平臺即服務（PaaS）天生存在會被黑客鉆空子的安全漏洞。為了緩解這個風險，你應該考慮采用深層防御（defense-in-depth）方法。這種方法讓你可以建立多層防御機制，以便在黑客與攻擊目標之間設置重重障礙。

你不能單單依賴一種安全機制來阻止黑客――其實需要多層其他機制來保護PaaS，遠離不同類型的攻擊。你應該借助提供更強大障礙的其他機制，彌補某一種機制的天生弱點。

深層防御方法

傳統(tǒng)的深層防御技術適用于全面控制其IT基礎設施（包括物理服務器和網絡）的公司。至于PaaS深層防御，你只能享有PaaS提供商賦予你的控制權。

PaaS提供商讓開發(fā)人員可以在PaaS上構建、測試、部署且運行軟件即服務（SaaS）應用程序。開發(fā)人員可以改變在企業(yè)內部開發(fā)的應用程序的行為，讓應用程序在PaaS上可以順利運行，然后設置用戶閾值水平，以便其團隊成員能夠并行使用PaaS。

開發(fā)人員可以使用筆記本電腦或移動設備，遠程訪問PaaS。PaaS提供商并不允許開發(fā)人員控制在PaaS上運行應用程序所需要的操作系統(tǒng)、物理服務器或網絡基礎設施。

PaaS深層防御生命周期的四個階段

1. 資產識別階段

想建立多層防御機制，識別資產是第一步。你需要將這些資產分為用戶資產、云資產、數(shù)據資產、管理資產、軟件資產、環(huán)境資產和硬件資產。

•用戶資產包括：PaaS開發(fā)人員、測試人員、策略制定者，可能還有服務級別協(xié)議（SLA）經理。風險經理和PaaS操作員讓團隊結構顯得很完整。

•云資產包括：PaaS提供商（比如微軟Azure）以及PaaS運行在其中的基礎設施即服務（IaaS）的類型。IaaS可能是專有的，也可能是開源的。

•數(shù)據資產包括：數(shù)據敏感性（非機密數(shù)據和機密數(shù)據）、人員、業(yè)務交易及與PaaS直接有關的其他日常操作。

•管理資產包括：說明文檔、用戶參考手冊、庫存記錄和操作規(guī)程。這類資產還包括：生命周期規(guī)程、災難恢復方案、用戶許可證、標準以及與其他有關方有關的SLA圖。

•軟件資產包括：應用程序、測試工具和日志選項列表。

•環(huán)境資產涉及環(huán)境系統(tǒng)、大樓、備份設施、空調、采暖和供水系統(tǒng)。你在使用PaaS時需要處于一個舒適區(qū)。

•硬件資產包括：公司發(fā)放或公司批準的可遠程訪問PaaS的個人筆記本電腦和移動設備。這類資產并不包括物理服務器和網絡的底層的IaaS基礎設施。

2. 對手識別階段

下一步是識別哪些可能是你的對手?？赡苊媾R的對手包括：個人、恐怖組織和國家。對手有可能：

•悄無聲息地被動監(jiān)控PaaS開發(fā)人員、測試人員、策略制定者和業(yè)務分析師之間的聯(lián)系；

•利用社會工程學伎倆，竊取或訪問PaaS硬件資產；

•對云資源發(fā)送大量的過剩數(shù)據包，導致對PaaS發(fā)動拒絕服務攻擊；

•將惡意軟件惡意植入PaaS故障切換算法；以及

•直接攻擊用來控制PaaS網絡流量的軟件定義網絡（SDN）控制器。

3. 防御層次階段

你需要設置障礙，以趕跑對手。下面是設置每一層防御的要點。

針對被動攻擊，

•第一道防線是讓流量先通過PaaS里面的安全防火墻。

•第二道防線是PaaS訪問控制機制。

針對內部攻擊，

•第一道防線是PaaS物理安全和人員安全；

•第二道防線是PaaS訪問控制機制。

針對鄰近攻擊，

•第一道防線是物理安全和人員安全；

•第二道防線是反技術偵察措施。

針對分發(fā)攻擊，

•第一道防線是可信的開發(fā)和應用程序部署。

•第二道防線是完整性和機密性控制機制。

針對主動攻擊，

•第一道防線是部署嵌套式防火墻、反病毒軟件和入侵檢測工具。

•第二道防線是PaaS用戶身份驗證控制措施和故障切換機制。

4．評審階段

你應該定期評審深層防御，因為可能會出現(xiàn)新的攻擊類型，需要部署更多的防線。另外，市面上可能會出現(xiàn)更經濟高效的技術，它們可能會改變防線的次序（比如由第二道防線變成第一道防線）。最后，用戶在需要設置哪些障礙來阻礙對手方面的認識也會有所變化。

結束語

想保護PaaS，設置層層防御是最穩(wěn)妥的做法。一種安全機制的天生弱點可以借助其他機制為對手設置更有效的障礙這一優(yōu)點來克服。

布加迪編譯

英文原文鏈接：http://www.techrepublic.com/article/protect-a-paas-from-hackers-with-four-phases-of-defense/