Orion Security
「透過安全措施確保安全無虞。」
美國鎖定史密斯的熱門典範Alfred Charles Hobbs 1851 年,在今年倫敦一場展覽中輕鬆挑選水晶宮鎖。我們完全同意,這也是我們 Oracle Cloud Infrastructure (OCI) 自動化引擎藍圖的原因GitHub 提供.
Orion 基礎架構安全性
符合 FIPS 140-2 規範,適用於反向連接埠轉送服務 (HTTPS/SSH/IPsec) 的三重加密。皮帶,懸吊和攪拌!
Passwordless RBAC 用 模型,對等正交 otp - sha1.
伺服器沒有儲存任何固定密碼。* 極限 * 無頭 (headless) 自動化 sudo / RBAC 使用,理由好。不過,我們已經工具.
封閉測試環境執行組建和 CGI 命令檔
我們部署 “shared-nothing” 區域組建,預設為零網路可用性。這表示客戶建置可以存取或修改的唯一項目是自己的資產,而不是區域本身的任何其他客戶或任何其他系統路徑 (除了/ 暫存
.
CGI 程序檔的 Ditto,在寫入存取權以外的任何項目時完全被鎖定/ 暫存
.
端對端加密
HTTPS FIPS 140-3 連線適用的 TLS 1.3 (+FS) AES (256) SHA (256).
SSHv2 ED25519 FIPS 140-3 / NIST 相容金鑰適用於跨主機
批次
.跨區域 VPN 的 IPsec/IKEv2/PFS AES (256).
AES (256) 用於 ZFS 加密
零信任層面
基本前提零信任架構 避免在垃圾的生理周圍設計您的網絡安全:在外面硬著,但一旦進入,軟和鬆散。因此,我們不會這麼做;各種「存在點 (POP)」區域網路內每個有意義的授權網路連接埠,都只會暴露在裸機機器的回送裝置介面上lo0
.
當一個區域上線後,此基礎架構完全自動化,但我們可以公開分享架構 (與軍人手「鬆嘴船」平衡的霍布斯透明度比科學更為藝術)。保有— 超越破壞防偽lo0
.
即使主要 OCI 控制帳戶受到危害,所有客戶資產的 ** 機密性 ** 和 ** 完整性 ** 仍會保持違規狀態。所有的黑色帽子都能夠與客戶網站 ** 可用性 ** 搞定。特別是,他們無法存取 Subversion 服務資料記錄。在無效 Apple 的 OCI 存取終止後,我們可以在 48-72 小時內從頭重新建構整個 OCI 基礎架構。
記錄、監控與稽核
我們鼓勵企業客戶建立 Splunk 帳戶,我們會從您所需的每個全球 POP 將近乎即時的 Weblogs 提供給您的帳戶。Splunk 也提供伺服器端 CGI 命令檔的錯誤日誌。
我們會監控全球所有 OCI POP 的服務可用性,並在伺服器停機時間超過 30 秒時觸發 HA (可用性網域) 或區域容錯移轉事件。
透過使用 Apache 授權建立網站的 Subversion HEAD,即可執行 ACL 稽核Orion SSG 命令檔並檢查產生的組建繁體中文 (香港)
.
Subversion Server-Side Commit Hooks 也可根據您的監督問題自訂。從簡單的確認郵件程式到安全的 svnpubsub 常駐程式存取,都有不限數目的自訂配置可用。
Orion 應用程式安全性
Orion 的安全模型由內含的設定集中管理@path::acl
被限制於程式庫 /path.pm
.
OpenIDC SSO 安全
階段作業 Cookie 標記為 HttpOnly 且安全,因此 Orion Online Editor 會有效中立 Javascript 階段作業竊取嘗試。
Subversion 密碼加密
可調整的捨入數目 (目前預設為 5)。
受污染的資料保護
我們所有的 Perl 程式實際執行都啟用了 -T 旗標的強制性 Taint 檢查;這是針對遠端 Shell 爆炸的強大唯一 Perl 防護。
Wiki 問題
Wiki 安全涉及數個因素:
1.UI/API 安全
中介軟體 / 後端安全
範本遍訪保護
搜尋引擎 ACL 相容性
我們認為這些問題與以下的 Orion 有關。
線上編輯器
線上編輯器支援 JSON UI,只要將使用者代理程式的 Accept 標頭設定為偏好應用程式 /json
.
** 直接 Subversion 存取之外沒有管理 UI/API**。
Subversion ACL 會管理伺服器端工作複本讀取存取
透過 UI 提供的每個工作複本資源在向使用者展示之前,會對 Subversion ACL 進行交叉檢查。如此一來,我們就無法對受版本控制的資產 (亦即 ** 所有項目 **) 讀取未經授權的資源。
確認存取是由 Subversion ACL 直接控制
沒有相應的授權 Subversion 確認,就無法透過網路建立及後續檢視任何內容。此處的主要問題是控制 Wiki 頁面作者所確認和建立之編輯項目可用的資訊。
如果您允許在減價來源頁面中預先處理範本,則必須瞭解範本引數如何讓樹狀結構中的其他檔案內容可作為已編輯頁面來源的變數。
通常,如果設定為這樣做,編輯過的頁面可以在頁面標頭中宣告自己的相依性檔案,這就像您在 Wiki 資訊架構中對安全控制的權重功能集一樣。
雖然我們可以根據您的需求提供指引和支援,但您還是可以決定如何平衡組織企業 Wiki 的規模。
請參閱以下部分:相依性 /ACL 注入控制 如需詳細資訊,請查看此即時範例,瞭解如何集中設定 ACL 程式庫 /acl.yml
.
- path: content
rules:
"@staff": rw
"@svnadmin": rw
"*": r
- path: content/orion
rules:
"@marketing": rw
"@staff": rw
"@svnadmin": rw
"*": r
- path: lib
rules:
"@svnadmin": rw
"@devops": rw
- path: lib/acl.yaml
rules:
"@svnadmin": rw
"@security": rw
- path: templates
rules:
"@svnadmin": rw
"@frontend": rw
- path: cgi-bin/search.pl
rules:
"*":
「內容作者」可以在頁面的設定頁面限制標頭.
Title: Orion Security
Dependencies: *.md.en api/index.md.en
ACL: @staff=rw, *=r
Keywords: security,infosec,appsec,ipsec,devsecops,it,acl,svnauthz
作為側邊備註,即使未在建立與修改分支時放置任何其他 ACL 控制項,仍無法由未經授權的人員將受保護的資源複製到分支。換句話說,系統將支援分支實驗,而不會對您的零件進行任何其他控制,以確保保護資產在每個分支的自然生命週期中保持保護。
建置系統 ACL?
建置系統是全方位且全盤瞭解的,但我們可以確保只有您在 Subversion ACL 中管理及控制的團隊才能看見您所建置、受保護的資產。
組建系統會在確認時顯示其透過瀏覽器 IDE 建立的檔案名稱清單,但是該清單只根據使用者在確認中新增、更新或刪除內容動作所相依的資源讀取存取權而定。
範本遍訪控制
sub sanitize_relative_path {
for (@_) {
s#^[\\/]+##g;
s/^\w+://g; #Windows GRR
s#([\\/])+#$1#g;
s#/\./#/#g;
1 while s#[\\/][^\\/]+[\\/]\.\.[\\/]#/#;
s#^(?:\.\.?[\\/])+##;
}
}
此代碼會強制執行本節下方的規則。
包含與擴充標記
所有目標檔案都在以下的子資料夾中/ 範本 /
.
ssi 標記
所有目標檔案都在以下的子資料夾中/ 內容 /
.
目標路徑若未設定於@path::樣式
具有可封存或分類有問題之目標路徑的比對設定,ssi
.
這是因為ssi
.
相依性 /ACL 注入控制
控制者程式庫 /path.pm
.
lib/{path,view}.pm Subversion ACL
若要控制這些資源的寫入存取權,請將它們限制在程式碼庫中的人員,並授權在版本控制下對整組資產實行安全控制 (亦即 * 一切 *)。
它也是包含它的好主意@svnadmin
.
透過動態產生的規則@
編譯系統會記下您的程式庫 /path.pm
.
在 lib/path.pm 中對 seed_file_deps() 和 seed_file_acl() 的自訂控制項使用
超過這些符號的匯入程式庫 /path.pm
,在 walk_content_tree () 程式碼區塊執行期間,您想要將它們套用至哪些檔案,以及套用至哪些檔案。畢竟,它不只是一個配置文件,而是一個代碼庫,具備所有 Turing 的完整功能。佩爾
.
內建網站與 Subversion ACL 同步處理@
自動保護臨時分支組建。需要其他配置為零。
PCRE 搜尋引擎內建控制
與一般用途 UI 相同的情況:它會對照 UI 中的 Subversion 伺服器進行交叉檢查。
在即時網站上,搜尋引擎會在您啟用 Markdown (來源樹狀結構) 搜尋時執行完全相同的動作。否則,它會對您的即時網站執行 httpd 子要求,以測試使用者是否有存取該即時檔案的授權 (假設您有密碼保護您的搜尋引擎,因此有使用者資料可供使用)。
內容安全性政策
Google 與 / 或 LinkedIn。
資料必須由我們的伺服器提供。
內容必須由我們的伺服器提供。
必須從我們的伺服器提供 Javascript 程式碼。
CSS 必須由我們的伺服器提供。
僅 PDF。
跨來源資源共用
[x]
企業與企業客戶可以將 Orion 視為無頭 CMS 如果想要從下列位置建立自己的 UI:JSON Subversion 波蘭版 或者JSON 搜尋.
第三方相依性
非常短暫且經過時間測試的相依性;其主要元件涵蓋在Orion 技術.
軟體用料表 (SBOM) 可依要求提供
聯絡我們.
索引
Orion 功能 — 您瀏覽器和 (node.js 型) markdown.js 組建命令檔中的 javascript 程式碼轉換引擎相同…
SunStar 系統 Orion — 企業 Wiki 用於建立、管理及提供靜態網頁,其中使用 #Jamstack 技術提供動態功能…
Orion API — 此頁面編製 ** 搜尋、線上編輯器、Django 樣板程式庫及組建系統 ** API 的索引…
Orion 計畫 — 提供年度預付價格折扣 (每月計費成本最多可折扣 20%)…
Orion 隱私權政策 — 這是符合 GDPR 規範的選擇加入系統。第一次造訪 Orion 時™ CMS/IDE,您將被導引到 Google 頁面,要求您授權…
Orion 參考 — 這些熱粉紅色鉛筆圖示 右上方的來源路徑會提供您即時示範…
Orion 技術 — 現在 w/ mod_perl v2.0.13 w/ ithreads 和 httpd v2.4.58 w/ event mpm 。…