平台即服务 (PaaS) 环境应该如何保护？

导读	云计算服务平台支持完整的软件开发和使用生命周期，同时为开发人员和用户提供互联网访问。PaaS 的优势包括易用性、成本节约、灵活性和可扩展性。

一个云计算服务平台(PaaS的)，使客户能够构建，安全，操作和管理的在线应用。它允许团队开发和部署应用程序，而无需购买或管理支持他们的 IT 基础设施。

总体而言，该平台支持完整的软件开发和使用生命周期，同时为开发人员和用户提供互联网访问。PaaS 的优势包括易用性、成本节约、灵活性和可扩展性。

如何保护平台即服务 (PaaS) 环境

PaaS 通常不像本地数据中心那样受到保护。

安全性已融入 PaaS 环境中。PaaS 客户保护他们的平台帐户、应用程序和数据。在理想的世界中，场所安全转移到身份边界安全。

因此，PaaS 客户端应优先将身份识别作为主要安全边界。身份验证、操作、监控和日志记录对于保护代码、数据和配置至关重要。

保护应用程序免受未知和频繁的威胁

毫无疑问，最有效的方法是采用可以自动检测和阻止攻击的实时自动化安全系统。此外，PaaS 用户可以利用平台的安全功能或第三方解决方案。

应立即检测并防止未经授权的访问、攻击或违规行为。

您应该能够检测到敌对用户、奇怪的登录、恶意机器人和接管，以及其他异常情况。除了技术，应用程序还必须具有安全性。

保护用户和应用资源

每一次接触都是一个可能的攻击面。防止攻击的最佳方法是限制或限制不可信的人对漏洞和资源的访问。为了最大限度地减少漏洞，必须自动修补和更新安全系统。

即使服务提供商保护了平台，客户最终也要对安全负责。内置平台安全功能、附加组件、第三方解决方案和安全方法的组合大大改善了帐户、应用程序和数据的保护。它还保证只有经过授权的用户或工作人员才能访问系统。

另一种方法是在创建审计系统以检测潜在危险的内部团队和外部用户操作的同时限制管理访问。

管理员还应尽可能限制用户的权限。为保证程序或其他操作正确执行，用户应具有尽可能低的权限。攻击面正在缩小，特权资源正在暴露。

用于检查安全漏洞的应用程序

评估应用程序及其库中的安全风险和漏洞。使用结果来增强整体组件保护。例如，在理想情况下会根据应用程序的敏感性和可能的安全风险自动安排每日扫描。包括可以集成到其他工具(例如通信软件)中的解决方案，或者用于在识别出安全危险或攻击时通知相关人员。

分析和解决与成瘾相关的安全问题

应用程序通常依赖于直接和间接的开源需求。如果不修复这些弱点，应用程序可能会变得不安全。

测试 API和验证第三方网络需要分析程序的内部和外部组件。修补、更新或替换依赖项的安全版本都是有效的缓解方法。

渗透测试和威胁建模

渗透测试有助于在攻击者发现和利用安全问题之前检测和解决安全问题。然而，渗透测试是激进的，可能看起来像 DDoS 攻击。为防止误报，安保人员必须齐心协力。

威胁建模涉及模拟来自可信赖边界的攻击。这有助于识别攻击者可能利用的设计弱点。因此，IT 团队可以提高安全性并针对任何已识别的弱点或风险制定补救措施。

跟踪用户和文件访问

管理特权帐户使安全团队能够查看用户如何与平台交互。此外，它还允许安全团队评估选定的用户操作是否会对安全或合规性构成风险。

监视和记录用户权限和文件操作。这会检查未经授权的访问、更改、下载和上传。文件活动监控系统还应记录所有查看过文件的用户。

适当的解决方案应检测竞争登录、可疑活动和重复的不成功登录尝试。例如，在尴尬的时间登录，下载可疑的材料和数据等。这些自动化的安全功能可以阻止可疑行为并通知安全专业人员调查和修复任何安全问题。

限制数据访问

在传输和存储过程中加密数据是最好的方法。此外，通过保护 Internet 通信链接可以防止人为攻击。

如果没有，请设置 HTTPS 以使用 TLS 证书来加密和保护通道，从而保护数据。

不断验证数据

。

这保证了输入数据的安全性和正确的格式。

无论是来自内部用户还是外部安全团队，所有数据都必须被视为高风险。如果操作正确，客户端验证和安全机制应防止上传受感染或受病毒感染的文件。

漏洞代码

在开发过程中分析漏洞代码。在验证安全代码之前，开发人员不应将程序发布到生产环境中。

执行 MFA

多重身份验证确保只有授权用户才能访问应用程序、数据和系统。例如，可以使用密码、一次性密码、短信或移动应用程序。

加强密码安全

大多数人选择容易记住且从不更新的弱密码。因此，管理员可以通过使用强密码策略来最小化这种安全风险。

这需要使用过期的强密码。理想情况下，会保存和传输加密的身份验证令牌、凭据和密码，而不是纯文本凭据。

认证和授权

OAuth2 和 Kerberos 等身份验证和授权方法和协议是合适的。然而，虽然唯一的身份验证代码不太可能将系统暴露给攻击者，但它们并非没有错误。

管理要领

避免使用可预测的加密密钥。相反，使用安全的基本分发方法，频繁轮换密钥，按时更新密钥，并避免将密钥硬编码到应用程序中。

自动密钥轮换增强了安全性和合规性，同时减少了数据暴露。

控制应用程序和数据访问

创建具有严格访问限制的可审计安全策略。例如，最好限制对授权工作人员和用户的访问。

日志收集与分析

应用程序、API 和系统日志都提供有用的数据。此外，自动化日志收集和分析提供了必要的信息。作为内置功能或第三方附加组件，日志服务通常非常适合确保遵守安全法律和其他立法。

使用日志分析器与您的警报系统进行交互，支持您的应用程序的技术堆栈，并拥有一个仪表板。

记录一切

这包括成功和不成功的登录尝试、密码更改和其他与帐户相关的事件。此外，可以使用自动化方法来防止可疑和不安全的计数器活动。

结论

客户或订阅者现在负责保护帐户、应用程序或数据。这需要一种不同于传统现场数据中心使用的安全方法。开发具有足够内部和外部保护的应用程序时必须牢记安全。

日志分析揭示了安全弱点和改进机会。理想世界中的安全团队会在攻击者意识到之前针对风险和漏洞进行攻击。

本文来自《Linux就该这么学》官方资讯站。