![](https://img-blog.csdnimg.cn/28ff20b133564eb0b2e0377fcc9ef758.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU5MzU4NjQ4,size_16,color_FFFFFF,t_70#pic_center)

作者｜陳建鋒
來源｜[爾達 Erda 公眾號](https://mp.weixin.qq.com/s/HUmjfwX6pemmItIuT5U5IA)

軟體研發是一個複雜的工程，不僅需要進行軟體的設計、開發、測試、運維，還涉及到大量的人力、物力管理。今天討論的主角 - “安全”，在軟體研發中是一個極易被忽視的主題，但相比程式碼 Bug 而言，安全問題一旦出現，破壞力更大甚至是致命的。

下面先給大家舉些例子感受一下。

> 5 月 7 日，Colonial 油管（其管道為美國東海岸供應 45% 的汽油、柴油、航空燃料）遭遇了歷史上最大的勒索軟體攻擊，在當地時間 5 月 8 日被迫全線關閉，遲至 5 月 16 日才恢復“正常運營”。
>

> 6 月 30 日某滴低調赴美上市。7 月 9 日網信網通報“某滴 25 款 APP 存在嚴重違法違規收集個人資訊問題”。7 月 10 日國家網際網路資訊辦公室釋出關於《網路安全審查辦法（修訂草案徵求意見稿）》公開徵求意見的通知。徵求意見稿包括了“掌握超過 100 萬使用者個人資訊的運營者赴國外上市，必須向網路安全審查辦公室申報網路安全審查。”

# 為什麼安全是一個困難

安全問題和程式碼 Bug 一樣，普遍存在於軟體的全生命週期之中。電腦保安協會（CSI）曾對企業、政府機關、金融機構、醫療機構、大學等進行調研，徵詢他們是怎麼被安全威脅影響到的。在其收到的 522 份專業反饋答案驚人的一致，“來自內部”… 而且佔比高達 80%。所以不必懊惱，很多時候你只是那 80% 裡面的一份子而已。

> 《CSI Computer Crime & Security Survey》：[_http://i.cmpnet.com/v2.gocsi.com/pdf/CSIsurvey2008.pdf_](http://i.cmpnet.com/v2.gocsi.com/pdf/CSIsurvey2008.pdf)

**軟體相關的安全問題表現和解決方式繁多**。常見的安全問題非常零散：

1. 如何合理的分配許可權並高效管理
1. 如何保障程式碼許可權和質量
1. 如何安全的對公網提供 Open API
1. 如何使用 HTTPS 安全傳輸協議
1. 如何保證隱私資料安全
1. 如何快速發現並修復安全漏洞
1. …

作為一個軟體研發平臺，遇到的安全挑戰就更復雜了：

1. 多租戶隔離：平臺之上的多個專案、多個企業的資源如何託管才能做到既有效隔離，又高效共享？
1. 依賴管理：而今萬物互聯，如何管理好外部依賴（例如雲資料庫、三方系統登入資訊）避免關鍵認證資訊洩露、防止付費服務被濫用導致資損？
1. 微服務管理：成千上萬的微服務如何進行安全漏洞掃描？成百上千的域名如何管理避免大門敞開？

**在很多專案中，安全都是一個獨立的團隊負責，安全工作往往是在軟體研發基本完成後才開始**。這樣的合作方式會導致安全問題暴露較晚，修復付出的成本非常高，而且跨團隊的鴻溝也增加了協同成本甚至文化衝突。在當下敏捷模式為主的研發專案中，此種組織架構亟待升級。

**安全是企業客戶最重視的事情，沒有之一**，它是企業的生命線，強調再多都無可厚非。在我們所服務的每一位客戶心中，任何安全問題的修復都是第一優先順序。

綜上所述，在 DevOps 、微服務和雲原生盛行的當下，因循守舊的邊緣化安全無疑會掣肘軟體的生產速度和產品質量。那破解之道在何處呢？

# 破解之道 DevSecOps

早在 2012 年 Gartner 就提出了 DevSecOps 理念，它是一種糅合了開發、安全、運維的全新模式。2016 年，Gartner 進一步釋出《DevSecOps: How to Seamlessly Integrate Security into DevOps》報告，強調“需要將安全整合到 DevOps 鏈路上同時保持敏捷研發”。RSA Conference 從 2017 年開始設定 DevSecOps  研討專題，討論主題涵蓋了從技術實踐到文化融合。

> -《DevOpsSec: Creating the Agile Triangle》：
> [_https://www.gartner.com/en/documents/1896617/devopssec-creating-the-agile-triangle _](https://www.gartner.com/en/documents/1896617/devopssec-creating-the-agile-triangle )
>

> -《DevSecOps: How to Seamlessly Integrate Security into DevOps》：
> [_https://cdn2.hubspot.net/hubfs/1958393/White_Papers/devsecops_how_to_seamlessly__315283.pdf_](https://cdn2.hubspot.net/hubfs/1958393/White_Papers/devsecops_how_to_seamlessly__315283.pdf)

![](https://img-blog.csdnimg.cn/4096492900b94db4b195309b5e14cbec.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU5MzU4NjQ4,size_16,color_FFFFFF,t_70#pic_center)
## DevSecOps 之道

首先是思想的破立，DevSecOps 確立了安全前置（Shift Left）的基本共識，安全應該是嵌入到現有的整個軟體研發運維流程體系，需要開發、測試、運維、安全團隊共同努力來實現軟體價值。

**其次是技術的支撐**，需要完善的工具鏈保證連結在 DevOps 流程之中的任何一個安全接入點都是高度自動化、穩定可靠且安全的。嵌入的方式應該保證高效和平滑，不能因為流程的增加而拖累軟體研發的效率。

**再次是團隊的融合**，DevSecOps 提倡的不僅是侷限於技術上的共建和創新，而是要將安全人員融入每一個研發組織，將安全意識和安全問題的快速解決整合到軟體交付過程中。

**最後是以人為本的文化及組織建設**，人的行為自始至終就與資料、威脅、風險、隱私及管理等因素交織在一起，需要能夠平衡技術框架和管理策略的新安全技術文化，打造或者轉型 DevSecOps 組織。

接下來，我們介紹一下 Erda 在 DevSecOps 上的實踐。

# Erda 的 DevSecOps 實踐

Erda 作為企業級軟體研發平臺，在設計之初就考慮到企業對安全的高要求，從技術和管理兩個角度充分注重落地 DevSecOps。

## 技術側

首先，我們從技術側 Erda 平臺提供了很多技術能力幫助研發團隊快速地讓軟體具備安全能力。

### 1）持續整合流水線

Erda Pipeline 內建了 Sonar Action 對程式碼進行質量檢查。對檢查出來的質量問題可以建立“缺陷”，進入專案協同流程，進而來跟蹤修復情況。

Pipeline Action 還擁有靈活的擴充套件能力，可以整合第三方安全公司的付費服務對程式碼質量、安全漏洞、配置洩露進行檢查。

### 2）部署資源限制

Erda 基於雲原生技術支援應用配置 CPU、Memory 的配額，很好的限制單個微服務可以使用的資源量。進一步，Erda 還支援專案配置資源配額。這樣，既可以在多個專案共享叢集的時候避免相互佔用，又能夠督促專案組合理評估資源，並在受限後及時清理避免濫用。

### 3）API 閘道器

![](https://img-blog.csdnimg.cn/f1300e1c64eb458080d3d69eb133ee92.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU5MzU4NjQ4,size_16,color_FFFFFF,t_70#pic_center)

Erda 提供的 API 閘道器實現了豐富的 API 防護策略，具體資訊如下所示：

1. IP 攔截：支援配置 API 的使用者來源 IP 黑/白名單來拒絕/允許某些來源 IP 的請求；同時支援 CC 防護，對來源 IP 的請求限速。
1. 服務負載保護（限流）：按照配置的服務最大吞吐，對請求服務的流量去峰填谷，確保到達後端服務的請求速率在限定吞吐內。當接收到的請求超過吞吐速率時，會根據超過的程度計算懲罰延時，若懲罰延時小於最大額外延時，則增加懲罰延時後再將請求傳送給服務；若懲罰延時超過最大額外延時，則立即拒絕請求。
1. 跨站防護：開啟跨站防護功能，會在使用者登入成功後種下 CSRF Token，配合前端改造，對所有請求帶上 CSRF Token；閘道器在收到請求後，會對 CSRF Token 進行校驗，確認是屬於當前使用者的 Token，才會將請求正常轉發給後端。
1. 開放鑑權：在面向合作伙伴開放 API 場景下提供豐富的 AuthN 外掛進行鑑權，包括 OAuth2 、Key Auth、HMAC Auth。可以對呼叫方進行授權管理，配置授權範圍。
1. 呼叫方審計：監控呼叫方的流量，分析熱點 API，統計錯誤率。

### 4）域名治理

1. Erda 的 API 閘道器提供域名轉發能力，可以收斂一個專案中的多個微服務域名。
1. Erda 提供企業級的全域名統籌管理，可以快速查詢域名並切入到對應的微服務應用進行管理。
1. Erda 預設提供全站 HTTPS 服務並開啟 HTTP 強轉。同時也支援自定義域名及證書配置。

### 5）對接雲安全產品

Erda 已經成功對接大量的雲廠商安全產品，例如 DDoS 防護、雲防火牆、Web 應用防火牆、堡壘機、金鑰管理服務等。

![](https://img-blog.csdnimg.cn/6aa5868284ac46fcb17cb2b08632b996.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU5MzU4NjQ4,size_16,color_FFFFFF,t_70#pic_center)

借力雲廠商的賦能，Erda 將業務系統置身於強大的保護罩之中，並對業務系統無任何侵入。

### 6）私有化安全保障

Erda 已經成功實施過幾十個私有化專案。針對私有化環境的安全保障，Erda 一方面提供了 VPN、JumperServer、作業系統加固等安全解決方案；另一方面，可以利舊客戶環境的安全產品，包括防火牆、堡壘機、F5、WAF、安全日誌審計、MFA 認證、加密儲存等。

## 管理側

**其次，從管理側 Erda 也提供了很多管理方法，幫助研發團隊治理研發過程、規避安全問題。**

### 1）許可權管理

Erda 採用基於角色的訪問控制（RBAC）實現企業級的使用者許可權管理，建立“企業 - 專案 - 應用”三層組織架構。以應用為中心，多個應用構成一個專案，一個企業可以建設多個專案，配備不同角色參與企業軟體研發。

![](https://img-blog.csdnimg.cn/11c8703f0f734f9c8c0ba23eb77a1564.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU5MzU4NjQ4,size_16,color_FFFFFF,t_70#pic_center)

Erda 設定了多種研發角色，包括專案經理、研發主管等，每個角色所擁有的許可權都是被平臺預先設定的，嚴格設定了其所能完成的操作。每個 Erda 使用者完成註冊後並不歸宿任何企業，由企業管理員將其加入企業並分配角色。同樣的，由專案管理員將專案成員加入專案並設定角色，專案成員根據在專案中不同的職能，承擔不同的角色（即擁有不同的功能許可權），相互協作完成整個專案研發。

Erda 會記錄所有的使用者修改操作，支援安全合規審計。同時平臺杜絕弱密碼，採用鹽值加密儲存，並對多次登入失敗進行賬號凍結來防範密碼暴力破解。

### 2）資源管理

![](https://img-blog.csdnimg.cn/a7a9f4316e334e05a4f119ce4aba2764.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU5MzU4NjQ4,size_16,color_FFFFFF,t_70#pic_center)

每個企業可以使用 Erda 託管多個叢集，叢集間物理隔離。特別的，多個企業還可以共享一個叢集，透過機器分組實現隔離。企業中的每個專案內建四套研發環境，每個環境都可以選擇部署叢集。

如上圖所示，企業 A 管理兩個叢集，其下的專案一、二、三的研發環境分別分屬於兩個叢集。企業 B 管理兩個叢集，其下的專案四、五分別使用一個叢集。企業 C 和 D 則共享叢集三，但它們使用的是兩組相互隔離的機器。透過不同的隔離策略，Erda 支援了靈活的安全隔離需求，同時兼顧彈性共享的業務場景。

### 3）配置管理

常見的安全隱患是硬編碼配置被到處複製。極端情況下你的賬號密碼會出現在 Github 上；企業甲會把埋點資料發到企業乙的友盟賬號裡。一旦配置洩露，企業會陷入極大的苦惱和擔憂。

Erda 的最佳實踐是將配置儲存在平臺上，工具程式碼透過配置名在對應的環境下受限使用。研發主管在生產環境配置了 rds-prod 外掛，然後開發工程師透過 erda.yaml 引用 rds-prod 來獲取資料庫配置。配置資訊僅研發主管知曉，對開發工程師不可見，做到最小暴露。

![](https://img-blog.csdnimg.cn/7a923d058ef4458ebcbaa4bb165d8ed9.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU5MzU4NjQ4,size_16,color_FFFFFF,t_70#pic_center)

同樣的，研發主管配置測試引數 clusterName 等，測試工程師透過引數名 ${{ config.autotest.clusterName }} 引用來進行介面測試。測試工程師也不接觸具體的配置引數值。

![](https://img-blog.csdnimg.cn/cbd0b46abd5b42359eae3fe13e63bd35.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzU5MzU4NjQ4,size_16,color_FFFFFF,t_70#pic_center)

特別強調一下，透過平臺管理配置也將配置引數和研發環境繫結，避免了引數和環境錯配帶來的誤用。

# 寫在最後

Erda 的安全之道在於一直秉承 DevSecOps 的理念為企業提供打造高質量軟體的研發平臺。我們會一如既往地完善自動化工具鏈，推進安全前置的同時注重安全落地的柔和低侵入。Erda Cloud 作為 DevSecOps 的倡導者，我們會持續關注於人自身，從以人為本的角度平衡技術框架和管理策略，致力於構建安全且敏捷的組織文化。

**如果你有任何疑問，歡迎新增小助手微信（Erda202106）加入交流群，參與交流和討論！**
****

- Erda Github 地址：[https://github.com/erda-project/erda](https://github.com/erda-project/erda)
- Erda Cloud 官網：[https://www.erda.cloud/](https://www.erda.cloud/)

論 Erda 的安全之道

相關文章