当前位置: 首页 > 工具软件 > X-Pack > 使用案例 >

X-Pack还是SearchGuard,Elasticsearch安全功能怎么选?

宋智明
2023-12-01

X-Pack是Elasticsearch中非常重要的软件功能集合,为 Elastic Stack 带来了一系列深度集成的企业级功能,其中包括安全告警监测报告图表分析专用 APM UIMachine Learning,其中最重要的就是安全方面的功能。

SearchGuard是开源的、面向Elasticsearch和Elastic Stack的安全插件,在Elasticsearch领域应该算得上是应用最广泛的安全插件。

那么两者有什么区别,又该如何选择呢?本文全方面介绍两者发展的历史,功能和区别,探讨应该如何选择以构建完善的安全体系。

一、X-Pack的发展历史

Elasticsearch在5.X版本之前,提供了一些很基础的安全和告警功能,以独立的功能模块存在,这个时期的安全功能是比较弱的,也是被大家所诟病的。

Elastic团队在5.X以后的版本,对基础的安全、告警、监控等功能进行了封装,形成了X-Pack,但是此时的X-Pack并不是与Elasticsearch集成在一起的,需要独立安装。

直到6.3版本及以后,X-Pack终于与Elasticsearch集成,所有免费 X-Pack 功能(MonitoringSearch ProfilerGrok DebuggerElastic Maps Service 中的缩放级别、专用 APM UI 等)随 Elasticsearch、Kibana、Beats 和 Logstash 的默认分发版提供,无需额外安装,更加方便了。但是致命的问题在于基础的安全功能仍然属于付费功能,这让很多应用的企业非常纠结,这也是其他第三方的开源安全软件能够发挥作用的重要原因。直到7.X版本,Elastic才终于宣布X-Pack的基础安全功能免费提供,而这时候已经经历了好几个大版本了。

目前Elasticsearch 8 X-Pack的功能默认开启,默认启用SSL,自动生成证书,使用非常方便了,满足企业的基本安全需求毫无问题。

特别提一个事情:2018年,Elastic将所有X-Pack特性相关的所有代码进行了开源,一是为了结合开源的力量让X-Pack的功能更完善;二是可以让人家对X-Pack的功能有更多的了解,毕竟X-Pack可不止有安全告警的功能。

二、SearchGuard的发展历史

2013年Hendrik Saly开发了一个Elasticsearch安全插件,由于受到欢迎,后来组件了团队进行专门的开发工作,被命名为Search Guard。

到了2015年Search Guard 1.X正式在Github上发布,且支持Elasticsearch 2.2.0 SSL功能。

2016年Search Guard 5支持了审计日志以及对新的REST API的支持,且免费提供,这对于开发者以及企业应用来说都是一个非常好的消息,Search Guard快速发展,且开始被广泛应用。

2017年~2021年Search Guard稳步推进,支持越来越多的功能,发布了Search Guard 6和Search Guard 7,支持Kibana插件、支持告警、支持SAML 和 OpenID、更加完善和易于使用的TLS工具等,由于基础安全功能均是免费,Search Guard占据了非常大的市场,是很多团队做Elasticsearch安全体系建设的首选。

2022年Search Guard FLX GA发布,支持了Elasticsearch 8 和OpenSearch,这是一次全新的发布,功能模块清晰,文档明确。

三、X-Pack和Search Guard功能对比

这里的功能对比基于目前最新的Search Guard FLX和最新版本的Elasticsearch所集成的X-Pack。

3.1 X-Pack的功能

X-Pack有许多的功能,作为对比,我们这里主要讲关于安全方面的功能。

  • 身份验证
    支持通过 Active Directory、LDAP 或 Elasticsearch 原生 Realm 来进行身份验证,支持单点登录,支持自定义Realm来支持自行研发的身份认证管理系统。

  • 权限管理
    控制用户在 Elastic Stack 中的权限,管理不同的用户和角色,以支持不同职能的角色查看不同的内容。

  • 防止信息泄露、篡改和监听
    支持SSL/TLS,集群中节点间通信、HTTP传输、与Elastic Stack中其他组件的通信都能够安全进行。

  • 分层安全控制

    支持集群、索引、文档、字段不同级别的安全控制。

  • 审计支持

    支持审计功能,记录完整的用户操作活动,满足审计的要求。

  • 合规要求

    满足合规的要求,支持HIPAA、PCI DSS、FISMA、ISO 或 GDPR等多个标准,大多数是美国的标准。

3.2 Search Guard的功能
  • 身份认证
    Search Guard 支持所有主要的身份验证和授权行业标准,例如LDAP、Active Directory、JWT、TLS客户端证书、代理认证、Kerberos、OpenID、JWKS、SAML等。

  • 权限管理

    实现了基于RBAC基于角色的访问控制,能够支持不同的角色不同的权限。

  • 分层安全控制

    支持文档级别和字段级别的安全控制。

  • 审计支持

    Search Guard 跟踪和监控集群内的所有数据流,并可以在多个级别生成审计跟踪。

  • 合规要求

通过以上对比可以发现,最新的版本两者支持的功能差不多,Search Guard在身份认证支持的功能上更加全面一些,并且提供的工具使用非常方便;X-Pack则是集成在Elastic Stack中,无需独立安装。

四、X-Pack和Search Guard如何选择?

如果你的Elasticsearch版本是7.X以前的版本,那么建议你仍然最优先选择Search Guard,免费及简便易用,能满足日常基础安全需求,虽然需要单独安装,但是相比之下无上大雅。

如果是Elasticsearch 7.X及以后的版本,特别是Elasticsearch 8的版本则可以优先选择使用集成的X-Pack,当然有两种情况除外:

  1. 有需要Search Guard支持较好而X-Pack支持较弱或者不支持的情况,例如上面提到的身份认证的某种场景下。
  2. 公司存在多个旧的版本,为了兼容以及统一,可以使用Search Guard。
五、Search Guard倒逼了X-Pack

我们要特别感谢Search Guard,如果不是Search Guard开放了这些免费基础的安全功能,我相信我们目前仍然有很大的可能还处于Elastic付费使用的情况之下,虽然Elastic宣称开源开放是他们的方向,但是没有Search Guard的倒逼的话,这事可能没那么快。

AWS曾经公开说Search Guard是他们很好的合作伙伴,被认为是安全有效的。Elastic曾经和Search Guard的运营公司floragunn GmbH打官司,认为Search Guard抄袭了X-Pack的代码,是否是事实不好说喽,但是Search Guard对社区的贡献是很大的,毋庸置疑。

 类似资料: