدودیت ها بود ، در حالی که هنوز هم بالاترین سطح ممکن امنیت را اجرا می کند. در نتیجه ، این تیم دانش و وسیله ای را برای تکمیل AWS با فایروال خارجی و علامت واحد بر روی اجزای سازنده و مدیریت همزمان استقرار محیط های مختلط شامل هر دو زیرساخت غیرقابل تغییر که باید در ثانیه ها مستقر شوند و مؤلفه هایی که نیاز به پیکربندی طولانی دارند ، ایجاد کرد. این امر منجر به افزایش فرمان از زبان پیکربندی اعلامی و ابزارهای نرم افزاری زیرساخت-کد برای خودکار سازی استقرار ابری شد. حتی این ابزارها برای اجازه کامل به کلیه عملیات استقرار مورد نیاز کافی نبودند و با توسعه داخلی تکمیل شدند. به طور کلی ، دانش اکتسابی به طور مستقیم در مورد پیشرفت های پروژه آینده قابل اجرا خواهد بود.

در پایان ، تطبیقی موفق شد یک بستر قابل استفاده برای ابری را برای سیستم های مالی که نیاز به امنیت بسیار بالایی دارند ، ایجاد کند. در واقع ، خدماتی که ما با موفقیت از طریق این پروژه در یک پلتفرم واحد ادغام کردیم ، اکنون می تواند به عنوان الگویی برای طراحی سیستم های بسیار ایمن برای مشتریان خود در صنعت مالی خدمت کند.