平臺即服務（PaaS）天生存在會被黑客鉆空子的安全漏洞。為了緩解這個風險，你應該考慮采用深層防御（defense-in-depth）方法。這種方法讓你可以建立多層防御機制，以便在黑客與攻擊目標之間設置重重障礙。

你不能單單依賴一種安全機制來阻止黑客――其實需要多層其他機制來保護PaaS，遠離不同類型的攻擊。你應該借助提供更強大障礙的其他機制，彌補某一種機制的天生弱點。

深層防御方法

傳統的深層防御技術適用于全面控制其IT基礎設施（包括物理服務器和網絡）的公司。至于PaaS深層防御，你只能享有PaaS提供商賦予你的控制權。

PaaS提供商讓開發人員可以在PaaS上構建、測試、部署且運行軟件即服務（SaaS）應用程序。開發人員可以改變在企業內部開發的應用程序的行為，讓應用程序在PaaS上可以順利運行，然后設置用戶閾值水平，以便其團隊成員能夠并行使用PaaS。

開發人員可以使用筆記本電腦或移動設備，遠程訪問PaaS。PaaS提供商并不允許開發人員控制在PaaS上運行應用程序所需要的操作系統、物理服務器或網絡基礎設施。

PaaS深層防御生命周期的四個階段

1. 資產識別階段

想建立多層防御機制，識別資產是第一步。你需要將這些資產分為用戶資產、云資產、數據資產、管理資產、軟件資產、環境資產和硬件資產。

•用戶資產包括：PaaS開發人員、測試人員、策略制定者，可能還有服務級別協議（SLA）經理。風險經理和PaaS操作員讓團隊結構顯得很完整。

•云資產包括：PaaS提供商（比如微軟Azure）以及PaaS運行在其中的基礎設施即服務（IaaS）的類型。IaaS可能是專有的，也可能是開源的。

•數據資產包括：數據敏感性（非機密數據和機密數據）、人員、業務交易及與PaaS直接有關的其他日常操作。

•管理資產包括：說明文檔、用戶參考手冊、庫存記錄和操作規程。這類資產還包括：生命周期規程、災難恢復方案、用戶許可證、標準以及與其他有關方有關的SLA圖。

•軟件資產包括：應用程序、測試工具和日志選項列表。

•環境資產涉及環境系統、大樓、備份設施、空調、采暖和供水系統。你在使用PaaS時需要處于一個舒適區。

•硬件資產包括：公司發放或公司批準的可遠程訪問PaaS的個人筆記本電腦和移動設備。這類資產并不包括物理服務器和網絡的底層的IaaS基礎設施。

2. 對手識別階段

下一步是識別哪些可能是你的對手。可能面臨的對手包括：個人、恐怖組織和國家。對手有可能：

•悄無聲息地被動監控PaaS開發人員、測試人員、策略制定者和業務分析師之間的聯系；

•利用社會工程學伎倆，竊取或訪問PaaS硬件資產；

•對云資源發送大量的過剩數據包，導致對PaaS發動拒絕服務攻擊；

•將惡意軟件惡意植入PaaS故障切換算法；以及

•直接攻擊用來控制PaaS網絡流量的軟件定義網絡（SDN）控制器。

3. 防御層次階段

你需要設置障礙，以趕跑對手。下面是設置每一層防御的要點。

針對被動攻擊，

•第一道防線是讓流量先通過PaaS里面的安全防火墻。

•第二道防線是PaaS訪問控制機制。

針對內部攻擊，

•第一道防線是PaaS物理安全和人員安全；

•第二道防線是PaaS訪問控制機制。

針對鄰近攻擊，

•第一道防線是物理安全和人員安全；

•第二道防線是反技術偵察措施。

針對分發攻擊，

•第一道防線是可信的開發和應用程序部署。

•第二道防線是完整性和機密性控制機制。

針對主動攻擊，

•第一道防線是部署嵌套式防火墻、反病毒軟件和入侵檢測工具。

•第二道防線是PaaS用戶身份驗證控制措施和故障切換機制。

4．評審階段

你應該定期評審深層防御，因為可能會出現新的攻擊類型，需要部署更多的防線。另外，市面上可能會出現更經濟高效的技術，它們可能會改變防線的次序（比如由第二道防線變成第一道防線）。最后，用戶在需要設置哪些障礙來阻礙對手方面的認識也會有所變化。

結束語

想保護PaaS，設置層層防御是最穩妥的做法。一種安全機制的天生弱點可以借助其他機制為對手設置更有效的障礙這一優點來克服。

布加迪編譯

英文原文鏈接：http://www.techrepublic.com/article/protect-a-paas-from-hackers-with-four-phases-of-defense/