原文地址:http://drops.wooyun.org/tips/12755

0x00 產品定位

目前越來越多的初創企業把自己的業務系統架設在公有云上，包含：阿里云、Ucloud、青云、華為云和AWS。在云上的安全怎么保證，是目前擺在我們面前的最大問題，因為，互聯網公司業務系統在不斷迭代，迭代周期最少的有3天，而且架構也不斷在改變。在這種頻繁改變的過程中，云安全應該怎么保證？，云主機安全服務平臺（Cloud security as a service），為多租戶提供云主機安全服務的產品，減少用戶業務系統攻擊面，防止惡意的定向攻擊（APT）。造成企業敏感信息泄露等，避免影響企業業務的安全事件的發生。

0x01 國外競爭產品分析

目前在云主機安全ToB的國外廠商歸納總結有以下幾家：

0x02 產品目標

針對互聯網金融中小企業用戶。獲取用戶改進產品，互聯網金融目標用戶行業分析如下：

0x03 市場機會

3.1 我們的機會在哪里

國內云主機安全服務平臺有以下幾家：

面對這些公司的競爭，我們的競爭力在于獲得種子用戶，完全開源的策略。提供安全運維服務。二次開發等服務。

3.2 如何成功？

支持云方式部署方式，快速獲取用戶。免費安裝模式。

如果用戶打算使用我們的解決方案，可以獨立部署或者開放源代碼。

KPI考核

統計安裝用戶數量、留存率，月付費用戶轉化率。免費用戶

3.3 項目里程碑

0x04 產品功能詳細架構設計（Product Proposal）

4.1 產品定位

通過以上國內外云安全公司產品分析，我認為云主機安全平臺需要具備以下四個大功能模塊。

開發的優先級如下：

1. 基于日志大數據收集分析平臺（P1）
2. 基于基于Agent收集云主機相關精確的安全信息 （P2） 本模塊需要大量的開發人員完成，如果獲得天使輪融資后可以開發。
3. 威脅情報模塊（P2） 威脅情報這部分可以對接國內的威脅情報系統 例如：微步等。
4. SDN網絡安全防火墻模塊（P2）防火墻模塊目前還需要做更多的研究才能集成，建議使用linux主機上自帶iptable實現。

4.2、產品功能詳細設計

針對P1需要完成的功能，建立基于大數據分析平臺，防范APT攻擊。產品概念設計可以 為：基于日志的態勢感知功能。

處理Web日志數據結構如下：

所選擇的實現技術手段：

由于前期數據量沒有到達一定的數量級，可以使用傳統的關系型數據實現。當然如果本系統應用到大公司的時候可以迭代技術架構、hadoop或者storm來解決問題。

業務流程圖：

核心界面設計：通過visio原型圖表現。

核心界面首先，要畫出原型圖，那么，和用戶接觸最多的是web前端，所以，設計要精致。

（1）Web前端

Web前端分為四大功能模塊

1. Dashboard：顯示攻擊類型和攻擊源
2. Analysis：圖形化分析詳細的攻擊方式
3. Reporting： 以數據形式展示攻擊類型、攻擊源和詳細攻擊方式
4. Configuration：參數配置（非核心模塊就不展示了）

（2）Web管理后臺

交互流程設計：正常應該通過Axure動畫表現，由于本次設計不是特別復雜，只是幾個功能模塊的切換就不畫交換流程圖了。

0x05 產品技術架構設計

由于目前產品設計需要考慮高擴展性，所以技術選型大致如下：

0x06 Demo搭建

根據技術選型后，需要建立Demo 環境技術難點集中在服務器端和Web后端。那么下面說明一下這兩部分搭建：

6.1 服務器端

看到這個架構其實很多小朋友會問為啥要這么設計，太繁瑣了？其實設計原則主要是為了將來的擴展性。Web前端服務器：本系統是一個公有云安全平臺，用戶量將來要不斷的增加，使用Nginx可以做到橫向擴展。

6.1.1 Nginx安裝部署

Nginx部署過程：

1. rpm -ivh
http://nginx.org/packages/centos/6/noarch/RPMS/nginx-release-centos-6-0.el6.ngx.noarch.rpm
2. yum -y install nginx
3. service nginx restart
4. chkconfig nginx on

配置nginx
在/etc/nginx/conf.d/中增加MyPythonServer.conf，內容如下：

#!bash
http {
    #負載均衡
    upstream production_site{
        server web1.xxx.com:8080 weight=6 max_fails=3 fail_timeout=20s;
        server web2.xxx.com:8080 weight=3 max_fails=3 fail_timeout=20s;
        server web3.xxx.com:8080 weight=7 max_fails=3 fail_timeout=20s;
        server web4.xxx.com:8080 weight=8 max_fails=3 fail_timeout=20s;
    }

    server {
    listen      8090;
    server_name web1.xxx.com,web2.xxx.com,web3.xxx.com,web4.xxx.com;
    charset     utf-8;

    client_max_body_size 75M;

    location / {
        uwsgi_pass  django;
        include     uwsgi_params;
    }
}

6.1.2 Django&uwsgi安裝配置

#!bash
[[email protected] venv]# pip install Django
安裝uWSGI
[[email protected] venv]# pip install uwsgi

[uwsgi]
home=/data/Mydata/env
chdir=/data/Mydata/
uid=root
gid=root
wsgi-file=/data/Mydata/wsgi.py
socket=127.0.0.1:8001
master=true
workers=8
pidfile=/data/Mydata/uwsgi.pid
vacuum=true
thunder-lock=true
enable-threads=true
harakiri=30
post-buffering=4096
daemonize=/data/Mydata/uwsgi.log
logger=file:/data/Mydata/uwsgi.log

6.2 Web后端

6.2.1 Php-fpm安裝

nginx 安裝忽略

#!bash
cd /usr/local/src/?
wget?http://php.net/distributions/php-5.6.8.tar.gz
tar --zxvf??php-5.6.8.tar.gz

yum install -y libxml2 libxml2-devel openssl-devel libjpeg libjpeg-devel libpng libpng-devel freetype freetype-devel libmcrypt libmcrypt-devel mcrypt mhash


./configure --prefix=/usr/local/php5 --with-config-file-path=/usr/local/php5/etc --enable-fpm --disable-ipv6 --enable-pdo --with-pdo-mysql --with-openssl --with-mcrypt --with-mhash --enable-json --enable-mbstring --with-gd --with-openssl-dir --with-jpeg-dir --with-png-dir --with-zlib-dir --with-freetype-dir --enable-gd-native-ttf --enable-gd-jis-conv --enable-zip


make?
make install

cp /usr/local/php5/etc/php-fpm.conf.default ? /usr/local/php5/etc/php-fpm.conf

cp /usr/local/src/php-5.6.8/sapi/fpm/init.d.php-fpm /usr/local/php5/sbin/ cd /usr/local/php5/sbin/?
chmod 755 init.d.php-fpm ./init.d.php-fpm start?
Starting php-fpm done

配置Nginx來支持PHP

#!bash
cd /etc/nginx/
vi nginx.conf
#打開gzip
gzip    on;

配置vhost，假設域名為www.xxx.com

#!bash
cd /etc/nginx/conf.d/
vi www.xxx.com.conf
#內容如下
server {
        listen 80;
        server_name www.xxx.com xxx.com;

        location / {
                #開啟ssi支持shtml
                ssi on;
                ssi_silent_errors on;
                ssi_types text/shtml;
                index index.shtml index.php index.htm index.html;
                root /data/www/www.xxx.com;
                #框架路由設置
                if ( !-e $request_filename ) {
                        rewrite ^(.*)$ /index.php?url=$1 last;
                }
        }

        location ~.php$ {
                root /data/www/www.xxx.com;
                fastcgi_pass 127.0.0.1:9000;
                fastcgi_index index.php;
                fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
                include fastcgi_params;
        }

        location ~.(jpg|jpeg|png|js|css) {
                root /data/www/www.xxx.com;
                expires 30d;
        }

}

測試一下 配置文件是否有錯誤

#!bash
/etc/init.d/nginx configtest
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

新建info.php測試文件，內容為

#!php
<?php
phpinfo();
?>

然后:

#!bash
vim /etc/hosts

127.0.0.1 ?www.xxx.com

cd /usr/local/src/php-5.6.8
cp?php.ini-production?/usr/local/php5/etc/php.ini

至此nginx+php-fpm設置完成。

6.2.2 Mysql擴展安裝

#!bash
yum install mysql-devel

由于之前沒有安裝mysql服務,也沒有安裝php的mysql擴展，用是PDO方式，為適應老版本的joomla程序，再添加mysql.so擴展

方法如下：

1、進入php源代碼目錄：

#!bash
cd /usr/local/src/php-5.6.8/ext
cd mysql
yum install autoconf

調用已經編譯好的php可執行程序phpize,phpize是用來擴展php擴展模塊的，通過phpize可以建立php的外掛模塊

phpize的規則：去哪個目錄下運行phpize文件，那么就會在該目錄下生成一個configure文件。

#!bash
/usr/local/php5/bin/phpize
./configure --with-php-config=/usr/local/php5/bin/php-config --with-mysql --with-zlib-dir=/usr/local/php5/lib/php/extensions/no-debug-non-zts-20131226/

make && make install

完成后，可以看到no-debug-non-zts-20131226目錄下生成了mysql.so文件

修改php.ini,去掉;extension=php_mysql.so前面的分號。將php_mysql.so改成我們生成的mysql.so。

重啟php-fpm后可以從phpinfo看到mysql擴展已經生效。

6.2.3 Yaf擴展安裝

#!bash
wget?https://github.com/laruence/yaf/archive/master.zip
unzip?master.zip
./configure --with-php-config=/usr/local/php5/bin/php-config
make && make install

vim?/usr/local/php5/etc/php.ini
extension=yaf.so