网站底部加编码,做个网站出来要多少钱,wordpress仿站博客视频教程,廊坊专业做网站作者#xff1a;陈金元#xff08;今远#xff09;#xff0c;阿里云管控技术专家
一、整体说明 上图是云数据库RedisMongoDB的安全体系图#xff0c;横向是实例控制链路#xff0c;纵向是实例数据链路#xff0c;对于控制链路#xff0c;事前为了避免恶意操作或…作者陈金元今远阿里云管控技术专家
一、整体说明 上图是云数据库RedisMongoDB的安全体系图横向是实例控制链路纵向是实例数据链路对于控制链路事前为了避免恶意操作或者误操作的发生云数据库RedisMongoDB提供了多个维度的授权机制并通过风控系统进行释放保护在极端场景下安全风险事件发生时通过云监控可以第一时间发现问题通过控制台以及审计日志可以快速的定位问题当风险发生后通过系统提供的各项恢复能力可以快速恢复业务针对实例删除可以使用回收站针对数据删除比如执行flushall可以通过控制台数据恢复shake工具PITRDBS等方式快速恢复数据。
RedisMongo实例数据链路的安全能力分为接入层网络层代理层proxy引擎层存储层 共5个维度。
接入层也是访问实例的入口提供云盾堡垒机DMS等产品云盾和堡垒机是阿里云团队提供的安全解决方案DMS作为数据库生态工具提供了完善、成熟的数据安全访问解决方案从访问和变更两个方面进行安全管控。
网络层通过VPC进行网络隔离通过白名单和安全组拦截未经授权的访问通过SSL加密保证数据传输的安全性。
代理层通过proxy审计日志在安全风险发生时可以快速定位到clientip及时进行阻断。
引擎层通过Redis账号ACL高危命令拦截MongoDB TDE透明数据加密等方式进一步进行安全加固。
存储层MongoDB在支持原生TDE加密模式的基础上进一步增加自定义密钥材料的能力实现从链路到存储的全链路加密支持。
二、事前
自建Redis和MongoDB存在的问题从控制面权限未做隔离从数据面开源Redis 当前的5.0以及之前的版本均未提供ACL的能力。
在云上针对OPENAPI和控制台支持RAMResource Access Management的授权方式可以使用RAM在主账号的权限范围内创建子账号给不同的子账号分配不同的权限来允许或拒绝他们对云资源的访问从而达到授权管理的目的。
与此同时云数据库RedisMongoDB也支持使用资源组来进行更细粒度的资源控制需求通过资源组来支持用户在资源组级别的授权每个资源组都可以维护不同的实例列表如果授予子用户a作为资源组rg1的管理员那么子用户a能够操作资源组rg1下的所有资源而不能操作其他资源组的资源。
针对数据链路云上Redis支持账户ACL可以独立管理账户权限通过白名单控制访问并在此基础上通过安全组来优化维护体验将ecs实例通过安全组进行统一管理并与redis或者mongodb实例进行关联每个redis实例最高支持关联10个安全组。
如果恶意用户突破了层层授权的限制或者正常用户误触发了删除实例我们还会通过二次提醒以及风控系统提供的释放保护能力对实例进行更多的保护有效杜绝误操作或者恶意释放的可能同时对于大批量的实例释放则会自动触发熔断机制对风险做紧急刹车。 针对数据链路的误操作比如Redis 通过执行flushall等危险命令进行数据清理或者执行keys可以阻塞正常的业务访问等等云数据库Redis提供no_loose_disabled-commands参数来拦截高危命令支持拦截FLUSHALL、FLUSHDB、KEYS、HGETALL、EVAL、EVALSHA、SCRIPT等风险命令。
三、事中
通过权限和风控系统提供的系统保护已经可以规避绝大部分的恶意操作或者误操作在极端情况下安全风险真的发生的时候对比自建云数据库RedisMongoDB可以更快速的定位原因和影响及时响应快速恢复业务通过云监控可以及时收到告警快速介入处理对于控制面的实例释放通过控制台的界面可以一目了然的看到影响的实例列表和影响业务范围对于数据链路比如执行了flushall通过产品提供的审计日志的能力可以快速锁定来源IP快速进行阻断控制风险的进一步蔓延如下面的图片通过审计日志的关键词搜索快速的找到了问题IP。 四、事后
通过监控告警和日志审计我们已经快速定位到问题对风险IP也进行了及时阻断下一步当然是快速恢复数据云数据库Redis和MongoDB支持了非常多样化的恢复能力对于误操作或者恶意操作释放实例通过我们提供的回收站能力可以快速进行重建恢复数据会回到释放前的状态同时保持相同的访问地址。
针对非实例级别的数据被误操作或者破坏的场景使用各种数据恢复能力也可以快速恢复数据比如备份集数据恢复和备份集克隆实例前者使用备份集的数据替换当前实例的数据备份集克隆实例则会重新生成一个新的实例具有独立的链接地址用于进行数据恢复对当前实例的数据无影响。
对于误释放的实例备份集默认只会保留8天也就是说在这种场景下8天之后已经无法使用回收站或者备份集直接恢复数据这种情况下如果本地有下载过备份文件则可以使用RedisSHAKE或者MongoSHAKE进行数据恢复在控制台中的备份均支持下载释放也会提示进行备份登录可以链接Redis或者MongoDB实例的ecs服务器然后下载并解压对应的shake工具修改配置文件后启动shake即可使用备份文件快速恢复数据。
除此之外也可以使用云上的数据库DBS服务进行定期的备份也可以非常方便的进行事后恢复。
原文链接
本文为云栖社区原创内容未经允许不得转载。
