云應用安全測試技術分析

程海濤

（大慶石油管理局信息技術公司北京分公司，黑龍江 大慶 163000）

0 引言

從本質上看，云應用安全測試與傳統的Web 應用測試具有高度的相似性，重點都是要通過安全測試來發現應用中存在的安全隱患，通過測試結果來進行漏洞識別與修復，保障數據存儲、使用的安全性。云應用安全測試是新概念，在實際的應用過程中，操作難度非常大，再加上云應用中安全交叉點、傳輸點數量的不斷增加，使得在開展安全測試的過程中，要保障測試的全面性，積極通過內外測試來消除應用中的安全風險。

1 云安全技術概況

計算機、信息技術等的快速發展，使得云計算應運而生，加快了網絡時代的發展。各種云應用的開發，在為人們提供便捷的同時，也帶來了巨大的安全隱患，比如，云應用中的信息泄露情況。從根本上看，云安全技術實現了網絡計算、未知病毒行為判斷并行處理等各種新技術、概念的有效融合。通過網狀分布的客戶端，云安全技術中的相關模塊可以對網絡軟件中的異常行為加以監測，通過這一監測過程，就可以全面掌握云應用中的全部行為，對全部的數據和信息加以分析。這一過程中，云安全技術中的相關模塊能夠及時發現異常侵入、惡意攻擊、病毒入侵等行為，當收集到這些異常情況以后，系統還可以自動將這些信息發送給客戶端，在經由全面的分析和處理后，可以制定出最為有效的安全處理方案［1］。

2 云安全技術的實現與應用

2.1 建立科學合理的資源池

伴隨著云計算概念的提出和應用，很多領域都在積極搭建云計算框架，而如果要保障云計算架構的科學性與合理性，就必須要率先建立科學合理的資源池。在傳統的互聯網技術（Internet Technology，IT）基礎架構中，專門的資源和應用之間存在著非常高的關聯性，為了使系統能夠具備少量峰值的負載，往往存在過度進行資源配置的情況，資源重復利用的效率偏低［2］。根據有關統計，傳統IT 資源的平均重復利用率在20%以下。資源池構建需要服務器、存儲、網絡等多種資源，構建的目的是要將這些多樣化的資源以比價虛擬化的方式形成更為綜合的資源池。在云計算概念下，資源池建設可以直接通過分布式計算的方式，來保障資源分配的科學性與合理性。這一計算和分配方式不僅可以消除物理邊界的限制，還可以大大提升資源的重復利用率，提升資源池的計算水平［3］。云計算中，資源池的構建是基礎環節，在后續云計算基礎架構的實現過程中，具有不可替代的作用，只有保障了資源池建設的科學性，才可以根據應用本身的需求來動態分配資源。

資源池建設需注意以下要點。①在正式的建設開始之前，專業人員需率先根據資源池建設的實際需求來準備好必備的物理資源，為資源池建設做好充分的前期準備，利用虛擬化方式來建設。一般情況下，一個物理服務器可以將幾個或者幾十個服務器全部虛擬出來，且這一虛擬模式下，每個虛擬機都可以根據不同的任務需求來運行［4］。②資源池的兼容性相對較強，由于其服務對象可以是很多的平臺，各個平臺上的運行需求有所不同，而資源池可以根據不同平臺的現實需求，來提供給不同平臺不同的負載。各個企業的應用類型非常多樣，使得在平臺建設的過程中，要積極根據這些需求來進行設計。比如，一個企業可以同步開發Linux 和Windows 雙應用，甚至可以是基于Unix 的應用。這一情況下，企業在平臺優化和建設的過程中，原有應用可以直接在資源池上使用。③在企業業務范圍逐步擴大的過程中，IT 資源的需求也在逐步擴大，與此同時，應用類型也日漸增多。這種情況下，就需要使資源池具有非常強的擴展能力。

2.2 現階段保障云安全的具體方案

基于云安全考慮，一些軟件廠商逐步開發出可以有效保護全網安全的體系架構。比如，金山毒霸開發云安全系統，不僅包括智能化客戶端，還包括集群式服務端和開放式平臺，在投入使用以后，可以有效解決互聯網環境下存在的各種病毒威脅。在這一安全體系中，“可信云安全平臺”是核心技術，其具體包含了以下內容。①可信云安全。這一技術也就是云端人工智能的自動鑒定，通過這一技術的應用，在互聯網環境下，可以在非常短的時間內就有效對大部分的未知樣本加以識別和判定，主要包含了收集、鑒定、發布等技術體系和流程，在該體系內，以互聯網的可信認證、人工智能自動分析和樣本極速匹配為基礎，客戶端即使每天應對的查詢請求非常多，也可以實現瞬間響應［5］。②藍芯II 云引擎。這一引擎技術可以對全部的病毒開展高效、精確地查殺。

3 云應用安全測試技術

3.1 內外部測試

云應用的安全測試過程中，內外部測試是最為基礎性的測試。要在具體的安全測試過程中，將云基礎設施作為一個獨立的系統個體來開展全面的安全測試，內外部測試的范圍主要是由組織和應用設置情況來決定的。當然，云系統可以是單個個體，也可以是系統內部的，甚至可以是多系統的、具有內外部雙重屬性的應用。安全測試技術應用的過程中，必須要利用測試技術來對云系統的結構、運行狀態和流程加以全面識別，測試者在測試的過程中，為保障測試工作的高效開展，必須要在前期的測試準備工作中，全面了解并掌握其中的全部連接點，包含數據連接和傳輸的細節性內容。安全測試要從云應用中的某一特定內部功能開始，然后為所有的連接點或額外的云建立測試。在內外部測試的過程中，對云性質、內外部、混合的判定是非常重要的。測試云端主要包含了滲透測試技術和數據測試技術，這一點是與Web 應用測試高度相似的，其最為突出的區別就在于系統結構、基礎設施中存在云供應商。

3.2 跨系統測試

跨系統測試技術應用與“外部”測試相類似，但也存在一定的區別。跨云系統測試重點應放在測試公有云、私有云和混合云應用方面。對于絕大多數的云應用而言，其開發的最終目的是要在各個云系統之間實現數據、信息的共享和集成。在安全測試技術的應用過程中，要保障測試的有效性，就需要在了解云系統總體結構、云應用與系統交互方式、共享信息和數據方式的基礎上開展測試［6］。安全測試跨云和應用時，重點需放在數據是否存在異常訪問與共享的判定方面。作為測試者，需要通過操作云系統配置或者角色安全、攔截消息、消息隊列能否獲得非授權數據訪問的權利方面，只有做好了這些方面的測試，才能夠說明安全測試是有效的。云應用的路徑非常復雜，在跨系統測試的過程中，不僅需要對這些復雜路徑加以測試，更需要進行安全路徑的測試，以通過全面測試來消除云應用、系統中的安全威脅。Web 測試與云應用測試還存在著一個突出的區別，就是Web 應用存在邊界，而云應用則沒有，由于可能是無邊界的，就使得在測試的過程中，測試人員必須要全面調查其全部的連接點和安全邊界情況。

4 測試挑戰

云應用安全測試的過程中，同樣存在著一定的測試難題。由于組織并不系統，這就使得在云環境下，直接對服務器日志和其他類型文件的訪問都是不可行的。測試過程中，測試人員必須要密切觀察數據的具體情況、性能和時間等，來進行相關問題的準確判定。比如，在云應用中，如果重點放在某窗口輸入功能的驗證方面，就需要用另外一個應用來確定是否存在問題。如果要保障測試結果的有效性，相關測試人員必須要詳細了解數據流、合法數據定義、應用和特定云之間的關系信息，只有在掌握了這些基礎的信息以后，才能夠使安全測試工作順利開展，使得安全測試技術選擇、流程確定符合實際的測試需求。由于云應用基礎設施的性質比較特殊，在開展安全測試的過程中，徹底測試是非常關鍵的，大部分的測試應該以應用行為和響應作為基礎，在測試的過程中，專業人員必須充分做好測試時間的科學規劃。

4 結語

近年來，隨著云應用數量和需求的增多，在云應用的開發和運營過程中，要結合實際的安全需求來選擇恰當的安全測試技術，最大程度上提高云應用的安全性。