您企業(yè)的SOA架構(gòu)是否安全

申請免費試用、咨詢電話：400-8352-114

您企業(yè)的SOA架構(gòu)是否安全1

面向服務(wù)架構(gòu)(SOA,service-oriented architecture)為公司進(jìn)行跨部門、跨系統(tǒng)以及跨企業(yè)整合創(chuàng)造了巨大的機遇，整合可以幫助公司簡化業(yè)務(wù)流程、提高上市速度，共享數(shù)據(jù)和服務(wù)，并且能夠讓公司對商業(yè)變化更快地做出反應(yīng)。

舉例來說，正確的SOA架構(gòu)可以將電子商務(wù)網(wǎng)站毫無痕跡地與該網(wǎng)站的供應(yīng)商、分銷商、信用卡公司以及消費者整合在一起，這樣的話，當(dāng)消費者發(fā)出訂單時，系統(tǒng)就能夠在無需請求用戶或者系統(tǒng)的情況下將信息即時向各相關(guān)方面發(fā)布。

SOA同樣還可以通過抽取某些業(yè)務(wù)流程、服務(wù)或者數(shù)據(jù)點來幫助公司重新恢復(fù)他們的遺留系統(tǒng)，而不需要丟棄或者取代那些系統(tǒng)。公司在建設(shè)新的系統(tǒng)時可以將新系統(tǒng)與舊系統(tǒng)進(jìn)行無縫整合，那樣就可以降低公司的投資成本。

對于終端用戶來說，這的確是好消息。但是對于安全部門的工作人員來說，卻是他們最大的噩夢。

公司整合的負(fù)面影響

雖然正如上文所述，一體化整合存在很多好處，但同時也會給安全、隱私以及合規(guī)帶來巨大的安全風(fēng)險，對于能夠輕易與其他服務(wù)整合的服務(wù)(兩者都在防火墻后面或者防火墻外部)，這兩種服務(wù)必須是可以被發(fā)現(xiàn)的以及易于轉(zhuǎn)換的。

為此，很多SOA部署都使用了Web服務(wù)，web服務(wù)使用的是WSDL(Web服務(wù)描述語言)，這種語言能夠描述如何行使該服務(wù)。 UDDI(統(tǒng)一描述、發(fā)現(xiàn)和集成)是web服務(wù)中常用的一個標(biāo)準(zhǔn)，它能夠允許服務(wù)被發(fā)現(xiàn)以及檢索。

SOA中經(jīng)常使用的另外兩個重要標(biāo)準(zhǔn)就是XML和SOAP(簡單對象訪問協(xié)議)，XML是一種自我描述格式，它包含了信息的清晰的文本描述，而SOAP是用于交換基于XML信息的協(xié)議并且也能提供重要信息的清晰的描述。

然而，盡管這些標(biāo)準(zhǔn)能夠幫助公司更加方便地進(jìn)行服務(wù)整合，但是如果適當(dāng)?shù)陌踩胧]有到位，就必然讓黑客有機可乘。

很多舊系統(tǒng)并沒有設(shè)計為能夠接觸到其他系統(tǒng)，尤其是防火墻外的系統(tǒng)?，F(xiàn)在有了SOA，就使黑客能夠進(jìn)入他們以前不能訪問的系統(tǒng)和數(shù)據(jù)，這還得歸功于SOA的發(fā)現(xiàn)以及自我描述特性。

公司內(nèi)部面臨的挑戰(zhàn)

我采訪過很多架構(gòu)師、供應(yīng)商、培訓(xùn)人員和安全專家，問過他們這樣一個簡單的問題: 在部署SOA的時候你認(rèn)為存在的最大安全風(fēng)險是什么?我將收到的答案歸類為以下幾部分:

· 對于公司內(nèi)部巨大的安全風(fēng)險缺乏意識或認(rèn)識

· 在各服務(wù)間、各系統(tǒng)間以及企業(yè)間普及使用授權(quán)證書

· 監(jiān)控、審計和執(zhí)行政策的能力

缺乏安全風(fēng)險意識或認(rèn)識

軟件構(gòu)架師(EA)必須接受適當(dāng)?shù)呐嘤?xùn)來更好地理解SOA部署，從而鑒定安全風(fēng)險級別。很多SOA部署是由軟件構(gòu)架師團(tuán)隊從技術(shù)的角度來驅(qū)動的。如果架構(gòu)師們對于安全風(fēng)險問題沒有足夠的意識，那么他們就不知道該如何部署安全措施來保護(hù)服務(wù)，同樣他們也不會知道什么時候需要調(diào)動安全和審計專家。

安全部署應(yīng)該建立在前期，而不是事后才考慮的問題。向每個服務(wù)部署安全措施會對每個服務(wù)的性能和可維護(hù)性造成一定的負(fù)擔(dān)，安全措施應(yīng)該作為核心服務(wù)來部署，這樣安全措施就能進(jìn)行集中管理和維護(hù)。此外，管理層必須明白存在的安全風(fēng)險，并提供適當(dāng)?shù)闹С趾唾Y金來有效地保障企業(yè)的安全。

普及使用授權(quán)證書

很多服務(wù)都是“無頭的”，這就是說這些服務(wù)與用戶界面沒有關(guān)系。這些服務(wù)被其他服務(wù)啟用并且啟用其他服務(wù)，啟用服務(wù)必須通過授權(quán)認(rèn)證以便正給系統(tǒng)的流動從開始到技術(shù)都不被中斷。使問題更具挑戰(zhàn)性的是，一條簡單的信息可能包含多個服務(wù)客戶的XML數(shù)據(jù)。例如，我們繼續(xù)使用電子商務(wù)網(wǎng)站的例子，客戶的一條請求可以觸發(fā)包含XML數(shù)據(jù)的信息，XML數(shù)據(jù)是有關(guān)供應(yīng)商、分銷商和信用卡公司的數(shù)據(jù)，而且每部分有不同的安全要求。只有信用卡公司能夠訪問信用卡信息 (應(yīng)該加密為PCI兼容)，供應(yīng)商需要知道那些產(chǎn)品被運出存活區(qū)，而分銷商需要知道產(chǎn)品和送貨地址等信息。

從這個例子中你會發(fā)現(xiàn)過去單純使用SSL是遠(yuǎn)遠(yuǎn)不夠的。在這個例子中，同樣的訊息被發(fā)送給不同的三個公司而不需要他們各自登錄。很多公司都采用的是WS-*標(biāo)準(zhǔn)(WS-安全, WS-信任, WS- 聯(lián)合, WS-政策, 等等.)來解決存在的安全風(fēng)險。

最佳解決方法包括XML加密，使用公鑰和/或者令牌以及一個政策驅(qū)動辦法來解決相對于硬編碼的安全問題。

但是當(dāng)我們執(zhí)行這些最佳解決方法的時候事情會變得更加復(fù)雜，XML加密可能導(dǎo)致系統(tǒng)性能退化，這就帶來對XML工具/加速器的需要。政策驅(qū)動安全增加了公司對更新、維護(hù)和審計安全政策工具的需要，這就將我們引入了下一部分的內(nèi)容。