אוריון ניירות ערך
“ביטחון באמצעות עמימות הוא לא הרבה ביטחון בכלל”.
פופולרי paraphasing של מסגר אמריקאי אלפרד צ’ארלס הובס בשנת 1851, אשר בחרה בקלות את מנעולי קריסטל פאלאס במהלך תערוכה בלונדון באותה שנה. אנחנו מסכימים לגמרי, וזו הסיבה שהתוכניות שלנו למנוע האוטומציה של Oracle Cloud Infrastructure (OCI) שלנו הן זמין בכתובת GitHub.
מס’ אבטחת תשתיות אוריון
תואם FIPS 140-2 עם הצפנה משולשת MFA עבור שירותי היפוך-יציאה שהועברו (HTTPS/SSH/IPsec). חגורה, משעים, ו ארכובות!
Passwordless חדר ליחיד מודל, peppered עם אורתרוס otp-sha1.
לא אוחסנו סיסמאות קבועות בשרתים. זה מגביל אוטומציה חסרת ראש של שימוש sudo / RBAC, מסיבה טובה. אבל יש לנו כלי.
ביצוע Sandboxed לבנייה ולתסריטי CGI
אנו פורסים בוני אזורים “משותפים-שום דבר”, המוגדרים כברירת מחדל כזמינות רשת אפס. משמעות הדבר היא שהדברים היחידים שבניית לקוח יכולה לגשת אליהם או לשנות הם הנכסים שלה, לא אלה של כל לקוח אחר, או כל נתיבי מערכת אחרים באזור עצמו (מלבד זאת). /טמפ
.
Ditto לתסריטי CGI, הנעולים במלואם במונחים של גישת כתיבה לכל דבר שאינו /טמפ
.
הצפנה מקצה לקצה
TLS 1.3 (+FS) AES(256) SHA(256) עבור חיבורי HTTPS FIPS 140-3
SSHv2 ED25519 FIPS 140-3 / מפתחות תואמי NIST עבור מארח צולב
לולאה
.IPsec/IKEv2/PFS AES(256) עבור VPN חוצה אזורים
AES(256) להצפנת ZFS
אפס אמון
הנחת היסוד של ארכיטקטורת אפס אמון זה כדי למנוע עיצוב אבטחת הרשת שלך סביב הפיזיולוגיה של clam: קשה מבחוץ, אבל רך רופף ברגע שאתה בפנים. אז אנחנו לא עושים את זה; כל יציאת רשת בעלת זכות משמעותית בתוך נקודות הנוכחות השונות (POP) LAN חשופה רק לממשק התקן הלולאה לאחור של מכונת מתכת חשופה lo0
.
אינפרה זו היא אוטומטית לחלוטין ברגע שאזור מובא באינטרנט, אבל זה כל מה שאנחנו יכולים לחלוק בפומבי על הארכיטקטורה (איזון שקיפות הובסית עם המנטרה הצבאית “ספינות כיור שפתיים רופפות” הוא יותר אמנות מאשר מדע). היו סמוכים ובטוחים — מעבר לשבור את antispoofing lo0
.
גם אם חשבון הבקרה הראשי של OCI נפרץ, הסודיות ו שלמות של כל נכסי הלקוחות עדיין מנוגדת. כל מה שחום שחור יכול לעשות הוא לעשות בלגן עם אתר הלקוח זמינות. בפרט, הם לא יכולים לגשת לרשומות הנתונים של שירות Subversion. אנו יכולים לשחזר את כל תשתית OCI מאפס תוך 48-72 שעות לאחר שהגישה ל- OCI של התפוח הגרוע הסתיימה.
רישום ביומן, מעקב וביקורת
אנו מעודדים לקוחות Enterprise ליצור חשבון Splunk, ואנו נספק יומני אינטרנט כמעט בזמן אמת לחשבון שלך מכל POP גלובלי שאתה צריך. יומני השגיאות של תסריטי CGI בצד השרת הופכים זמינים גם ל-Splunk.
אנו עוקבים אחר זמינות השירות מכל ה-OCI POPs שלנו ברחבי העולם ומפעילים את HA (תחום זמינות) או אירועים אזוריים וגיבוי בעת כשל אם הפסקת שרת נמשכת יותר מ-30 שניות.
ביקורת ACL יכולה להתבצע על ידי בניית Subversion HEAD של אתר אינטרנט באמצעות Apache Licensed אוריון SSG סקריפט ובוחן את הבנייה המתקבלת www/.acl
.
גם ה-Subversion Server-Side Commit Hooks ניתנים להתאמה אישית בהתאם לחששות הפיקוח שלך. מ-commit mailer פשוט לגישה מאובטחת ל- svnpubsub daemon שלנו, יש מספר כלשהו של תצורות מותאמות אישית זמינות.
מס’ אבטחת יישומי אוריון
מודל האבטחה של אוריון מנוהל באופן מרכזי על ידי ההגדרות הכלולות ב @path::acl
כפי שנקבע ב- ספרייה/path.pm
.
OpenIDC אבטחת SSO
קובצי Cookie של מושב עבודה הם HttpOnly ומסומנים בדגל מאובטח, ולכן ניסיונות גניבת מושב Javascript מנוטרלים ביעילות על ידי העורך המקוון של אוריון.
הצפנה לסיסמאות תת-גרסה
מספר סבבים ניתן להתאמה (כרגע ברירת המחדל היא 5).
מס’ ## הגנות נתונים צבועים
כל זמני הריצה של פרל שלנו כוללים בדיקות צבע חובה המאופשרות עם הדגל - T; מגן פרל רב עוצמה וייחודי נגד פיצוצי מעטפת מרחוק.
בעיות Wiki
אבטחת Wiki כוללת מספר גורמים:
אבטחת ממשק משתמש/API
אבטחת Middleware/Backend
הגנות מעבר שיטתי על תבנית
תאימות ACL של מנוע חיפוש
אנו מתעמקים בנושאים אלה כאשר הם מתייחסים לאוריון למטה.
עורך מקוון
העורך המקוון תומך בממשק משתמש של JSON על-ידי הגדרת הכותרת ‘הסכמה לקבל’ של סוכן המשתמש שלך כדי להעדיף את יישום/json
.
אין ממשק משתמש מינהלי/API מחוץ לגישה ישירה ל-Subversion.
ACLs של תת-גרסה קובעים את גישת הקריאה של עותק העבודה בצד השרת
כל משאב של עותק עבודה הזמין באמצעות ממשק המשתמש נבדק בקישור צולב כנגד רשימות בקרת הגישה (ACL) של תת-הגרסה לפני הצגתן למשתמש. בדרך זו אנו מבטיחים גישה לקריאה לאישורים לא מורשים נמנעת עבור הנכסים תחת ניהול גרסאות (aka הכל).
גישת אישור לביצוע נשלטת ישירות עם רשימות בקרת גישה של תת-גרסה
לא ניתן לבנות דבר ולהציגו לאחר מכן ברשת ללא התחייבות מתאימה ל-Subversion. הבעיה העיקרית כאן היא בשליטה איזה מידע זמין לעריכות שבוצעו ונבנו של מחבר דף ויקי.
אם אתה מתיר עיבוד מקדים של תבנית בדפי מקור הסימון לאחור, עליך להיות מודע לאופן שבו ארגומנטים של תבנית הופכים את התוכן של קבצים אחרים בעץ לזמין כמשתנים למקור העמוד הערוך.
לעתים קרובות, אם מוגדר לעשות זאת, הדף הערוך יכול להצהיר על קבצי התלות שלו בכותרות של הדף, וזה משהו לחשוב כפי שאתה שוקל ערכות תכונות נגד בקרות אבטחה בארכיטקטורת המידע של Wiki שלך.
בעוד אנו יכולים להציע הדרכה ותמיכה כדי להתאים לצרכים שלך, זה באמת תלוי בך להחליט כיצד לאזן את המאזניים עבור הוויקי הארגוני של הארגון שלך.
עיין בסעיף שלהלן ב- בקרות הזרקת תלות/ACL לקבלת פרטים נוספים, וקופה דוגמה חיה זו של כמה קל ACL’s ניתן להגדיר באופן מרכזי ב ספרייה/acl.yml
.
- path: content
rules:
"@staff": rw
"@svnadmin": rw
"*": r
- path: content/orion
rules:
"@marketing": rw
"@staff": rw
"@svnadmin": rw
"*": r
- path: lib
rules:
"@svnadmin": rw
"@devops": rw
- path: lib/acl.yaml
rules:
"@svnadmin": rw
"@security": rw
- path: templates
rules:
"@svnadmin": rw
"@frontend": rw
- path: cgi-bin/search.pl
rules:
"*":
מחברי תוכן יכולים להגדיר הגבלות דף בדף כותרות.
Title: Orion Security
Dependencies: *.md.en api/index.md.en
ACL: @staff=rw, *=r
Keywords: security,infosec,appsec,ipsec,devsecops,it,acl,svnauthz
בהערה צדדית, לא ניתן להעתיק משאבים מוגנים לענף על-ידי כוח אדם לא מורשה, גם בלי להציב בקרות ACL נוספות על יצירה ושינוי של סניפים. במילים אחרות, המערכת תתמוך בניסויים בסניפים ללא כל בקרה נוספת מצידך כדי להבטיח שנכסים מוגנים יישארו מוגנים לאורך מחזור החיים הטבעי של כל ענף.
בניית ACLs של מערכת?
מערכת הבנייה היא כל רואה וידע, אבל אנחנו יכולים להבטיח שהנכסים הבנויים והמוגנים שלך יהיו גלויים רק לצוותים שאתה מנהל ושולט ב-ACLs של Subversion.
מערכת הבנייה תחשוף את רשימת שמות הקבצים שהיא בנתה באמצעות הדפדפן IDE עם ביצוע commit, אך רשימה זו מבוססת רק על גישת קריאה של משתמש למשאבים התלויים בפעולות הוספה, עדכון או מחיקה של תוכן ב-commit של המשתמש.
בקרות מעבר שיטתי על תבנית
sub sanitize_relative_path {
for (@_) {
s#^[\\/]+##g;
s/^\w+://g; #Windows GRR
s#([\\/])+#$1#g;
s#/\./#/#g;
1 while s#[\\/][^\\/]+[\\/]\.\.[\\/]#/#;
s#^(?:\.\.?[\\/])+##;
}
}
קוד זה אוכף את הכללים שמופיעים להלן בחלק זה.
כולל תגיות ומרחיב אותן
כל קובצי היעד נמצאים בתיקיית משנה של /תבניות/
.
תגית ###### ssi
כל קובצי היעד נמצאים בתיקיית משנה של /תוכן/
.
אם נתיב היעד אינו מוגדר ב- @path::תבניות
עם הגדרת התאמה שמאפשרת להעביר לארכיב את נתיב היעד או לסווג אותו לקטגוריות. ssi
.
זה בגלל ssi
.
בקרות הזרקת ACL/תלות
נשלט על-ידי ספרייה/path.pm
.
lib/{path,view}.pm ACLs של תת-גרסה
זה חכם לשלוט בגישת כתיבה למשאבים אלה, על-ידי הגבלתם לאנשים המוסמכים בבסיס הקוד והרשאתם ליישם בקרות אבטחה עבור כל קבוצת הנכסים תחת בקרת גרסאות (ידועה גם כ- הכל).
זה גם רעיון טוב לכלול את @svnadmin
.
כללים שהופקו באופן דינמי באמצעות @
מערכת הבנייה לוקחת בחשבון את ספרייה/path.pm
.
פקדים מותאמים אישית בשימוש ב-seed_file_deps() וב-seed_file_acl() ב-lib/path.pm
מעבר לייבוא של סמלים אלה ספרייה/path.pm
, קיימת גם אפשרות לבחור כיצד ולאילו קבצים ברצונך להחיל אותם, במהלך ביצוע בלוק קוד walk_content_tree (). אחרי הכל, זה לא רק קובץ תצורה, אלא בסיס קוד, עם כל התכונות המלאות של טיורינג של פרל
.
אתר אינטרנט בנוי ו-ACL של Subversion מסונכרנים עם @
הגנה אוטומטית לבניית סניף אפמרלי. דרושה תצורה נוספת אפס.
בקרות מובנות של מנוע חיפוש של PCRE
אותו מצב כמו ממשק המשתמש למטרות כלליות: הוא מבצע בדיקות צולבות מול שרת Subversion מממשק המשתמש.
באתר החי, מנוע החיפוש יעשה את אותו הדבר בדיוק כאשר תאפשר חיפושים עם markdown (עץ מקור). אחרת, היא תפעיל בקשות משנה של httpd לאתר החי שלך כדי לבדוק אם המשתמש מורשה לגשת לקובץ החי הזה (בהנחה שהגנת באמצעות סיסמה על מנוע החיפוש שלך כך שיש לו נתוני משתמש לעבוד איתו).
כללי מדיניות של אבטחת תוכן
גוגל ו/או LinkedIn.
יש למסור נתונים מהשרתים שלנו.
התוכן חייב להימסר מהשרתים שלנו.
קוד JavaScript חייב להימסר מהשרתים שלנו.
CSS חייב להיות מועבר מהשרתים שלנו.
כרגע רק PDF.
מס’ ## שיתוף משאבים חוצי מקורות
[x]
לקוחות עסקיים וארגוניים יכולים להתייחס לאוריון כאל אוריון. CMS ללא ראש אם הם רוצים לבנות ממשק משתמש משלהם JSON Subversion פורצלן או חיפוש JSON.
יחסי תלות של צד שלישי
יחסי תלות קצרים במיוחד שנבדקו בזמן; המרכיבים העיקריים שבהם מכוסים על אוריון טכנולוגיה.
עץ מוצר של תוכנה (SBOM) זמין לפי בקשה
אינדקס
תכונות אוריון — אותו מנוע עיבוד קוד javascript בדפדפן ובסקריפט הבנייה (node.js-based) markdown.js…
SunStar אוריון מערכות — ויקי Enterprise עבור יצירה, ניהול ומסירה דפי אינטרנט סטטיים באמצעות טכנולוגיית #Jamstack לתכונות דינמיות שבה…
API של אוריון — דף זה מפתח את חיפוש, עורך מקוון, ספריית תבניות Django וממשקי API של Build System…
תוכניות אוריון — הנחות שנתיות על תמחור מראש זמינות (עד 20% הנחה על עלויות חיוב חודשיות)…
מדיניות הפרטיות של אוריון — זוהי מערכת opt-in תואמת GDPR. בביקור הראשון באוריון ™ CMS / IDE, אתה תהיה מופנה לדף גוגל מבקש ממך לאשר…
אסמכתת אוריון — סמלי העיפרון הוורודים החמים בפינה הימנית העליונה לצד פירורי הלחם יעניקו לכם הדגמה חיה…
אוריון טכנולוגיה — עכשיו w/ mod_perl v2.0.13 w/ ithreads ו- httpd v2.4.58 w/ event mpm….