平台即服务(PaaS)在安全性和云计算模型方面有其独特的一系列挑战。与其他云计算模型不同，PaaS安全需要应用程序安全专业知识，而大多数公司无法承担大量投资。这个问题由于许多公司使用“现场”基础设施级安全控制策略作为响应而变得复杂应用程序级别的安全风险（例如，一旦应用程序代码发布到生产环境，使用WAF来缓解跨站点脚本）。程序或其他前端问题）。由于缺乏对PaaS中底层基础设施的控制，此策略对于PaaS部署变得不切实际。鉴于PaaS的控制相关的灵活性，您必须对底层计算环境有一定的控制。与IaaS一样，PaaS提供近乎无限的设计灵活性：您可以构建从社交网站到内联网网站或CRM应用程序的任何内容。但是，与IaaS不同的是，应用程序下面的“堆栈”是不透明的，这意味着支持该应用程序的组件和基础设施（按设计）是一个“黑盒子”。也就是说，类似于SaaS，安全控制必须内置到应用程序本身；但与在SaaS中服务提供商通常实施适用于所有客户的应用程序级安全控制不同，在IaaS中，安全控制针对的是您的应用程序。这意味着您有责任确定适当的控制措施并加以实施。这里有一个简单的例子来展示模型和客户之间的区别：应用程序设计灵活性功能控制与底层透明度 训练有素的开发人员，独立开发，测试和生产流程，因此处理PaaS安全问题应该很熟悉。尚未进行这些投资的组织可以按照以下步骤在一定程度上帮助解决PaaS安全挑战。第一步：建立安全措施应用程序安全的基本挑战早于PaaS实施。因此，已经对如何完善生成安全、健壮的应用程序的部署措施进行了大量研究。一种提供直接支持的技术称为应用程序威胁建模。OWASP威胁建模页面和Microsoft的安全开发生命周期资源页面是一些不错的起点。从工具的角度来看，免费的跨站点脚本(XSS)和SQL注入。拥有内部工具的企业可以将它们应用于PaaS安全措施，或者许多PaaS供应商免费或以折扣价为客户提供具有类似功能的工具。而当企业想要使用更广泛的扫描策略时，也可以使用谷歌的skipfish等免费工具。第二步：扫描Web应用程序许多公司都采用了应用程序扫描，这是一种用于常见安全问题（例如跨平台脚本(XSS)和SQL导入）的Web应用程序扫描工具。拥有内部工具的组织可以将它们应用于PaaS安全措施，或者许多PaaS供应商免费或以折扣价为客户提供具有类似功能的工具。而当企业想要使用更广泛的扫描策略时，也可以使用谷歌的skipfish等免费工具。第三步：培训开发人员应用程序开发人员必须精通应用程序安全原则，这一点至关重要。这可以包括语言级别的培训（即他们当前用于构建应用程序的语言的安全编码原则）以及更广泛的主题，例如安全设计原则。由于开发人员的流失和人员流失，对开发人员应用程序的安全培训可能会很昂贵，这通常需要定期重复培训并将其作为常态进行维护。幸运的是，还有一些免费资源，例如TexasA&M/FEMAHomelandPreparednessSchoolsProgram，它提供了一些关于安全软件开发的免费电子学习材料。Microsoft还通过其Clinic2806提供免费培训：针对Microsoft开发人员的安全已知培训，这是一份有用的入门级培训材料，可用于启动您自己的自定义程序。第4步：拥有专门的测试数据这种情况经常发生：开发人员使用生产数据进行测试。这是一个需要注意的问题，因为机密数据（例如客户私人可识别数据）可能会在测试期间泄露，尤其是在开发或暂存环境未强制执行与生产环境相同的安全措施的情况下。PaaS的环境敏感性更差，很多PaaS服务更容易实现部署、试运行、生产之间的数据库共享，以简化部署。开源DatabeneBenerator等工具可以生成符合数据库特定结构的大量数据，而数据格式化有助于拥有专用的生产数据。通常，这些句柄是特定于框架的，因此您需要仔细寻找一个在您的特定环境中运行良好的句柄。第五步：重新确定优先级这最后一步是您可以实施的最重要的一步。由于PaaS可能意味着文化和优先级调整，因此请相应地接受它并将其真正融入您自己的思维和行为中。使用PaaS，一切都与应用程序有关；这意味着组织的安全性将高度依赖于组织中的开发团队。如果这不是PaaS问题，那将是一场噩梦，因为您在基础架构级别上无能为力，无法减轻已识别的风险。如果您一直依赖基础架构级别的控制来应对应用程序级别的安全挑战，现在是重新思考的时候了
