基于微服务的工程数字化系统安全研究.pdf

SOFTWARE软 件2023第 44 卷 第 9 期2023 年Vol.44,No.9作者简介：郭海乐（1986），男，研究生，研究方向：云原生及其安全架构。通讯作者：朱院娟（1987），女，研究生，讲师，研究方向：图像处理、信息系统设计、数据治理。基于微服务的工程数字化系统安全研究郭海乐1 朱院娟2（1.中国电建中南勘测设计研究院有限公司，湖南长沙 410014；2.湖南工程职业技术学院，湖南长沙 410000）摘要：随着信息技术的发展，传统行业也面临工程数字化与智能化转型，数字化、智能化技术的广泛应用正在对经济社会产生深刻影响，各行各业都在推进数字化与智能化转型。基于工程数字化软件的复杂性，微服务技术在工程数字化领域有着广泛的应用前景；系统安全已经上升为国家战略，而微服务安全成为一项重要的课题。本文针对 Spring Cloud 微服务框架存在的应用安全、身份认证授权、通信安全、数据安全、网络攻击、容器安全等问题，给出了具体的解决方案。关键词：微服务；安全；Spring Cloud；工程数字化中图分类号：TP319 文献标识码：A DOI：10.3969/j.issn.1003-6970.2023.09.020本文著录格式：郭海乐,朱院娟.基于微服务的工程数字化系统安全研究J.软件,2023,44(09):088-091Research on Security of Engineering Digitalization System Based on MicroservicesGUO Haile1,ZHU Yuanjuan2（1.Power China Zhongnan Engineering Corporation Limited,Changsha Hunan 410014;2.Hunan Vocational College of Engineering,Changsha Hunan 410000)【Abstract】：With the development of information technology,traditional industries are also facing the transformation of engineering digitization and intelligence.The widespread application of digitization and intelligence technology is having a profound impact on the economy and society,and various industries are promoting digitization and intelligence transformation.Due to the complexity of engineering digital software,microservice technology has broad application prospects in the field of engineering digital systems;System security has become a national strategy,and microservice security has become an important topic.This article provides specific solutions to the application security,identity authentication and authorization,communication security,data security,network attacks,container security,and other issues that exist in the Spring Cloud microservices framework.【Key words】：microservices;security;Spring Cloud;engineering digitization设计研究与应用0 引言随着信息技术的发展，传统能源电力等工程行业面临数字化与智能化转型。当前，数字化、智能化技术的广泛应用能显著提升工程建设技术和管理水平。微服务架构已经成为企业开发过程中的主流架构，微服务的灵活性、扩展性、通用性使之成为工程数字化系统架构的首选。微服务带来巨大价值的同时，也带来了诸多新型的安全挑战，建设针对微服务特性的安全方案具有重大意义。本文分析了微服务架构存在的安全问题，针对存在的应用安全、身份认证授权、通信安全、数据安全、网络攻击、容器安全等问题，给出了具体的解决方案，整个方案具备非常高的可行性及指导意义。1 微服务架构存在的安全问题分析1.1 微服务架构简介微服务架构最早由计算机专家 Martin Floler 等提出1，将软件应用程序划分为一系列小型的、松耦合的服务来解决软件复杂性的问题，且每个服务都可以独立部署、独立伸缩，服务之间通过轻量级的通信机制相互通信，从而使得应用系统变得更加灵活、可靠和可扩展。目前主流的微服务解决方案分为 Spring Cloud 和Service Mesh。Spring Cloud 适用于小型的、相对简单的微服务应用程序，具备使用方便、易于上手、灵活89郭海乐 朱院娟：基于微服务的工程数字化系统安全研究性高等优点；而 Service Mesh 则更适用于大型、分布式、复杂的微服务场景中，工程数字化软件更适合采用Spring Cloud 解决方案。本文以 Spring Cloud 为例进行介绍，Spring Cloud 的整体架构2如图 1 所示。1.2 微服务架构存在的安全问题分析微服务架构不仅需要保证微服务的机密性、完整性和可用性，还需要防范可能的攻击和威胁，以确保整个系统的安全性。在微服务架构中，微服务是以分布式的形式运行的，涉及多个不同的组件，因此增加了系统面临安全威胁的可能性3。如图 2 所示为微服务安全问题，其中一些常见的安全威胁有如下几点：（1）微服务应用安全问题。微服务应用本身存在一定的安全漏洞或者集成的组件具有安全漏洞。如果这些安全漏洞直接对外暴露，那么系统将面临重大的安全风险。（2）身份认证授权安全问题。用户的身份认证和授权是保障系统安全的首要任务。如果一个未经身份验证的用户或者越权访问的用户可以访问敏感数据或操作，那么系统就会面临诸多严重的威胁和风险。（3）通信安全问题。通信安全为信息的正确、可靠传输提供物理保障。微服务架构前后端通信面临通信安全的风险，不安全的通信协议将面临着明文传输、消息完整性检测缺乏的风险。（4）数据安全问题。数据的传输和存储也是微服务架构中面临的安全风险。特别是对于很多关键数据，如用户数据、财务数据等，一旦泄露或被篡改，将会对用户带来非常严重的损失。（5）网络攻击问题。网络攻击是导致网络安全威胁的主要原因，嗅探攻击、截获攻击、拒绝服务攻击等是常见的网络攻击。特别是在微服务架构中，由于服务之间依赖性较高，一旦其中的某个节点受到攻击或故障，整个系统都可能会受到影响。（6）容器安全问题。微服务通常使用容器来部署，图 1 Spring Cloud 的整体架构Fig.1 Overall architecture of Spring Cloud图 2 微服务安全问题Fig.2 Microservices security issuesAPI网关注册中心配置中心业务提供者断路器（Hystrix）负载均衡（Ribbon）服务调用（Feign）PCAPP微服务安全问题微服务应用安全问题身份认证授权安全问题微服务通信安全问题数据安全问题网络攻击问题容器安全问题SQL注入XSSCSRFSwagger漏洞Spring Actuator;漏洞.弱密码未授权访问横向越权纵向越权.未使用HTTPS不安全的方法未授权访问.敏感数据未加密数据未进行签名关键数据未管控.使用HTTP传输数据嗅探攻击截获攻击拒绝服务攻击.不安全的镜像不受限的共享资源不安全的配置与挂载.90软 件第 44 卷 第 9 期SOFTWARE因为容器可以提供隔离、环境一致性和快速部署的优势。但是容器也面临一系列安全问题，例如，恶意的镜像传播、不安全的第三方组件、不受限制的资源共享、不安全的配置与挂载等。一旦容器受到攻击，可能会导致容器的隔离机制被打破，进而影响宿主机的安全。2 微服务架构安全性设计2.1 微服务架构安全总体设计微服务架构的安全性从入侵防御、防火墙、WAF、微服务网关安全、服务内部调用安全几个维度进行设计，微服务架构安全总体设计如图 3 所示。（1）入侵防御系统（IPS）可以应对网络攻击问题，IPS 监视网络流量并根据预定义的规则或策略检测和阻止可能的网络攻击。（2）防火墙可以保护内部网络免受外部攻击。（3）NGINX+WAF（应用防护墙）通过 HTTPS 提供比 HTTP 更安全的网络传输；WAF 通过对 HTTP（S）请求进行检测，识别并阻断 SQL 注入、跨站脚本攻击（Cross Site Scripting XSS）、网页木马上传、命令/代码注入、文件包含、敏感文件访问、第三方应用漏洞攻击、CC（挑战黑洞）攻击、恶意爬虫扫描、跨站请求伪造等攻击4，保护 Web 服务安全稳定。（4）微服务网关提供接口访问的认证、鉴权、限流、放重放攻击等。针对敏感数据前端通过数据加密的方式进行通信，并提供签名验证，网关进行统一的解密处理及验证签名。微服务网关通过安全策略拦截器进行记录请求日志，同时进行防止恶意访问和攻击安全防护策略。2.2 微服务架构安全性问题解决方案依据微服务架构安全总体设计，对微服务的安全性问题提出有效的解决方案。2.2.1 微服务应用本身的安全问题的解决方案（1）针对微服务应用依赖的第三方组件的安全漏洞，通过定期扫描依赖的版本的已知漏洞并及时进行版本的升级。（2）针对 Springboot Actuator 等漏洞，通过配置禁用非必要开放的地址以避免一些敏感信息的泄露。（3）针对配置中心的敏感配置通过加密的方式防止敏感数据泄露。（4）针对 Swagger 的安全漏洞通过配置的方式在线上禁用 Swagger。（5）针对 SQL 注入、XSS、CSRF 等攻击需要在开发框架中进行统一处理。2.2.2 身份认证和授权问题的解决方案使用身份验证和授权机制来验证用户或服务的身份，并确定其是否有权访问特定的微服务接口的访问权限，常见的认证方式包括基于 Oauth2 令牌(Token)的认证和基于角色的访问控制(RBAC)。前端及外部应用调用系统的内部接口需通过网关的令牌认证及接口统一权限访问控制。针对系统内部用户使用 Oauth2 密码模式登录之后获取的 Token 进行认证；外部应用通过发放的 Clientid 及 Sercret，使用 Oauth2 的客户端模式进行登录之后的 Token 进行认证。在网关需要对外部用户授权以及外部应用 Client授权的接口进行接口权限的访问控制。图 3 微服务架构安全总体设计Fig.3 Overall security design of microservices architectureSpringcloud GatewayNginxNginxKeepalive服务注册配置中心集群Springcloud GatewaySpringCloud GatewayAPI路由网关统一认证Springcloud GatewaySpringcloud GatewayA1服务集群A2服务集群获取服务列表服务注册获取配置信息负载均衡FeignFeign负载均衡Nginx+WAFHttps关系型数据库Springcloud GatewayOauht2Oauth2Token验证防火墙入侵检测主动防护.身份校验API权限校验限流.Token校验Token校验Token校验HttpIPSHttps91郭海乐 朱院娟：基于微服务的工程数字化系统安全研究微服务内部服务之间调用通过内部的 Client 授权进行 Token 验证，保证内部接口调用的安全。2.2.3 通信安全问题的解决方案（1）微服务通常通过网络相互通信，因此确保安全通信至关重要。（2）实施加密和安全协议（如 HTTPS），以保护微服务之间传输的数据，有助于防止未经授权的访问或对敏感信息进行篡改。（3）通过身份验证和授权机制，以确保只有经过身份验证的用户才能访问服务。（4）通过 API 网关及 Nginx 限制 Trace、Options等不安全的 HTTP 方法。2.2.4 数据安全的解决方案（1）数据保护是保证微服务架构安全性的关键。在微服务架构中，可以使用加密和签名等技术来保护敏感数据。例如，可以使用 SSL/TLS 协议来保护服务之间的通信和交互，使用数字签名来保证数据的完整性和认证性。（2）针对敏感数据使用加密技术防止敏感数据泄露。（3）针对关键数据的操作进行严格的权限、流程控制。并对系统管理、权限分配和关键数据进行严格管控，并做好操作审计日志记录。2.2.5 网络攻击的解决方案（1）使用入侵防御系统来检测和阻止网络攻击，它通过分析网络流量中的恶意内容来检测并阻止来自 Internet 或内部网络的未授权访问5。入侵防御系统部署在组织网络的外围，在那里它们可以监控传入和传出的流量。（2）使用网站安全防护(WAF)基于对 HTTP 请求的分析，如果检测到请求是攻击行为，则会对请求进行阻断，不会让请求到业务的机器上去，提高业务的安全性，为 Web 应用提供实时的防护。（3）为了防止网络攻击，考虑使用防火墙和反向代理来限制不必要的端口及流量，并对传入数据进行过滤和验证。（4）在网关使用黑白名单鉴权，限制特定 IP 的问题。在网关使用验证该请求的 Id 是否已经使用过并且请求的时间戳是否在合理时间范围内以防止重放攻击。在网关使用限流和熔断防止 DDos 攻击。（5）在网关实施安全监控和日志记录机制，及时检测和记录潜在的安全威胁或异常行为，以便进行调查和应对。2.2.6 容器安全的解决方案作为微服务容器运行的基础，容器镜像的安全在整个容器安全生态中占据着重要位置。使用镜像安全扫描软件对需要部署的容器镜像进行安全扫描，防止引入不安全第三方基础镜像。在运营此过程中，针对容器运行安全，定期扫描容器运行环境安全基线，还要检测容器内及所依赖环境的进程、文件系统、磁盘、CPU 等破坏容器隔离性和权限提升异常状态。3 总结在传统行业工程数字化与智能化转型当前，微服务架构在工程数字化行业应用有着广阔的应用场景，微服务安全是保证系统正常运行的第一要务。本文针对具体的微服务架构存在的应用本身的安全问题、身份认证授权问题、通信安全问题、数据安全问题、网络攻击问题以及容器安全问题提出了解决方案。经过实际生产实践本安全方案能够很好地应对目前微服务面临的安全风险。参考文献1 汤杰,谢俊杰,郭宏达,等.基于微服务框架的智慧军营系统设计构想C/中国指挥与控制学会(Chinese Institute of Command and Control).第八届中国指挥控制大会论文集.兵器工业出版社,2020:5.2 刘亮亮,龙兴波,顾建华,等.基于微服务架构的院内信息服务系统的设计与实现J.中国卫生信息管理杂志,2022,19(1):131-136.3 曹聪.云原生架构下的微服务安全研究J.保密科学技术,2022(7):20-28.4 吴金堂,耿方方.IPv6环境下反向代理IPv4网站及安全防护的研究与实现J.中小企业管理与科技(下旬刊),2019(1):108-111.5 浦明.云原生应用安全防护思考J.保密科学技术,2022(7):29-40.