OpenTelemetry（OTel）是一个开源标准，用于从分布式系统中收集、仪表化和导出遥测数据。作为SRE团队和安全团队广泛采用的框架，OTel不仅仅是众多工具中的一个好用工具，而是至关重要的。
在本文中，我们将探讨OTel在系统安全中的作用。我们将介绍遥测数据如何用于保护系统以及OTel如何安全地处理遥测数据。然后，我们将考虑一些具体的实践方法——基础和高级——供您在组织中使用OTel时采用。
让我们首先看一下系统安全和遥测数据之间的关系。
遥测数据是必不可少的
强大的系统安全依赖于许多实践的应用，包括：
- 多重防御
- 风险缓解
- 细粒度访问控制
- 早期威胁检测和响应
- 弹性和业务连续性
设计和实施可靠的安全性需要对系统有深入的了解，并对您的业务系统和安全机制有高度的可见性。而遥测数据（日志、指标、分布式跟踪）提供了关于系统正常行为的信息。通过持续收集和分析这些数据，安全团队可以建立基线和阈值，帮助识别与正常行为偏离的情况。
遥测数据在安全中的作用
遥测数据对于增强组织的安全姿态至关重要。它不仅有助于事件响应和取证调查，还支持主动威胁猎取和合规审计。在复杂系统中，通过识别模式、趋势和潜在的妥协指标（IOCs），遥测数据使得强大的安全措施和策略成为可能。
OTel是处理遥测数据的框架
在寻找帮助收集和规范化遥测数据的工具时，已经出现了许多选择，不过OTel已经成为处理遥测数据的行业标准。它提供了一种标准化的方式，在系统的各个组件和服务之间捕获和传输遥测数据。
除了在仪表化方面的作用，OTel还在处理遥测数据时采用了安全实践。
OTel在零信任架构中的重要性
OTel专注于可观察性和遥测数据收集，并得到了各种安全功能的支持。
首先，OTel确保在分布式系统之间进行安全传输遥测数据。它支持使用HTTPS和gRPC等安全通信协议，这些协议使用了传输层安全性（TLS）。这样可以确保在传输过程中对遥测数据进行加密，防止未经授权的访问或篡改。
OTel还可以利用现有的身份验证策略。通过将OTel与OAuth、JWT或API密钥等身份验证系统集成，可以确保只有授权的实体可以访问和传输遥测数据。
根据合规政策，您的系统可能需要基于角色的访问控制（RBAC）。OTel仪表化在您的RBAC策略的范围内工作。通过定义细粒度的访问控制规则，您可以指定哪些经过身份验证的用户或服务有权限执行仪表化操作或通过OTel收集器访问遥测数据。
OTel对审计和合规努力做出了重要贡献。通过将日志作为遥测数据的一部分进行捕获，它提供了对分布式系统的操作和行为的可见性。这对于检测安全事件、调查违规行为和遵守监管要求非常有价值。特别是当您的组织使用高度联合的服务网格架构时，这一点尤为重要。其目标可能是将客户数据与支付门户和应用程序数据分离。
作为行业标准，OTel在接收端与无数支持OTel的系统和组件之间实现了无缝集成。同样，在导出端，云提供商和可观察性平台支持从OTel接收遥测数据。因此，使用OTel的一个主要优势是避免了供应商/技术锁定。如果您想要使用多个收集代理（用于日志、指标、安全事件数据、跟踪）或迁移离开特定的供应商，您可以这样做，而不会因此失去在仪表化应用程序和围绕监控所创建的所有努力。
最后，OTel项目积极参与开发者社区，解决与安全相关的问题。通过社区贡献、代码审查和安全审计，努力发现和减轻潜在的安全漏洞。发布定期更新和补丁来解决发现的任何安全问题，确保更安全的框架。
现在我们已经了解了“什么”，让我们来看一下“如何”。如何通过遥测数据和OTel增强系统的安全性？
使用OTel保护系统的最佳实践
让我们考虑一些具体的步骤，从OTel开始保护您的系统。
1. 确定应用程序和安全组件
在为安全性而有效地仪器化您的系统之前，您必须首先确定哪些部分是仪器化最有益的。确定您的应用程序和系统的安全组件。安全相关的组件包括：
- 防火墙
- 入侵检测系统（IDS）
- 防病毒软件
- 认证机制
2. 使用自动仪器化快速收集日志、度量和跟踪数据
使用OTel库来仪器化您已识别的组件。仪器化允许您从这些组件中捕获相关的遥测数据。定义并收集来自应用程序和安全组件的数据，以监视它们的健康状况和性能。
诸如CPU使用率、内存利用率、网络流量和事件计数等度量指标可以提供有关系统整体健康状况和资源利用情况的见解。OTel允许您定义和捕获特定于安全基础设施的自定义度量指标。
3. 记录安全事件
使用OTel的分布式跟踪功能跟踪不同组件和服务中的安全事件。通过捕获跟踪，您可以了解与安全相关的活动流程，识别瓶颈，并分析安全控制的有效性。跟踪帮助您了解安全事件或违规事件期间事件的顺序，有助于事件响应和取证调查。
4. 导出和可视化与安全相关的遥测数据
配置OTel导出器将收集的遥测数据传输到后端系统进行存储、分析和可视化。选择适当的可观测性平台。您可以使用Grafana、Prometheus和Elasticsearch等开源解决方案。或者，您可以使用集成平台如Sumo Logic来接收和处理所有遥测数据（以日志、度量、跟踪和事件的形式）。这些平台提供仪表板和可视化工具，用于监视和分析系统的实时健康状况、性能和安全性。
5. 在异常检测中启用警报
根据预定义的阈值或异常检测算法设置警报机制。通过利用收集的遥测数据，您可以配置警报，在某些度量指标或事件超出正常或预期范围时通知安全团队。这样可以实现主动监控、快速事件响应和潜在安全违规的缓解。
6. 使用日志进行事件调查
通过将分布式跟踪与应用程序日志结合起来，您可以提供有助于重建事件序列的上下文。利用所有信息进行根本原因分析，更好地了解事件的影响。
定义日志过滤和保留策略，以确保您拥有相关数据和足够的历史上下文。在日志保留量和保留时间上权衡存储成本。
以上列表可被视为组织希望使用OTel增强系统安全性的基本实践。如果您希望提升安全实践水平，以下高级实践可能会引起您的兴趣：
使用OTel的高级安全实践
使用OTel进行高级安全分析可以提供有价值的洞察力和功能，以进一步增强安全监测和事件响应。让我们看看三个关键机会。
1. 利用元数据协助安全分析和审计
OTel允许您将自定义元数据附加到遥测数据上。您可以附加用户ID、事务ID或任何与安全分析和审计相关的上下文信息。通过整合这些元数据，您可以为遥测数据添加额外的细节，从而在以下方面对您有所帮助：
- 识别安全事件的源头
- 追踪特定用户或交易的操作
- 在安全事件期间进行取证调查。
2. 识别与政策和最佳实践的偏离
OTel收集的遥测数据在识别系统内安全政策和最佳实践偏离方面发挥着重要作用。通过定义政策和期望的安全配置，您可以将遥测数据与这些基准进行比较，以识别任何偏离或非符合行为。
3. 利用AIOps进行自动事件响应
当OTel收集和导出的遥测数据与AIOps工具结合使用时，您可以实施主动的安全措施，例如自动事件响应。通过使用机器学习算法和异常检测技术分析系统遥测数据，您可以识别异常行为模式和潜在安全威胁。结果是早期检测到事件，甚至预测潜在事件。
您可以将这种早期检测与自动响应相结合，或者仅收集和整理相关信息，制定一个行动计划，您的人工安全工程师可以批准和应用。
结论
捕获和监测遥测数据对于理解和保护系统至关重要。借助遥测数据，您可以检测异常的系统行为，识别政策偏离，并实现快速事件响应。
OTel是一个强大的框架，也是系统中收集和分析遥测数据的行业标准。它提供了诸如安全数据传输、身份验证集成、访问控制和审计等安全功能。通过使用OTel，您可以对应用程序和安全组件进行仪表化，收集指标和跟踪安全事件。将遥测数据导出到可观察性平台后，您可以可视化数据并设置警报。
通过将遥测数据与AIOps工具结合使用，您可以实现早期事件检测和自动事件响应的能力。
确保系统安全的能力最终取决于您对OTel的采用。如果没有OTel，您将无法访问一种帮助您获取所需数据以进行有效安全事件检测和响应的重要工具。