阿里云WAF&DB体验交流

近期因公司在各云产品使用上的一些情况,与阿里云各专家们进行了交流,从中深入的了解了阿里云安全WAF与DB两款产品,以此分享出来给大家参考。

阿里云MVP  云集   基础服务技术负责人  张强

1、web应用攻击防护
主要作用:防护常见的攻击手段,如SQL注入攻击,XSS跨站攻击等、配置后实时生效;
实现原理:根据URL请求参数实时校验,若发现URL中带有SQL或者JS等脚本语句,直接在网络层拦截。

2、恶意IP惩罚
主要作用:若发现同一IP在短时间内发生多次WEB攻击,自动将该IP拉黑一段时间,目前时间间隔与攻击次数只能由阿里云配置。
实现原理:结合WEB应用攻击防护,统计单位时间内的攻击频率,实现原理较简单。

3、CC安全防护
主要作用:基于IP+URL的组合防护策略,如针对某个IP在某个URL单位时间内的请求频率统计限制,规则可以自己指定,单目前不支持一个URL多个规则,阿里云正在优化。
实现原理:记录某个IP在某个URL上单位时间内的请求频率,跟恶意IP惩罚原理类似。

4、精准访问控制
主要作用:可对常见的HTTP请求字段进行条件组合,适用于对某个请求有特殊严格限制的操作。
实现原理:将HTTP请求中的IP、URL、Referer、Cookie、Header、Content-Type、X-forwarded-For等信息获取出来,根据用户指定的规则触发动作,相对于web攻击、IP惩罚、CC防护来说控制的条件粒度可以更细。
注意入坑:精准访问控制的匹配规则是根据列表,从上到下的匹配,若匹配上一条规则,则按照匹配上的条件来执行动作,不会继续往下执行,所以注意规则列表中的排列顺序;
                  
 e.g: 如下图排序,当杭州IP与客服IP访问注册验证码地址时,若匹配上规则,照样被拦截,IP放行将失效。
 
阿里云WAF&DB体验交流

5、禁封地区
主要作用:禁止某个地区的IP请求访问。
实现原理:根据IP段来限制请求访问,实现原理比较简单。

6、网页防篡改
主要作用:锁定页面内容,防止人员手动误改或者黑客入侵后篡改,多应用于.org等类似*网站。
实现原理:将设置的某个页面缓存处理。在设置的时间内返回固定的内容,实现比较简单。

7、数据风控
主要作用:识别黑白请求,如批量注册,批量刷某个接口等,防止非法跳跃式请求,目前数据风控只支持H5或网页端。
实现原理:在HTML页面插入token,正常请求链路都会有token附加信息,并且有效期只有一次,若直接跳跃请求,没有token信息或者token信息失效则断定为恶意请求;如A---B,从A正常跳转到B是带有token信息的,直接访问到B则链路上不会有token信息。

8、防敏感信息泄露
主要作用:避免重要信息泄露,如银行卡、身份证、手机号码等,针对返回报文信息做拦截处理。
实现原理:针对返回报文进行识别处理,若返回的接口不在白名单,并且有明感信息,则将报文中明感信息剔除,可能对前端样式内容等产生影响。

DB:
DB这块主要咨询了阿里云2个产品与RDS日常使用中遇到问题,包括注意点、排查思路、解决方案、SQL索引相关等,分开来介绍。

DB产品这块阿里云官方介绍有,但是写的比较商业化,按照个人的理解与阿里云的介绍来描述下:

1)、POLADB
     阿里云自研的一款DB,其核心原理是一写多读、分布式存储、看下阿里云的设计架构图:

 阿里云WAF&DB体验交流


      采用计算与存储分离的设计理念,满足公有云计算环境下用户业务弹性扩展的刚性需求。数据库的计算节点(DB Server)仅存储元数据,而将数据文件、Redo Log等存储于远端的存储节点(Chunk Server)。各计算节点之间仅需同步Redo Log相关的元数据信息,极大降低了主实例和只读实例间的延迟,而且在主实例故障时,只读实例可以快速切换为主服务器,由于是分布式存储,是的I/O不在是瓶颈点,支持上百TB级别数据。

   PS:同开源MYSQL相比,拥有高性能(读写分离),阿里云号称比开源MYSQL性能提高6倍,100%兼容原生态MYSQL,支持数据量存储的同时保证了读写性能,主要用户大数据下OLTP类型的等值计算。
 官方资料:https://help.aliyun.com/product/58609.html?spm=a2c4g.11186623.3.1.Arp1jP 

2、HybridDB
      设计思想就是链路、计算和存储分离,实现松耦合分布式架构的HTAP数据库云服务,架构图如下:
阿里云WAF&DB体验交流
 

      可以这么来理解,大数据下分库分表的封装,类似云集现有的订单sharding库,只不过阿里云做了更全面的封装,如面对用户的只有一个库,其实内部是做了路由的,用户只要在创建表的时候指定路由规则即可,后续操作跟单台MYSQL完全一样,不用管路由算法,另外封装了多库连表查询,如where后面跟的是时间区间,数据散落在不同的分片时候,链路引擎会将不同节点的数据汇总后呈现给用户,让用户无感知的操作,可以基于一份数据OLTP与OLAP混合处理;由于面对用户的只是个proxy,所以可以做到无缝隙的动态扩容;了解的过程中可以拿POLADB与云集的order Sharding进行对比理解。

    PS:虽然封装完美,但也有自身痛点,总结一句话叫:上云容易下云难,下云后继续使用阿里云的POLADB能顶住,但如果自建MYSQL,数据层需要大改,并且自己写路由规则。

3、RDS使用问题与解决
    这块描述下日常使用RDS需要注意的事项:

 1、高可用切换原理:现将Master置为readOnly,Slave完成binlog同步与数据迁移后,Slave成为Master,Master停用,如果RDS前有挂proxy,闪短时间30内,若没挂,闪短时间约为10分钟左右,闪短期间数据库状态为readOnly状态。

2、设置 loose_max_statement_time:超时时间指的是SQL的执行处理时间,不包含排队等待时间。

3、若出现KILL不掉某种SQL进程时候(批量来源),可以使用SQL限流来处理,以免出现一条SQL拖垮整库的情况。
      SQL Filter
      SET GLOBAL sql_select_filter = '+,{CONC},KEY1~KEY2~KEY3.....';
      e.g.
     SET GLOBAL sql_select_filter = '+,10,a=1~b=2';
     作用:
     对同时包含 a=1 和 b=2 两个关键字的SQL,限制最高并发线程为10;
     注意:一般只对select进行限制如慢SQL,竞争锁等,注意关键字,如where等。
     PS:阿里云RDS封装后的功能,原生态开源MYSQL没有此功能。

4、联合索引创建的优先顺序:如果出现有表需要建立联合索引的情况,可以通入如下方式来排列优先级
      
        方法一:
         show index from `t_user`  --查看t_user表索引
         select count(DISTINCT(`user_id`)) /count(*) from t_user;--若等于1,说明user_id建立所以的优先级最高
         select count(DISTINCT(concat(`user_name` ,`user_id`))) /count(*) from t_user; --哪个值越接近1,则优先级越高,从左到右排列。

        方法二:如下图,数值越高则优先级越高。
  阿里云WAF&DB体验交流


5、count(*) VS count(X):总结 count(expression)比count(*)和count(column),如果没有特殊业务含义的话,可以优先使用,具体可参考阿里云测试说明https://yq.aliyun.com/articles/379946?spm=a2c4e.11155435.0.0.16813312gMppl0 

6、补天临时参数设置:

     1、 rds_max_tmp_disk_space:控制 MySQL 能够使用的临时文件的大小,适用于一个 SQL 语句就消耗掉整个数据库的磁盘空间;
     2、tokudb_buffer_pool_ratio:控制 TokuDB 引擎能够使用的 buffer 内存大小,适用于选择了 tokudb 作为存储引擎的场景;
     3、loose_max_statement_time:控制单个 SQL 语句的最长执行时间,适用于控制数据库中的慢 SQL 数量;
     4、rds_threads_running_high_watermark:控制 MySQL 并发的查询数目,常用于秒杀场景的业务;

7、其他参考资料
https://yq.aliyun.com/articles/348692?spm=a2c4e.11155435.0.0.7ec533128qCgdf 
https://yq.aliyun.com/articles/348688?spm=a2c4e.11155435.0.0.7ec533128qCgdf 
https://github.com/alibaba/AliSQL/wiki/Changes-in-AliSQL-5.6.32-(2016-09-15)#10-sql-filter 
https://github.com/alibaba/AliSQL/wiki/Changes-in-AliSQL-5.6.32-(2016-10-14)#2-hint-solution-for-inventory 
https://github.com/alibaba/AliSQL/wiki/Changes-in-AliSQL-5.6.32-(2017-05-04)#2-thread-pool 
https://github.com/alibaba/AliSQL/wiki/Changes-in-AliSQL-5.6.32-(2016-09-15)#3-ddl-fast-fail 


总结:以上内容总结到此结束,若有疑问欢迎各位咨询;另,学到并且能用到,能解决问题才是王道。






上一篇:《MVP 时间》之物联网落地三大困境破解


下一篇:百位云计算专家齐聚湖畔大学,阿里云MVP全球闭门会聚焦数字化转型