對于希望按需快速部署、監(jiān)控和擴(kuò)展網(wǎng)絡(luò)應(yīng)用的云計算架構(gòu)師和開發(fā)人員來說，AWS的Elastic Beanstalk (測試版)是一個非常有用的工具。他們所要做的就是上傳代碼并讓Elastic Beanstalk自動處理部署任務(wù)——從容量配置、負(fù)載平衡和自動縮放到應(yīng)用運行情況監(jiān)控。與此同時，他們可以保留對控制應(yīng)用的AWS資源的完全控制。他們甚至可以在任意時間使用Elastic Beanstalk控制臺來訪問底層資源。

　　也就是說，在平臺即服務(wù)(PaaS)上進(jìn)行網(wǎng)絡(luò)應(yīng)用開發(fā)是存在著一定風(fēng)險漏洞的。具體的威脅風(fēng)險包括黑客、軟件設(shè)計缺陷或者不良的測試方法。這些風(fēng)險有可能會利用漏洞來影響應(yīng)用或大幅度降低應(yīng)用的性能。

　　通過降低PaaS上SaaS應(yīng)用開發(fā)的風(fēng)險，云計算架構(gòu)師和開發(fā)人員將會更加深刻地了解他們應(yīng)用所面對的顯著威脅。然后，只需簡單地實施具有成本效益的保障措施，這些深刻了解就將有助于實現(xiàn)較高的投資回報。通過減少漏洞被利用的頻率，它們還有助于減少災(zāi)難恢復(fù)的成本。

　　以下是開始減少你的風(fēng)險的五大步驟：

　　·資產(chǎn)識別

　　·漏洞與威脅識別

　　·風(fēng)險評估

　　·應(yīng)用相關(guān)保障措施修補(bǔ)漏洞

　　·實施風(fēng)險緩解策略

　　

　　第一步 資產(chǎn)識別

　　1.首先識別與在PaaS上軟件即服務(wù)(SaaS)應(yīng)用開發(fā)相關(guān)的資產(chǎn)，然后為每一個資產(chǎn)分配一個數(shù)值。確定所有資產(chǎn)所屬的類別。下面是一些例子：1.用戶：SaaS開發(fā)人員和SaaS用戶都應(yīng)歸于這一類別。每個用戶組的數(shù)值都應(yīng)當(dāng)基于開發(fā)和測試應(yīng)用時所用去的平均工時數(shù)。

　　2.資源：這是指被PaaS開發(fā)人員使用以運行和存儲SaaS應(yīng)用的資源。例如，Elastic Beanstalk使用了亞馬遜彈性云計算(EC2)、亞馬遜簡單存儲服務(wù)、亞馬遜簡單通知服務(wù)、亞馬遜CloudWatch、彈性負(fù)載平衡以及自動縮放等功能。其數(shù)值應(yīng)基于這些資源的所用即所付的支出。Elastic Beanstalk是免費的。

　　3.安全性：這就意味著加密機(jī)制、防火墻以及行業(yè)安全標(biāo)準(zhǔn)，其中包括了SecaaS(安全即服務(wù))。其數(shù)值是基于用于實施安全措施的工時。

　　4.文檔：培訓(xùn)手冊、管理準(zhǔn)則、安全標(biāo)準(zhǔn)、物理標(biāo)準(zhǔn)、應(yīng)急計劃、災(zāi)難恢復(fù)計劃以及服務(wù)等級協(xié)議(SLA)等也只是文檔中的若干示例而已。其數(shù)值是基于用于發(fā)布文檔所需的媒介類型的——如打印、在線或數(shù)字媒體(CD)等。

　　5.軟件：操作系統(tǒng);漏洞測試工具;辦公工具(文檔、電子表格、演示文稿);日志分析工具;以及編程語言(Java、 .NET、 PHP腳本程序語言、Node.js 編程語言、Python和Ruby) 都應(yīng)被視為軟件。其數(shù)值應(yīng)基于軟件的采購價格或用于在PaaS上進(jìn)行SaaS應(yīng)用開發(fā)所需的所用即所付支出。

　　第二步 漏洞與威脅識別

　　黑客并不是唯一會利用PaaS漏洞的威脅來源。以下是威脅來源的其他一些示例：

　　·軟件設(shè)計缺陷可能會讓惡意SQL注入。

　　·不正確的訪問控制配置可能會導(dǎo)致應(yīng)用正在處理的存儲敏感數(shù)據(jù)被盜。

　　·不正確的防火墻配置可能導(dǎo)致意外的PaaS停用。

　　·由于云計算的資源池和彈性特性而出現(xiàn)的數(shù)據(jù)恢復(fù)脆弱性。這意味著分配給一位用戶的資源有可能會被意外地重現(xiàn)分配給另一位不同的用戶。這樣，也就無法總是保證能夠為前一位用戶恢復(fù)數(shù)據(jù)。

　　第三步 風(fēng)險評估

　　用戶希望得到保證，即PaaS將持續(xù)地保持可用性，同時他們獲得更多流量資源的需求能夠得到滿足。對于不可用性風(fēng)險的評估是一種定量的方法。一些示例包括：

　　·PaaS在一年中由于基礎(chǔ)設(shè)施即服務(wù)(IaaS)停用而變得不可用的估計頻率

　　·由于不正確防火墻配置而受到PaaS攻擊的估計頻率

　　·不能滿足SLA中承諾性能的估計頻率

　　·支持PaaS運行的IaaS的網(wǎng)絡(luò)路由器和交換機(jī)發(fā)生不成功故障的估計頻率。

　　第四步 應(yīng)用相關(guān)保障措施修補(bǔ)漏洞

　　執(zhí)行成本效益保障措施是降低在PaaS上進(jìn)行SaaS應(yīng)用開發(fā)風(fēng)險的一種方法。下面是一些例子：

　　·應(yīng)用已被正確設(shè)計，且沒有軟件缺陷。PaaS開發(fā)人員和云計算架構(gòu)師擁有了足夠的技能和經(jīng)驗在PaaS上開發(fā)設(shè)計良好的應(yīng)用。

　　·用戶已根據(jù)他們不同的角色和/或數(shù)據(jù)敏感度對訪問控制配置進(jìn)行了正確的設(shè)置。日志記錄選項已被激活。

　　·防火墻設(shè)置已被正確設(shè)置。入侵檢測系統(tǒng)和負(fù)載平衡器均已到位。一個PaaS故障機(jī)制策略已得到增強(qiáng)。PaaS的輸入輸出流量數(shù)據(jù)已被加密。

　　第五步實施風(fēng)險緩解策略

　　資產(chǎn)識別、漏洞與威脅識別、風(fēng)險評估以及應(yīng)用相關(guān)保障措施修補(bǔ)漏洞的具體實施過程會隨著具體組織的實際情況不同而有所差異。為了對整個過程實施標(biāo)準(zhǔn)化并降低相關(guān)成本，應(yīng)實施風(fēng)險緩解策略。

　　這個策略應(yīng)包括AWS資源、編程語言以及在PaaS上用于開發(fā)、運行以及存儲應(yīng)用的服務(wù)器(在前文所述的情況中，就是指Elastic Beanstalk)，而且因重大技術(shù)變革、用戶需求變更以及組織需求變更需對該策略進(jìn)行周期性審查和更新。

　　總之，擁有一個良好的團(tuán)隊遵循上述五個步驟就能夠降低在PaaS上進(jìn)行SaaS軟件開發(fā)的風(fēng)險。一個高水平的PaaS開發(fā)團(tuán)隊將有助于進(jìn)行提前規(guī)劃和確定具有成本效益風(fēng)險緩解過程中應(yīng)當(dāng)包含的內(nèi)容。