基础概念模型云厂商提供什么用户控制什么例子SaaS(Software)完整应用软件软件数据Microsoft 365 / 钉钉PaaS (Platform)应用运行平台云运行平台应用数据无法操纵底层OS,只能上传程序管理业务数据阿里云 SAE 云运行平台IaaS(Infrastructure)虚拟机网络存储OS应用数据AWS EC2 / 阿里云 ECSCaaS(Communication)通信能力用通信会议/聊天/通话腾讯会议 / ZoomFaaS(Function)Serverless无服务器函数运行环境事件驱动只写函数代码Azure Functions边缘计算(edge computing)利用传感器实现部分计算工作分担中心计算压力无服务器计算()计算全部在云平台无法本地设备运算Serverless大概念 │ ├── FaaS函数服务✔核心 │ ├── BaaS后端即服务 │ ├── Auth登录 │ ├── DB数据库 │ └── Storage存储 │ └── Event-driven services事件驱动服务未分类系统Unclassified System 仅承载公开 / 未分级数据无任何机密、秘密、绝密涉密内容TCSEC 橙皮书单一状态 系统运行只认一个安全状态多态 系统同时存在多个安全级别的“状态并行”模式是否多密级是否同系统混存控制方式Dedicated❌❌物理隔离System High✔✔按最高级运行Compartmented分隔✔✔Need-to-knowMultilevel✔✔MACBell-LaPadula共享责任每个人都有责任云时每个实体要知道自己执行工作时共享的责任数据本土化和数据主权数据本土化数据主权数据可移植虚拟化技术核心组件安全管理Host OS稳定性Hypervisor保护虚拟资产备份、定期测试保持各级OS备份硬件CPU/内存/硬盘 ↓ Host OS 运行Vmware的真实计算机 ↓ Hypervisor VMware Workstation隔离Guest OS ↓ ↓ Guest OS Guest OS Windows10/11LinuxHypervisorType 1 裸金属虚拟化系统直接运行在硬件上Type 2 运行在操作系统之上Software Define Everything-SDx资源层:资源拆分与整合Virtualization 一台变多台SDS Software Defined Storage 软件调度多硬盘VSAN Virtual Storage Area Network 拼接硬盘 / 合成一个大存储池控制层全局软件控制SDNSDN Software Defined Networking软件控制网络流量不用手动配路由/交换机SDDCSDDC Software Defined Data Center整个数据中心全部软件化管理网络存储计算运行层软件运行优化Container容器标准化运行环境、资源隔离Serverless自动化调度体验层可视化管理Virtual Desktop Infrastructure 桌面上云Virtual Mobile Infrastructure 手机集中管理Software Defined Visibility 系统看板可视化瘦客户机属于VDI主要功能是连接 显示 IO特定风险VM Sprawl虚拟机开完不删浪费服务器资源Server Sprawl服务器越开越多没人规划浪费资源VM Escape攻击者透过虚拟机攻击宿主机虚拟化相关技术云计算Cloud ↓ 雾计算Fog 云部分功能下沉,分布式计算和调度 ↓ 边缘计算Edge 位于网络拓扑最外围(近数据源)↓ 终端设备Device传统服务器管理 ↓ 基础设施即代码IaC 用代码创建和管理服务器 ↓ 不可变架构Immutable Infrastructure运行环境不能修改只能进行镜像替换 ↓ 无服务器架构Serverless云分配资源运行代码客户端/服务器安全客户端安全移动代码 把“计算”从服务器搬到客户端执行Java Applet、ActiveX(淘汰)JavaScript(主流) 会有XSS 跨站脚本、XSRF 跨站请求伪造 攻击防范机制Content Security Policy限制外部脚本域名防火墙、更新浏览器、限制JS权限本地缓存 本地存储缓解服务器压力ARP缓存 记录IP和MAC对应关系DNS缓存 域名到IP互联网文件 网页/文件服务器安全① 分布式计算体系• 分布式系统系统拆成独立模块部署在不同独立服务器上机器配合工作实现扛高并发、数据海量存储、机器坏了业务不中断• 微服务 Microservices微服务就是按照业务进行拆分:用户服务器、商品服务器、订单服务器、支付对接服务器安全防护身份验证、数据加密、容器网关API、日志防护• 大规模并行数据系统很多台机器同时处理海量数据并行计算系统 │ ├── 对称多处理SMP ← 小规模单机多CPU 多个CPU共享同一内存地位完全平等 │Symmetric Multiprocessing │ ├── 非对称多处理AMP← 控制分工型 CPU有主有从一个控制其他干活 │Asymmetric Multiprocessing │ └── 大规模并行处理MPP ← 大规模多机器 Massively Parallel Processing② 弹性资源体系• 网格计算 借别人算力来做超级计算任务机密性不是风险最大的、不同任务间隔离可能被破坏才危险• 对等网络P2P 大家互相当服务器③ 实时系统RTOS刹车、心率存在在自带小存储ROM(难改)里④ 高性能系统HPC主要元素计算资源(负责算)、网络能力(连)、存储能力硬件和固件安全1.处理器processor执行类型多核多个处理核心并行处理任务多程序Multiprogramming多个程序都在内存里只是放着多任务Multitasking CPU快速切换执行达到同时运行线程属于进程进程是“容器”独立的应用程序浏览器、微信进程状态ready waiting running stopped线程是“容器里的执行者”处理点击 打开网页 渲染页面多进程多个独立程序运行多线程一个程序内部多个执行路径保护环Ring 0 ← 最高权限访问任何资源Ring 1/2 较少使用Ring 3 ← 用户态微信 word 游戏寄存器 Registers指令 CPU执行的最小操作单位正常需要去内存里• 立即寻址数据成为指令的一部分• 寄存器寻址数据“在CPU里面”最快• 直接寻址指令“给你地址”• 间接寻址地址指向地址最后拿数据• 基址偏移在“某个起点基础上移动”2.内存memory只读存储器 Read-Only Memory只能读不能写(改)工厂烧录Programmable Read-Only Memory (PROM) 用户稍后烧录Erasable Programmable Read-Only Memory (EPROM) 可擦除随机存取存储器 Random Access Memory 运行内存 RAM主存随机位置读取速度一样快||临时存储易失性存储风险低因为断电就没了Real Memory主内存Cache RAM Cache物理属于CPU属于SRAM不是RAM对比项DRAM动态RAMSRAM静态RAM全称Dynamic RAMStatic RAM存储方式电容存储电荷触发器锁存器是否需要刷新需要不断刷新不需要速度较慢很快成本低高集成密度高能做很大容量低占用面积大常见用途主内存RAMCPU缓存Cache可靠性较低会丢电荷较高稳定3.外存Second memory 硬盘 外存长期存储 驱动器硬盘读写HDD机械硬盘SSD 全盘加密、厂商安全擦除、物理销毁固态硬盘 无磁介质 无法消磁数据残留问题坏块4.输入输出设备放射安全法拉第笼被动 防止信号传播白噪音主动干扰信号 防止远程读取打印机本地存储数据、传输安全、身份验证显示器电磁侧信道攻击、肩窥EMSEC/TEMPEST防护Electromagnetic SecurityTEMPEST是代号 防止设备电磁泄漏被窃听的安全体系不是攻击本身TEMPEST应对方法:法拉第笼、白噪声、控制区。键鼠调制解调器POTS Telephone Modems5.固件很少改动安全擦除磁盘后使用原始介质安装系统唯一不受影响的就是BIOS固件。BIOSUEFI统一可扩展接口Flashing闪烁Boot Attestion,安全引导Boot SecureMeasured Boot测试启动移动设备安全部署策略模式设备归属员工选择权使用范围安全级别BYODBring Your Own Device自己手机私人低COPEChoose Your Own Device公司买设备但允许个人使用受监控中高CYODCorporate Owned, Personally Enabled公司所有员工在列表选受控中COBOCorporate Owned, Business Only公司所有只能办公用仅工作高安全特性1管理与控制 Mobile Device Management 移动设备管理(解决方案)MDM 设备管理 硬件 Mobile Device Management ↓ EMM 移动生态管理 手机 App 数据 Enterprise Mobility Management ↓ UEM 统一终端管理 所有设备手机电脑IoT Unified Endpoint Management 资产跟踪 公司知道设备“是谁的、在哪、在干嘛” 内容管理 公司控制“什么文件能看、能不能下载” 应用控制 公司控制手机“能装什么App、能不能用” 停用未使用的功能 不用的功能直接关掉蓝牙/USB/截图/摄像头2身份与访问安全 设备身份验证 设备是不是被允许的 凭据管理 密码/密钥/令牌 屏幕锁 设备锁定 短信安全 身份验证 SMS/MMS/RCS 是有用通讯系统3数据保护 全设备加密FDE加密存储 存储分割工作区/个人区 远程擦除 需要有网络 可移动存储控制 SD卡、USB存储4通信 通信保护 推送通知安全通道管理 GPS和定位服务隐私 风险控制 地理位置(导航定位)地理标记(照片中存储详细信息)地理围栏(特定地理区域)5设备与系统安全 越狱检测/防护 绕过系统限制获得“管理员权限” 侧向加载Sideloading不通过官方商店直接安装App 自定义固件 刷机设备最底层系统 运营商解锁 解除手机绑定的运营商限制 固件OTA更新 通过网络自动更新系统/固件6应用与内容 第三方应用商店 应用控制 内容管理 推送通知常见架构缺陷隐蔽通道Covert ChannelsRootkitsIncremental Attacks增量攻击设计、编码缺陷2