浅谈云审计（CTS）---安全

云审计能力介绍：

云审计服务为用户提供记录资源操作的能力。并配套提供操作事件列表、筛选搜索多种查看功能，以及操作记录合并文件转储到对象存储以方便用户进行操作记录分析。

华为云审计服务具有以下功能：

Ø支持资源操作事件记录；

Ø支持追踪器的创建和管理； 

Ø支持操作事件列表查看； 

Ø支持操作事件根据条件筛选查看； 

Ø与对象存储结合，支持操作事件转成文件周期性转储到对象存储；

Ø支持转储到对象存储的文件设定文件前缀。

云审计安全介绍：

对于用户，从页面上直观的看见有追踪器和事件列表，我们从这些层面来保护用户的安全

用户的会话安全机制：

1）  统一的登录，通过IAM进行认证，有会话超时机制，可登出，注销，或者超时后会话失效

2）  session随机性足够强，可以防止空session攻击

3）  所有的认证都是在服务端进行

CSRF：

1）  关键操作都有令牌机制，有效校验了token和refer

2）  用户的输入不能用于构造重定向

基于租户的横向越权保护机制

1）基于用户的横向越权，A用户在自己的请求里把标识身份的字段，修改为B用户的身份标识，请求失败

2）基于用户资源的横向越权保护机制，A用户在自己的请求里去把资源id修改为B用户的资源，请求失败

基于用户的纵向越权保护机制

1）  向上越权：首先获取管理员权限的url，然后尝试用普通用户去访问、调用，请求失败

2）  向下越权：首先获取普通用户权限的url，然后尝试用管理员去访问、调用，请求失败

前端web安全

1）  所有访问不可能跨目录进行访问，用户不可直接访问目录或者文件或者其他服务的资源

2）  所有对系统的操作都进行了认证

3）  不存在命令注入：任何来源于用户或第三方输入，交由系统执行的字符都要做严格的参数校验

4）  不存在Xss注入：验证所有会返回浏览器的用户输入（输表单、url）或第三方系统输入，过滤或禁止提交&、<、>、"、'、（、)等特殊字符，并对对&、<、>、"、'、(、)七种特殊字符进行编码

5）  不存在防御点击劫持，响应头中设置X-FRAME-OPTIONS为DENY或SAMEORIGIN

6）  强参数校验，前端的参数校验和后台保持一致，参数校验采用白名单及参数长度在服务端校验并与前台或资料文档描述保持一致，同时关注参数类型、边界值、缺少必要参数

7）  不存在未公开接口和参数

8）  从不可信源（服务器、本地）发送来的数据在输出到浏览器前要先验证

敏感信息保护【重点】

由于CTS对接了所有服务，所有服务的操作日志，CTS监控并保存用户所有的事件记录，即使让用户知道和保存了自己的所有操作记录，也不会泄露用户相关的所有敏感信息

1）  例如用户通信相关的手机号，邮件地址，住址，个人身份标识，支付消费的银行账号等

2）  服务相关，比如创建云主机的主机信息，主机密码等敏感信息泄露