Как применять практики безопасности OpenTelemetry в легаси-системах

Значимый прорыв формирует отрасль ИИ: alexbik 39 минут назад Как применять практики безопасности OpenTelemetry в легаси-системах 7 мин 1. 3K Блог компании Axiom JDK Программирование * Перевод Автор оригинала: Lukasz Ciukaj OpenTelemetry всё чаще используют в легаси-системах, потому что компании открывают для себя современные инструменты для организации наблюдаемости (observability) за системой. Но применение этих инструментов в промышленых системах создаёт дополнительные проблемы с безопасностью.

Ограничения легаси-инфраструктуры принципиально меняют то, где и как следует применять защитные меры. В легаси-средах часто встречаются:Системы, которые нельзя модифицировать или инструментировать. Оборудование с длительным жизненным циклом и редкими окнами для установки обновлений.

Технические детали

Плоские сети, или сети со слабой сегментацией. Конфиденциальные оперативные данные, которые не относятся к привычным персональным данным (ПДн). В этой статье рассказывается о том, чем отличается обеспечение безопасности OpenTelemetry в таких средах и как соответствующим образом адаптировать свой подход.

Чем отличаются легаси-средыРекомендации по безопасности для нативных облачных систем (cloud native systems) обычно исходят из того, что:В сервисы можно встроить инструменты для отслеживания их состояния. Шифрование и аутентификацию можно сделать обязательными во всей системе. Компоненты можно регулярно обновлять.

В промышленных и легаси-средах эти условия часто невыполнимы. Задача состоит не в том, чтобы повсеместно внедрить идеальный набор защитных мер. Важно выбрать правильные точки контроля в конвейере телеметрии и найти баланс между наблюдаемостью и риском.

Отраслевые последствия

Проблемы безопасности легаси-системСистемы нельзя модифицироватьВо многих промышленных системах невозможно запустить агент, подключить современные библиотеки или вообще внести какие-либо изменения. Из этого следуют несколько ограничений:Источник телеметрии может не поддерживать современные версии TLS и механизмы аутентификации либо поддерживать их лишь частично. Прямое добавление инструментов для отслеживания состояния системы с помощью SDK невозможно.

Приходится использовать промежуточные компоненты: OpenTelemetry Collector, мосты и конвейеры обработки логов. Если в исходную систему нельзя внедрить современные средства защиты, основная нагрузка переносится на Collector, промежуточные компоненты и сетевые границы. Слабая сегментация сети или её отсутствиеАрхитектура легаси-сетей проектировалась без учёта современного подхода к наблюдаемости.

Одни системы работают в плоской или общей сети почти без сегментации. Другие, наоборот, находятся в глубоко вложенных сетевых сегментах, где одновременно используются устаревшие и современные протоколы. В обоих случаях внедрение сбора телеметрии может:Открыть эндпоинты приёма данных для тех сегментов сети, которым доступ не предназначался.

Событие, по словам экспертов, усилит конкуренцию в сфере ИИ.