厍浩文

如今云计算从根本上改变了信息安全的很多方面，但基本概念仍然适用，包括安全程序的关键组件，例如，渗透测试。在风险管理中，重要部分就是了解如何对企业云进行渗透测试。

定期对所有关键任务云系统进行渗透测试，有助于确定信息安全计划中需要改进的地方。根据安全团队的可用资源，在系统上线前、运行系统时甚至在设计过程中进行渗透测试。

作为参考，云安全联盟（CSA）Top Threats工作组发布《云渗透测试手册》概述了如何对公共云环境中托管的系统和服务进行渗透测试。该手册探讨了很多问题，例如如何确定云端渗透测试的范围、如何在共享责任模型中执行这些测试以及云渗透测试用例和问题等方面。

云端渗透测试的独特挑战

云渗透测试不同于普通渗透测试。其中一个区别是，根据具体范围，云渗透测试可能包括与基础托管服务提供商的协调。如果该渗透测试识别出基础托管提供商中的漏洞，可能需要阻止该提供商以防止攻击者横向移动。这样可以最大程度减少对其他客户的潜在影响，并将发现的结果通知给提供商。在大型分布式企业中，编排渗透测试的团队需要识别所有受影响的团队，并与他们协调安全流程。

公共云中的渗透测试

CSA手册着重于测试公共云环境中托管的系统和服务。这可能包括托管在公共云IaaS服务中的自定义虚拟机。渗透测试会在支持应用程序的云服务中查找缺陷、常见错误配置和已知漏洞。……