新しい安全なインフラストラクチャ: Alibaba データ資産の青写真

2020 年半ばには、白い帽子新エネルギー自動車会社のバックエンド システムで使用されている認証情報が GitHub で発見されましたが、この認証情報では単に Base64 暗号化が使用されていました。この資格情報では対応するバックエンド システムに直接ログインすることはできませんが、ホワイト ハットは取得した API リストを通じていくつかの未認証インターフェイスを見つけることに成功し、これらのインターフェイスを通じてバックエンド データをバッチで取得できます。

この潜在的な危機に警鐘を鳴らすべきだったが、2020年8月に自動車会社は再び同様の安全事故に遭遇した。車の所有者は、彼の車両管理アプリに他の人の車が数台表示されていることを明らかにしました。車の所有者は自動車会社に報告しましたが、自動車会社は黙って問題を解決しました。分析の結果、ホワイト ハットは、この問題がインターフェイスの認証が欠如しているもう 1 つの典型的な脆弱性であることに同意しました。

クラウド サービスの台頭により、従来のエンタープライズ アーキテクチャは現在一般的なクラウド + ローカルのハイブリッド展開の形態を形成し、ネットワーク アーキテクチャもハイブリッド展開に向けて変化しており、ハイブリッド展開における脅威には従来のセキュリティ防御だけでは十分ではなくなりました。

攻撃と防御の本質は情報の非対称性ですが、脆弱性の本質はデータの出入りを効果的に制御できないことです。現在のハイブリッド展開の状況では、「企業資産のどの入り口と出口に問題があるのかを把握する」ことが非常に重要です。

業界の問題点: 自分が「どれだけの資金を持っているか」を棚卸しする
この問題をどのように解決するか、各企業は独自の模索と実践を行っています。しかし、アリババセキュリティの観点から見ると、問題の根本は、企業が自社の資産、特にコロケーション構造にある資産をリアルタイムで管理できないことです。それは、これらのインターフェイスがあることを「知らなかった」、またはこれらのインターフェイスにセキュリティ上の問題があることを「知らなかった」ということです。

もちろん、どのような入り口と出口があるかを知っているだけでは十分ではなく、ビジネス リスクを評価するときに、次のような多くの質問が答えられていないことがわかります。

l リスクはどれくらいですか?影響は何ですか?

l 現在の保護戦略はどの程度の範囲をカバーしていますか?

l 戦略が有効かどうかをどうやって判断するのか？

l 不足している資産はありますか?

l 改善の余地はどれくらいありますか?

この一連の疑問には具体的な安全性データを使って答える必要がありますが、現実はまったく楽観的ではありません。

さまざまな事業分野に異なる種類の資産データが分散しているため、第一に収集と統合が困難、第二に理解と消化が困難であると同時に、全体としての経験を蓄積することが困難です。異なる事業分野が互いの業績を再利用できるようにする。

私たちはそのような「天使の同僚」を楽しみにしています。彼女は私が必要とするすべての「資産データ」を持っています。彼女はデータの関連付けと分析を手伝ってくれました。また、彼女がサポートするビジネス シナリオに従ってデータを抽出し、マークすることもできます。彼女の方法論を完全に再利用することができ、そのまま使用するだけでなく、必要に応じて自由に組み合わせることができます。

「Asset Blueprint」はそんな「天使の同僚」になれるよう尽力いたします。

資産ブループリントのソリューション
2020 年 3 月、アリババはデジタル インフラストラクチャ向けの新世代セキュリティ アーキテクチャをリリースしました。新しいセキュリティ アーキテクチャの下で、セキュリティ防御をどのように実装すべきかを再考する場合、データ入力を提供する、データによって説明できる定量化可能な駆動システムが緊急に必要になります。このシステムの最大の目的は、データを活用してセキュリティ防御のトレンドを推進することであり、これがブループリント誕生の背景です。

Blueprint は、大規模な企業イントラネット資産の分類、目録作成、管理に重点を置いた資産収集システムです。さまざまな基本的な資産情報、資産のフィンガープリント、企業イントラネット内の資産間のデータ フロー関係を検出するために使用できます。資産リストは、ビジネスが提案するさまざまな分析アプリケーション要件の迅速な構築に対応するためにタグ付き資産カタログとして公開され、資産がフローして利用できるようになり、データがビジネスから取得され、最終的に使用されるようになります。ビジネスによって。

「ブループリント」の構築は現在 4 つの段階を経ています。

最初の段階である基本的な資産のインベントリでは、資産の範囲、ステータス、セキュリティの予防と制御に関する明確なインベントリと、企業内のホスト、アプリケーション、ストレージ、ミドルウェア、サプライ チェーン、ソース コード、権限、およびその他の関連リソースの理解が必要です。

第 2 段階の関連資産インベントリでは、さまざまなタイプのノード資産間のアクセス関係と関連付け関係のインベントリが必要です。

第 3 段階である血液資産のインベントリでは、南北方向 (外部から内部へのネットワーク境界) および東西方向 (アプリケーション間リソース、ノード間アクセス) のデータのフロー パスを分析し、資産間の境界範囲とリンク血流の関係。

第 4 段階はタグ資産インベントリであり、資産データがビジネス ニーズをサポートした後、価値を最大化するためにターゲットを絞ったデータ タグが作成されます。

Blueprint がこの段階的な開発計画を選択した理由の 1 つは、各段階が互いにサポートし合っているものの、各段階の結果は比較的独立していて成果物であるということです。利点は、構築の各段階が完了すると、各段階の結果が迅速に提供され、ビジネスですぐに使用できることです。たとえば、「基本資産」の在庫段階では、ホストとアプリケーションを迅速にビジネスに提供できます。資産目録用。基本資産の棚卸が完了すると、ホスト、アプリケーション、ドメイン名、担当者の対応関係が確立され、セキュリティ緊急対応やトレーサビリティを迅速に行うことができます。資産市場全体により、ビジネス関係者は資産の現在の全体像を明確に把握でき、市場を通じて現在の安全性レベル、資産管理レベル、および対応するリスクも確認できます。

血統資産の在庫は、システム全体の価値を増幅させるものです。最初の 2 つのノードが後方支援である場合、第 3 段階以降、ブループリントは最前線のセキュリティ チームとともに塹壕に立ち、デジタル「兵器」を直接出力できます。攻撃が発見されると、セキュリティ担当者は、攻撃されている IP アドレスに基づいて、サーバーの影響を受ける可能性のある第 1 レベルおよび第 2 レベルの影響領域を迅速に特定し、攻撃に対応するアプリケーション レベルに基づいて攻撃リスクを迅速に評価できます。第 1 レベルと第 2 レベルの影響を受けるマシン。

課題とリスク
ブループリントの社内開発は「適切な時期、適切な場所、適切な人材」で順風満帆と言えますが、実際の開発では依然として大きな課題に直面しています。

課題１：「使える」
ビジネスがどのような資産データを必要とするかを事前に知る人はいません。

ビジネス関係者が資産の目録を作成する必要がある場合、ほとんどの場合、必要な資産データは大規模かつ複雑です。これには、明確に定義された資産範囲だけでなく、サプライ チェーン関係、特別なミドルウェア、ニッチなコード フレームワークなどが含まれます。データが存在しないということは、ビジネス側を効果的にサポートできないことを意味します。ほとんどのビジネスのニーズを満たす標準化された資産データ出力プロセス (データ セルフサービス アプリケーション、インターフェイス、または出力資産データの表示) に加えて、ブループリントにはカスタマイズされたニーズへの入り口も必要ですが、これはビジネス当事者にとって明確ではありません。資産データ要件については、取引先との綿密なコミュニケーションが必要となり、必要な資産データを事業者とともに理解する必要があります。

最後に、ブループリントは、ビジネス側が必要とする資産データを検索し、導入または生成します。このプロセスでは、一方ではビジネスのニーズを満たし、他方では資産データのギャップも埋めます。ブループリント自体の。

課題2：「あえて使う」
正確なデータがなければ価値はありません。

実際、多くの企業が資産棚卸を行っていますが、ほとんどの企業は「導入」していません。根本的な原因は、資産データが「正確」ではない（正確でリコールされていない）か、上流の資産が正確にリコールされておらず、下流のビジネスが安定して利用できないことにあります。

青写真が提供する解決策は、準趙の建設に適切なリソースを投資することです。資産データ検査における独自の経験に基づいて、ブループリントの特徴を備えた構成可能な自動コールイン検査システムを開発しました。このシステムは、次の検査とコールインを完了するために使用できます。

l 基本的な品質監視。主にルール設定の反映と、完全性、正確性、一貫性、適時性の監視とアラーム処理が含まれます。ルールは、一般ルールとカスタム ルールに分かれています。

l マルチソース相互検証により、複数のソースと資産データとリンクデータの比較と検証、正確なコール値の計算、異常データの監視とアラーム処理が可能になり、運用の多様な相互検証ニーズを満たすカスタム SQL がサポートされます。

l ベンチマーク サンプル ライブラリ。サンプルの沈殿とアセットとリンクの使用をサポートし、サンプル ライブラリに基づく相互検証とスキャン検証をサポートします。

l 手動検証プロセス。自動検証できないものについては、外部委託リソースを投入し、一定数のサンプルを採取し、手動検証を行っています。

課題 3: 「使いやすさ」
資産データの価値はリスト化されるものではなく、加工されるものです。

包括的な資産データがあり、それぞれの資産データが正確であっても、それが単なるリストであれば、棚卸結果の価値は高くありません。資産在庫の価値は、相関と処理の結果に反映されなければなりません。

Blueprint は明らかに、単純な資産データのスタッキング プラットフォームとして自らを位置付けることはありませんが、1+1>2 の増幅効果をどのように達成するかは、資産インベントリの分野では常に難しい問題でした。青写真への入り口は血統データです。

自己構築されたブラッドリンクのコード分析機能を通じて、アプリケーションコードの自動分析を完了し、アプリケーション内のインターフェイス呼び出し、ミドルウェアの使用状況、DBの使用状況などの情報を抽出し、それをトラフィック、アプリケーション、およびデータと組み合わせます。道路データは、南北境界の情報フロー パスの記述の問題を解決するだけでなく、東西アプリケーション間の情報フロー パスも改善します。

そして、オンライン情報、オフライン情報、オフライン情報間の血縁分析を組み合わせて血縁データを生成し、DB上のデータの流れを把握します。

最後に、アプリケーション データ リンク/コール リンクは、データ リネージ データと組み合わせることで、インターフェイスからデータベースまでの全方向のデータ フロー パス分析を真に実現します。

データの価値の多くは 2 番目のユーザーにあります。

ブループリントは、ビジネス側にサービスを提供しながら、実際のビジネス利用ニーズと経験を積極的に蓄積し、標準化された基礎データに基づいて、ビジネス属性を備えた資産タグを構築し、マルチパーティのビジネス効果を再利用し、ビジネス ガバナンスの価値を最大化します。

たとえば、コンテンツ セキュリティ リスクのビジネス シナリオに対応する場合、ブループリントはコンテンツの追加および変更ロジックとのインターフェイスを技術レベルでマークし、次にビジネスの特定の用途に基づいてインターフェイスをマークします。ブループリントは、他のインターフェイスをマークするために改良されたロジックと結合されます。別のプロジェクトでは、このタグ付きコンテンツの追加および変更インターフェイスのバッチを、確立されたインターフェイス スコープとして直接使用し、ビジネス ニーズに応じた 2 次スクリーニングに重点を置くことができ、ビジネス価値の最大化だけでなく、真の再利用も実現できます。ビジネスからビジネスへ。

安全運転を心がける
4 つの開発段階を通じて、ブループリントは大量の資産データに依存してハイブリッド クラウド アーキテクチャの下で資産インベントリ システムを確立し、ビジネス パーティが資産データを使用して資産インベントリ、リスク識別などのさまざまなビジネス ニーズを完了できるように支援します。標準化された資産使用計画を提供し、ビジネス関係者に信頼性が高く、便利で効率的なアクセスを提供します。

最終的に、アリババ セキュリティは、客観的な資産インベントリを通じてアリババ セキュリティの構築を推進したいと考えています。人間の静脈マップと同じように、ブループリントは、明確な資産インベントリを通じてリスク問題を積極的に特定し、さまざまなセキュリティ部門が効果的なセキュリティ運用を行うのを支援する手段になります。