构建安全的PaaS云服务.pdf

构建安全的PaaS云服务 演讲人：吴建强 职务：搜狐 安全经理 日期：2014/09/25 China Internet Security Conference 2014 2014中国互联网安全大会 PaaS介绍 –PaaS是什么 –为什么使用PaaS –PaaS价值观 • Forget servers • Run Anything • See Everything • Trust Manage PaaS安全 –用户所担心的安全问题 • 服务可用 •数据安全 •代码安全 •成本安全 PaaS架构 PaaS架构 PaaS安全目标 –平台安全 –用户安全 –安全管理 –安全服务 管理 账户 安全服务 代码 资金 安全管理 •WAF 数据 消费 •策略 •VM 用户应用安全 用户账户安全 •流程 IAAS 基础服务 平台安全 网络 Portal API 安全原则 –PDR+Defense in depth –SD3+C • Secure by Design • Secure by Default • Secure in Deployment and Communication –SDL 需求分析 系统设计 编码实现 测试验证 在线发布 安全目标 开发指南 黑盒测试 安全评审 安全设计 风险评估 安全API 白盒审计 应急方案 威胁建模 BUG标准 静态扫描 问题改进 运维规范 威胁建模 •DDOS •Elevation of Privilege •Information Disclosure •Tampering PaaS安全架构 –网络及区域安全 • 安全域 – 管理服务区域 – [对内/对外]基础服务区域 –