SaaS云安全：原理与应用实践

2023-11-18 理论教育版权反馈

【摘要】：但在SaaS层，用户直接使用服务，无法评估整个云平台的安全性，这会使用户的数据受到未知安全风险的威胁。最后，SaaS提供商最好有良好的信誉以及安全资质，可以保证服务运行的可靠性与可信度，并能够提供持续的技术支持。良好的信用体系是SaaS安全发展的一个必要条件。

云计算市场上增长最快的服务模式是SaaS。SaaS模式是指供应商通过Internet交付的一些核心应用服务。用户只要接上网络，通过浏览器，就能直接使用在云端上运行的应用，而不需要顾虑类似安装等琐事，并且免去初期高昂的软硬件投入。SaaS主要面对的是普通用户。

SaaS能够提供独立的运行环境，用以交付完整的用户体验，主要包括表现层、接口层及应用实现层，如图3-15所示。

图3-15 SaaS三层结构

表现层将SaaS软件中的管理流与业务流进行分离，解决了投资和维护问题。SaaS软件在接口方面，以统一接口的方式方便用户和其他应用远程通过标准接口调用软件模块，实现业务组合。SaaS模式面向长尾市场^[27]，要求SaaS软件具备配置能力和资源共享，使得一套软件能够方便地服务于多个用户。

由于SaaS模式一般是基于Web客户端或一组Web服务，因此大多数威胁都被留给了供应商，客户通常只需负责操作层的安全功能，包括用户的访问管理、身份认证，所以选择SaaS提供商需要特别慎重。

1.SaaS的安全问题

SaaS的特性决定了云服务提供商对整个服务的安全性负主要责任，因为用户只是使用服务提供商提供的应用程序，除了避免误操作，用户只能使用服务提供商提供的安全措施。

SaaS层面临的主要安全问题有权限管理的安全问题、数据处理的安全问题、软件漏洞、云服务不透明和版权等问题。其中的版权问题属非技术性安全机制^[28]。

（1）权限管理的安全问题在SaaS层，云服务提供商所提供的身份验证与访问控制等权限管理手段可以说是用户可用的唯一安全控制手段。但是目前SaaS层提供的权限管理手段存在着访问控制标准不一致的问题。比如Google Docs处理文件的内嵌图片的访问控制机制与旧版本文件的访问控制就存在着不一致问题，这就可能造成当用户停止共享这个文件时，其他用户仍然可以共享文件中的内嵌图片。

在云计算中实施成功有效的权限管理至少应包括：①云服务提供商安全和及时地创建、更新以及删除账户；②实现跨云的身份认证和管理；③建立可信任用户配置文件和规则信息，不但用它来控制在云端服务的访问，而且运行方式符合审计的要求。(www.chuimin.cn)

（2）数据处理的安全问题 SaaS层的应用程序在使用静态数据时不对数据进行加密，存在着数据泄露的风险。但是SaaS层数据泄露的风险比PaaS层要大，这是因为在PaaS层，用户可以通过自己开发一定的防范程序来预防数据泄露，而在SaaS层用户无能为力，所有的安全防范只能由云服务提供商提供。

（3）云服务不透明问题 IaaS和PaaS服务模式会向用户开放相应的服务接口，用户可以借此评估整个云平台的安全性，尤其在IaaS层，用户的自由度更大。但在SaaS层，用户直接使用服务，无法评估整个云平台的安全性，这会使用户的数据受到未知安全风险的威胁。用户和云服务提供商应该在保密协议的约束下，分享包括结构、实现、部署、白盒和黑盒测试等方面的信息，以便用户可以有效评估云平台安全性。然而，多数云服务提供商都不愿意过多地提供云平台的技术细节等安全评估内容。

2.SaaS安全对策

1）建立用户登录机制。所有存在安全需求的云应用都需要用户登录。在SaaS层中，服务提供商应提供身份识别与访问控制等权限管理手段，这是保证云计算正确运行的关键所在。

2）数据存储与备份。

3）选择可靠的操作系统，定期升级软件补丁，并关注版权信息。选择稳定的主流操作系统，定期更新操作系统与软件补丁，定时扫描漏洞。有条件的客户可以选择安全专家对系统做评估，并选用定制的网络设备或硬件设施。

4）对服务器和客户端的安全都要重视。对于客户端，最好采用通过SSL服务器端认证的HTTPS，保证所有传输的数据都是加密的，以保证数据传输安全。

5）选择可靠的SaaS提供商。首先，可靠的SaaS提供商应该具有业界领先的成熟的安全技术，如对于SaaS邮件提供商而言，成熟的反病毒和反垃圾邮件技术必不可少。其次，SaaS提供商应拥有核心知识产权，可以保证以后服务的延续性与可靠性。最后，SaaS提供商最好有良好的信誉以及安全资质，可以保证服务运行的可靠性与可信度，并能够提供持续的技术支持。

6）安全管理。首先，建立第三方监管制度，只有这样才能使SaaS更合理、有效地运营下去。其次，建立服务商与客户之间的诚信体系，社会方面也需要提供外部的法律支持，使泄露客户商机的行为能够收到惩处。良好的信用体系是SaaS安全发展的一个必要条件。最后，需要加强对人员技术知识和应急安全事件处理能力的培训，增强安全管理意识，并遵守安全管理规范。

SaaS云安全：原理与应用实践

相关推荐