Anaconda 的安全问题？答案

【问题标题】：Security Issues with Anaconda?Anaconda 的安全问题？
【发布时间】：2017-12-28 21:21:59
【问题描述】：

我最近开始工作的一家公司的 IT 部门在我的工作 PC 上安装 Python / Anaconda 套件时发生了一些反复。 IT 部门（与 Anaconda 一起）声称存在安全风险，但我怀疑这更多是因为他们不想让我访问。我的怀疑不是基于我的 IT 知识，而是因为我在上一份工作中使用 Anaconda 没有任何问题。我希望对与安装 Anaconda 相关的企业风险（如果有）有所了解。总结情况/我的知识：

• 我不是开发人员，也不是来自 IT/企业风险背景。我使用 Python 进行分析、数据清理和报告自动化

• 当前和过去的公司都在金融行业，即机密信息存在于网络中

• 我请求 Anaconda 而不是 Anaconda Enterprise

• 我正在请求 Python 版本 3.6.4

我并不想消除 IT 部门的顾虑。我想做的是更好地了解情况，教育自己，或者减轻他们的担忧，或者提出一个各方都可以合作的替代方案。
所以我的问题是：

他们的安全威胁是否与利用 Anaconda 相关？如果有，具体是什么？
如果风险太大，除了简单地安装 Anaconda Suite 之外，还有哪些替代方案？

谢谢

【问题讨论】：

Stack Overflow 是一个编程和开发问题的网站。这个问题似乎离题了，因为它与编程或开发无关。请参阅帮助中心的What topics can I ask about here。也许Unix & Linux Stack Exchange 或Information Security Stack Exchange 会是一个更好的提问地点。
开发人员因其草率的安全实践而臭名昭著。更糟糕的是当他们推动安全要求时。我不会在生产网络上有一个开发工作站。开发工作属于他们自己的网络，与第 2 层交换机隔离以强制执行边界。

标签： python python-3.x security anaconda

【解决方案1】：

他们的安全威胁是否与利用 Anaconda 相关？如果有，具体是什么？

这取决于环境。你有管理员权限吗？全球 GPO 政策如何？例如，如果您没有管理员权限，则无法执行创建套接字、访问操作系统级别的网络堆栈等操作，反之亦然。问题是，您也可以使用 CMD/PowerShell 造成类似的损害。前者比后者安全吗，我不这么认为....

如果风险太大，除了简单地安装 Anaconda Suite 之外，还有哪些替代方法？

这取决于您需要 Anaconda 提供什么样的功能，也许您可以使用不同的 python 解释器/框架，但从安全角度来看是一样的。

通常，“IT Stuff”不知道如何以适当的方式实施操作系统/域/安全性，因此他们的解决方案是告诉所有人这是一个安全风险。在当今时代，一切都存在安全风险。

【讨论】：

1.我没有管理员权限。不确定所有 GPO 设置是如何配置的，但我知道我确实拥有一些特权，如果恶意或愚蠢地使用这些特权可能会导致问题。例如，我可以在 DOS 和 PowerShell 中执行代码，但我的安装权限有限。 2. 这个答案并不让我感到惊讶，因为这个问题是非常开放的。我的收获是“风险”不是 Anaconda 本身，而是它的安装赋予我的力量。可能的解决方法很多，取决于我们愿意忍受多少维护/来回。

【解决方案2】：

有人可能会争辩说，任何编程环境都存在潜在安全风险。

但是，在任何办公环境中，这样的论点都很难令人信服，因为您可能会发现安装了带有自己的内置编程环境的知名办公套件！隐藏在 Word 和 Excel 文档中的 VBA 宏可能会造成大量混乱……尤其是当这些文档被发送给毫无戒心的同事时。

说得更直白一点，任何环境如果没有确定到无法使用的地步，都是潜在的安全风险。你可以吗？从 USB 驱动器上运行程序？或者从它们打开 Office 文件？甚至将文件复制给他们？

您可以询问 IT 他们的具体反对意见是什么？

顺便说一句；您无需管理员权限即可自行安装 Anaconda。仅当您想为您机器上的所有用户安装它时。

编辑：另一种方法是带上自己的笔记本电脑并在上面使用 Python。

这是我正在使用的一种方法。我建议使用一台装有类 UNIX 操作系统（如 Linux 发行版或 BSD 变体之一）的笔记本电脑。所有这些都附带了许多开箱即用的工具，并且由于它们具有不错的包管理（与 ms-windows 不同），因此基本上您可以想到的每个开源工具都很容易获得。有一个与此相关的学习曲线，但在这些系统上，工具旨在协同工作，而不是作为预先打包的一次性小马存在。

例如，我每年都会记录应该记录的与工作相关的内容。这些日志可长达 200-300 页，包含数百幅插图和图表。对于这样的事情，ms-word 只是没有削减它；我试过好几次了。所以我使用了 LaTeX、python、gnuplot 和许多其他工具。整个事情理所当然地处于修订控制之下。

这台笔记本电脑未连接到工作网络，因此不会对其构成威胁。

【讨论】：

每当他们“开源”出现在研究或讨论中时，他们都会大吃一惊（更不用说 filezilla、winzip、R 和 Power BI 都是开源的）。基本上，他们有一个“开源”政策，可以在方便时使用。关于不受支持的软件包的模糊 cmets 出现了，尽管当被问到时，没有提到会构成威胁的特定软件包。
@lewisj 在这种情况下，是时候跳出框框思考了。请参阅编辑后的答案。在你做这样的事情之前，你可能想让你的经理加入。
@Roland Smith 很好的推荐，我确实会带上我的个人笔记本电脑来完成一些任务，但问题是我需要能够连接到网络。
@lewisj 在他们的网络上拥有一台不受管理（即不受信任）的笔记本电脑可能会给管理员带来麻烦。 :-) 我猜你的普通 PC 的 MAC 地址开始在授权 MAC 列表中，因此不在该列表中的机器只能访问访客网络，或者完全没有连接。那将是第一道防线，但很可能还有其他防线，这取决于管理员的偏执程度。无论如何，让你的老板加入，必要时让他与 IT 部门交战。