新时代的云安全精准编排拒填鸭.PDFVIP

新时代的云安全– 精准编排, 拒绝填鸭 亚信安全 李立中 数据中心正在演化… 弹性计算 软件定义数据中心 自动化 跨平台 Serverless 运维协作 混合云 虚拟化数据中心 容器 软件定义 软件定义 虚拟服务器 存储 网络(SDN) 实体数据中心 服务器 存储 网络 云计算安全面临的挑战 数据丢失、泄露 网络病毒、攻击 不同安全接口攻击 高级可持续性攻击 云环境 云计算基于 攻击者利用非法获取 云计算平台网络 数据存储位置 网络提供服务 接口访问密钥 如遭受APT攻击 不受租户控制 应用系统都放置云端 通过接口漏洞攻击 影响应用系统正常运行 越权、误操作 滥用云服务 共享技术漏洞被攻击 缺乏审计合规 运营管理和运维管理 云计算可向任何人 云服务多租户共享 云租户数据 恶意破环或误操作 提供计算资源 云租户相互入侵 存放在云存储 造成系统运行中断 可被租用发动DDos Xss ，跨站脚本攻击等 很难进行合规审计 未来网络安全的攻防趋势 网络渗透 信息挖掘，资源整合 注入：尝试各种规则、转义的绕过， 攻击手法的综合利用 要去找注入点，要去构造SQL语句 越权：做大规模的测试、或者去分 长时间、多批次、多方面 析源代码（如果有的话） 上传、XSS、CSRF等等 不怕贼偷，就怕贼惦记 0 day （核武） 隐藏行动，沉寂修炼 钓鱼、社工等等 利益驱动 缩短攻击者的“自由攻击时间”成为关键 攻击者 组织 攻击 监视 目标 攻击 开始 掩盖 探索 跳跃 掩盖 分析 访问 系统 手段 持久化 攻击 手段 试探 入侵 开始 完成 完成 维护据点 TIME 自由攻击时间 急需缩短攻击时间