企業(yè)實施SOA面臨的安全挑戰(zhàn)和三項對策

申請免費試用、咨詢電話：400-8352-114

SOA為那些要實施跨部門、跨系統(tǒng)和跨企業(yè)集成的公司創(chuàng)造了巨大的機會。集成能夠幫助簡化商業(yè)流程、提高產(chǎn)品上市的時間、使企業(yè)對業(yè)務(wù)、共享的數(shù)據(jù)和服務(wù)中的變化更快地做出反應(yīng)。例如，正確建立的SOA架構(gòu)能夠讓一個電子商務(wù)網(wǎng)站與自己的供應(yīng)商、分銷商、信用卡公司和消費者無縫地集成在一起。在一個客戶下訂單之后，系統(tǒng)將自動編排大量的信息，不須要在每一次登錄時都詢問用戶或者系統(tǒng)。

SOA還允許企業(yè)在不放棄和不更換老式系統(tǒng)的情況下通過抽象化某些商業(yè)流程、服務(wù)或者數(shù)據(jù)來重新煥發(fā)這些老系統(tǒng)的青春。企業(yè)能夠利用它們對現(xiàn)有的老式系統(tǒng)的投資，同時建立無縫地與老系統(tǒng)集成在一起的新系統(tǒng)。

對于最終用戶來說，這是涅盤。對于安全部門的人來說，這是他們最糟糕的噩夢。

集成的負面影響

上面提到的SOA的好處伴隨著在安全、隱私和遵守法規(guī)方面的很大風險。對于那些輕松地把防火墻后面和防火墻外面的其它服務(wù)集成在一起的服務(wù)來說，它們必須是可發(fā)現(xiàn)的和容易轉(zhuǎn)變的。許多SOA實施使用Web服務(wù)。Web服務(wù)使用WSDL(Web服務(wù)說明語言)說明如何啟用這個服務(wù)。UDDI(統(tǒng)一描述、發(fā)現(xiàn)和集成)是一種標準，通常與Web服務(wù)一起使用，允許發(fā)現(xiàn)和提取服務(wù)。SOA中常用的另外兩個標準是XML(可擴展標記語言)和SOAP(簡單對象訪問協(xié)議)。XML是一種自我說明格式，包含明文形式的信息，而SOAP是交換基于XML的信息的協(xié)議并且以明文提供重要的信息。雖然這些標準讓企業(yè)更容易地集成服務(wù)，但是，如果沒有適當?shù)陌踩胧?，它也會把這個王國的鑰匙交給黑客。

許多老式的系統(tǒng)的構(gòu)造從來都不是要暴露給外部的，特別是不能暴露給防火墻外部的系統(tǒng)?，F(xiàn)在，采用SOA之后，由于SOA的可發(fā)現(xiàn)的和自我說明的性質(zhì)，黑客能夠訪問他們以前無法接觸的系統(tǒng)和數(shù)據(jù)。

企業(yè)中的挑戰(zhàn)

業(yè)內(nèi)人士向許多架構(gòu)師、廠商、培訓師和安全專家提出了一個簡單的問題：你認為在實施SOA的時候架構(gòu)師需要解決的最大的安全風險是什么?這個問題的答案有如下幾類：

·機構(gòu)中缺乏對這種風險的嚴重的認識和知識。

·在服務(wù)、系統(tǒng)和企業(yè)之間傳播證書。

·監(jiān)視、審計和強制執(zhí)行政策的能力。

缺乏認識和知識

重要的是企業(yè)架構(gòu)師要得到適當?shù)呐嘤?，這樣他們就能夠很好地理解SOA以識別這種風險。許多SOA計劃都是企業(yè)架構(gòu)師小組從技術(shù)的觀點推動的。如果架構(gòu)師不熟悉風險和其它問題，他們不僅不知道需要建立什么來這個服務(wù)的安全，而且他們還不知道在什么時候引進安全和審計專家。安全需要提前建立，不應(yīng)該在事后建立。把安全建在每一個服務(wù)中對于每一項服務(wù)的性能和可維護性可能是一個負擔。安全應(yīng)該作為一套核心的服務(wù)實施，允許集中管理和維護安全。此外，管理層必須理解這個風險并且提供適當?shù)闹С趾唾Y金以便有效地保證企業(yè)的安全。

傳播證書

許多服務(wù)是“無頭的”，也就是說這些服務(wù)沒有相關(guān)的用戶接口。這些服務(wù)是通過啟動其它服務(wù)并且由其它服務(wù)啟動的，而且必須要把證書按照順序從頭到尾不間斷傳遍整個系統(tǒng)。更有挑戰(zhàn)性的是一個信息可能包含為多個服務(wù)用戶提供的XML數(shù)據(jù)。

以一個電子商務(wù)網(wǎng)站為例，一個訂單能夠引發(fā)一個包含提供給一個供應(yīng)商、分銷商和信用卡公司的XNL數(shù)據(jù)，每一方都有不同的安全要求。只有信用卡公司有權(quán)訪問這個信用卡信息(信用卡信息應(yīng)該按照PCI的要求加密)。供應(yīng)商需要知道什么產(chǎn)品和在目錄的什么地方。分銷商需要知道有關(guān)產(chǎn)品和發(fā)貨地址的信息。因此，你從這個例子可以看出，過去簡單地使用SSL的日子是不夠的。在這個例子中，同樣的信息要同時發(fā)給三個不同的公司并且不需要任何一家公司登錄。許多公司采用WS-*標準(如Ws-Security、WS-Trust、WS-Federation、Ws-Policy等)來解決這些風險。

最佳做法包括XML加密，使用公共密鑰和/或者令牌，政策驅(qū)動的安全方法，而不是采用硬編碼。但是，在建立這些最佳做法的時候，事情會變得更加復雜。XML加密可以造成性能下降，從而產(chǎn)生XML設(shè)備/加速器的需求。政策驅(qū)動的安全需要用于更新、維護和審計安全政策的工具。這將把我們帶到下一類問題...

審計、監(jiān)視和強制執(zhí)行政策

許多回答這個問題的人強調(diào)了對于所有的服務(wù)的端對端的監(jiān)視和審計重要性。說把適當?shù)陌踩胧┙ㄔ谶@個架構(gòu)中是一回事。證明這個事情是另一回事。

把安全建成一種服務(wù)的架構(gòu)師需要從審計和管理規(guī)定的角度考慮這種需求。我們有SOX、HIPAA、PCI和許多其它的法規(guī)。有時候，這些法規(guī)是相互沖突的。例如，SOX要求我們存儲有所有關(guān)金融交易的一切記錄，而PCI法規(guī)要求我們不能用明文存儲信用卡號碼。而且我們同時還必須把信用卡號碼信息傳送給金融機構(gòu)。要實現(xiàn)這個目的，企業(yè)的所有種類的加密和其它加密措施都要進行審計。要通過這些審計，我們必須記錄每一個服務(wù)電話的正確的信息級別，向各種審計人員和管理部門提供一種方法，證明我們是遵守它們的規(guī)定的。一次糟糕的交易就會讓審計失敗。

一個大的挑戰(zhàn)是外部服務(wù)用戶以意想不到方式適應(yīng)了某些服務(wù)。必須要有預(yù)見性地監(jiān)視服務(wù)的消費以便識別出出人意料的不符合安全政策的用戶，在災(zāi)難性結(jié)果出現(xiàn)之前迅速達成一個解決方案。最后，我們必須保證正確的數(shù)據(jù)在正確的時間交給正確的人。

我們能做什么?

有兩件事情能夠緩解這種風險。第一是提高認識。投資進行培訓和培訓每一個人，不僅僅使培訓開發(fā)人員。管理層需要高水平的培訓課程，而架構(gòu)師、安全專家、審計師、開發(fā)人員、測試人員、商業(yè)分析師和其他人需要針對他們需求的培訓。

第二，安全是每一個人的責任，不僅僅是企業(yè)架構(gòu)師和安全架構(gòu)師的責任。機構(gòu)要全力保證企業(yè)的安全。業(yè)內(nèi)人士建議企業(yè)雇用有經(jīng)驗的SOA安全人員或者雇用一個顧問把這個知識傳授給機構(gòu)內(nèi)部的安全部門。（IT專家網(wǎng)）