目前，基于云的應(yīng)用被廣泛使用，并且以驚人的速度不斷增長。 由于基于云的應(yīng)用可以通過互聯(lián)網(wǎng)訪問，并且任何人，在任何地方都可以訪問，因此，應(yīng)用的安全性變得尤為重要。 這就是為什么創(chuàng)建和管理基于云的應(yīng)用的企業(yè)必須要保證：客戶所信賴的應(yīng)用基礎(chǔ)架構(gòu)的每一層都是安全的。
 
云應(yīng)用安全防護(hù)三大關(guān)鍵最佳實(shí)踐
　　想象一下，如果谷歌的Gmail遭到黑客攻擊，黑客能夠讀取用戶郵件的內(nèi)容，會(huì)造成什么樣的后果?不僅谷歌的聲譽(yù) 會(huì)受到影響，谷歌的客戶也將很快開始尋找其他電子郵件的替代者。 客戶、資金不可避免地將大量流失。 假如結(jié)果發(fā)現(xiàn)：如果檢查安全漏洞的話，該黑客所利用的Gmail安全漏洞很容易就能被阻止，那么公眾將會(huì)有什么反應(yīng)呢? 雖然這是一個(gè)戲劇性的例子，但是，每天就會(huì)發(fā)生這樣的情況。 重要的是，企業(yè)要盡早采取相應(yīng)的措施來預(yù)防安全漏洞，不要等到為時(shí)已晚。
　　在本文中，我將討論三種不同的策略，企業(yè)可以用這三種策略來最大限度地提高基于云的應(yīng)用的安全性，預(yù)防可怕的安全漏洞。
 
　　發(fā)現(xiàn)并修復(fù)安全漏洞
　　確保基于云的應(yīng)用的安全性，第一種方法是，盡可能多地去發(fā)現(xiàn)并處理所有可能的漏洞。 許多技術(shù)可以用來發(fā)現(xiàn)應(yīng)用中的安全漏洞，如手動(dòng)的或自動(dòng)的源代碼審查 ，污點(diǎn)分析，網(wǎng)絡(luò)掃描， 模糊測(cè)試 ，故障注入或者符號(hào)執(zhí)行。 然而，要想找出Web應(yīng)用中的軟件漏洞，并不是所有這些技術(shù)都同樣適用。 對(duì)于基于云的應(yīng)用來說，如操作系統(tǒng)或者虛擬機(jī)管理程序 ，則要考慮應(yīng)用本身的漏洞以及較低層的漏洞。 因此，最好采用滲透測(cè)試服務(wù)來檢查應(yīng)用，并且針對(duì)發(fā)現(xiàn)的所有漏洞，做一份安全報(bào)告。
　　一定要記住：即使經(jīng)過了安全審查，也有可能仍然存在零日攻擊漏洞。 不過，審查過程可以消除最為關(guān)鍵的漏洞。
 
　　避免安全漏洞被成功利用
　　要想最大限度地提高云應(yīng)用的安全性，第二個(gè)策略是：不處理新發(fā)現(xiàn)的應(yīng)用漏洞，而是預(yù)防現(xiàn)有的漏洞被利用。 有多種技術(shù)和工具，可以預(yù)防漏洞被成功利用，包括：
• 防火墻 -防火墻可以用來阻止訪問某些DMZ 邊界的端口，并成功地阻止攻擊者通過網(wǎng)絡(luò)或者DMZ訪問易受攻擊的應(yīng)用。
 
　　• 入侵檢測(cè) (IDS)/ 入侵防御 (IPS)系統(tǒng) -通過使用IDS / IPS，企業(yè)可以在攻擊有機(jī)會(huì)到達(dá)目標(biāo)應(yīng)用之前，找到已知的攻擊模式并且阻止攻擊。
 
　　• Web應(yīng)用防火墻(WAF) -WAF可以用來查找應(yīng)用層的惡意模式。 可以檢測(cè)到漏洞，如SQL注入 ，跨站點(diǎn)腳本和路徑遍歷。 有兩種類型的WAF軟件方案可供選擇：黑名單或者白名單。 黑名單WAF只能攔截已知的惡意請(qǐng)求，而白名單WAF默認(rèn)攔截所有可疑的請(qǐng)求。 當(dāng)使用黑名單時(shí)，很容易重新建立請(qǐng)求，因此，就算不出現(xiàn)在黑名單中，該請(qǐng)求也絕對(duì)不會(huì)繞過白名單。 盡管使用白名單更加安全，但是需要更多的時(shí)間來完成設(shè)置，因?yàn)楸仨毷謩?dòng)將所有有效的請(qǐng)求編入白名單中。 如果組織愿意花費(fèi)時(shí)間建立WAF，企業(yè)的安全性可能會(huì)提高。運(yùn)行Nginx Web服務(wù)器的企業(yè)應(yīng)該考慮開源Naxsi Web應(yīng)用防火墻，使用白名單來保護(hù)應(yīng)用。
 
　　• 內(nèi)容分發(fā)網(wǎng)絡(luò)(CDN)——CDN使用域名系統(tǒng) (DNS)將內(nèi)容分發(fā)到整個(gè)互聯(lián)網(wǎng)的多個(gè)數(shù)據(jù)中心，使網(wǎng)頁加載速度更快。 當(dāng)用戶發(fā)送DNS請(qǐng)求時(shí)，CDN返回一個(gè)最接近于用戶位置的IP。 這不僅會(huì)使網(wǎng)頁的加載速度更快，也可以使系統(tǒng)免受拒絕服務(wù)的攻擊。 通常情況下，CDN還可以開啟其他保護(hù)機(jī)制，如WAF，電子郵件保護(hù)，監(jiān)測(cè)正常運(yùn)行時(shí)間和性能，谷歌Analytics(分析)。
 
　　• 認(rèn)證——應(yīng)盡可能采用雙因素身份驗(yàn)證機(jī)制。只使用用戶名/密碼組合登錄到云應(yīng)用， 對(duì)攻擊者來說這是一個(gè)巨大漏洞，因?yàn)椋ㄟ^社會(huì)工程攻擊就可以收集到用戶名/密碼等信息。 另外，攻擊者也可以通過猜測(cè)或者暴力破解密碼。 單點(diǎn)登錄不但可以提高效率，還能保證所有用戶都能適當(dāng)訪問云應(yīng)用，同時(shí)保證安全性。