ປະເຊີນໜ້າກັບນັກພັດທະນາ: ປັບປຸງລະບົບຄລາວສ່ວນຕົວໃຫ້ທັນສະໄໝ

ມັນຍາກທີ່ຈະສ້າງເຄື່ອງ virtual (VM) ໃນຄລາວບໍ? ບໍ່ມີຄວາມຫຍຸ້ງຍາກຫຼາຍກ່ວາການເຮັດຊາ. ແຕ່ໃນເວລາທີ່ມັນມາກັບບໍລິສັດຂະຫນາດໃຫຍ່, ເຖິງແມ່ນວ່າການກະທໍາທີ່ງ່າຍດາຍດັ່ງກ່າວສາມາດກາຍເປັນຍາວເຈັບປວດ. ມັນບໍ່ພຽງພໍທີ່ຈະສ້າງເຄື່ອງ virtual; ທ່ານຍັງຈໍາເປັນຕ້ອງໄດ້ຮັບການເຂົ້າເຖິງທີ່ຈໍາເປັນເພື່ອເຮັດວຽກຕາມກົດລະບຽບທັງຫມົດ. ຄວາມເຈັບປວດທີ່ຄຸ້ນເຄີຍສໍາລັບນັກພັດທະນາທຸກໆຄົນ? ໃນທະນາຄານຂະຫນາດໃຫຍ່ຫນຶ່ງ, ຂັ້ນຕອນນີ້ໃຊ້ເວລາຫຼາຍຊົ່ວໂມງເຖິງຫຼາຍມື້. ແລະນັບຕັ້ງແຕ່ມີການດໍາເນີນງານທີ່ຄ້າຍຄືກັນຫຼາຍຮ້ອຍຄັ້ງຕໍ່ເດືອນ, ມັນງ່າຍທີ່ຈະຈິນຕະນາການຂະຫນາດຂອງໂຄງການທີ່ໃຊ້ແຮງງານນີ້. ເພື່ອຢຸດຕິສິ່ງນີ້, ພວກເຮົາປັບປຸງລະບົບຄລາວສ່ວນຕົວຂອງທະນາຄານໃຫ້ທັນສະ ໄໝ ແລະອັດຕະໂນມັດບໍ່ພຽງແຕ່ຂະບວນການສ້າງ VMs ເທົ່ານັ້ນ, ແຕ່ຍັງມີການດໍາເນີນການທີ່ກ່ຽວຂ້ອງ.

ວຽກງານເລກທີ 1. ຄລາວທີ່ມີການເຊື່ອມຕໍ່ອິນເຕີເນັດ

ທະນາຄານໄດ້ສ້າງຄລາວສ່ວນຕົວໂດຍໃຊ້ທີມງານໄອທີພາຍໃນຂອງຕົນສໍາລັບພາກສ່ວນດຽວຂອງເຄືອຂ່າຍ. ເມື່ອເວລາຜ່ານໄປ, ຜູ້ຈັດການໄດ້ຍົກຍ້ອງຜົນປະໂຫຍດຂອງຕົນແລະຕັດສິນໃຈຂະຫຍາຍແນວຄວາມຄິດຂອງຄລາວສ່ວນຕົວໄປສູ່ສະພາບແວດລ້ອມແລະພາກສ່ວນອື່ນໆຂອງທະນາຄານ. ອັນນີ້ຕ້ອງການຜູ້ຊ່ຽວຊານ ແລະຊ່ຽວຊານທີ່ເຂັ້ມແຂງໃນຄລາວສ່ວນຕົວ. ດັ່ງນັ້ນ, ທີມງານຂອງພວກເຮົາໄດ້ຮັບຄວາມໄວ້ວາງໃຈໃນການປັບປຸງລະບົບຟັງໃຫ້ທັນສະໄໝ.

ກະແສຫຼັກຂອງໂຄງການນີ້ແມ່ນການສ້າງເຄື່ອງ virtual ໃນສ່ວນເພີ່ມເຕີມຂອງຄວາມປອດໄພຂໍ້ມູນຂ່າວສານ - ໃນເຂດ demilitarized (DMZ). ນີ້ແມ່ນບ່ອນທີ່ການບໍລິການຂອງທະນາຄານໄດ້ຖືກປະສົມປະສານກັບລະບົບພາຍນອກທີ່ຕັ້ງຢູ່ນອກໂຄງສ້າງພື້ນຖານຂອງທະນາຄານ.

​ແຕ່​ຫຼຽນ​ຄຳ​ນີ້​ຍັງ​ມີ​ຈຸດ​ພິ​ເສດ. ການບໍລິການຈາກ DMZ ແມ່ນມີຢູ່ "ນອກ" ແລະນີ້ເຮັດໃຫ້ຄວາມສ່ຽງດ້ານຄວາມປອດໄພຂໍ້ມູນທັງຫມົດ. ກ່ອນອື່ນ ໝົດ, ນີ້ແມ່ນໄພຂົ່ມຂູ່ຂອງລະບົບການແຮັກ, ການຂະຫຍາຍຕົວຂອງສະ ໜາມ ການໂຈມຕີໃນ DMZ, ແລະຫຼັງຈາກນັ້ນການເຈາະເຂົ້າໄປໃນໂຄງສ້າງພື້ນຖານຂອງທະນາຄານ. ເພື່ອຫຼຸດຜ່ອນຄວາມສ່ຽງບາງຢ່າງເຫຼົ່ານີ້, ພວກເຮົາສະເຫນີໃຫ້ໃຊ້ມາດຕະການຄວາມປອດໄພເພີ່ມເຕີມ - micro-segmentation solution .

ການປົກປ້ອງການແບ່ງສ່ວນຈຸລະພາກ

ການແບ່ງສ່ວນແບບຄລາດສິກສ້າງເຂດແດນທີ່ຖືກປ້ອງກັນຢູ່ເຂດແດນຂອງເຄືອຂ່າຍໂດຍໃຊ້ໄຟວໍ. ດ້ວຍ microsegmentation, VM ແຕ່ລະຄົນສາມາດແຍກອອກເປັນສ່ວນສ່ວນບຸກຄົນ, ແຍກ.

ນີ້ເສີມຂະຫຍາຍຄວາມປອດໄພຂອງລະບົບທັງຫມົດ. ເຖິງແມ່ນວ່າຜູ້ໂຈມຕີ hack ເຄື່ອງແມ່ຂ່າຍ DMZ ຫນຶ່ງ, ມັນຈະເປັນການຍາກທີ່ສຸດສໍາລັບພວກເຂົາທີ່ຈະແຜ່ຂະຫຍາຍການໂຈມຕີໃນທົ່ວເຄືອຂ່າຍ - ພວກເຂົາຈະຕ້ອງທໍາລາຍ "ປະຕູທີ່ຖືກລັອກ" ພາຍໃນເຄືອຂ່າຍ. Firewall ສ່ວນຕົວຂອງແຕ່ລະ VM ມີກົດລະບຽບຂອງຕົນເອງກ່ຽວກັບມັນ, ເຊິ່ງກໍານົດສິດທິໃນການເຂົ້າແລະອອກ. ພວກເຮົາສະໜອງການແບ່ງສ່ວນຈຸລະພາກໂດຍໃຊ້ VMware NSX-T Distributed Firewall. ຜະລິດຕະພັນນີ້ສ້າງກົດລະບຽບຂອງ Firewall ສໍາລັບ VM ແລະແຈກຢາຍພວກມັນໃນທົ່ວໂຄງສ້າງພື້ນຖານ virtualization. ມັນບໍ່ສໍາຄັນວ່າ OS ຂອງແຂກຖືກໃຊ້, ກົດລະບຽບຖືກນໍາໃຊ້ໃນລະດັບຂອງການເຊື່ອມຕໍ່ເຄື່ອງ virtual ກັບເຄືອຂ່າຍ.

ບັນຫາ N2. ໃນການຊອກຫາຄວາມໄວແລະຄວາມສະດວກສະບາຍ

ນຳໃຊ້ເຄື່ອງສະເໝືອນຈິງບໍ? ງ່າຍ! ສອງ​ສາມ​ຄລິກ​ແລະ​ທ່ານ​ສໍາ​ເລັດ​. ແຕ່ຫຼັງຈາກນັ້ນຄໍາຖາມຈໍານວນຫຼາຍເກີດຂື້ນ: ວິທີການເຂົ້າເຖິງຈາກ VM ນີ້ໄປຫາລະບົບອື່ນຫຼືລະບົບ? ຫຼືຈາກລະບົບອື່ນກັບຄືນໄປບ່ອນ VM?

ຕົວຢ່າງ, ໃນທະນາຄານ, ຫຼັງຈາກສັ່ງ VM ໃນປະຕູຟັງ, ມັນຈໍາເປັນຕ້ອງເປີດປະຕູສະຫນັບສະຫນູນດ້ານວິຊາການແລະສົ່ງຄໍາຮ້ອງຂໍການສະຫນອງການເຂົ້າເຖິງທີ່ຈໍາເປັນ. ຄວາມ​ຜິດ​ພາດ​ໃນ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ເຮັດ​ໃຫ້​ມີ​ການ​ໂທ​ແລະ​ການ​ຕອບ​ສະ​ຫນອງ​ເພື່ອ​ແກ້​ໄຂ​ສະ​ຖາ​ນະ​ການ​. ໃນເວລາດຽວກັນ, VM ສາມາດມີການເຂົ້າເຖິງ 10-15-20 ແລະການປຸງແຕ່ງແຕ່ລະຄົນໃຊ້ເວລາ. ຂະບວນການຂອງມານ.

ນອກຈາກນັ້ນ, "ການເຮັດຄວາມສະອາດ" ຮ່ອງຮອຍຂອງກິດຈະກໍາຊີວິດຂອງເຄື່ອງຈັກ virtual ຫ່າງໄກສອກຫຼີກຮຽກຮ້ອງໃຫ້ມີການດູແລພິເສດ. ຫຼັງຈາກທີ່ພວກເຂົາຖືກໂຍກຍ້າຍ, ກົດລະບຽບການເຂົ້າເຖິງຫລາຍພັນຄົນຍັງຄົງຢູ່ໃນໄຟວໍ, ການໂຫຼດອຸປະກອນ. ນີ້​ແມ່ນ​ທັງ​ພາ​ລະ​ເພີ່ມ​ເຕີມ​ແລະ​ຄວາມ​ປອດ​ໄພ​ຂຸມ.

ທ່ານບໍ່ສາມາດເຮັດສິ່ງນີ້ໄດ້ກັບກົດລະບຽບໃນຄລາວ. ມັນບໍ່ສະດວກແລະບໍ່ປອດໄພ.

ເພື່ອຫຼຸດຜ່ອນເວລາທີ່ມັນໃຊ້ເວລາເພື່ອສະຫນອງການເຂົ້າເຖິງ VMs ແລະເຮັດໃຫ້ມັນສະດວກໃນການຄຸ້ມຄອງພວກມັນ, ພວກເຮົາໄດ້ພັດທະນາການບໍລິການຄຸ້ມຄອງການເຂົ້າເຖິງເຄືອຂ່າຍສໍາລັບ VMs.

ຜູ້ໃຊ້ໃນລະດັບເຄື່ອງ virtual ໃນເມນູສະພາບການເລືອກລາຍການເພື່ອສ້າງກົດລະບຽບການເຂົ້າເຖິງ, ແລະຫຼັງຈາກນັ້ນໃນຮູບແບບທີ່ເປີດກໍານົດພາລາມິເຕີ - ຈາກບ່ອນ, ບ່ອນໃດ, ປະເພດໂປໂຕຄອນ, ຕົວເລກພອດ. ຫຼັງຈາກການຕື່ມແລະສົ່ງແບບຟອມ, ຕົ໋ວທີ່ຈໍາເປັນຈະຖືກສ້າງຂື້ນໂດຍອັດຕະໂນມັດໃນລະບົບສະຫນັບສະຫນູນດ້ານວິຊາການຂອງຜູ້ໃຊ້ໂດຍອີງໃສ່ຜູ້ຈັດການບໍລິການ HP. ພວກເຂົາຮັບຜິດຊອບໃນການອະນຸມັດການເຂົ້າເຖິງນີ້ຫຼືນັ້ນແລະ, ຖ້າການເຂົ້າເຖິງຖືກອະນຸມັດ, ໃຫ້ຜູ້ຊ່ຽວຊານທີ່ປະຕິບັດບາງການປະຕິບັດງານທີ່ຍັງບໍ່ທັນອັດຕະໂນມັດ.

ຫຼັງຈາກຂັ້ນຕອນຂອງຂະບວນການທຸລະກິດທີ່ກ່ຽວຂ້ອງກັບຜູ້ຊ່ຽວຊານໄດ້ເຮັດວຽກ, ສ່ວນຫນຶ່ງຂອງການບໍລິການເລີ່ມຕົ້ນທີ່ອັດຕະໂນມັດສ້າງກົດລະບຽບກ່ຽວກັບໄຟວໍ.

ໃນຖານະເປັນ chord ສຸດທ້າຍ, ຜູ້ໃຊ້ເຫັນຄໍາຮ້ອງຂໍສໍາເລັດສົບຜົນສໍາເລັດໃນປະຕູໄດ້. ນີ້ຫມາຍຄວາມວ່າກົດລະບຽບໄດ້ຖືກສ້າງຂື້ນແລະທ່ານສາມາດເຮັດວຽກກັບມັນ - ເບິ່ງ, ປ່ຽນແປງ, ລຶບ.

ຄະແນນສຸດທ້າຍຂອງຜົນປະໂຫຍດ

ໂດຍພື້ນຖານແລ້ວ, ພວກເຮົາປັບປຸງລັກສະນະນ້ອຍໆຂອງລະບົບຄລາວໃຫ້ທັນສະ ໄໝ, ແຕ່ທະນາຄານໄດ້ຮັບຜົນກະທົບທີ່ ໜ້າ ສັງເກດ. ໃນປັດຈຸບັນຜູ້ໃຊ້ໄດ້ຮັບການເຂົ້າເຖິງເຄືອຂ່າຍພຽງແຕ່ຜ່ານປະຕູ, ໂດຍບໍ່ມີການຈັດການກັບ Desk ບໍລິການໂດຍກົງ. ຊ່ອງຂໍ້ມູນແບບຟອມບັງຄັບ, ການກວດສອບຄວາມຖືກຕ້ອງຂອງຂໍ້ມູນທີ່ເຂົ້າມາ, ລາຍຊື່ທີ່ກໍານົດໄວ້ກ່ອນ, ຂໍ້ມູນເພີ່ມເຕີມ - ທັງຫມົດນີ້ຊ່ວຍສ້າງຄໍາຮ້ອງຂໍການເຂົ້າເຖິງທີ່ຖືກຕ້ອງ, ເຊິ່ງມີຄວາມເປັນໄປໄດ້ສູງຈະຖືກພິຈາລະນາແລະບໍ່ຖືກປະຕິເສດໂດຍພະນັກງານຄວາມປອດໄພຂໍ້ມູນເນື່ອງຈາກ. ການປ້ອນຂໍ້ມູນຜິດພາດ. ເຄື່ອງຈັກສະເໝືອນບໍ່ແມ່ນກ່ອງດຳອີກຕໍ່ໄປ—ທ່ານສາມາດສືບຕໍ່ເຮັດວຽກກັບພວກມັນໄດ້ໂດຍການເຮັດການປ່ຽນແປງໃນໜ້າເວັບ.

ດັ່ງນັ້ນ, ໃນມື້ນີ້ຜູ້ຊ່ຽວຊານດ້ານໄອທີຂອງທະນາຄານມີເຄື່ອງມືທີ່ສະດວກກວ່າສໍາລັບການເຂົ້າຫາ, ແລະມີພຽງແຕ່ຄົນເຫຼົ່ານັ້ນເທົ່ານັ້ນທີ່ມີສ່ວນຮ່ວມໃນຂະບວນການ, ໂດຍບໍ່ມີຜູ້ທີ່ເຂົາເຈົ້າບໍ່ສາມາດເຮັດໄດ້ແນ່ນອນ. ໃນຈໍານວນທັງຫມົດ, ໃນແງ່ຂອງຄ່າໃຊ້ຈ່າຍແຮງງານ, ນີ້ແມ່ນການປ່ອຍຈາກການໂຫຼດເຕັມປະຈໍາວັນຢ່າງຫນ້ອຍ 1 ຄົນ, ເຊັ່ນດຽວກັນກັບຫຼາຍສິບຊົ່ວໂມງທີ່ບັນທຶກໄວ້ສໍາລັບຜູ້ໃຊ້. ອັດຕະໂນມັດຂອງການສ້າງກົດລະບຽບເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະປະຕິບັດການແກ້ໄຂການແບ່ງສ່ວນຈຸນລະພາກທີ່ບໍ່ສ້າງພາລະຕໍ່ພະນັກງານທະນາຄານ.

ແລະສຸດທ້າຍ, "ກົດລະບຽບການເຂົ້າເຖິງ" ໄດ້ກາຍເປັນຫນ່ວຍງານບັນຊີຂອງເມຄ. ນັ້ນແມ່ນ, ຕອນນີ້ຄລາວເກັບຮັກສາຂໍ້ມູນກ່ຽວກັບກົດລະບຽບສໍາລັບ VMs ທັງຫມົດແລະເຮັດຄວາມສະອາດພວກມັນເມື່ອເຄື່ອງ virtual ຖືກລຶບ.

ອີກບໍ່ດົນຜົນປະໂຫຍດຂອງຄວາມທັນສະ ໄໝ ຈະແຜ່ລາມໄປສູ່ເມຄຂອງທະນາຄານທັງ ໝົດ. ອັດຕະໂນມັດຂອງຂະບວນການສ້າງ VM ແລະການແບ່ງສ່ວນຈຸນລະພາກໄດ້ຍ້າຍອອກໄປນອກ DMZ ແລະຈັບສ່ວນອື່ນໆ. ແລະນີ້ເພີ່ມຄວາມປອດໄພຂອງຟັງທັງຫມົດ.

ການແກ້ໄຂທີ່ປະຕິບັດແມ່ນຫນ້າສົນໃຈທີ່ມັນຊ່ວຍໃຫ້ທະນາຄານເລັ່ງຂະບວນການພັດທະນາ, ເຮັດໃຫ້ມັນໃກ້ຊິດກັບຕົວແບບຂອງບໍລິສັດໄອທີຕາມເງື່ອນໄຂນີ້. ຫຼັງຈາກທີ່ທັງຫມົດ, ໃນເວລາທີ່ມັນມາກັບຄໍາຮ້ອງສະຫມັກໂທລະສັບມືຖື, ປະຕູ, ແລະການບໍລິການລູກຄ້າ, ບໍລິສັດຂະຫນາດໃຫຍ່ໃດໆໃນມື້ນີ້ພະຍາຍາມທີ່ຈະກາຍເປັນ "ໂຮງງານຜະລິດ" ສໍາລັບການຜະລິດຜະລິດຕະພັນດິຈິຕອນ. ໃນຄວາມຫມາຍນີ້, ທະນາຄານປະຕິບັດການຫຼີ້ນທຽບເທົ່າກັບບໍລິສັດ IT ທີ່ເຂັ້ມແຂງທີ່ສຸດ, ຕິດຕາມການສ້າງຄໍາຮ້ອງສະຫມັກໃຫມ່. ແລະມັນເປັນການດີເມື່ອຄວາມສາມາດຂອງໂຄງສ້າງພື້ນຖານດ້ານໄອທີທີ່ສ້າງຂຶ້ນໃນຕົວແບບຄລາວສ່ວນຕົວຊ່ວຍໃຫ້ທ່ານສາມາດຈັດສັນຊັບພະຍາກອນທີ່ຈໍາເປັນສໍາລັບການນີ້ໃນສອງສາມນາທີແລະປອດໄພທີ່ສຸດເທົ່າທີ່ເປັນໄປໄດ້.

ຜູ້ຂຽນ:
Vyacheslav Medvedev, ຫົວຫນ້າພະແນກຄອມພິວເຕີ້ຟັງ, ລະບົບຂໍ້ມູນ Jet,
Ilya Kuikin, ວິສະວະກອນຊັ້ນນໍາຂອງພະແນກຄອມພິວເຕີ້ຟັງຂອງ Jet Infosystems

ແຫຼ່ງຂໍ້ມູນ: www.habr.com