專6-3-云平臺(tái)安全架構(gòu)剖析-李紀(jì)峰

云平臺(tái)安全架構(gòu)剖析用戶積極擁抱云計(jì)算黑客攻擊手段的新特點(diǎn)基于大數(shù)據(jù)的攻擊方式攻擊手段自動(dòng)化攻擊形式多樣(wifi,iot)基于網(wǎng)站指紋的全網(wǎng)數(shù)據(jù)云服務(wù)商AWS責(zé)任共擔(dān)模型東西向流量不可見虛擬機(jī)逃逸SDN權(quán)限控制不當(dāng),攻擊者可以獲取ROOT權(quán)限第三方組件給云平臺(tái)帶來的風(fēng)險(xiǎn)鏡像鏡像快照第三方組件給云平臺(tái)帶來的風(fēng)險(xiǎn)浮動(dòng)浮動(dòng)IPOPENSTACK六年間共披露了130個(gè)漏洞,過去一年就有21個(gè)漏洞,其中高危3個(gè)大項(xiàng)分類漏洞數(shù)量組件安全269Keystone22GlanceSwiftHorizon9Cinder4基礎(chǔ)架構(gòu)安全RestfulAPITLS2傳統(tǒng)安全XSS8XXX掃描器XXX掃描器傳統(tǒng)廠商互相封閉XXXXXXXXXXXXXXXXXX云安全網(wǎng)絡(luò)架構(gòu)傳輸層安全(數(shù)據(jù)傳輸傳輸層安全(數(shù)據(jù)傳輸構(gòu)建立體數(shù)據(jù)安全的防御體系應(yīng)用層安全(部署web防火墻,數(shù)據(jù)庫(kù)防火墻,數(shù)據(jù)庫(kù)審計(jì))主機(jī)層安全(密碼10位以上,只分配內(nèi)網(wǎng)IP，只允許白名單訪問,最小化權(quán)限)存儲(chǔ)層安全(核心數(shù)據(jù)加密)容災(zāi)備份(每周2次全量備份，每天增量備份,核心數(shù)據(jù)保留1年,每月檢查一次備份的有效性)數(shù)據(jù)安全管理(運(yùn)維安全,開發(fā)安全,數(shù)據(jù)分級(jí))RUBYCHINA主站及RUBYTAOBAO數(shù)據(jù)庫(kù)和配置文件泄漏“敢聊”用戶照片及語音泄漏等隱私泄露數(shù)據(jù)分級(jí)構(gòu)建應(yīng)用安全縱深防御體系開發(fā)人員安全培訓(xùn)(安全意識(shí)，安全編碼規(guī)范)持續(xù)性風(fēng)險(xiǎn)檢測(cè)(web漏洞掃描,webshell掃描,篡改檢測(cè))漏洞管理(上線前安全測(cè)試，加入補(bǔ)天SRC,0day管理)部署Web應(yīng)用防火墻建立DDOS防御機(jī)制應(yīng)用安全審計(jì)編碼規(guī)范構(gòu)建主機(jī)安全立體防御體系最小化系統(tǒng)(單一角色原則，精簡(jiǎn)原則)惡意代碼防范(病毒、木馬查殺)漏洞補(bǔ)丁管理主機(jī)入侵檢測(cè)主機(jī)加固(賬號(hào)服務(wù)加固,系統(tǒng)服務(wù)加固,內(nèi)核參數(shù)加固)賬號(hào)安全(防止暴力破解，異地登陸提醒)36