安全的本质

安全的本质是信任的问题。
一切的安全方案设计的基础,都是建立在信任关系上的。我们必须相信一些东西,必须有一些最基本的假设,安全方案才能得以建立;如果我们否定一切,安全方案就会如无源之水,无根之木,无法设计,也无法完成。
从另一个角度来说,一旦我们作为决策依据的条件被打破、被绕过,那么就会导致安全假设的前提条件不再可靠,变成一个伪命题。因此,把握住信任条件的度,使其恰到好处,正是涉及安全方案的难点所在,也是安全这门学问的魅力所在。

安全三要素

机密性、完整性、可用性
机密性要求保护数据内容不能泄露,加密是实现机密性要求的常见手段。
完整性则要求保护数据内容是完整、没有被篡改的。常见的保证一致性的技术手段是数字签名。
可用性要求保护资源是“随需而得”。

如何实施安全评估

分为四个阶段:资产等级划分、威胁分析、风险分析、设计安全方案。

资产等级划分

资产等级划分是所有工作的基础,这项工作能够帮助我们明确目标是什么,要保护什么。
互联网安全的核心问题,是数据安全的问题。
对互联网公司拥有的资产进行等级划分,就是对数据做等级划分。(每个公司最重要的资产,最看重的数据不同。)
完成资产等级划分后,对要保护的目标已经有了一个大概的了解,接下来就是要划分信任域和信任边界了。(比如两个应用之间存在数据交互业务,那么就要考虑这里的数据交互对于各自应用来说是否是可信的,是否应该在这两个应用之间划一个边界,然后对流经边界的数据做安全检查。)

威胁分析

信任域划好之后,我们如何才能确定危险来自哪里呢?在安全领域里,我们把可能造成危害的来源称为威胁(Threat),而把可能会出现的损失称为风险(Risk)。
威胁分析就是把所有的威胁都找出来,一般会使用一些模型来找。
威胁分析是非常重要的一件事情,因为如果在确定攻击面的时候想得不够全面,攻击者就可以利用事先完全没有想到的漏洞完成入侵。但是另一方面,并非每个威胁都会造成难以承受的损失。一个威胁到底能够造成多大的危害,如何去衡量他?这就要考虑到风险了。我们判断风险的高低的过程,就是风险分析的过程。

风险分析

风险由以下因素组成:
Risk = Probability * Damage Potential
影响风险高低的因素,除了造成损失的大小外,还需要考虑到发生的可能性。

设计安全方案

安全评估的产出物,就是安全解决方案。解决方案一定要有针对性,这种针对性是由资产等级划分、威胁分析、风险分析等阶段的结果给出的。
作为安全工程师,要想的就是如何通过简单而有效的方案,解决遇到的安全问题。安全方案必须能够有效抵抗威胁,但同时不能过多干涉正常的业务流程,在性能上也不能拖后腿。
好的安全方案对用户应该是透明的,尽可能地不要改变用户的使用习惯。

设计安全方案的原则

Secure By Default,是时刻要牢记的总则;纵深防御,是要更全面、更正确地看待问题;数据与代码分离,是从漏洞成因上看问题;不可预测性,是从克服攻击方法的角度看问题。

Secure By Default原则

这个原则可以归纳为白名单、黑名单的思想,如果更多地使用白名单,那么系统就会变得更安全。Secure By Default的另一层含义就是“最小权限原则”。最小权限原则要求系统只授予主体必要的权限,而不要过度授权,这样能有效地减少系统、网络、应用、数据库出错的机会。

纵深防御原则

纵深防御包含两层含义:首先,要在各个不同层面、不同方面实施安全方案,避免出现疏漏,不同安全方案之间需要相互配合,构成一个整体;其次,要在正确的地方做正确的事情,即:在解决根本问题的地方实施针对性的安全方案。
纵深防御并不是同一个安全方案要做两遍或多遍,而是要从不同的层面、不同的角度对系统做出整体的解决方案。
就入侵的防御来说,我们需要考虑的可能有Web应用安全、OS系统安全、数据库安全、网络环境安全等。在这些不同层面设计的安全方案,将共同组成整个防御体系,这也就是纵深防御的思想。

数据与代码分离原则

这一原则广泛适用于各种由于“注入”而引发安全问题的场景。将用户数据当作代码执行,混淆了代码与数据的边界,就会导致安全问题的发生。

不可预测性原则

不可预测性能有效地对抗基于纂改、伪造的攻击。实现往往需要用到加密算法、随机数算法、哈希算法,好好使用这条原则,在设计安全方案时往往会事半功倍。