Red Hat Training
A Red Hat training course is available for Red Hat OpenStack Platform
1.4. 威胁分类、执行者和攻击向量
大多数类型的云部署、公共、私有或混合都暴露于某种形式的攻击。本节对攻击者进行分类，并总结了每个安全区中潜在的攻击类型。
1.4.1. 威胁者
威胁者是一个抽象的、用于指代您可能需要防御的一类行为的方式。能够使用更加强大的安全控制，这是成功攻击缓解和防止所需的安全控制。安全性是根据要求进行的平衡便利、防御和成本方面的问题。在某些情况下，无法保护云部署免受此处描述的所有威胁执行者。在部署 OpenStack 云时，您必须决定部署和使用的平衡位置。
作为风险评估的一部分，您还必须考虑您存储和任何可访问资源的数据类型，因为这将影响某些参与者。但是，即使您的数据对威胁者没有吸引力，它们也可能很吸引于您的计算资源，例如，参与 botnet 或运行未授权的加密者减法。
- Nation-State Actors - 这是最强大的行为。Nation-state actors 可以使用巨大的资源来进行攻击。他们拥有超越其他任何参与者的功能。在没有严格控制（包括人工和技术）的情况下，很能防御此类的攻击。
- 严重的机构组织 - 这个类代表具有强大能力和经济的攻击者组。他们能够为攻击方法的开发和研究提供大量资金。近年来，一些兴起的组织（例如 Russian Business Network，它是一个大型网络犯罪组织），已证明网络攻击如何成为一种商品。工业间谍通常属于这类严重犯罪组织。
- 高能力组 - 这是指通常不是商业资助的"Hacktivist"类型组织，但会对服务提供商和云操作员造成严重威胁。
- 仅有动机行为的个人 - 这些攻击者包括许多人，如恶意员工、受损的客户或小型工业激发。
- 脚本 Kiddies - 这些攻击者不针对特定的组织，而是运行自动化漏洞扫描和利用漏洞。它们通常看似微不足道，但可能会对一个机构构成声誉风险。
以下实践可帮助缓解上述发现的一些风险：
- 安全更新 - 您必须考虑底层物理基础架构的端到端安全，包括网络、存储和服务器硬件。这些系统需要自己的安全强化实践。对于 Red Hat OpenStack Platform 部署，您应该有一个计划定期测试和部署安全更新。
- 访问管理 - 当授予系统对个人的访问权限时，您应该应用 最小特权的原则，并且仅向他们授予实际需要的粒度系统特权。您可以使用 AAA （访问、授权和核算）实践帮助强制执行此策略。这种方法还可以帮助缓解系统管理员中恶意执行者和排字错误的风险。
- 管理内部 - 您可以通过应用谨慎分配基于角色的访问控制（最低访问权限）、在内部接口上使用加密以及使用身份验证/授权安全（如集中式身份管理）来缓解恶意人员的威胁。您还可以考虑额外的非技术选项，例如将职责分离和不定期的作业角色轮转。
1.4.2. 出站攻击和建议风险
对于云部署的潜在外向滥用，应仔细考虑因素。云部署往往会具有大量可用资源；通过黑客或有权权（如恶意员工）在云内建立了点的攻击者，可以将这些资源用于恶意目的。具有计算服务的云为理想的 DDoS 和 brute 强制引擎。由于公共云用户非常无法可靠，因此这个问题对于公共云而言尤其重要，而且可以快速启动大量可处理实例以进行出站攻击。防止方法包括出口安全组、流量检查、入侵检测系统、客户教育和认知以及欺诈和滥用缓解策略。对于可通过或访问公共网络（如互联网）访问的部署，最好检测流程和基础架构，并解决出站 abuse 的问题。
