安全與信任中心

我們的公共錯誤賞金HackerOne促進了程序,允許一個全球網絡安全研究人員和集體滲透測試人員測試磚安全漏洞。的一些關鍵決定我們成功使程序包括:

• 鼓勵參與社區的黑客活躍在我們的程序通過提供透明度HackerOne項目統計數據如反應率和支出
• 及時響應錯誤賞金提交,平均time-to-bounty下一個星期
• 執行變異分析每個有效提交識別替代方式,利用可以使用,並驗證修複的100%
• 增加獎金驅動注意產品的最重要領域

我們努力使我們的項目成功,互相學習。我們的開放和協作方法錯誤賞beplay娱乐ios金計劃導致超過100安全研究人員感謝超過200報告。感謝大家幫助我們保持磚安全!

我們希望我們的客戶有信心beplay体育app下载地址在工作負載在磚上運行。如果你的團隊想要運行一個漏洞掃描對磚或滲透測試,我們建議您:

1. 飛機係統上運行脆弱性掃描數據在雲服務提供商的帳戶。
2. 對代碼運行測試,這些測試是完全包含在數據平麵(或其他係統)位於你的雲服務提供者賬戶和評估你的控製。
3. 加入磚Bug的賞金程序訪問一個專門部署磚進行滲透測試。任何針對我們的多租戶的滲透測試控製飛機需要參與這個項目。

我們需要多因素身份驗證訪問核心基礎設施雲服務提供商等遊戲機控製台(AWS, GCP和Azure)。磚的政策和程序,以避免使用顯式憑據,如密碼或API密鑰,隻要有可能。例如,隻有任命安全團隊成員可以處理異常請求新的AWS我校長或政策。

磚的員工可以訪問生產係統在非常特殊的情況下(如緊急break-fix)。訪問是由Databricks-built係統驗證訪問和執行政策的檢查。訪問要求,員工是我們的VPN連接,並使用我們的單點登錄解決方案驗證的多因素身份驗證。
了解更多→

我們的內部安全標準要求盡可能職責分離。例如,我們集中我們的雲提供商的身份驗證和授權過程分離授權訪問(瑪麗應該訪問係統)授予訪問(瑪麗現在可以訪問係統)。

我們優先考慮最小特權訪問,為我們的訪問內部係統和生產係統。最小特權是顯式地構建到我們的內部政策和反映在我們的程序。例如,大多數客戶可以控製是否磚員工可beplay体育app下载地址以訪問他們的工作區,和我們編程應用眾多檢查之前訪問可以自動授予和撤銷訪問之後有限的時間。
了解更多→

磚利用一個思想門戶跟蹤特性請求並允許投票為客戶和員工。beplay体育app下载地址我們的功能設計過程包括隱私和安全設計。一個初步評估後,高影響力的特性受到產品的安全設計審查安全團隊從工程與安全協會冠軍,以及其他威脅建模和安全特定的檢查。

我們使用敏捷開發方法,將新特性分解為多個sprint。磚不外包磚的發展平台,和所有開發人員都必須經過安全軟件開發培訓,包括OWASP前十名——當雇傭,此後每年。Beplay体育安卓版本生產數據和環境是分開發展,QA和舉辦環境。所有的代碼簽入到源代碼控製係統,需要單點登錄的多因素身份驗證和細粒度的權限。代碼合並需要功能性工程業主批準的每個領域的影響,以及所有代碼是同行評議。產品安全團隊手動審查安全敏感代碼消除業務邏輯錯誤。

我們使用最好的工具來識別脆弱的包或代碼。自動化在預生產環境中運行驗證主機和容器操作係統的漏洞掃描和安裝的軟件包,以及動態和靜態代碼分析掃描。工程票自動創建任何漏洞和分配給相關團隊。產品安全小組還分類關鍵漏洞評估其嚴重性的磚結構。

我們運行質量檢查(如單元測試和端到端測試)在SDLC過程的多個階段,包括在合並代碼,代碼合並後,在發布和生產。我們的測試包括積極測試,回歸測試和負麵測試。一旦部署,我們有廣泛的監控識別故障,用戶可以對係統可用性通過警報狀態頁。在發生任何P0或P1問題,磚自動化觸發“5個為什麼”的根本原因分析方法,選擇後期團隊成員監督審查。發現是行政領導溝通,並跟蹤後續項目。

磚有正式的發布管理過程,包括正式發布前可行或不可行的決策代碼。變化經過測試旨在避免回歸和驗證新功能測試在現實的工作負載。此外,有策劃推出監測早期識別問題。實現職責分離,隻有我們的部署管理係統可以發布更改生產,和多人的批準是必需的部署。

我們遵循一個不變的基礎設施模型,係統所取代,而不是修補改善可靠性和安全性,避免的風險配置漂移。新係統圖像或啟動應用程序代碼時,我們的工作負載轉移到新實例,推出新的代碼。這是正確的控製平麵和數據平麵(參見安全特性部分磚結構)。一旦在生產代碼,驗證流程確認工件不添加,刪除或擅自改變。

SDLC過程的最後階段是創建麵向客戶的文檔。磚文檔管理就像我們的源代碼,和文檔存儲在相同的源代碼控製係統。重大變化既需要技術和文檔團隊審查才可以合並和發表。
訪問文檔→

磚Lakehouse架構分為兩個獨立的飛機簡化你的權限,避免數據重複和降低風險。控製平麵管理平麵磚工作區應用程序運行和管理的筆記本電腦,配置和集群。除非你選擇使用serverless計算,數據平麵內運行雲服務提供者賬戶,處理您的數據沒有把它從你的帳戶。您可以在您的數據中嵌入數據磚漏出保護建築使用功能,如customer-managed vpc /聯接和管理控製台選項禁用出口。

雖然某些數據,比如你的筆記本電腦,配置,日誌和用戶信息,存在內部控製飛機,這些信息是加密靜止在控製飛機,和通信控製飛機在傳輸過程中進行加密。您還可以選擇某些數據所在:你可以舉辦自己的存儲元數據的數據表(蜂巢metastore),查詢結果存儲在雲服務提供者賬戶,並決定是否使用磚秘密的API。

假設您有一個數據工程師跡象在磚和寫一個筆記本,將原始數據在卡夫卡的一套規範化數據發送到存儲如Amazon S3湖或Azure數據存儲。六個步驟實現:

1. 數據工程師無縫地進行身份驗證,通過單點登錄如果需要,磚的web UI的控製平麵,駐留在磚帳戶。
2. 作為數據工程師編寫代碼,web瀏覽器將它發送到控製飛機。JDBC / ODBC請求也遵循同樣的路徑,進行身份驗證令牌。
3. 準備好後,控製飛機使用雲服務提供者api來創建一個磚集群,由新實例數據平麵,CSP在您的帳戶。管理員可以使用集群政策執行安全性配置文件。
4. 一旦啟動實例,集群管理器發送數據集群工程師的代碼。
5. 集群從卡夫卡在你的賬戶,轉換您的帳戶中的數據並將其寫入一個存儲在您的帳戶。
6. 集群的狀態報告和任何輸出回集群管理器。

數據工程師不需要擔心很多細節——他們隻是寫代碼和數據磚運行它。