过去，网站的内容大多是静态的。随着HTML5的流行，Web应用进入一个崭新阶段，内容的动态化和实时共享让阻拦不良内容或恶意软件变得更加复杂，公司和个人的重要信息也被暴于极为危险的网络环境之下，对于网站安全建设来说，无异于在伤口上撒上了一把盐。

　　年初曾发表过一篇《网站安全建设指南》，里面分析了网站安全建设的思路和注意事项。面对越来越多的Web应用，网站安全建设仍然面临着种种困难。据Gartner调查，信息安全攻击有75%都是发生在Web应用层而非网络层上。同时，2/3的Web站点都相当脆弱，易受攻击。可以说，绝大多数企业将大量的投资花费在网络和服务器的安全上，没有从真正意义上保证Web业务本身的安全，才给了黑客可乘之机，让网站安全饱受威胁。根据实验室的分析，Web页面注入漏洞和跨站脚本漏洞等威胁，已经成为未来安全建设的最大挑战。

　　目前，基于Web的应用已经成为一道通往互联网的必经之门，其中浏览器好比一个盛满互联网五光十色的博大容器，当用户在打开探秘互联网的大门，在这个容器中享受饕餮大餐时，是否已经意识到自己已经身处危险之中，随着支持HTML5浏览器的不断增多，以Chrome、IE、Firefox、Safari、Opera为代表的现代浏览器让网站安全建设不断接受着安全挑战。下面，我们就来分析一下那些基于Web应用威胁网站安全的罪魁祸首，并借此希望在《网站安全建设指南》的基础上，更全面的思索网站安全建设的思路。

　　网站敌人之一：URL地址栏欺骗

　　用户每天通过点击URL地址浏览互联网上百上千页面。浏览一个页面，其实就是简单的两个步骤：

　　1、鼠标移动到页面上想要去的URL地址链接，此时状态栏会显示URL链接的地址；

　　2、点击URL链接，浏览器页面会导航到你想去的页面，并且在地址栏中显示这个链接。

　　这个被用户看似最简单最普通的浏览页面的两个步骤，用户是否思考过以下四个问题：

　　（1）状态栏中显示的URL地址，是目标URL地址吗？

　　（2）地址栏中显示的URL地址，是目标URL地址吗？

　　（3）地址栏中显示的URL地址和导航后的页面对应吗？

　　（4）拖动URL地址到地址栏，会导航到目标URL地址吗？

　　我们带着这些问题往下看。从你点击到成功加载页面，就是短短的1秒钟时间，这1秒就足够进行URL地址栏欺骗了。

　　URL地址栏欺骗，可以分两类，一个是点击URL地址，一个是拖放URL地址。现代浏览器都可以使用onclick 事件以及鼠标事件onmouseup，onmousedown来实现点击欺骗。其次，各个浏览器对URL编码解析的差异，也会导致欺骗的发生。另一方面，拖拽一个地址到地址栏的时候，我们可以使用拖放函数ondragstart和event.dataTransfer.setData方法，把拖放的地址内容替换掉，这样也就完成了欺骗。

　　网站敌人之二：URL状态栏欺骗

　　现代浏览器状态栏的设计方式，和以前比较起来有很大的变化。以前的状态栏是以一个浏览器独立模块固定在浏览器最下端的。而现代浏览器状态栏的设计方式则不同。

　　这种状态栏设计最明显的变化是，当把鼠标放在链接上时，状态栏才会出现，鼠标离开时，状态栏将会消失。这样的呈现方式逻辑上会存在一个问题，最左下角的这块区域，既是状态栏显示区域又是页面显示区域。视觉上给我们的呈现效果就是状态栏在页面区域的左下角显示。因此我们就可以使用脚本模拟状态栏，进而实施状态栏欺骗。

　　那么现代浏览器状态栏这种有阴影有圆角的外形，从技术角度看是否能够用脚本实现？答案是肯定的。在CSS3中增加了圆角（box-shadow）和阴影（border-radius）的方法实现。未来如果出现类似于模块区域越界到页面的情况，我们同样可以使用脚本进行伪造欺骗。关于这种攻击方式，通过与微软、谷歌、火狐的讨论，一致认为这确实是一个问题，但并不至于造成更大的安全风险，所以也暂时不想更改这种浏览器状态栏的处理方式。

　　网站敌人之三：页面标签欺骗

　　浏览器从单页面，变成多页多窗口显示可以说是设计理念上的飞跃。现代浏览器都已经支持多窗口这种模式，而且在每一个窗口顶端都会有一个页面标签。当打开多个页面窗口时，页面标签上的logo和标题可以指引我们想要去的网站。

　　这种页面标签的指引方式，使得标签欺骗成为可能。这种欺骗方式最早是由国外安全人员提出，他们把这种欺骗称之为Tabnabbing。

　　现在来简单介绍一下，页面标签欺骗原理：

　　（1）用户打开很多网站页面窗口浏览器网站，这其中就包括攻击者制作的一个恶意攻击页面。

　　（2）当这个攻击页面检测用户不在浏览这个页面，也就是说长时间内失去了焦点。

　　（3）攻击页面自动篡改标签的logo，页面标题，和页面本身。比如全都改成Gmail的。

　　（4）当用户浏览了一圈，由于视觉欺骗，发现有Gmail的logo。而且通过上面的介绍我们知道，多页面多窗口的特点使得用户要寻找页面只能通过标签上的logo和标题去分辨。

　　（5）用户欣然的点开标签为Gmail的这个页面，进去后除了URL地址不是Gmail外，其他所有都是Gmail的内容。视觉上的盲区，再次使得用户可能忽略地址栏中的URL，下意识的认为这是一个正常的Gmail登录页面。进而进行登录操作，这样账户密码就被盗了，登录成功后再转向到真的Gmail页面。

　　以上五点就是页面标签欺骗的整个过程。现在Chrome、Firefox浏览器都会受到这种攻击的影响。

　　网站敌人之四：页面解析欺骗

　　这里所说的页面解析欺骗，主要是由于浏览器处理多个函数竞争发生逻辑上的错误。导致浏览器URL地址栏已经导航到一个URL地址，但实际页面却没有加载响应的页面。

　　通常情况下，导致这种页面欺骗是由于导航函数和对话框函数或写页面函数之间的阻塞。例如window.open()和alert()，window.open()和document.write()。例如这个漏洞可以导致，当URL导航到google.com的时候，页面却被改写了。

　　国内的QQ浏览器和搜狗浏览器曾存在这样的漏洞，现在这个漏洞已经得到了修复。

　　这种攻击方式，可以实现域上面的欺骗，发动钓鱼攻击。当传统的钓鱼方式更容易被用户识别的时候，这种利用浏览器漏洞进行的钓鱼可能会成为一种趋势。

　　网站敌人之五：扩展插件攻击

　　现在的浏览器不像早期是铁板一块，基本都可以进行扩展和定制。除了Adobe flash，Java等这些主流插件外，各个浏览器都在扩充自己的插件平台。通过扩展，可以辅助阅读，有翻译文字，过滤广告，调试页面，标签管理，批量下载，主题更换等等，形形色色，包罗万象。那么这么多插件扩展，用户是否知道自己的浏览器中装了哪些插件呢?对于企业来说，是否有部署检测员工浏览器插件更新呢？据国外有关统计，在浏览器上发生的安全风险中，80%来自于插件扩展。

　　关于插件方面的防御，可以从两方面来考虑。一个是用户方面，不要安装任何未知的插件，并且卸载掉浏览器中已经安装的未知插件。对于已经插件，时常的检测更新，这里推荐两种检测更新的方式，一个是火狐官方提供的在线检查插件，适合任何浏览器，另一个是Qualys Inc.（科力斯）公司提供的在线检查插件服务。这两个检测方式都可以列举出来你浏览器的插件情况。另一方面就是浏览器厂商方面，当插件安装时应该有提示，说明这个插件都有哪些权限;另一点就是制定更加严格的插件审核机制，防止恶意插件获取用户隐私。当然浏览器的沙箱机制，能够很好的解决这些问题。

　　随着HTML5的发展，很多插件将会渐渐退出历史舞台，比如：IOS、WindowsPhone一开始就不支持Flash。去年Adobe放弃移动平台上Flash开发，全面转向HTML5开发。浏览器大战，也是插件大战，浏览器厂商的目标都想把浏览器向平台转化，第一步就是要先插件扩展做成平台模式。但现在浏览器都是插件扩展各自为战，而且很多插件间都会出现不兼容的问题，统一的插件平台什么时候才能到来呢?这一切只有等待HTML5去解决了。

　　网站敌人之六：本地存储攻击

　　HTML5提供了一种新的本地存储方式，这种存储方式是什么样的呢?我们来看一看，现在各大浏览器都已经支持了这种存储方式接口。这种存储方式使用HTML5提供的新函数localStorage()进行存储数据，存储的默认大小是5M，经过我的测试发现除了Opera使用base64加密外，Chrome，IE，Firefox，Safari浏览器都是明文存储。其实base64非常容易解密，所以可以认为现代的浏览器对于这种方式基本都是明文存储。根据HTML5存储方式的这新特性，我们应该从六方面注意：

　　（1）不可替代Cookie。

　　浏览器支持了使用HTTPONLY来保护Cookie不被XSS攻击获取到。而localStorage存储没有对XSS攻击有任何的抵御机制。一旦出现XSS漏洞，那么存储在localStorage里的数据就极易被获取到。

　　（2）不要存储敏感信息。

　　上面已经提到，基本都是明文存储。

　　（3）严格过滤输入输出。

　　在某些情况下，在通过在localStorage存储中写入或读取数据的时候，如果数据没有经过输入输出严格过滤，那么极易可能这些数据被作为HTML代码进行解析，从而产生XSS攻击。

　　（4）容易遭到跨目录攻击。没有路径概念，容易遭到跨目录攻击。

　　（5）容易遭到DNS欺骗攻击。

　　（6）恶意代码栖息的温床。因为存储空间大了，恶意代码有可能使用这种方式存储。

　　网站敌人之七：绕过浏览器安全策略

　　现代浏览器有很多安全策略来防止恶意攻击。每每浏览器出来新的安全策略，攻击者就会想着法的去突破它绕过它。浏览器安全策略很多，在此挑选几个典型的浏览器安全策略，看看这些安全策略是如何被绕过的。这其中包括绕过XSS过滤器，绕过同源策略，绕过Httponly，绕过点击劫持防御，绕过沙箱。

　　（1） 绕过XSS过滤器。

　　虽然XSS攻击越来越多，IE8+，Chrome4+，Safari5+，FF(noscript)都在浏览器中嵌入了XSS过滤器。这样在攻击者进行XSS攻击的时候，浏览器可以自动把XSS代码过滤掉。这样就减少了一些安全风险。

　　（2）绕过同源策略。

　　同源指的是同主机，同协议，同端口。简单地说就是要求动态内容（例如，JavaScript或者VBScript）只能阅读与之同源的那些HTTP应答和cookies，而不能阅读来自不同源的内容。绕过同源策略，有的是在授权模式下绕过，有的就是属于非法绕过。

　　（3）绕过Httponly。

　　Httponly是浏览器为了保护cookie在XSS攻击不被js脚本获取的一种方法。这里介绍Apache httpOnly Cookie Disclosure从而绕过Httponly包含的一种方法。在Apache中如果cookie的内容大于4K，那么页面就会返回400错误。返回的数据就会包含cookie内容。攻击的方法是找到一处XSS漏洞，设置大于4K的cookie。apache报错后，从中筛选出cookie数据发送到攻击者服务器上。这样我们就成功的绕过了httponly的保护。

　　（4）绕过X-Frame-Options。

　　自从Clickjacking这种攻击技术2008年出现后，从其技术发展阶段上分析，可以分为点击劫持、拖放劫持和触摸劫持三个阶段。这三种劫持手段已经构成了浏览器前端劫持体系。主要的技术实现手段是隐藏层+Frame 包含。为了防御这种攻击，浏览器加入了X-Frame-Options头部，用来判断页面是否可以被Frame包含。如果我们脱离了Frame这种方法，而且还能实现点击劫持的这种攻击效果，就算是我们绕过了X-Frame-Options这种防御方式。这种方法还是有的，我们构造多个页面，使用history.forward()，history.back()使页面在设计好的模式下迅速的切换进而劫持用户的点击。详细的过程可以参看，http://lcamtuf.coredump.cx/clickit/。此攻击方式设计复杂，且需高交互。

　　（5）绕过沙箱。

　　浏览器沙箱技术是有效保护用户不被木马病毒侵犯的一种方法。虽然在过去三年Chrome是唯一一个没有被攻破的浏览器，但Chrome沙箱并不是不可以突破。在Pwn2Own 2012 黑客花费了6个不同类型的bug，成功的突破了沙箱。我们假设一个月发现一个bug，6个就是半年，然后再试着突破沙箱。所以绕过沙箱将越来越难，不然google也不会把奖金提升的越来越高，成功突破沙箱执行代码可以获得最高6万美金的奖励。

　　网站敌人之八：隐私安全

　　现在互联网更加注重个人隐私。现代浏览器也考虑到这方面的问题，提供了隐身模式，在隐身模式中本地Cookie，搜索记录，临时文件等不会被记录，但书签被记录，网站服务器也会记录用户的访问痕迹。现代浏览器随着功能的增多，很多情况都会自动收集一些本地信息上传到服务器，这些信息就极可能涉及到个人隐私。包括地理位置，崩溃报告，同步功能，在线翻译，语音输入，自动更新，各种插件扩展……。那么浏览器厂商也意识到了，这种自动收集信息行为，有可能会让用户觉得自己隐私泄漏。所以每个浏览器在其官方页面都有隐私声明，来告知用户浏览器会自动收集哪些本地信息，这些信息是否会涉及到用户隐私等等。那么浏览器收集的信息内容一旦超越了自身的隐私声明范围，就用可能是一种隐私泄漏行为。所以这些隐私声明对浏览器厂商和用户来说都非常有意义。

　　网站敌人之九：安全特性差异化

　　现代浏览器从功能上和模式上都没有一个成型标准，使得各大浏览器厂商都根据自己的想法在做浏览器。这也使得浏览器产生很多差异性。现代浏览器主要有以下几个差异：HTML5支持，虽然现在HTML5标准还没有正式发布，但能更多更全的支持HTML5标准，已经成为判断一个浏览器优略的准则。URL编码差异，更多的编码解析差异可以看谷歌发布的浏览器安全手册，从2008年发布以来，现在还在持续更新着。安全特性支持，对防御攻击而加入的安全策略也不尽相同。我们愿意相信浏览器的这些差异性是良性的，这可以使得各个浏览器互相学习模仿彼此的长处和优势，更好的促进了浏览器的发展。但这些差异让网站安全建设策略必须将各个浏览器的特点都考虑进来，这无疑加大了网站安全建设的难度。

　　移动设备的存在，不仅仅改变了作为个体的生活方式，GigaOm的一份最新报告显示，有38%的受访企业已经不同程度的在IT中应用了移动设备，而43%的受调查企业计划在1年内引入移动设备应用，而财富500强中65% 的企业，已经不同程度部署了iPad。用户已经习惯用Blackberry收发邮件，用平板电脑为客户做演示，用移动设备远程接入企业网络获取信息，在线沟通，或者分享日程。

　　移动设备作为信息存储、使用与传递的新载体而被应用，面临着与传统的笔记本、台式机等传统设备一样的信息安全风险，不但如此，由于移动设备一些不同于传统IT应用的新特点，移动设备应用还为组织带来了更新的安全挑战，内网安全企业，也必须需要适应这一趋势的发展。

　　基于设备特征识别技术的精细化设备使用授权

　　从最先出现的U盘、移动硬盘，到数码相机、播放器，再到最新的智能手机、平板电脑，抛开其软件应用不谈，这些设备内部大部分都存在着巨量的存储空间。从早期的几百MB到现在的动辄几十GB，对于稍小一些的企业，一个32G的i-Pad可能已经足够存储其所有的数据并被轻易转移。随着蓝牙、wifi、USB等技术的普及，设备之间的信息传输也变得前所未有的方便，如果组织执行严格的IT安全策略，那么出于安全的考虑，移动设备可能会被全盘禁止，包括USB端口、蓝牙等甚至可能被禁用；然而，对于那些信息安全策略不那么严格的组织，全盘否定的移动设备策略又牺牲了可用性。这时，为不同的移动设备精细化区分授权就成为必然的选择。

　　我们一直都倡导精细化管理的理念，IP-guard较早已实现了对于USB设备的精细化区分控制，例如对USB键鼠与USB存储的区分，以及通过各种端口与主机进行连接的识别与控制。未来，随着智能手机、平板电脑等的广泛采用，内网安全企业对不同设备的识别技术会更加准确和深入，包括基于硬件、操作系统等信息的识别。

　　基于802.1x准入控制技术的移动设备准入控制技术的完善

　　移动设备的一大特征，就是可以方便的接入无线网络。借助无线网络，智能手机、平板电脑等可以经由局域网甚至互联网，接入到企业的内部网络中，访问和使用关键网络位置的信息资源，最为常见的应用就是Email。

　　另外，基于目前云计算的大趋势，越来越多的应用在云端而不是在本地被处理和运行，无论是公有云、私有云，还是SaaS，用户所需要的只是一个可以接入云的终端。试想一下，无论是CRM还是ERP，或者是其他的业务系统，只要放在云端，你需要的只是i-Pad或智能手机这样简单的设备接入，然后处理业务流程。这无疑大大加速了企业的信息化进程和信息处理速度。

　　然而，正像上面描述的一样，有革命性的进步，就有对应的风险。对于云计算大背景下的移动设备接入而言，网络准入无疑要发挥更重要的角色。

　　相对于目前较成熟的802.1x准入控制机制，对接入到内网的移动设备进行管理要更加困难。802.1x技术大部分会与基于Windows平台的AD域管理相结合，而i-OS、Android等目前流行的移动系统却与Windows平台有本质的不同。因此，大部分IT管理员都会将接入的移动设备划入802.1x管理下的来宾帐户，也就意味着这些设备对于内部网络的访问受到了最大的限制，无法满足现实的需求。

　　针对上面的难题，一个可行的趋势是通过识别移动设备的MAC、硬件、系统等"指纹"并将其映射到已有的基于802.1x和组策略配置的准入系统下。目前，已有部分公司的产品初步实现了这一功能，例如ArubaNetworks公司的Amigopod Visitor Management Appliance(VMA)。此产品基于监控DHCP和HTTP信息来识别不同设备的指纹，并将信息映射到正确的访问控制策略中，从而实现准入控制的目的。

　　由此可见，要想实现对移动设备的精确准入控制，掌握802.1x准入控制机制是先决条件，而准入控制机制的缺乏，正是目前基于主机准入控制的内网安全产品普遍的弱点。逐步完善基于802.1x，以及基于网关与客户端联动的准入控制机制，是我们目前亟需解决的，这也是IP-guard正努力的重点。相信不久的将来，对于移动设备准入的控制会有新的成果出炉。

　　基于内容分析的DLP与边界封堵、加密技术的结合

　　在内部网络和移动设备之间传递的数据，往往在一定程度上属于涉密信息，需要在传输和使用中进行信息泄漏防护。目前，国内主流的信息防泄露技术，普遍是基于封堵和加密技术，在PC上应用确实无障碍，但移动设备的出现，为当前的信息防泄漏技术带来了挑战。

　　移动应用的本身，是为加速和便利信息的传递，而封堵则可能削弱这种便利性。云计算的应用，更使得越来越多的应用在云端而非本地实现，基于主机的封堵和加密机制就有了一定的局限。

　　如何解决上面提出的信息防泄漏难题?超越主机的级别，进一步对于数据本身进行分析、过滤与拦截，是一个可能的发展趋势。在这一点上，长于内容分析与过滤的国外DLP产品为我们提供了启发。

　　与国内的封堵与加密机制不同，以赛门铁克、麦咖啡为代表的国外DLP产品，更多的应用了内容分析与过滤技术，从信息层面进行信息防泄漏管理。通过在边界部署设备，DLP产品可以对通过网络、端口传输的信息进行内容分析，识别出符合预先设定的保密特征的涉密信息并过滤或阻断。过去，由于国内的信息防泄漏市场是以防主动泄密的需求为主，因此赛门铁克等产品的DLP技术无太大的用武之地。而随着移动设备和云计算的发展，这种便利性与安全性相平衡的技术将获得更好的认可。

　　无论是封堵、加密，还是内容分析与过滤，其本质的目的，都是信息防泄漏，只是在安全性与便捷性之间进行不同的权衡。作为定位于内网安全的产品，IP-guard在封堵与加密领域已经日渐成熟，为了更好适应用户的需求与技术的发展，我们也已经开始研究基于内容分析的过滤机制，希望将来与原本的封堵与加密机制相结合，为用户打造完整的信息防泄漏体系。

　　注重移动设备本身的安全措施的执行

　　目前，移动设备制造商也已经意识到了移动设备安全的重要性。例如，i-Pad就引入了丰富的安全机制，包括密码机制、设备加密、加密的网络连接、数据远程擦除等机制，都很大程度上提升了移动设备的安全性。

　　然而，使用移动设备的用户为贪图方便，可能并不会严格使用移动设备所提供的安全措施。作为移动设备的部署方和管理者，IT管理者就应该结合移动设备本身所采取的安全措施，让其发挥更大的作用。统一登记的接入管理，为移动设备特别开发安全的app应用，对移动设备安全策略执行的严格审查。我们一直强调技术与管理相结合，这些适应移动应用时代的管理手段，都是保障移动设备内网安全的必要条件。

　　作为先进信息技术的发源地，移动设备应用如今在美国等发达国家应用的更为普遍，而国内这一类应用还刚刚处于起步阶段。然而，这并不意味着我们可以忽略移动设备所带来的安全威胁，近两年的智能手机、平板电脑市场的高速增长证明，移动设备安全迟早会成为内网安全的一块前沿阵地，对此，未雨绸缪永远是正确的选择。

　　复杂性是云计算普及路上的一个潜在杀手：为了实现云服务所承诺的可扩展性以及高可靠性，基于云的系统架构就会变得越来越复杂。而服务本身必须设计具有足够的冗余度并且有自我监控能力，数据必须能够自动地备份到多个不同地点，同时多个服务器间的工作负载必须平衡。随着企业越来越多的关键性应用迁移到云环境，系统错误的风险，以及与任何错误相关的成本损失，都会相应的增加。

　　在传统的IT系统中，使风险最小化的方法就是设置监控和报警系统。与这些系统不同，随着云计算系统的复杂性日益增加，任何人或者团队都无法对于系统出现的故障做出足够与及时的反应。而随着云服务之间的交互性越来越强，很难快速锁定系统错误的始发点，而人工介入调查往往会导致更大的风险出现。

　　如果雇佣大规模的IT团队来管理云服务系统，就意味着将企业应用迁移到云服务所带来的成本节约效果完全消失。而降低云服务系统的复杂性，看上去也并不是一条可行的路线。

　　而唯一可行的方案，就只能依靠自动化的任务管理工具了。随着云架构、平台以及软件的进化，很多专业性的云服务管理解决方案应运而生，这些方案可以让企业在云上的日子过得更舒适。

　　基于云的监控和报警

　　此类工具中最好的产品属于基于云的自动化监控工具。此类工具可以让任何人监控不同服务器上的多种资源，并根据所监控的任何参数设定报警触发机制。这两款解决方案都支持对资源的实时监控，并自带多种报警设置。这两款产品同样都拥有丰富的可视化界面，并且具有可扩展性。 CloudKick支持所谓的“插件”，即客户自定义的监控脚本，而CloudWatch则通过API的方式与其它应用程序通信，获取监控信息。

　　这两款解决方案的不同之处在于它们的监控范围。CloudWatch 的监控重点放在Amazon自身的服务器和服务上，并通过API以及客户的相应开发，来支持其它服务器。而CloudKick则可以支持更多的云服务供应商，虽然这种支持是通过代理来实现的，但这些代理可以支持多种操作系统。因此他可以更快更容易的开始监控任何云服务器，而不管是哪家的云服务供应商。

　　另一种方案是由很多大型云服务供应商提供的云服务器管理服务。虽然这种方案并不算是真正的自动化工具，但是却可以让管理云服务器的工作变得更简单。但不幸的是，这些服务一般都非常昂贵。而如果考虑到价格差异，为了获得高可靠性的另一个方案就是选择多个云服务供应商，这意味着会有不同的人来管理企业架构的不同部分，这种方案基本上没有任何吸引力。

　　从监控到自我修复、直至更高级的功能

　　一旦应用了上述监控解决方案，原本由管理员手工处理的工作就转为了自动执行的任务。很多云服务供应商都带有自己的报警系统，可以集成进监控解决方案中，此类功能可以通过电邮，电话或SMS短信的方式将警告信息发送给管理员。但是报警仅仅是第一步。

　　诸如Rackspace 和 Amazon这样的供应商可以提供API，通过API可以实现一系列自动化任务，实现系统的可靠运转。比如，一旦监控系统检测到CPU或内存超载，系统就会自动加大CPU或内存的处理能力，同时将报警信息传递给技术支持团队。在极端情况下，该方案还可以自动将出现问题的服务器下线，并将该服务器的IP动态分配给新的服务器，而这个过程作为用户是察觉不到的。

　　监控自动化是把双刃剑

　　和很多以技术为基础的解决方案一样，监控自动化解决方案也是一把双刃剑。在一些失败的案例中，自动化的数据恢复过程可能会导致灾难性的后果。实际上，Amazon在去年4.21日就出现过这样的情况。当时一个配置上的错误导致了一个可用性错误，继而触发了系统的自动化响应机制，最终导致大范围的系统不可用。同时在安装设置过程中必须确定的一系列元素，也使得人工参与管理变得很不可行。

　　当然，如果依赖于传统的监控系统来跟踪云应用服务，也不是不可行，只不过传统的监控系统不是针对监控云应用而设计的。而这些产品中的大部分要么是没有针对云环境进行商业化开发，要么就是缺少某种监控云服务所必须的功能，或者是许可证费用太高。自动化并合理的使用API对于监控系统来说十分重要，尤其是在云环境中。因此，企业应当尽量使用专业的云解决方案。