PaaS云安全：深度剖析与应用实践

2023-11-18 理论教育版权反馈

【摘要】：PaaS主要的用户是开发人员。数据安全问题在应用管理方面，PaaS的安全原则就是确保用户数据只有用户本人才能访问和授权，实行多用户应用隔离，不能被非法访问和窃取。在这种环境下，PaaS层的数据安全问题主要来源于应用程序使用的静态数据是不加密的。

相对IaaS层，PaaS层主要增加了应用开发框架、中间件能力以及数据库、消息和队列等功能的集成，并提供了一组丰富的API。开发者在PaaS平台之上可以非常方便地编写应用。开发的编程语言和工具由PaaS支持提供。另外，通过PaaS，用户无须涉及服务器、操作系统、网络和存储等资源的管理，这些烦琐的工作都由PaaS供应商负责处理。PaaS主要的用户是开发人员。

1.PaaS的安全问题

PaaS层的安全包含两个层次：一是PaaS平台自身的安全；另一层是用户部署在PaaS平台上应用的安全。云服务供应商负责保障云计算基础架构（防火墙、服务器和操作系统等）的安全，但控制和保证云应用安全的任务需要用户自己来承担。

对PaaS提供商来讲，PaaS层需关注平台本身安全，主要包括对外提供安全API、运行安全和数据安全。

（1）API安全问题 PaaS层的特点就是提供丰富的API，让用户可以通过这些API在云平台上开发和部署自己的应用。不安全的API会直接导致用户开发的应用程序安全性降低。同时PaaS层也有其特有的API安全问题，如不同云服务提供商没有统一的API，这会导致在某一个云平台上安全的应用程序移植到另一个云平台后变得不再安全。例如Google App Engine使用Python、Java或Go语言设定用户安全配置，而Force.com使用Apex语言设定安全参数，不仅使用的编程语言不同，二者所能提供的安全服务水平也不相同。

对于PaaS的API设计，目前国际上并没有统一的标准，这给API的安全管理带来了不确定性。另外，目前PaaS提供的安全保障API数量还不足，只能向用户提供如SSL配置、基本的访问控制和权限管理等基本安全功能。所以增加安全功能API的数量，并向用户提供完善的安全保障服务也是PaaS服务所要考虑的一个主要问题。

（2）数据安全问题在应用管理方面，PaaS的安全原则就是确保用户数据只有用户本人才能访问和授权，实行多用户应用隔离，不能被非法访问和窃取。在这种环境下，PaaS层的数据安全问题主要来源于应用程序使用的静态数据是不加密的。这些不加密的静态数据很有可能被来自内部的攻击者或者非授权访问者所窃取，从而破坏数据的保密性。(www.chuimin.cn)

（3）运行安全问题云服务提供商应负责监控PaaS平台的运行安全，主要包括对用户应用的安全审核、不同应用的监控、不同用户系统的隔离和安全审计等。主要措施是加强软硬件系统的运行稳定性，如及时发布软件补丁更新，解决安全漏洞。

2.PaaS安全对策

针对上述提到的安全问题，可以采用如下对策来减少PaaS安全风险：

1）严格执行配置操作流程。严格按照应用程序供应商提供的安全手册进行配置，不要留有默认的密码或者不安全的账户。

2）确保及时更新补丁。必须确保有一个变更管理项目，来保证软件补丁和变更程序能够立刻起作用。

3）重新设计安全应用。要解决这一问题，需从两方面来考虑：一方面需要对已有应用进行重新设计，把安全工作做得更细一点，确保使用应用的所有用户都能被证明是真实可靠的。另一方面，可以应用适当的数据和应用许可制度，确保所有访问控制决策都是基于用户授权来制订的。

PaaS云安全：深度剖析与应用实践

相关推荐