云計(jì)算滲透測試是一種通過模擬惡意代碼的攻擊來主動檢查云系統(tǒng)安全的方法。
由于對基礎(chǔ)設(shè)施的影響，滲透測試往往不適用于SaaS環(huán)境，在PaaS、IaaS中是允許的，但是需要一些協(xié)調(diào)。
云計(jì)算的滲透測試屬于定期安全監(jiān)控，以監(jiān)控威脅、風(fēng)險(xiǎn)和漏洞的存在。而SLA合同將規(guī)定允許哪種類型的滲透測試，以及可以多久進(jìn)行一次。
為了幫助企業(yè)安全主管高效實(shí)施云計(jì)算安全測試，以下我們整理了云計(jì)算滲透測試的快查清單以及相關(guān)重要注意事項(xiàng)：
一、云計(jì)算滲透測試清單
1.檢查服務(wù)水平協(xié)議并確保云服務(wù)提供商(CSP)和客戶之間已達(dá)成相關(guān)政策；
2.為維護(hù)治理與合規(guī)性，檢查云服務(wù)提供商和訂閱者之間的適當(dāng)責(zé)任；
3.檢查服務(wù)水平協(xié)議文件并跟蹤C(jī)SP的記錄，確定維護(hù)云資源的角色和責(zé)任；
4.檢查計(jì)算機(jī)和互聯(lián)網(wǎng)使用政策，并確保已按照正確的政策實(shí)施；
5.檢查未使用的端口和協(xié)議，并確保應(yīng)阻止相關(guān)服務(wù)；
6.檢查存儲在云服務(wù)器中的數(shù)據(jù)是否默認(rèn)加密；
7.檢查使用的雙因素身份驗(yàn)證，并驗(yàn)證OTP以確保網(wǎng)絡(luò)安全；
8.檢查URL中云服務(wù)的SSL證書有效性，并確保是從正式的證書頒發(fā)機(jī)構(gòu)（COMODO、Entrust、GeoTrust、Symantec、Thawte等）購買的證書；
9.使用適當(dāng)?shù)陌踩刂茩z查接入點(diǎn)、數(shù)據(jù)中心、設(shè)備的組件；
10.檢查向第三方披露數(shù)據(jù)的政策和程序；
11.檢查CSP是否在需要時(shí)提供克隆和虛擬機(jī)；
12.檢查云應(yīng)用程序的正確輸入驗(yàn)證，以避免Web應(yīng)用程序攻擊，例如XSS、CSRF、SQLi等。
二、云計(jì)算攻擊
跨站請求
CSRF是一種旨在誘使受害者提交惡意請求以作為用戶執(zhí)行某些任務(wù)的攻擊。
旁路攻擊
這種類型的攻擊對于云來說是獨(dú)一無二的，并且可能非常具有破壞性，但它需要技巧和一定的運(yùn)氣。這種形式的攻擊試圖通過利用受害者使用云中共享資源的事實(shí)來間接破壞受害者的機(jī)密性。
簽名封裝攻擊
該類型的攻擊并非云環(huán)境獨(dú)有，但仍然是一種危及Web應(yīng)用程序安全性的危險(xiǎn)方法。基本上，簽名封裝攻擊依賴于對Web服務(wù)中使用的技術(shù)的利用。
云環(huán)境中的其它攻擊
●使用網(wǎng)絡(luò)嗅探進(jìn)行服務(wù)劫持
●使用XSS攻擊的會話劫持
●域名系統(tǒng)(DNS)攻擊
●SQL注入攻擊
●密碼分析攻擊
●拒絕服務(wù)(DoS)和分布式DoS攻擊
三、云滲透測試的重要考慮因素
1.在云環(huán)境中的可用主機(jī)上執(zhí)行漏洞掃描；
2.確定云的類型，是SaaS、IaaS還是PaaS；
3.確定云服務(wù)提供商允許的測試類型；
4.檢查CSP的協(xié)調(diào)、安排和執(zhí)行測試；
5.執(zhí)行內(nèi)部和外部滲透；
6.獲得執(zhí)行滲透測試的書面同意；
7.在沒有防火墻和反向代理的情況下對Web應(yīng)用程序/服務(wù)執(zhí)行Web滲透測試。
四、云滲透測試的重要建議
1.使用用戶名和密碼驗(yàn)證用戶；
2.通過關(guān)注服務(wù)提供商政策來保護(hù)編碼政策；
3.采用強(qiáng)化的密碼策略前必須告知用戶；
4.敏感信息定期更改，例如用戶帳戶名、云提供商分配的密碼；
5.保存在滲透測試過程中發(fā)現(xiàn)的信息漏洞；
6.對測試的密碼使用加密協(xié)議；
7.針對SaaS應(yīng)用程序使用集中式身份驗(yàn)證或單點(diǎn)登錄；
8.使用最新的安全協(xié)議。
