应用安全【免费下载链接】CheatSheetSeriesThe OWASP Cheat Sheet Series was created to provide a concise collection of high value information on specific application security topics.项目地址https://gitcode.com/gh_mirrors/ch/CheatSheetSeries点击查看免费下载导读本指南围绕 OWASP CheatSheetSeries 仓库中 Microservices based Security Arch Doc Cheat Sheet 的核心方法论展开当应用采用微服务架构无论是云原生还是本地部署时安全架构师与工程师往往缺少一份为回答安全问题而设计的架构文档。本文提供一套可落地的信息收集方案——识别构建块服务、存储、消息队列、数据资产及其关系并以图表形式呈现最终服务于威胁建模、最小权限、数据泄露与攻击面分析等安全实践。读完本文你将掌握一套结构化的架构安全信息清单与关系建模方法并能将其直接映射到 OWASP ASVS V1 架构验证要求。为什么微服务架构需要专门的安全架构文档微服务架构正越来越多地被用于云基础设施与本地基础设施中的应用系统设计与实现。与单体应用不同微服务的数量多、边界分散、通信方式多样同步/异步在设计与实现阶段面临大量安全挑战。要应对这些挑战首先必须围绕安全视角收集架构层面的信息——因为常规的业务架构文档如系统拓扑、部署图通常不足以回答安全问题。本文的目标正是提供一个具体的、可操作的方案应当收集哪些架构安全信息以及如何用这些信息支撑应用安全实践。需要回答的三类安全问题在基于微服务架构的应用安全工作中安全架构师/工程师通常要面对以下问题这些问题主要对应 OWASP ASVS 的 V1架构、设计与威胁建模要求章节本仓库中可参考 IndexASVS.md 与 IndexASVS4.md 的 V1 条目威胁建模与最小权限原则的落实某微服务访问其他微服务 API 时最小需要哪些 scope 或 API Key某微服务访问数据库或消息队列时最小需要哪些授权grant数据泄露分析哪些存储或消息队列中包含敏感数据某微服务是否向特定数据库或消息队列读写数据某个微服务被哪些微服务调用微服务之间传递了什么数据攻击面分析安全测试时需要测试哪些微服务端点在大多数情况下现有应用架构文档无法直接回答上述问题。接下来的章节将提出收集哪些架构安全信息才能回答这些问题。收集构建块Building Blocks信息构建块是微服务架构的基本组成单元。信息收集分五类应用功能服务、基础设施服务、数据存储、消息队列与数据资产。建议为每个构建块维护唯一 ID供后续关系建模引用。识别并描述应用功能服务Application-Functionality Services应用功能服务实现一个或多个业务流程或功能例如存储客户详细信息、存储并展示商品目录。针对每个应用功能服务收集以下参数参数名说明服务名称ID唯一的服务名称或 ID简要描述该微服务实现的业务流程或功能的简要描述源码仓库链接指定服务源码仓库的链接开发团队指定开发该微服务的团队API 定义若微服务暴露外部接口指定接口描述的链接例如 OpenAPI 规范。建议定义使用的安全方案例如为每个端点定义调用所需的 scope 或 API Key微服务架构描述指定微服务架构图、描述的链接如可用Runbook 链接指定微服务 runbook 的链接实践要点API 定义字段是整个清单中复用率最高的字段——它既是攻击面枚举的来源也是最小权限分析中确定 scope/API Key 的依据。若服务尚未有 OpenAPI 规范应优先补充否则后续安全测试的端点枚举将失去权威来源。识别并描述基础设施服务Infrastructure Services基础设施服务含远程服务可能实现认证、授权、服务注册与发现、安全监控、日志记录等功能。针对每个基础设施服务收集以下参数参数名说明服务名称ID唯一的服务名称或 ID简要描述服务实现功能的简要描述例如认证、授权、服务注册与发现、日志、安全监控、API 网关源码仓库链接服务源码仓库的链接如适用服务文档链接包含服务 API 定义、运维指南/runbook 等服务文档的链接实践要点基础设施服务往往是集中式安全控制的载体。例如在 Microservices Security Cheat Sheet 中介绍的 API 网关边缘层授权、集中式 PDPPolicy Decision Point、日志收集代理等都属于本清单中的基础设施服务。集中式安全控制验证对应 ASVS V1 #1.1.6直接依赖本小节的数据。识别并描述数据存储Data Storages针对每个数据存储收集以下参数参数名说明存储名称ID唯一的存储名称或 ID软件类型实现数据存储的软件例如PostgreSQL、Redis、Apache Cassandra识别并描述消息队列Message Queues消息系统例如 RabbitMQ 或 Apache Kafka用于实现微服务间的异步通信机制。针对每个消息队列收集以下参数参数名说明消息队列ID唯一的消息队列名称或 ID软件类型实现消息队列的软件例如RabbitMQ、Apache Kafka实践要点从安全角度存储与消息队列需要区分对待消息队列中的在途数据同样可能包含敏感资产且异步通信绕过了同步调用链中的网关/代理控制因此必须在关系模型中显式建模见下文服务到服务的异步通信。识别并描述数据资产Data Assets识别并描述由系统微服务/服务处理的数据资产。建议优先识别从安全角度有价值的资产例如用户信息支付信息。针对每个资产收集以下参数参数名说明资产名称ID唯一的资产名称或 ID保护级别指定资产保护级别例如PII、机密附加信息添加澄清性信息实践要点资产清单是数据泄露分析与敏感数据分类对应 ASVS V1 #1.8.1的起点。建议将资产 ID 与具体的字段/实体对应便于在服务到服务通信描述中以资产口径说明传递了什么数据。收集构建块之间的关系Relations仅有构建块清单还不够——安全问题往往产生于构建块之间的交互关系。本阶段需要识别四类关系。识别服务到存储关系针对每个服务到存储关系收集以下参数参数名说明服务名称ID指定上文定义的服务名称ID存储名称ID指定上文定义的存储名称ID访问类型指定访问类型例如读或读/写实践要点该关系是最小权限分析的核心输入服务对存储的读/写访问权限应与访问类型列严格对齐凡是只读即可的存储访问都应拒绝写权限。这也是 ASVS V1 #1.4.3 所要求的最小权限验证的数据基础。识别服务到服务的同步通信针对每个服务到服务同步通信收集以下参数参数名说明调用方服务名称ID指定上文定义的调用方服务名称ID被调用服务名称ID指定上文定义的被调用服务名称ID使用的协议/框架指定通信使用的协议/框架例如 HTTPREST、SOAP、Apache Thrift、gRPC简要描述简要描述通信目的是信息查询请求还是状态变更业务功能的请求/命令以及服务间传递的数据如可能用上文定义的资产口径描述识别服务到服务的异步通信针对每个服务到服务异步通信收集以下参数参数名说明发布方服务名称ID指定上文定义的发布方服务名称ID订阅方服务名称ID指定上文定义的订阅方服务名称ID消息队列ID指定上文定义的消息队列ID简要描述简要描述通信目的接收信息或状态变更业务功能的命令以及服务间传递的数据如可能用上文定义的资产口径描述识别资产到存储关系针对每个资产到存储关系收集以下参数参数名说明资产名称ID上文定义的资产名称ID存储名称ID指定上文定义的存储名称ID存储类型指定该资产的存储类型例如golden source黄金数据源或cache缓存实践要点资产到存储关系直接回答哪些存储包含敏感数据这一数据泄露分析问题同时用于识别敏感数据的冗余副本——例如同一资产同时存在于golden source与cache中时需要评估缓存副本是否引入了额外泄露面缓存往往缺少与主存储同等级别的访问控制。创建应用架构的图形化呈现在完成构建块与关系的收集后建议以**服务调用图services call graph或数据流图DFD**的形式图形化呈现应用架构上文定义的构建块与关系。实现方式包括使用专用建模软件工具例如 Enterprise Architect使用 DOT 语言Graphviz 的图描述语言以代码形式描述节点与边便于版本化管理。实践要点图形化呈现与威胁建模是相辅相成的。本仓库的 Threat Modeling Cheat Sheet 指出数据流图DFD是最常见的系统建模方法它必须以清晰的方式呈现信任边界、数据流、数据存储、进程以及可能与之交互的外部实体——这些正是上文收集的关系数据所包含的内容。也就是说本文的清单输出天然就是 DFD 的素材构建块对应 DFD 的进程/数据存储/外部实体节点关系对应数据流边。同时微服务与云原生应用的攻击面分析可参考 Attack Surface Analysis Cheat Sheet 中的相关章节优先关注可被外部流量触达的组件它们可能位于代理、负载均衡与 Ingress 控制器之后并可能无预警自动扩缩容。将收集的信息用于安全软件开发生命周期实践收集到的信息可用于多项应用安全实践例如在定义安全需求、威胁建模或安全测试阶段使用。以下按实践场景给出实施建议及其与 OWASP 项目的映射。攻击面分析实施建议要枚举安全测试中需要测试、威胁建模中需要分析的微服务端点分析以下小节收集的数据识别并描述应用功能服务参数API 定义识别并描述基础设施服务参数服务文档链接OWASP 项目映射OWASP ASVS V1 架构、设计与威胁建模要求 #1.1.2可参考本仓库 IndexASVS4.md并可与 Attack Surface Analysis Cheat Sheet 结合使用。数据泄露分析实施建议要分析可能的数据泄露分析以下小节收集的数据识别并描述数据资产识别服务到存储关系识别服务到服务同步通信识别服务到服务异步通信识别资产到存储关系OWASP 项目映射OWASP ASVS V1 #1.1.2OWASP Top 102017A3 敏感数据泄露。应用的信任边界、组件与重要数据流论证实施建议要验证应用所有信任边界、组件与重要数据流的文档化与论证分析以下小节收集的数据识别并描述应用功能服务识别并描述基础设施服务识别并描述数据存储识别并描述消息队列识别服务到存储关系识别服务到服务同步通信识别服务到服务异步通信OWASP 项目映射OWASP ASVS V1 #1.1.4。应用高层架构分析实施建议要验证应用高层架构及其所有连接的远程服务的定义与安全分析分析以下小节收集的数据识别并描述应用功能服务识别并描述基础设施服务识别并描述数据存储识别并描述消息队列OWASP 项目映射OWASP ASVS V1 #1.1.5。集中式安全控制实现验证实施建议要验证是否实现了集中的、简单设计经济性、经过审查、安全且可复用的安全控制以避免重复、缺失、无效或不安全的控制分析识别并描述基础设施服务小节收集的数据。OWASP 项目映射OWASP ASVS V1 #1.1.6。实践要点本仓库的 Microservices Security Cheat Sheet 对集中式控制的实现给出了架构层面的建议推荐的微服务级授权模式是带嵌入式 PDP 的集中式模式将授权策略集中定义、在微服务侧以库或边车形式存储与评估身份传播推荐采用可信签发者签名的内部实体表示结构服务间认证可采用 mTLS 或令牌方案。这些建议可用来指导基础设施服务清单中认证/授权服务的设计评审。最小权限原则的落实实施建议要定义微服务所需的最小权限分析以下小节收集的数据识别并描述应用功能服务参数API 定义识别服务到存储关系识别服务到服务同步通信识别服务到服务异步通信OWASP 项目映射OWASP ASVS V1 #1.4.3。敏感数据识别与分类实施建议要验证所有敏感数据是否被识别并按保护级别分类分析以下小节收集的数据识别并描述数据资产识别资产到存储关系OWASP 项目映射OWASP ASVS V1 #1.8.1。应用组件业务/安全功能验证实施建议要验证所有应用组件是否就其提供的业务或安全功能进行了定义与文档化分析以下小节收集的数据参数简要描述识别并描述应用功能服务识别并描述基础设施服务OWASP 项目映射OWASP ASVS V1 #1.11.1。落地模板一份可复用的收集表格示例为了让方法论直接落地可以将上文清单组织为如下 Markdown 模板以商品目录微服务为例字段仅供参考构建块应用功能服务参数名示例值服务名称IDcatalog-service简要描述存储并展示商品目录处理商品查询与库存变更源码仓库链接cheatsheets/Microservices_based_Security_Arch_Doc_Cheat_Sheet.md示例仓库路径开发团队Team-CatalogAPI 定义catalog-service/openapi.yaml含各端点 scope 定义微服务架构描述docs/catalog-service-arch.mdRunbook 链接docs/catalog-service-runbook.md关系服务到服务同步通信参数名示例值调用方服务名称IDweb-frontend被调用服务名称IDcatalog-service使用的协议/框架HTTP (REST)简要描述查询商品信息资产商品目录关系资产到存储参数名示例值资产名称IDProduct-Catalog存储名称IDcatalog-db存储类型golden source总结微服务架构的安全工作不能停留在看部署拓扑的层面而应建立一套以回答安全问题为目的的架构信息清单构建块层应用功能服务、基础设施服务、数据存储、消息队列、数据资产关系层服务到存储、服务到服务同步/异步通信、资产到存储呈现层以服务调用图或数据流图图形化呈现应用层将清单数据映射到攻击面分析、数据泄露分析、信任边界论证、高层架构分析、集中式控制验证、最小权限、敏感数据分类与组件功能验证等安全实践。这套方法论的输出与 OWASP ASVS V1架构、设计与威胁建模要求逐条对应可直接作为安全评审、威胁建模与安全测试的输入基线。相关实践可进一步参考本仓库的 Microservices Security Cheat Sheet认证授权与身份传播模式、Attack Surface Analysis Cheat Sheet攻击面管理与 Threat Modeling Cheat Sheet数据流图与威胁建模流程。赞分享应用安全【免费下载链接】CheatSheetSeriesThe OWASP Cheat Sheet Series was created to provide a concise collection of high value information on specific application security topics.项目地址https://gitcode.com/gh_mirrors/ch/CheatSheetSeries点击查看免费下载相关推荐TrueNAS Scale容器化部署Minecraft Forge服务器的技术实现与系统集成方案TrueNAS Scale容器化部署Minecraft Forge服务器的技术实现与系统集成方案 在家庭服务器环境中部署和管理Minecraft Forge服务游戏开发后端Firejail容器间通信安全构建安全微服务架构的完整指南Firejail容器间通信安全构建安全微服务架构的完整指南 在当今微服务架构盛行的时代容器安全已成为每个开发者和系统管理员必须面对的关键问题。Firejai应用安全操作系统终极微服务安全架构保护分布式系统的完整指南终极微服务安全架构保护分布式系统的完整指南 微服务架构Microservice Architecture通过将应用程序拆分为独立部署的小型服务显著提升了文档知识库后端上一篇TypeScript 代码清理终极指南ts-unused-exports 助你发现未使用的导出符号下一篇Kompute 项目教程创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考