В этом эпизоде подкаста «Сушите вёсла» поговорили с архитектором «Альфа-Банка» Максимом Чернухиным про то, как банки оказываются в облаках и защищаются от шумных соседей, и про любителей украсть жёсткий диск из гермозоны.
Не обошли вниманием и тему проектирования безопасного общениям между сервисами, осудили использование переменных окружений и поддержали импортозамещение в сфере JVM. А ещё прочитали тридцатисекундный краш-курс по архитектуре систем и дали прогнозы на будущее.
«Сушите вёсла» — подкаст про разработку, аналитику, тестирование и всё, что связано с созданием ИТ-продуктов. Авторы — экс-ведущий android-разработчик red_mad_robot Рома Чорыев и разработчик Артём Кулаков.
Слушайте весь подкаст по ссылке или читайте короткую выжимку — ответы на семь главных вопросов выпуска.
Тайм-коды
00:00 — О чём пойдёт речь
02:00 — Кто такой Максим Чернухин
08:15 — Архитектура новой российской реальности
11:05 — Новые процессы
14:58 — Про опенсорсные библиотеки
16:40 — Понадобились ли новые люди
19:50 — Проблемы и решения
28:07 — Как проработали историю борьбы с DDoS-атаками
32:30 — Новые решения по программному обеспечению и поставщики
34:15 — Как проводить аудит новых поставщиков
39:00 — Какие процессы пришлось переделать для перехода в облако
42:10 — Про особенности использований облачных технологий
44:55 — Какие ограничения есть
50:05 — Про безопасность облаков
01:00:00 — Про использование «энвов»
01:09:50 — Что будет со сферой в будущем
01:14:00 — Тридцатисекундный краш-курс по архитектуре
Дисклеймер: выпуск был записан 30 декабря 2022 года.
Про архитектуру новой российской реальности на примере «Альфа-Банка»
В 2022 году многие банки попали под санкции, в том числе и «Альфа-Банк». Из-за этого удлинились цепочки покупки программного обеспечения и нужного оборудования, но главная новая тенденция заключается в том, что некоторые компании перешли на облачные технологии.
При этом мы их раскачивали ещё в 2021 году, даже продакшн-трафик переключали в нашем проекте. И в феврале мы поняли, что если наши проекты будут в CloudNet, это классная возможность. Потому что при необходимости мы сможем использовать любую инфраструктуру любого провайдера, развернув там наши проекты.
Максим Чернухин, архитектор и ИТ-лидер в «Альфа-Банке»
Чтобы работать в облачном провайдере, к безопасности нужно подходить особенно ответственно. Пришлось пересмотреть подход.
Мы заморачиваемся настолько, что фильтруем системные вызовы, которые может вызывать контейнер. Потому что обращаться к виртуалке — это потенциальная угроза.
Максим Чернухин, архитектор и ИТ-лидер в «Альфа-Банке»
Если говорить о новых процессах, то «Альфа-Банк» начал развивать некоторые из них заранее, понимая, что есть тенденция к «переезду» в облачные технологии.
Для тестирования безопасности приложений использовали SAST и DAST — системы анализа вредоносных закладок или встроенного вредоносного кода. «Альфа-Банк» быстро адаптировался к новому алгоритму — не пришлось разворачивать с нуля, потому что были наработки. В целом в ИТ-индустрии есть тренд на встраивание безопасности в DevOps и статическую проверку кода.
Ты встраиваешь его в свой пайплайн, чтобы максимально близко к написанию кода подсветить кейсы, которые можно поправить.
Максим Чернухин, архитектор и ИТ-лидер в «Альфа-Банке»
Если кто-то ищет хорошее определение того, о чём мы сейчас говорим, то эта штука называется shift left. Это когда ты смещаешь весь инфобез не на конец, а на самое начало, и вплетаешь его во все процессы. Очень полезно.
Артём Кулаков, разработчик
Существует тенденция к использованию опенсорс-продуктов: есть возможность посмотреть весь код, написать и добавить в него свой, и не нужно покупать его сложным способом. В том числе поэтому решения, которые использовал «Альфа-Банк», — в большей степени опенсорсные.
Про фаерволы
По словам гостя, важно понимать, что Web Application Firewall может отсеять не все потенциальные угрозы. Но отказаться от него нельзя — это необходимая часть защиты. Фаерволы имеет смысл рассматривать в другом контексте, выбирая решения, которые могут работать как внутри, так и подключаться в облачном решении.
Реализуя какой-то проект, важно предусмотреть, что он может переместиться в облако, — поэтому стоит писать его таким образом, чтобы для переезда нужно было только исправить какие-то конфигурации, а не переписывать всё с нуля.
Максим Чернухин, архитектор и ИТ-лидер в «Альфа-Банке»
Эта тенденция стала развиваться ещё в 2020 году, когда «Альфа-Банк» выбирал провайдера. А в 2022-м это обрело дополнительный стимул по внешним причинам. По словам Максима, сейчас cloud native — активно развивающийся тренд.
Допустим, ты используешь у себя в проекте Kubernetes, который настроен следующим образом. Есть деление на подсети внутри Kubernetes. Поделены мониторинги, воркеры, ингрессы, базы данных выделены в отдельную подсеть, чтобы если кто-то что-то ломанул, то до неё не добрались.
Максим Чернухин, архитектор и ИТ-лидер в «Альфа-Банке»
Сегодня прорабатываются такие решения, когда, используя этот шаблон инфраструктуры, разработчик уверен, что он полностью безопасен. А для защиты внешнего периметра используются фаерволы. Тогда проект готов и безопасен. Это стало активно внедряться повсеместно именно в 2022 году.
В идеале нужно быть готовым использовать любые ресурсы. При этом проект должен быть безопасным, отказоустойчивым, чтобы он хорошо «отыгрывал» какие-то кейсы в инфраструктуре, если бы что-то пошло не так.
Максим Чернухин, архитектор и ИТ-лидер в «Альфа-Банке»
Про проверку новых поставщиков
Максим делится, что сейчас фокус «Альфа-Банка» сместился на китайских поставщиков. К новым решениям и ПО добавились новые требования. Например, системно-аппаратный комплекс должен иметь решение, которое можно установить как виртуальную версию, а та в свою очередь возьмёт на себя часть функциональности в едином интерфейсе.
Способ проверки новых поставщиков, по словам гостя, зависит от кейса. У потенциального провайдера софта должно быть соответствие с ФЗ-152 «Об обработке персональных данных» и соответствующий сертификат.
Иногда аудит для проектов «Альфа-Банка» проводят лиды разработки, которые проверяют, как работает код и какие есть нюансы. Когда банк покупает продукт, аудит встроен в процесс закупки. Архитекторы привлекают лидов, чтобы понять, как система потом будет встраиваться в архитектуру банка. Ещё при закупке ПО важно, чтобы была возможность развернуть его self-hosted и продолжать покупать впоследствии.
Когда ты разворачиваешь какое-то self-hosted решение, всегда есть возможность остаться на версии, которая была до этого. Если что-то пошло не так, поставщик ресурса пропал, поломался, остаётся та самая версия, которая была на момент последнего обновления. Её можно дальше поддерживать и развивать.
Максим Чернухин, архитектор и ИТ-лидер в «Альфа-Банке»
Служба безопасности проводит пентесты, чтобы понять, есть ли дефекты алгоритма в покупаемом программном обеспечении. В «Альфа-Банке» есть правило — пентесты проводятся на любом проекте по плану.
Иногда к нам приходят и говорят: «Ребята, готовьтесь, на следующей неделе мы вас „поддосим“, потому что хотим проверить слабые места». И списываются с нашим сопровождением, договариваются о конкретном времени и продолжительности.
Максим Чернухин, архитектор и ИТ-лидер в «Альфа-Банке»
Про особенности использования облачных технологий
Первое, о чём стоит думать, тестируя облачные решения, — это выделенный канал для нужной скорости.
Когда мы начинали всё тестировать, думали, что сейчас быстро и классно всё сделаем. Скинули обычный VPN для соединения одного ЦОД с другим и поняли, что скорость VPN-соединения, которое мы подняли, не превышала 300 Мбит.
Максим Чернухин, архитектор и ИТ-лидер в «Альфа-Банке»
Поэтому пришлось сделать выделенный канал до ЦОДов провайдера — в случае «Альфа-Банка» это был «Яндекс». Есть сетевые хабы, до которых многие провайдеры уже дотянули свои выделенные каналы, поэтому стоит узнавать, есть ли у компании-партнёра такое подключение. Часто бывает, что есть совпадения в точках присутствия с провайдером, и после этого происходит кроссировка — оптоволокно перетыкают из одного места в другое, и настраивается выделенный канал.
Второе — настраивать инфраструктуру.
Потому что VPN-соединение — это удобно, но интернет достаточно нестабильный. Мы так какое-то время пожили и не просто упирались в потолок канала, а он мог ещё и упасть. А тут своя выделенка, и с этим стало проще.
Максим Чернухин, архитектор и ИТ-лидер в «Альфа-Банке»
Есть и ограничения, связанные c тем, присутствуют ли в облаке используемые компанией технологии. А также регуляторные риски — например, должна быть сертификация по ФЗ-152. В какой-то момент не все провайдеры были сертифицированы, сейчас их становится больше.
Даже если построена очень безопасная инфраструктура, но нет сертификации, закон запрещает использовать такие сервисы для обработки персональных данных. Стоит очень внимательно подходить к выбору провайдера, вписать это в перечень требований и проверять.
Про безопасность облаков
Разработка в банковской сфере сопряжена с высоким уровнем ответственности. Кажется, что при использовании облачных технологий данные теоретически могут стать доступны неустановленному кругу лиц. Чтобы этого не случилось, существуют регламентированные правила — они описаны в уже упомянутом ФЗ-152.
Если облачный провайдер соответствует сертификатам, которые регламентирует государство, то он как минимум исключил возможности, что кто-то зайдёт в облако и найдёт какие-то данные.
Максим Чернухин, архитектор и ИТ-лидер в «Альфа-Банке»
Сейчас в России разрабатывается законопроект по работе с облачными провайдерами, чтобы регламентировать это на правовом уровне. Это потенциальная возможность для небольших компаний использовать ресурсы, которые раньше они могли покупать, а сейчас — нет. Эти решения прошли все проверки безопасности и регламентированы Центробанком.
По словам Максима, в «Альфа-Банке» к теме безопасности подошли очень внимательно, опираясь на понятие zero trust и разделив сетевую безопасность на сегменты.
Про будущее
Говоря о потенциальном развитии сферы облачных технологий, Максим надеется, что тренд на использование open-source будет развиваться, при этом не только внешний, но и внутренний. Как и тренд на использование облачных технологий.
Следующее, что отмечает Максим, — развитие внутренних решений.
Когда уходит что-то, что ломает бизнес-процессы, необходимо потратить время на перестройку. И если рассматривать такую поломку процессов как потенциальную возможность, то в ближайшее время компании будут стараться нивелировать эти риски, разрабатывая новые решения.
Максим Чернухин, архитектор и ИТ-лидер в «Альфа-Банке»
Важно больше фокусироваться на особенностях бизнеса и вкладываться в решения для его развития.
Чтобы в отечественной разработке было понимание, что в России есть компании, которые уже реализуют какие-то кейсы и могут между собой делиться технологиями, знаниями и решениями.
Максим Чернухин, архитектор и ИТ-лидер в «Альфа-Банке»
При этом рынок придёт к состоянию, когда каждая компания оптимизирует свои расходы.
Надеюсь, появится возможность переиспользовать решения других российских компаний. Какие-то облачные провайдеры, подписки, чтобы никто не изобретал велосипед и не наступал на одни и те же грабли.
Максим Чернухин, архитектор и ИТ-лидер в «Альфа-Банке»
Про итоги года
Архитектура системы имеет множество характеристик, устойчивость — одна из них. Весь 2022 год и этот эпизод подкаста — об этом.
2022 год был хорошим уроком всем, кто это свойство системы всячески игнорировал и думал, что всё будет окей. А хороший архитектор всегда учитывает эту характеристику системы не просто где-то на вторых ролях, а на одной из первых, потому что устойчивость очень важна.
Артём Кулаков, разработчик
Устойчивость — это в том числе про то, чтобы подумать над альтернативными решениями вроде облачных систем, куда можно оперативно встроиться.
Максим дополняет и рассказывает о митапе, посвящённом отказоустойчивости — Alfa Backend Stories, прошедшем в декабре 2022-го. На нём разбирали вопросы отказоустойчивости архитектуры — как подготовиться к инцидентам, как их переживать и разбирать.
И я там в онлайне ломал сайт «Альфа-Банка», показывая отказоустойчивость и то, как можно с ней работать. Если вам интересна эта тема и вы хотите что-нибудь начать изучать, то могу посоветовать начать с нашего митапа.
Максим Чернухин, архитектор и ИТ-лидер в «Альфа-Банке»
Полезные материалы
Ищите Максима в телеграм-канале, во «Вконтакте» (там не только Максим, будьте бдительны!) и пишите в личку в телеграме.
Слушай нас там, где удобно, — Mave, Apple, Google Podcasts, Яндекс.Музыка.
Предыдущие выпуски подкаста «Сушите вёсла»
Приходи в наш телеграм-чат — задать вопросы об облачных технологиях и просто поболтать.