云安全基础知识

云服务厂商先将大量物理资源（CPU、内存、硬盘、网络）通过资源池化整合，再用虚拟化技术将资源池拆分为可动态调度的虚拟资源，最后根据用户需求按需分配、弹性伸缩（比如业务高峰时增加 vCPU，低谷时减少），用户无需搭建物理服务器，购买后即可使用虚拟资源（如 ECS）。比如说硬件资源CPU，利用虚拟化技术将CPU虚拟化为多个vCPU，然后进行动态分配，实质上就是对CPU计算能力的动态分配。那么物理资源由云服务厂商来进行提供。云服务省去了搭建物理服务的烦恼，通过购买即可实现类似的一台主机。就是说你购买一台云服务器相当于购买了一台主机，只不过这台主机存在时间限制，需要你进行续费。云服务的模式，有

IaaS（基础设施即服务）：提供最底层的 “虚拟硬件”，如 ECS（云主机）、云盘、公网 IP，用户需自己安装操作系统、部署软件（相当于 “租硬件”）。

PaaS（平台即服务）：在 IaaS 之上提供 “开发运行平台”，如操作系统、中间件（数据库、缓存），用户无需管理硬件和系统，直接部署代码（相当于 “租平台”）。

SaaS（软件即服务）：在 PaaS/IaaS 之上提供 “现成软件”，如企业微信、阿里云邮箱，用户无需任何部署，直接登录使用（相当于 “租软件”）。

下面我会详细介绍这三种模式。

二、四大主流部署模型

不同部署模型对应不同的安全边界和适用场景，直接影响云安全的防护策略：

公有云

定义：由云厂商（如 AWS、阿里云、Azure）搭建基础设施，向公众开放服务，资源多租户共享。

适用场景：中小企业 IT 系统、互联网应用（如电商网站、APP 后端）、个人开发测试。

安全特点：用户无需维护硬件，但需关注 “共享环境下的数据隔离”“账号权限安全”。

私有云

定义：仅为单个组织（如政府、金融机构、大型企业）服务，基础设施部署在组织内部或专属托管环境，资源独占。

适用场景：对数据合规、隐私安全要求极高的场景（如银行核心系统、政务数据存储）。

安全特点：用户拥有完整控制权，但需自行承担基础设施的安全维护（如服务器防护、网络隔离）。

混合云

定义：结合公有云和私有云，通过技术手段实现两者资源互通（如私有云存储核心数据，公有云承载突发流量）。

适用场景：需平衡 “安全合规” 与 “弹性扩展” 的企业（如零售企业，日常用私有云，大促时调用公有云资源）。

安全特点：核心风险在 “公私云数据传输通道的加密”“跨环境权限统一管理”。

社区云

定义：为特定行业或群体（如医疗行业联盟、高校科研团队）共建共享，资源仅对社区成员开放。

适用场景：行业内协作场景（如医院间医疗数据共享、高校联合科研计算）。

安全特点：需关注 “社区成员的权限分级”“行业合规要求落地”。

三、三大核心服务模型

服务模型决定了 “用户与云厂商的责任边界”，是云安全中 “责任共担模型” 的基础：

服务模型	核心提供内容	用户操作层面	典型例子
IaaS（基础设施即服务）	服务器、存储、网络等底层硬件资源（虚拟化形态）	用户需自行部署操作系统、软件、数据库，管理应用和数据	阿里云 ECS、AWS EC2、腾讯云 CVM
PaaS（平台即服务）	包含 IaaS 基础，额外提供开发工具、数据库、中间件等平台环境	用户只需开发和部署应用代码，无需管理底层 OS 和硬件	阿里云 PolarDB（数据库服务）、Google App Engine
SaaS（软件即服务）	完整的软件应用（通过浏览器 / 客户端直接使用）	用户无需任何部署和维护，仅需注册账号使用	钉钉（办公 SaaS）、 Salesforce（CRM SaaS）、腾讯企业邮

补充：还有 FaaS（函数即服务，如 AWS Lambda），属于 PaaS 的延伸，用户只需编写 “事件触发的函数代码”，完全无需管理服务器。

四、云服务的关键特性

这些特性既是云服务的价值所在，也对应着特定的安全风险：

弹性扩展：可根据业务需求（如流量高峰）自动增加 / 减少资源，避免资源浪费。

安全关联：需防止 “弹性扩展配置被篡改” 导致资源滥用（如恶意扩容产生高额费用）。

按需付费：按实际使用的资源量（如服务器时长、存储容量）计费，降低初期投入。

安全关联：需监控 “异常资源使用账单”，及时发现未授权的资源占用。

资源池化：云厂商将硬件资源虚拟化后统一管理，为多用户分配共享资源。

安全关联：需防范 “资源隔离失效”（如虚拟机逃逸）导致的数据泄露。

高可用性：通过多区域、多副本部署，保障服务在硬件故障时不中断。

安全关联：需确保 “多副本数据的加密一致性”，避免某一节点泄露影响整体。

五、服务与安全责任共担矩阵

该矩阵清晰划分了 IaaS、PaaS、SaaS 三种核心服务模型下，云厂商与用户的安全责任边界，是制定云安全防护策略的核心依据（责任项中标注 “✔️” 代表主要负责方，“协助” 代表辅助配合方）。

安全责任领域	服务模型	云厂商责任	用户责任
1. 基础设施安全	IaaS	✔️ 物理服务器、机房环境、虚拟化层（Hypervisor）安全	✔️ 虚拟机操作系统（OS）安全（补丁、病毒防护）
	PaaS	✔️ 含 IaaS 全部责任，额外负责 OS、中间件、数据库底层安全	无（无需管理基础设施）
	SaaS	✔️ 全链路基础设施安全（从物理层到应用运行环境）	无（仅需使用应用，无需关注基础设施）
2. 网络安全	IaaS	✔️ 云内骨干网络、VPC 底层网络、负载均衡器基础安全	✔️ 安全组规则配置、子网划分、VPN / 专线加密
	PaaS	✔️ 含 IaaS 厂商责任，额外负责平台内网络隔离（如租户间）	✔️ 应用层网络控制（如 API 访问 IP 限制）
	SaaS	✔️ 全链路网络安全（含应用层网络防护）	无（仅需通过合规网络访问应用）
3. 数据安全	IaaS/PaaS/SaaS	✔️ 数据存储介质安全（磁盘、存储集群）、数据传输通道加密（如 HTTPS）	✔️ 数据内容所有权、数据分类分级、敏感数据加密（应用层）、数据备份策略
4. 应用安全	IaaS	✔️ 仅保障虚拟机运行环境稳定，不负责用户部署的应用	✔️ 应用代码安全（漏洞修复）、应用配置安全
	PaaS	✔️ 平台自带组件（如 PaaS 内置数据库、开发工具）安全	✔️ 自行开发的应用代码安全、应用权限配置
	SaaS	✔️ 应用程序本身安全（漏洞修复、功能合规）	✔️ 应用内数据操作合规（如不违规上传敏感数据）
5. 身份权限管理	IaaS	✔️ 提供身份管理基础平台（如 IAM 控制台）	✔️ 账号创建、权限分配（如子账号角色划分）、密码安全
	PaaS	✔️ 含 IaaS 厂商责任，额外提供平台内角色权限模板	✔️ 基于模板配置用户细粒度权限（如开发 / 运维角色分离）
	SaaS	✔️ 提供账号登录安全机制（如 MFA、登录日志）	✔️ 自身账号密码安全、账号权限申请与注销
6. 合规审计	IaaS	✔️ 提供基础设施层面审计日志（如服务器操作日志）	✔️ 审计日志分析、合规要求落地（如等保 2.0）
	PaaS	✔️ 含 IaaS 厂商责任，额外提供平台操作日志（如数据库访问日志）	✔️ 应用层审计、合规报告生成
	SaaS	✔️ 提供应用使用日志、合规认证（如 ISO 27001）	✔️ 日志核查、用户行为合规监督

核心结论

责任递减规律：从 IaaS 到 SaaS，用户的安全责任逐步减少，云厂商的责任逐步增加（SaaS 模式下用户责任最轻，仅需关注 “自身数据与账号安全”）。

不变责任：无论哪种模型，用户对自身数据的所有权、敏感数据保护、账号权限管理这三项责任始终不变，是云安全防护的核心重点。

六、云服务包括哪些核心资源

云服务与虚拟化技术是不可分割的，像其中的计算，存储等服务都是通过虚拟化技术来实现的。云服务提供了很多服务，这里我来一一进行介绍。

ECS（弹性计算服务）：即 “云主机”，是 IaaS 层最核心的组件，等同于一台可远程操作的虚拟电脑，用户可在上面安装系统、部署网站或应用，阿里云等厂商将其称为 “实例”。

安全组：作用类似 “虚拟防火墙”，通过预设规则（允许 / 拒绝）过滤进出 ECS 的流量，比如仅允许自己的 IP 访问 ECS 的 22 端口（用于远程连接），拒绝其他所有 IP 的访问，保障服务器安全。

存储桶（对象存储）：本质是 “对象存储服务”（如阿里云 OSS），专门存储图片、视频、日志等 “非结构化数据”，不与 ECS 绑定，可通过 API 远程调用（如网站加载存储桶里的图片），区别于 “云盘” 的本地存储属性。

VPC（虚拟私有云）：在公有云的 “公共网络” 中，划分出一个逻辑隔离的 “私有网络环境”，将用户的 ECS、存储桶等资源放入其中，避免与其他用户的资源互通，提升数据安全性；注意：地址转换（私有地址转公有地址）是 “NAT 网关” 的功能，并非 VPC 的核心作用。

云盘（块存储）：等同于 ECS 的 “虚拟硬盘”，功能与物理机硬盘一致，可用于安装系统、存储应用数据，支持弹性扩容（如从 40GB 扩容到 100GB 无需关机），且必须与 ECS 绑定才能使用。

七、云安全的关键

一、云安全核心差异点：先搞懂 “云与传统环境的不同”

这是你入门云安全的关键 —— 传统安全的思路（如物理防火墙、本地服务器加固）在云环境中会 “水土不服”，必须先掌握 3 个核心差异：

共享责任模型的深度理解

比如：IaaS 场景：云厂商负责物理机 / 虚拟化层安全（如 VMware ESXi 漏洞修复），你负责 ECS 操作系统漏洞（如 Linux 内核漏洞）、应用漏洞（如 Web 服务漏洞）和安全组配置。

SaaS 场景：云厂商负责应用本身安全（如企业微信的登录漏洞），你仅负责账号安全（如 MFA 开启、避免弱密码）。

其价值体现：渗透测试时，能明确 “哪些漏洞属于云厂商责任（无需上报），哪些属于用户配置漏洞（可利用）”。

虚拟化与云原生架构的安全风险

虚拟化层风险：虚拟机逃逸（利用 KVM/VMware 漏洞，从一台 ECS 突破到宿主机，控制同一宿主机上的其他 ECS）、虚拟化网络流量劫持（如在 VPC 内抓取其他子网的流量，需懂云虚拟交换机原理）。

云原生架构风险：容器逃逸（如利用 Docker daemon 漏洞突破容器到宿主机）、K8s 权限滥用（如利用 ServiceAccount 的过度授权，获取集群管理员权限）、Serverless 函数代码泄露（如函数依赖包存在敏感信息）。

云 API 的安全

核心风险：API 密钥泄露（如开发者把阿里云 AccessKey 硬编码到代码，被公开后可被利用操作云资源）、API 权限过度授权（如某 API 仅需 “只读权限”，却配置了 “删除权限”）、API 接口本身漏洞（如云厂商 API 存在逻辑漏洞，可绕过鉴权）。

二、云环境下的渗透测试：把现有技能 “迁移到云场景”

将 Web / 内网渗透技能适配到云环境，需要重点掌握 4 个云特有的渗透方向：

1. 云身份与访问（IAM）渗透：云环境的 “内网入口突破”

核心：

权限绕过：利用 IAM 策略配置漏洞（如某用户仅允许操作 “北京地域 ECS”，通过修改请求参数 “Region=bj” 为 “Region=sh”，绕过地域限制操作上海 ECS）。

过度授权：寻找 “可提权的 IAM 角色”（如某 ECS 绑定的 IAM 角色有 “云存储桶全权限”，入侵该 ECS 后，可通过角色临时凭证访问所有存储桶）。

密钥泄露：通过 GitHub 搜索 “阿里云 AccessKey”“AWS SecretKey”，或从云实例日志、应用配置文件中提取密钥，利用密钥登录云控制台或调用 API。

工具衔接：用AWS CLI/阿里云CLI测试密钥权限，用Pacu（AWS 渗透工具）/Alibaba Cloud Prowler自动扫描 IAM 权限漏洞。

2. 云网络渗透：传统内网渗透的 “云适配”

核心：

安全组 / 网络 ACL 配置漏洞：如某 ECS 开放 22 端口公网访问，且使用弱密码，直接 SSH 登录（传统内网是 “物理机 IP + 端口”，云环境是 “云实例公网 IP + 安全组放行端口”）。

VPC 内网渗透：入侵一台 ECS 后，通过 VPC 内网访问其他 ECS（如私网 IP 172.16.0.10），利用内网漏洞（如未打补丁的 Windows 漏洞）横向移动，目标是 “控制 VPC 内的数据库实例（如 RDS）”。

云负载均衡（SLB）漏洞：如 SLB 配置不当，导致后端 ECS 真实 IP 泄露，或 SLB 绑定的证书存在漏洞（如过期、弱加密算法）

3. 云存储与数据渗透：云环境的 “敏感数据挖掘”

核心：

云存储桶配置错误：如阿里云 OSS 存储桶设置为 “公开访问”，且未开启 “访问日志”，可直接下载桶内敏感数据（如用户信息、数据库备份）。

云数据库（RDS）渗透：通过入侵 ECS（与 RDS 在同一 VPC），利用 RDS 弱密码、未授权访问漏洞（如 MySQL 空密码）登录，窃取数据。

数据加密绕过：如云盘加密使用 “弱密钥”，或密钥被泄露（如 KMS 密钥权限配置错误，可被普通用户获取），导致加密数据被解密。

4. 容器与 K8s 渗透：云原生场景的 “新型内网渗透”

核心：

容器逃逸：利用 Docker 漏洞（如 CVE-2019-5736）或容器挂载宿主机目录（如-v /:/host），从容器突破到宿主机，获取宿主机权限。

K8s 集群渗透：入侵 K8s 节点后，利用kubectl命令查看集群内所有 Pod，寻找 “高权限 Pod”（如挂载/var/run/docker.sock的 Pod），进而控制整个 K8s 集群。

镜像安全：分析容器镜像（如用Trivy扫描镜像漏洞），寻找镜像内的敏感信息（如硬编码的数据库密码）。

技能衔接：你懂内网横向移动，K8s 集群可视为 “容器化的内网”，Pod 就是 “容器化的主机”，横向移动思路从 “主机间 SSH” 变成 “Pod 间通信”。

三、云特有安全防护技术：聚焦 “云环境的防御逻辑”

学习防护技术能更精准找到漏洞，重点掌握 4 个云特有的防护方向：

云 IAM 深度防护

核心：启用 MFA（所有 IAM 用户强制开启）、配置 “权限边界”（限制 IAM 角色的最大权限，避免提权）、定期通过云厂商工具（如阿里云 RAM 权限分析）审计冗余权限。

云 DDoS 与 WAF 防护

云 DDoS 防护：区别于传统 DDoS 硬件防御，云环境用 “弹性带宽 + 高防 IP” 防御（如阿里云高防 IP 可动态扩容带宽，抵御 T 级 DDoS），需了解 “高防 IP 的转发逻辑”（如流量先到高防 IP 清洗，再转发到源站 ECS）。

云 WAF：除传统 Web 攻击防御（SQL 注入、XSS），还能防护 “云特有的 Web 攻击”（如针对云 API 的参数篡改攻击），需了解 “云 WAF 与 SLB 的联动配置”。

云数据安全防护

核心：启用云存储桶 “私有访问 + 访问控制列表（ACL）”、云盘 / RDS 加密（使用云厂商 KMS 服务管理密钥，避免密钥本地存储）、配置 “数据防泄漏（DLP）规则”（如禁止敏感数据从 RDS 导出到外部）。

云安全审计与溯源

核心：收集云环境全量日志（如阿里云 ActionTrail 记录所有 API 操作、ECS 系统日志记录登录行为），用云日志服务（如阿里云日志服务 SLS）分析异常行为（如异地 IP 调用 API 删除 ECS）。

必学云安全工具

云渗透工具：Pacu（AWS 渗透）、Alibaba Cloud Prowler（阿里云安全扫描）、CloudMapper（云网络拓扑绘制，辅助渗透）。

容器 / K8s 工具：Trivy（镜像漏洞扫描）、Kube-hunter（K8s 漏洞扫描）、Falco（容器运行时监控）。

日志分析工具：阿里云 SLS、AWS CloudWatch。

云安全审计工具：Scount Suite/Prowler