Первоначально опубликовано по адресу: https://www.sensedeep.com/blog/posts/stories/immutable-infrastructure-can-be-dramatically-more-secure.html
Необвиченный сервер — это сервер, который после развертывания никогда не модифицируется, исправлен или обновляется. Он просто заменен новым обновленным экземпляром, если это необходимо. Неиспользуемая инфраструктура расширяет этот подход ко всему облаку.
Имматируемая инфраструктура может быть по своей природе более безопасной, облегчая обнаружение, когда ресурс был злонамеренно изменен.
Чад Фаулер введенные неизменные серверы В 2013 году, когда он описал нормальную изменчивую инфраструктуру как:
[это] становится привередливым. Он принимает только развертывание определенным ручным способом. Сценарии init больше не работают, если вы не делаете что -то особенное и неожиданное … система становится карточкой. Вы боитесь каких -либо изменений и боитесь замены его, так как не знаете, как это работает.
Красота неизменной инфраструктуры заключается в том, что она не только решает многие из этих проблем надежности, но и трансформирует безопасность.
Изменчивость, вектор для компромисса
Изменение — это кислород для хакеров. Почти все постоянные атаки каким -то образом изменят базовую систему. Такие изменения включают замену двоичных файлов или библиотеки, добавление программ или корневых комплектов, открытие сетевых портов и изменение критических данных. Предотвращение этих изменений является ключом к предотвращению атак. Обнаружение таких изменений имеет первостепенное значение для эффективной защиты.
Хотя предотвращение модификаций в изменчивой системе сложно. Обнаружение изменений в неизменной системе легко.
В изменчивой системе, которая исправлена и обновлена, чрезвычайно трудно убедительно знать, являются ли изменения в системе разрешены или нет. Linux делает это особенно трудным.
С Linux, двоичные файлы и библиотеки разбросаны по многим каталогам:/boot,/bin,/usr/bin,/lib,/usr/lib,/opt/bin,/usr/local/bin и многие другие. Файлы конфигурации аналогично разбросаны по/etc,/opt/etc,/usr/local/etc,/usr/lib и т. Д. Эти каталоги имеют файлы, которые никогда не должны быть изменены, и другие, которые регулярно обновляются. Когда службы обновления системы запускаются, они часто создают временные файлы в этих каталогах. Следовательно, очень трудно заблокировать все эти каталоги и одновременно выполнить авторизованные системы и программного обеспечения.
Благодаря различной героике вы можете попытаться обнаружить, какие модификации авторизованы, и разрешить только обновления системы в определенных временных окнах. Но это также открывает окна возможностей для хакеров. Умные злоумышленники могут сконструировать свои взломы, чтобы совпадать с авторизованными обновлениями системы и, таким образом, «проникнуть через ворота» незамеченными.
Необываемые серверы решают весь этот беспорядок. С неизменным сервером любое изменение является показателем компромисса — поскольку никаких модификаций не авторизованы, никогда!
Когда системы обнаружения вторжений сочетаются с неизменными серверами, они могут обнаружить изменения в системе в режиме реального времени и либо карантин, немедленно остановить или прекратить сервер.
Расширенная на все облако, неизменная парадигма позволяет точно настроить и контролировать целый облачный сервис для любых несанкционированных изменений. Таким образом, злоумышленнику гораздо сложнее изменить или повредить службу без немедленного обнаружения.
С Powerdown , мы использовали этот подход об неизменной инфраструктуре с обнаружением вторжения. Любые и все изменения в критических системных каталогах и файлах на неизменных серверах обнаруживаются и управляются. Мы отслеживаем патчи системы и используем автоматический процесс, чтобы обновить основные изображения AMI и экземпляры сервера.
На стороне облака Terraform может проверять конфигурацию для отклонений и может повторно наносить желаемую конфигурацию. На AWS это означает обнаружение изменений в VPC, сервисные группы, учетные записи, роли IAM и т. Д.
Это будущее для безопасной работы в облаке. Неизвестная инфраструктура здесь, чтобы остаться и станет нормой. С такими инструментами, как Terraform , Создание неподвижных серверов и конфигураций проще, чем когда -либо.
Смотрите другие контрольные списки по адресу: https://www.sensedeep.com/blog и снизить ваши затраты на облачные данные с помощью Powerdown по адресу: https://www.sensedeep.com/powerdown Анкет
Оригинал: «https://dev.to/sensedeep/immutable-infrastructure-can-be-dramatically-more-secure-1nm0»