與陌生人(ren)共享內存(cun)和磁盤空間(jian)，讓軟件(jian)來(lai)強(qiang)化(hua)安(an)(an)全性(xing) 還有什么可(ke)能會出錯呢?雖然(ran)安(an)(an)全專業人(ren)士正(zheng)在不(bu)斷地考(kao)慮這些(xie)問題，但是當(dang)在平臺即服(fu)務與云安(an)(an)全這個環(huan)境中(zhong)進行考(kao)慮時(shi)它們之間(jian)的(de)相關(guan)性(xing)變得更高了(le)。云繼續吸引(yin)大量人(ren)氣并受到(dao)多次(ci)(ci)審查(cha)，這使(shi)得現在成為了(le)檢(jian)查(cha)PaaS安(an)(an)全性(xing)的(de)一(yi)次(ci)(ci)良(liang)機。

虛(xu)擬機管理(li)程(cheng)序(xu)仍然是攻擊云(包括PaaS和IaaS)最直接(jie)和最有效的(de)(de)載體。所(suo)以，黑客們仍然致力(li)于(yu)破(po)解管理(li)程(cheng)序(xu)或劫持之。把攻擊矛(mao)頭(tou)針對管理(li)程(cheng)序(xu)的(de)(de)原因是云計算(suan)中的(de)(de)虛(xu)擬機管理(li)程(cheng)序(xu)相(xiang)當(dang)于(yu)通用(yong)操作系統中的(de)(de)root或admin。

就(jiu)目(mu)前而言，一旦(dan)管理程序(xu)(xu)所使用的(de)(de)硬(ying)件(jian)和固件(jian)被(bei)破(po)解，那么攻(gong)擊者不僅(jin)能(neng)夠(gou)輕松地對它(ta)們進行訪問(wen)(wen)，而且檢(jian)(jian)(jian)查(cha)(cha)問(wen)(wen)題的(de)(de)能(neng)力也變(bian)得更(geng)加(jia)困(kun)難。一個被(bei)破(po)解的(de)(de)管理程序(xu)(xu)是(shi)(shi)很難被(bei)檢(jian)(jian)(jian)查(cha)(cha)出的(de)(de)，其部分原因(yin)是(shi)(shi)在這一層缺乏(fa)可用的(de)(de)監控軟件(jian)。這里(li)有一個更(geng)明顯(xian)的(de)(de)檢(jian)(jian)(jian)測問(wen)(wen)題，能(neng)夠(gou)破(po)解管理程序(xu)(xu)的(de)(de)黑客自然也能(neng)夠(gou)輕松地禁用日志記錄以(yi)及其他監控服務，或者更(geng)糟(zao)糕的(de)(de)是(shi)(shi)，它(ta)會向監控系統發送虛假信息。

在平臺即服(fu)務(PaaS)中所使用的(de)(de)虛擬(ni)環(huan)(huan)境需要防御針對物理和虛擬(ni)環(huan)(huan)境的(de)(de)攻擊。針對物理環(huan)(huan)境中諸(zhu)多庫(ku)的(de)(de)標(biao)準漏洞在虛擬(ni)環(huan)(huan)境中仍然可被攻擊者利用。畢竟，虛擬(ni)環(huan)(huan)境只是物理環(huan)(huan)境的(de)(de)另一個簡單實例(li)。此外(wai)，諸(zhu)如專(zhuan)為虛擬(ni)環(huan)(huan)境而開發的(de)(de)惡意(yi)軟件(jian)這樣的(de)(de)漏洞也是一個不幸的(de)(de)事實存在，正(zheng)如2012年那(nei)次事件(jian)中所表(biao)現的(de)(de)那(nei)樣。

在(zai)PaaS環境(jing)的(de)(de)下(xia)層中(zhong)另外受到關(guan)注的(de)(de)是(shi)(shi)存(cun)儲器(qi)映射。當(dang)虛擬環境(jing)被(bei)創(chuang)建時，會分配若干(gan)內存(cun)和磁盤空間(jian)資源以(yi)(yi)供使用。程(cheng)(cheng)序(xu)員開發出向內存(cun)寫數(shu)據的(de)(de)軟(ruan)件，而對(dui)(dui)象(xiang)(xiang)通常作(zuo)為拆卸過程(cheng)(cheng)的(de)(de)一(yi)(yi)部(bu)分被(bei)釋放，這(zhe)是(shi)(shi)不能(neng)得到保(bao)證的(de)(de)。如果一(yi)(yi)個(ge)被(bei)正確部(bu)署的(de)(de)持(chi)久對(dui)(dui)象(xiang)(xiang)被(bei)部(bu)署在(zai)正確的(de)(de)存(cun)儲器(qi)位置上，那么這(zhe)個(ge)持(chi)久對(dui)(dui)象(xiang)(xiang)就可以(yi)(yi)充當(dang)排序(xu)的(de)(de)rootkit，并且(qie)可以(yi)(yi)在(zai)每一(yi)(yi)個(ge)實例中(zhong)持(chi)續影(ying)響環境(jing)。

跨(kua)租戶黑客(ke)則是另一個帶來(lai)(lai)安全性問題(ti)的來(lai)(lai)源(yuan)。其中(zhong)(zhong)，配置錯誤(wu)在PaaS安全問題(ti)中(zhong)(zhong)占據了很(hen)大一部(bu)分比例。錯誤(wu)配置可能(neng)會無意中(zhong)(zhong)通(tong)過跨(kua)租戶黑客(ke)或(huo)授權用(yong)戶權限提升而造成數據丟失。

雖(sui)然我們(men)對于(yu)hyperjacking攻(gong)擊還(huan)是(shi)(shi)(shi)束手無策，但(dan)是(shi)(shi)(shi)還(huan)是(shi)(shi)(shi)有些(xie)步驟可以幫(bang)助我們(men)最大限(xian)度降低或至(zhi)少(shao)量化這些(xie)以及其他PaaS攻(gong)擊所造(zao)成的(de)損害。當在(zai)PaaS云環境中運行時，還(huan)是(shi)(shi)(shi)可以使(shi)用一(yi)些(xie)簡單(dan)規(gui)則(ze)的(de)。雖(sui)然這些(xie)規(gui)則(ze)不是(shi)(shi)(shi)針對每(mei)一(yi)個攻(gong)擊載體的(de)，但(dan)是(shi)(shi)(shi)它們(men)至(zhi)少(shao)能夠讓風險是(shi)(shi)(shi)易于(yu)管理的(de)。

PaaS安全規則1：為(wei)數(shu)(shu)據(ju)(ju)分配(pei)數(shu)(shu)值(zhi)。在(zai)(zai)進(jin)入云之前(qian)，甚至在(zai)(zai)與供應商達成協議(yi)之前(qian)，應確定用戶(hu)將在(zai)(zai)云存儲數(shu)(shu)據(ju)(ju)的數(shu)(shu)值(zhi)。簡單(dan)來(lai)說，就是一些數(shu)(shu)據(ju)(ju)并(bing)不適合(he)做共享環境(jing)中(zhong)存儲。即便數(shu)(shu)據(ju)(ju)已經過加(jia)密(mi)處理，這一點依然適用，因為(wei)當進(jin)行密(mi)鑰交換(huan)時，一些攻擊(ji)載體表現(xian)為(wei)中(zhong)間人(MITM)攻擊(ji)。還要考(kao)慮(lv)其他(ta)數(shu)(shu)據(ju)(ju)的數(shu)(shu)值(zhi)，例如(ru)通常不會考(kao)慮(lv)雇員數(shu)(shu)據(ju)(ju)。

PaaS安全規則(ze)2: 對數據進(jin)行(xing)加(jia)密(mi)處理(li)。雖然加(jia)密(mi)處理(li)不能保證(zheng)安全性，但是它確(que)實能夠保證(zheng)隱私(si)性。但請記住(zhu)，所部署(shu)的機制確(que)實限(xian)制了訪問。對那些針(zhen)對管(guan)理(li)程序的攻擊進(jin)行(xing)識別能夠抵(di)消通(tong)過MITM攻擊的這(zhe)種(zhong)控制。原(yuan)因可參考規則(ze)1。

PaaS安全規(gui)則(ze)(ze)(ze)3：強制(zhi)執行最小(xiao)權限規(gui)則(ze)(ze)(ze)。所有(you)的(de)(de)用戶都(dou)應被授予確保系(xi)統正常運行的(de)(de)最低權限。這是(shi)重復的(de)(de)，因為在歷史上(shang)當(dang)(dang)軟件開(kai)發人(ren)員在進行內部(bu)軟件開(kai)發時(shi)，開(kai)發人(ren)員已經被授予在隔離主機上(shang)的(de)(de)特(te)權訪問。當(dang)(dang)云模(mo)式創建和銷毀(hui)一個臨(lin)時(shi)環(huan)境時(shi)，發生錯誤(wu)、出現(xian)漏(lou)洞以及創建永久(jiu)對象的(de)(de)潛力都(dou)為限制(zhi)訪問提供(gong)了(le)足夠的(de)(de)理由。未能(neng)確保隔離將(jiang)導致用戶需要理解規(gui)則(ze)(ze)(ze)1。

PaaS安(an)全規則(ze)4: 閱(yue)讀、理解SLA并與供(gong)應(ying)商(shang)討價還價。服務水平協議(yi)(SLA)的(de)內容范疇超出了可用(yong)性和性能，它直接與數(shu)據(ju)數(shu)值相(xiang)關。如果數(shu)據(ju)丟(diu)失或受損，那么SLA規定(ding)了具體(ti)的(de)賠償條款。為了進一步提高(gao)SLA的(de)有效性，云服務供(gong)應(ying)商(shang)(CSP)必須(xu)擁有足夠的(de)資產來(lai)支(zhi)付與規則(ze)1中數(shu)據(ju)相(xiang)關的(de)支(zhi)出。

云服務供應商們必須證明(ming)他(ta)們已經對云環境的(de)安全(quan)性進行了盡(jin)職盡(jin)責的(de)檢查。問題是安全(quan)性審查沒有辦法檢查出復雜(za)的(de)零日漏(lou)洞攻擊;相反，審查只會檢查出已知(zhi)漏(lou)洞。如果用戶(hu)的(de)站點安全(quan)性狀態比(bi)CSP的(de)更嚴格，那么可再(zai)次(ci)考慮規則1。

了解用戶(hu)的特定威脅(xie)環境可(ke)以為企業提(ti)供(gong)在云(yun)使(shi)用上一(yi)(yi)般決策的必要周邊(bian)條(tiao)件，尤其是PaaS安(an)全性。在某些情(qing)況(kuang)下，遷移至云(yun)可(ke)為企業用戶(hu)提(ti)供(gong)一(yi)(yi)個保持或者甚至提(ti)高企業安(an)全態勢的機會。在其他情(qing)況(kuang)下，云(yun)遷移會帶(dai)來新的問(wen)題。無論是哪種情(qing)況(kuang)，首先確(que)定數據的數值(zhi)并使(shi)用這一(yi)(yi)信息(xi)將有(you)助于確(que)定前(qian)進方向。

文章編輯：CobiNet(寧波)  
本公司專注于電訊配件,銅纜綜合布線系列領域產品研發生產超五類，六類,七類屏蔽網線/屏蔽模塊及相關模塊配件, 我們是萬兆屏蔽模塊，10G屏蔽模塊，屏蔽線生產廠家。

歡迎來(lai)電咨詢0574 88168918,郵箱sales@aliance.cn，網址aliance.cn