云计算安全之 PaaS 的阴暗面

公共云在降低计算成本和增加适应性这些优势方面有着极大的潜能，但是这个领域的阴暗势力也一直准备好要占云计算发布模块如“平台及服务”（PaaS）的便宜。Arbor Networks 最近监测到一个Google AppEngine Paas应用软件被一个僵尸网络指挥控制（CnC）。Google迅速卸下这个软件，但这次事件还是引发一些有趣的话题。

在恶意软件领域，这种事情不是什么新话题，之前也已经被称为“恶意软件即服务（Malware as a Service）”。正如合法的公司因为以上提到的好处进入云计算领域，网络罪犯也将他们的一些恶意软件移入“共享的基础设施”站点以使它们更难被减弱、封锁或卸载。稍微有些新意的是以Google应用软件（如Google Reader、Blogger、等等）为宿主恶意软件的增加。

引起我注意的是那些坏人很快就学会了利用PaaS基础设施为恶意软件CnC服务。不需要丰富想象力就可以预见坏人们从利用PaaS控制他们的恶意软件继而转向新目标IaaS应用软件。公共云（SaaS/PaaS/IaaS）在成本方面有一个很能说服人的价值定位，但“盒子之外的”IaaS只提供了最基本的安全保护（外围防火墙，负载均衡，等等），进入公共云的应用软件需要来自主机的像Trend Micro Deep Security 7.0这样的更高级别的防护。这些对策可以减少坏人攻击IaaS主机或接管其作为僵尸网络枢杻的可能性。

如果一个居心不良的人购买了IaaS的主机，我认为服务供货商应该监测并当作对Service Provider Service Level Agreement（SLA）的违背阻止这一行为。不过，服务供货商怎么能评估他们的IaaS/PaaS被怎样使用而又不违反应用软件的保密条约？如果他们不监测其用途，他们可能要验证客户的身份？还有要是服务是用被盗的个人信息（PII）和信用卡号码购买的呢？

恶意软件威胁是老问题，但是云端运算又提出了新挑战。

标签： [db:TAGG]

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点！
本站所提供的图片等素材，版权归原作者所有，如需使用，请与原作者联系。