为什么传统的安全措施不适合SOA

作者：kaiyun体育官方人口

2010/1/8 11:06:38

许多企业正在开始投向SOA的怀抱，使之作为一个增加应用软件灵活性以及整合更易于管理，更低开发成本，更统一的技术体系的方案。

在ESB内部和ESB直接的通讯为攻击者提供了新的切入点

任何重大SOA部署的中心都是一个能够处理消息路由、并提供所需基本服务的ESB。通常情况下，企业会使用数个通过网桥连接的ESB。

不管你有一个还是多个ESB，只要是使用了ESB就无法安装传统的“软”防火墙，这使ESB成为一个攻击目标——特别当它是关键服务（如记录和认证）的主机时。“软”防火墙是当连接方没有使用相同的协议时对通信所采取人为限制。因此，即使攻击者登录了某个系统，协议的不兼容将限制其攻击范围。例如，攻占了Web服务器的攻击者可能无法到达大型主机，因为大型主机使用令牌网协议，而在TCP / IP网上的Web服务器并没有把二者连接起来。

ESB的目的是为了消除通信障碍，这意味着如果部署了SOA攻击者可以很容易的从Web服务器到达大型主机。同样，SOA再次有利于攻击。

ESB高连通性使得内部、外部和ESB服务的部署更加需要一个坚实的应用程序安全措施。在把那些防护脆弱的传统大型机连接到ESB上时，需要审查其安全属性，从而确保该系统能够在充满威胁的环境中运行。你需要站在攻击者的角度，考查在你的SOA中所实现的全新通讯环境，并对攻击可能从一个被攻克的服务器中蔓延开来的距离进行建模，然后再制定出一个缓解方案，从而控制和制止攻击的蔓延。

部署类似于SOA这样灵活的系统是一种真正的安全挑战，但如果你从一开始就采取正确的步骤，保证系统的安全性也不是一件不可能的事情。

责编：赵恒