深圳门户网站制作,wordpress 鼠标特效,广州页面制作公司,泉州市住房和城乡建设局摘要#xff1a; 4月30日#xff0c;阿里云发现#xff0c;俄罗斯黑客利用Hadoop Yarn资源管理系统REST API未授权访问漏洞进行攻击。 Hadoop是一款由Apache基金会推出的分布式系统框架#xff0c;它通过著名的 MapReduce 算法进行分布式处理#xff0c;Yarn是Hadoop集群的…摘要 4月30日阿里云发现俄罗斯黑客利用Hadoop Yarn资源管理系统REST API未授权访问漏洞进行攻击。 Hadoop是一款由Apache基金会推出的分布式系统框架它通过著名的 MapReduce 算法进行分布式处理Yarn是Hadoop集群的资源管理系统。 4月30日阿里云发现俄罗斯黑客利用Hadoop Yarn资源管理系统REST API未授权访问漏洞进行攻击。Hadoop是一款由Apache基金会推出的分布式系统框架它通过著名的 MapReduce 算法进行分布式处理Yarn是Hadoop集群的资源管理系统。此次事件主要因Hadoop YARN 资源管理系统配置不当导致可以未经授权进行访问从而被攻击者恶意利用。攻击者无需认证即可通过REST API部署任务来执行任意指令最终完全控制服务器。利用方式还原及趋势判断1、通过对比分析阿里云安全专家观察到与之前Redis、CouchDB事件相比Hadoop作为一个分布式计算应用程序框架让其更容易被“攻陷”因为Hadoop种类和功能繁多各种组件安全问题可能会带来更大的攻击面针对某一个薄弱点的攻击可能通过该框架分布式的特性迅速扩散到所有节点。2、灰黑产的入侵变现的手段正在从入侵利用云上普通主机资源挖矿获利Web服务器、数据库服务器等转向攻击专用算力应用以窃取更大的算力进行挖矿获利转变如Hadoop等分布式计算平台。从本次样本的分析来看利用专用算力应用来攻击变现的方式还处在早期的测试阶段随着加密货币的进一步繁荣该类型的攻击风险将会愈发凸显。总的来说灰黑产对经济利益的渴求推动着这个行业的变迁升级。随着加密货币市场热度的攀升入侵挖矿的灰色产业也会随之扩大挖矿这种最有效变现手段对算力不断扩大的需求必然引导灰黑产的攻击目标逐步转向更高算力的产品和服务。因此阿里云安全专家建议不论是SaaS化服务的算力产品提供商还是算力的最终使用者都应该更加的关注安全问题只有在发展自己的业务的同时切实加强安全水平才能保障业务长期健康稳定的发展。附详细YARN REST API如下所示http://hadoop.apache.org/docs/r2.4.1/hadoop-yarn/hadoop-yarn-site/WebServicesIntro.html安全建议针对此类大规模攻击阿里云平台已可默认拦截降低漏洞对用户的直接影响如果企业希望彻底解决Hadoop安全漏洞推荐企业使用阿里云MaxCompute 8年以上“零”安全漏洞存储、加工企业数据阿里云数加MaxCompute原名ODPS设计之初就是面向多租户确保租户的数据安全是MaxCompute的必备功能之一。在MaxCompute系统的安全设计和实现上MaxCompute的工程师们会遵循一些经过实践检验的安全设计原则如Saltzer-Schroeder原则。在常用密码算法及安全协议的设计和实现上也会遵循业界相关标准如PKCS-及FIPS-系列标准并坚持最佳安全实践。这里从如下几个方面来解刨一下MaxCompute的安全特性让关心MaxCompute数据安全的读者有一个基本的了解。更多产品信息请访问https://www.aliyun.com/product/odps 。1. API认证认证是一个服务的安全入口。MaxCompute认证采用业界标准的API认证协议来实现如HmacSHA1。MaxCompute还提供HTTP和HTTPS两种的EndPoint以满足用户对认证安全的不同要求。HTTP EndPoint是明文传输那么HmacSHA1认证只能保证消息请求的真实性(Authenticity)和完整性(Integrity)适合于对数据安全不太敏感的用户。HTTPS EndPoint则能提供更多的安全性比如信道加密抗重放攻击等。适合于对数据安全比较敏感的用户。2. 访问控制当你创建项目空间后你就是项目空间的owner。一个项目空间只有一个owner只有owner对项目空间有完全控制权限。你可以上传/下载数据、提交SQL进行数据处理。在没有你的授权的情况下任何其他用户都无权访问你的项目空间。 注意MaxCompute平台并没有超级管理员的角色所以MaxCompute的开发、测试、运维同学都是没有权限看到用户数据的。有人会问了通过MaxCompute背后的运维管理控制台也不能访问用户数据吗的确不能。运维同学只有在获得内部授权之后可以通过该控制台来执行一些运维管理类操作比如停止一个有恶意行为的用户作业但该控制台没有操作用户数据的权限。MaxCompute产品面向的是企业级用户所以提供了丰富的项目空间内的用户管理及授权功能有兴趣的同学可以参考MaxCompute用户手册中的相关章节。MaxCompute访问控制粒度非常精细比如你可以授权一个用户只能读某个table的部分columns并且可以要求该用户只能在某个时间范围内、而且必须从指定的某些IP地址来进行访问。换句话说一个企业主可以做到只允许其员工在公司内、在正常上班时间才能访问数据下班回家就不允许访问了。3. 数据流控制MaxCompute设计之初就是要满足数据分享或数据交换的场景。所以只要有授权用户就可以非常方便的进行跨项目空间的数据访问。比如在获得相应的访问权限之后项目空间A中的作业可以直接处理项目空间B中的数据而不必事先将数据从项目空间B中复制到项目空间A。数据保护有两层含义一是防止未授权的数据访问二是防止获得授权的用户滥用数据。很多商用系统并不提供后一种数据安全保证。但在MaxCompute平台上用户的这种担忧比较明显用户希望能确保对自己的数据拥有控制权而一旦授权他人读取他人就可能会做复制数据那么就相当于失去了对数据的控制权。MaxCompute通过支持数据流控制来防止跨项目空间的数据复制。如果你想确保项目空间中的所有数据都不允许流出去那么你可以打开项目空间的数据流控设置。你还可以设置项目空间的数据保护策略以限制哪些数据可以流出到哪些项目空间。4. 用户作业的隔离运行MaxCompute支持用户提交各种类型的作业如SQL/XLib/MR。为了确保不同用户作业在运行时互不干扰MaxCompute将用户作业的Worker进程运行在飞天 Container沙箱中。如果用户作业含有Java代码比如UDF那么飞天Container沙箱中的Worker进程启动JVM时还会设置严格的Java 沙箱策略以限制UDF的运行时权限。5. 作业运行时使用最小权限最小权限原则是系统安全和容错设计的一个基本指导原则即让每个任务在运行时使用刚好满足需要不多也不少的权限来执行。MaxCompute的作业运行过程一般是这样用户提交的SQL/XLib/MR作业会被调度到某一计算集群上运行运行时每个作业一般对应一组并行跑的Worker进程Worker进程一般会从数据集群上读数据、处理完成后最终会将数据写回到数据集群。举个例子来理解MaxCompute是如何遵循最小权限原则的。我们假设用户Alice被授权读访问一个项目空间下t1和t2两个table数据但她提交的某个SQL只需要读t1的数据。在MaxCompute中这个SQL对应的Worker进程在运行时就只能读t1对应的底层数据文件而不会有更多的数据访问权限。MaxCompute最小权限是依赖于底层的飞天分布式操作系统提供的Kerberos认证和Capability访问控制来实现的。Kerberos认证用于解决飞天底层服务模块之间的身份认证Capability则用于解决底层服务模块之间的访问控制技术。这与上层MaxCompute所提供的认证和访问控制是完全正交的安全机制对MaxCompute用户是完全透明的。6. 数据访问审计MaxCompute还提供精准的、细粒度的数据访问操作记录并会长期保存。MaxCompute平台体系所依赖的功能服务模块非常之多我们可以把它称之为底层服务栈。对于数据操作记录来说MaxCompute会收集服务栈上的所有操作记录从上层table/column级别的数据访问日志一直到底层分布式文件系统上的数据操作日志。最底层分布式文件系统上处理的每一次数据访问请求也都能追溯到是最上层的哪个项目空间中的哪个用户的哪个作业发起的数据访问。有了服务栈上的各层操作审计之后即使是内部攻击者工程师或渗透到内部系统中的黑客想从内部绕过MaxCompute服务直接访问底层分布式文件系统上的用户数据的话也一定是可以从操作日志中被发现的。所以通过数据访问审计用户就可以准确的知道他在MaxCompute上的数据是否存在未授权的数据访问。7. 风险控制除了不同层面的防御机制之外MaxCompute产品还会提供一套安全监控系统用于监控用户作业及用户数据的安全活动如AccessKey滥用项目空间安全配置不当用户代码运行时触犯安全策略以及用户数据是否遭受异常访问等。安全攻击防不胜防所以MaxCompute会通过安全监控手段来及时发现问题一旦发现安全问题则会启动相应的处理流程尽可能将用户损失降到最低。结语虽然没有绝对的安全但安全性在MaxCompute产品设计和实现中享有最高优先级。MaxCompute团队已经汇聚了多领域的安全专家以保障用户数据安全。同时我们欢迎更多安全专家的加入共同增强MaxCompute的数据安全。原文链接本文为云栖社区原创内容未经允许不得转载。