怎样确保PaaS安全

　　中国的云计算发展还处于初级阶段，我们应该看到云计算伟大的发展潜力，要推动并加强云计算的研发和创新，培养相关的科研创新人才和团队，帮助国内企业攻克在IT产业和伟德服务领域的关键手艺，加速伟德化建设进程，进而提升工业化水平。因此大家要认真阅读本篇文章。
　　对于那些在应用程序安全方面已投入巨资的组织来说，他们拥有固定满编训练有素的开发人员，独立的开发、测试以及生产流程，所以应对PaaS安全性问题应该是驾轻就熟的。而那些还未作出这些投资的机构可以遵循如下步骤，从而在一定程度上有助于应对PaaS安全性的挑战。

　　步骤一：建立安全措施
　　应用程序安全性的根本挑战远在PaaS实施前就已经存在。因此，对于如何完善生产安全、鲁棒的应用程序的部署措施已有相当的研究。有一个可提供直接支持的技术被称为应用程序威胁建模。一些很好的着力点是OWASP威胁建模页以及微软公司的安全性开发生命周期资源页。从工具的角度来看，是免费跨网站脚本（XSS）和SQL注入。拥有内部工具的企业可以将其应用于PaaS的安全性措施，或者众多PaaS供应商为客户以免费或打折的价格提供了具有类似功能的工具。而当企业希望使用一个更为广泛的扫描策略时，他们还可以使用诸如Google公司的skipfish这样的免费工具。
　　步骤二：扫描网络应用程序
　　众多公司已经接受了应用程序扫描，这是一个用于解决通用安全问题（例如跨平台脚本（XSS）和SQL导入）的网络应用程序扫描工具。拥有内部工具的企业可以将其应用于PaaS安全性措施，或者众多PaaS供应商为客户以免费或打折的价格提供了类似功能的工具。而当企业希望使用一个更为广泛的扫描策略时，他们还可以使用诸如Google公司的skipfish这样的免费工具。

　　步骤三：培训开发人员
　　应用程序开发人员完全通盘精通应用程序安全性原则是非常关键的。这可以包括语言级培训（即他们目前用于构建应用程序所使用语言中的安全编码原则）以及更广泛的议题，如安全性设计原则等。由于开发人员的减员和流动性等原因，这往往要求培训必须定期重复并作为常态保持下去，所以开发人员应用程序的安全性培训成本可能是较为昂贵的。幸运的是，还有一些免费的资源，例如TexasA&M/FEMA国内防备校园计划提供了一些安全性软件开发的免费电子学习资料。微软公司也通过其Clinic2806提供了免费培训：微软开发人员安全性知道培训，这是一个开始你自己定制程序有用的入门级培训材料。
　　补充【　对于私有PaaS平台使用者需要关心：
　　支持的编程语言、web服务器或者应用服务器
　　支持的数据库软件类型
　　支持的数据库模式，cluster还是主从
　　数据库主从分离是否透明
　　支持的文件存储类型，如何操作
　　其它类型服务，如何访问?是否有SDK或API文档
　　如何部署应用
　　代码目录路径和布局的规范
　　名字服务，代码如何访问这些服务(connect)，是通过环境变量，还是通过域名，或者通过封装的类或者库，还是通过kv名字服务的查询获取?
　　对于PaaS平台的管理方需要关心：
　　统计报表
　　监控报警
　　面向应用的监控
　　如何给开发人员提供一致的开发环境
　　如何给测试人员提供一致的测试环境
　　容量管理，如何增减节点
　　数据保障，备份管理和灾备管理
　　消息发布管理，如平台对某个软件进行升级的通知
　　工单管理，处理使用方提出的疑问
　　上面描述的这些需求，其实就是PaaS平台的开发规范/运维规范，说白了就是如何用和如何管。
　　如何制定规范：
　　我们说需要结合企业自身特点来定制规范，那么具体到细节层面，我们应该考虑哪些因素呢?
　　组织结构：
　　是否拥有软件开发部门。如果软件都是外包开发，那么如何让外包开发快速了解并立即可以开发?如果是自己内部部门开发，那么如何做好培训让他们理解更深刻才能更好地在PaaS上开发。
　　同时也需要考虑开发和运维是在一个部门、还是一个公司，他们的绩效管理模式，是否会导致部门推诿扯皮。这些都会影响PaaS规范具体包含哪些，开发和运维的边界线在哪里?
　　人员结构：
　　人员的技能水平，对PaaS的设计也有很多影响.一般而言，技能越好的团队，希望的自由度越高。但又需要考虑好开发和运维团队的技能是否能够相匹配。如果开发方能力过强，运维方在管理生产环境时可能就吃力。如果运维方能力强，开发方就能更省事。
　　企业已经存在的IT资产：
　　这些资产包括硬件和软件两个方面。引入的私有PaaS平台，过去的资产哪些可以继续使用避免过去的投资浪费，这是CIO关心的问题。
　　硬件方面的资产如交换机、存储往往标准化程度很高，比较容易复用。软件方面，比如企业过去购买过一套监控系统，如果想将PaaS平台的监控对接进去，难度可能就比较大，技术上也很可能失败。这些都需要根据实际情况评估。
　　可定制和修改的PaaS：
　　PaaS的规范绝不是一成不变，随着组织、技术栈的变化，PaaS的规范也应该能够不断修改适应。
　　基于Docker的PaaS能够胜任这一点。docker本身的特点是轻量灵活。基于docker构建PaaS，不仅可以提供“可定制实施”的PaaS，特别是可以简化PaaS平台的运维管理。】
　　步骤四：拥有专用的测试数据
　　这样的情况总是在不断发生中的：开发人员使用生产数据进行测试。这是一个需要正确认识的问题，因为机密数据（例如客户私人可辨识的数据）可能在测试过程中泄漏，特别是在开发或试运行环境中并没有执行与生产环境相同的安全措施时。PaaS的环境敏感性更甚，而众多PaaS服务更易于实现部署、试运行以及生产之间的数据库共享以简化部署。如开源DatabeneBenerator之类的工具可以产生符合你数据库特定结构的高容量数据，而数据格式调整有助于拥有专用的生产数据。通常，这些处理是属于特定框架的，因此你需要留意找出一个能够在你的特定环境中正常工作的。
　　步骤五：重新调整优先级
　　这最后一个步骤是你可以实施的最重要的一个步骤。既然PaaS可能意味着一种文化和优先级的调整，那么相应地接受这一调整并将其真正纳入自己的思想行为体系中。使用PaaS，所有都是与应用程序相关;这意味着组织的安全性将高度依赖于组织中的开发团队。如果这不是PaaS的问题，那么这将会是一场噩梦了，因为在基础设施级你无法实施多少措施以缓解已识别的风险。如果你一直以来都是依赖于基础设施级的控制以满足在应用程序级的安全挑战，现在是时候重新考虑

　　虽然云计算的发展仍面临着许多的难题，但是云计算这种方式的确有其不可取代的优势，它被许多专家认为，会改变互联网的手艺基础，甚至会影响整个产业的格局，云计算手艺和基于云计算的服务的存在，会成为日后推动天下经济发展的重大力量。如果大家还有什么问题，欢迎登陆课课家平台咨询!