1. 存储加密实践1.1. 敏感的个人信息以及涉及敏感的个人隐私的数据、敏感的UGC数据需要加密存储1.2. 口令、加解密密钥、私钥需要加密存储1.3. 有明确检索、排序、求和等运算需求的业务数据不需要加密存储1.4. 数据库字段加密1.4.1. 针对结构化数据一般指存放于数据库的数据​推荐采用数据库字段加密这属于产品自身需要考虑的事情1.5. 数据库透明加密1.5.1. 部分数据库也支持透明加密或静态加密​原来使用明文存取数据的应用不需要任何改进由数据库提供透明的加解密可供最低级别的加密参考1.5.2. 透明加密是一种快速达成加密效果的方案因为所有的加密和解密过程都是在存储这一级自动完成的1.6. 网盘文件加密方案1.6.1. 网盘通常用于保存用户的个人文件这属于UGC数据可能涉及用户个人的隐私因此需要加密1.6.2. 如果用于企业客户则更是需要加强保护1.6.3. 加密算法使用AES加密算法GCM模式密钥长度256位1.6.4. 文件切片或分块​每个切片使用随机DEK数据加密密钥进行加密1.6.5. 每个DEK均使用用户的业务KEK密钥加密密钥加密加密后随对应的密文切片一起存储1.6.6. KMS是独立于具体业务之外的加密基础设施1.7. 配置文件口令加密1.7.1. 配置文件是口令、密钥类信息泄露的重要渠道包括员工无意中泄露、黑客或木马侵入服务器后查看配置文件窃取等1.7.2. 配置文件中对口令的加密保护是一种较弱的保护机制一般用于防止木马自动寻找口令、挡住ScriptBoy脚本小子等技能不足的黑客以及延缓黑客进度为应急响应赢得时间2. 最佳实践2.1. 身份认证2.1.1. 人员身份认证含员工、合作伙伴、用户等使用SSO单点登录系统并在敏感业务上启用*超时退出机制2.1.2. 非人员身份认证含后台之间、客户端访问后台等, To C业务推荐全程使用Ticket其他业务推荐使用AES-GCM等机制2.2. 授权2.2.1. 首选在业务自身建立授权模型2.2.2. 其次可使用业务之外的权限管理系统但不适用于To C业务或参数值影响权限判定的业务​2.2.3. 敏感业务的管理权限采用权限分离不兼任多个敏感权限2.3. 访问控制2.3.1. 采用ABAC基于属性的访问控制​、RBAC基于角色的访问控制等机制2.3.2. 不直接向外网提供服务经统一的应用网关接入2.3.3. 业务不直接操作数据库将数据库封装为数据服务2.3.4. 收缩防火墙的使用2.4. 审计2.4.1. 敏感操作日志提交到统一的日志管理平台且无法从业务自身发起删除2.5. 资产保护2.5.1. 配合统一的KMS对敏感的个人信息加密存储2.5.2. 使用全站HTTPS2.5.3. 展示脱敏2.5.4. 构建立体安全防御体系2.6. 在没有统一接入的概念之前2.6.1. 工的安全意识一般是不够的不可能每个业务都去实现一套完整的安全机制这也导致我们经常会发现有的敏感业务直接开放外网访问的时候没有任何安全机制2.6.2. 容易误将高危服务开放出去导致黑客直接进入生产内网2.6.3. 如果业务存在漏洞且没有部署WAF等防御设施也可以直接到达内网2.7. 统一接入2.7.1. 启用应用网关之后通常大多数业务就不需要直接对外提供服务了从而也就不需要配置外网网卡或外网IP地址这一点可以在很大程度上避免对外误开高危服务端口2.8. 收缩防火墙的使用2.8.1. 建立尽可能少的网络分区尽量避免从一个安全域直接路由到另一个安全域2.8.2. PCI-DSS合规要求有需要防火墙保护持卡人资料的条款且由于大量存量业务的存在网络分区仍是一个需要使用的安全手段2.9. 数据服务2.10. 建立KMS2.10.1. KMSKey Management System密钥管理系统的主要作用是让业务无法单独对数据解密这样黑客单独攻克一个系统是无法还原数据的2.11. 全站HTTPS2.11.1. HTTPS在防止流量劫持、保障数据的安全传输方面发挥着很大的作用2.12. 通用组件作为基础设施2.12.1. 直接使用现成的Web服务器实际上是共用服务器而不需要登录服务器从零开始安装2.12.2. 对于数据库也可按这种模式自助申请数据库实例使用如尚未建立数据服务基础设施也可考虑构建数据服务对外以Restful JSON API的形式提供2.13. 自动化运维2.13.1. 登录服务器本身属于高风险行为很可能由于员工误操作等原因造成配置错误、数据丢失等巨大损失2.13.2. 使用Web化界面方便、效率高、体验好2.13.3. 可屏蔽高危操作如rm -rf /​避免误操作2.13.4. 方便跟SSO集成用于员工实名认证2.13.5. 方便执行权限管控、运维审计2.13.6. 功能2.13.6.1. 文件上传或下载2.13.6.2. 脚本批量发布2.13.6.3. 配置文件批量发布2.13.6.4. 内容发布适用于内容平台业务如新闻​2.13.6.5. 应急的指令通道在网页上出现类似命令行控制台的界面可交互操作​