簡介：?作者肖力從事網絡安全工作將近20年，處理過各類攻擊威脅，經歷了云下云上安全的建設。云計算的安全工作從10年前開始，他們搭建了阿里云平臺的防護體系，幫助各行業用戶在云上構建企業安全能力。云原生的出現進一步加深了他對安全的理解和思考。未來要實現的，也許已經不再稱之安全防護，而是一套長在云里的原生“免疫系統”。

作者 | 肖力
來源 | 阿里技術公眾號

肖力：阿里巴巴集團副總裁、阿里云安全總經理

我從事網絡安全工作將近20年，處理過各類攻擊威脅，經歷了云下云上安全的建設。

云計算的安全工作從10年前開始，我們摸著石頭過河，搭建了阿里云平臺的防護體系，幫助各行業用戶在云上構建企業安全能力。

云原生的出現進一步加深了我對安全的理解和思考。未來我們要實現的，也許已經不再稱之安全防護，而是一套長在云里的原生“免疫系統”。

一 云下20年：外掛式安全

2000年到2020年國內誕生了上千家安全公司，提供上百種品類的安全產品，介紹手冊里對使用體驗從未改變的一句描述是：即插即用。然而，再無縫的外掛也難以避免兼容性問題。其次，實際情況因接口統一性、兼容性等問題，標注即插即用的設備，1個月都部署不進去的情況比比皆是。

停留在大部分人記憶中“熊貓燒香”級別的炫技式攻擊，早已過時。去年，全球疫情和新常態遠程辦公出現，我們觀測到了高度復雜的攻擊。幾個月前發生的SolarWinds APT攻擊，國際頂級安全公司淪陷。阿里云成功防御的資源耗盡型DDoS攻擊，刷新了歷史觀測最大規模記錄。對企業的損失來說，最新的勒索軟件攻擊已經動輒贖金要求數億。

試想一下，企業數字資產安全，在這種情況下會處于什么狀態？

云直接改變了這種安全現狀。

1月爆發的Incaseformat蠕蟲病毒，主要依賴U盤進行傳播，云上空間實現天然免疫，默認不受該傳播方式影響，所有云上用戶無感知度過這個輿論影響很大的安全事件。

云原生容器具備鏡像快照功能，遇到勒索軟件攻擊數據被加密，用戶通過這個功能快速恢復，而不需要去交付贖金。

云原生安全發展方向，我從安全技術和理念里兩方面，總結為內置、前置兩大關鍵詞。

• 內置——單點的防護能力打碎重組，融入基礎設施本身。
• 前置——在更上游的階段考慮安全，樹立一個信任和一個懷疑。

二 原生安全技術：融入基礎設施的免疫系統

阿里云自身的安全實踐已久，無論基于廣義云原生還是狹義云原生概念，面向未來的幾個技術趨勢已經越來越清晰。

1 安全成公共資源實現按需調用

大部分企業安全資源是非常有限的，卻存在一個矛盾點：即需要能支撐峰值流量，大部分時間用量卻是打不滿的。

比如阿里巴巴自身業務，雙11無疑是一個流量峰值，而全年業務由一個峰值+多個波峰+波谷構成，峰值和波谷的區別可能非常大，安全沒必要儲備了大量“糧草”處于“待命”狀態。

安全能力服務化（SaaS化），是一個行業內展望已久的趨勢，安全能不能按需調用？

我去年經常講一個例子，疫情期間釘釘1小時擴容2萬臺服務器，安全防護實現小時級覆蓋。云下場景的同類企業，每臺設備都需要上架、調適，串聯在鏈路上做防御阻斷，至少需要1個月時間。

云環境中，業務系統上線只需要完成接入動作，安全保護隨之而來。

2 基礎設施天然具備檢測防護能力

安全能力直接內置在基礎設施節點中。流量通過某些節點時，比如SLB負載均衡和CDN邊緣計算，直接完成安全檢測。同一份帶寬資源，業務提速做到無感保護。

遍布基礎設施的各安全能力節點，面對風險如同開啟了 “上帝視角”， 單點威脅實現全網秒級協同，提升了全IT環境的風險反應和處理速度。過去幾年，阿里云在一些客戶重大事件保障和大型實戰演習中，攻防能力一直是榜首的位置。一方面優勢來自于自身技術的儲備，更多的則來自于基于云的全局威脅發現和聯動處置能力。

3 攻擊主動修復實現無感防御

十幾年前我們做安全，系統不行全靠人肉來補。

有時候一個漏洞出現，幾十上百個應用，要挨個手動排查。修復過程中業務不能下線，還要做到用戶無感，導致后臺的操作緩慢又痛苦。這種被迫降速，又進一步拉長攻擊窗口期，提升了業務風險。

今天，阿里云上的漏洞修復，已經變得非常簡單。一旦漏洞出現，云自動開啟防護罩，保證攻擊打不進來，云也將持續進化實現自動修復。

我們把很多可能產生問題的難點，在IT建設的時候就思考和解決掉了，安全人員看到的是相對簡單的統一控制臺，通過業務邏輯來進行安全策略的配置，把精力聚焦到高價值的事情上。

三 原生安全理念：絕對信任和持續懷疑

現代商業復雜程度遠遠高于過去，簡單是消解復雜的最佳路徑，安全理念需要被化約。

企業員工的位移和身份動態變化的速度，大概是過去的N倍速。數據可能產生于任意終端、任意人員、任意地理位置。數據可能存儲在公共云、私有云、邊緣計算節點……這其中發生的計算、處理和交換動作更是形成了復雜的交叉網狀結構。

安全防護看似無處下手，這也是“免疫系統”的重要性。我們全方位審視安全，抽絲剝繭去看背后的邏輯。

云上數據的生命周期旅程可能發生于IT系統的大腦、心臟、甚至末梢，像血液一樣在企業內流轉，為各器官的運作服務，信息流代替工作流在推動著業務的發展。如何保證整個系統的安全？

1 云即信任

云原生安全的進化，在不斷縮小信任成本，讓基礎設施本身成為更加高可用、高安全等級的可信計算環境。

芯片級硬件可信

芯片級安全，是當前技術領域內最高等級的安全。硬件的不可篡改性，決定了其成為最高等級安全的基礎。

阿里云在去年10月，業內首發基于SGX2.0和TPM的可信虛擬化實例，最早完成了芯片級硬件安全的落地。最新推出的第七代ECS實例，全量搭載安全芯片作為硬件可信根，實現服務器的可信啟動，確保零篡改。這意味著真正意義上第一次實現了能夠支持大數據運算的安全可信環境。

用戶不需要再關心硬件層的基礎上，任何篡改異常可被第一時間發現，從而更專注于安全開發，進一步減少代碼量。

數據默認透明加密

加密是最原始的數據保護方式，這并不是一個安全新概念。

而云上的數據加密是一個更天然的過程，原生數據自“出生”默認加密。云上產生的數據，實現自動加密，數據遷移上云默認落盤加密，關鍵業務敏感數據實現字節級加密。

云基礎設施還提供公鑰密碼應用系統，在數據加密的基礎上再加一把鎖。

密碼系統可以自動或自定義改變密碼，這個聽起來很普通，但實際需要基礎設施層算法精巧設計的功能叫“密鑰輪轉”。公共云有一個主密鑰，默認每天輪轉一次，用戶自有密鑰可從天到年為單位自定義設置輪轉周期，讓被破解成為不可能。

2 對動態因素持續懷疑的零信任

數據總是由人創造的。企業各環節線上化，每個人都可能是數據的生產者。

無論是企業訪問OA系統、審批系統、公司郵件、視頻會議等傳統需求，還是遠程開發、測試、運維、客服等復雜場景，從身份認證、網絡準入、動態權限管理等方式入手，到通過網絡能力實現安全的內網準入，實現打造持續懷疑、動態監測和認證的安全云環境。

當云作為IT基礎設施，算力成為像水、電、煤一樣的公共資源，這其中安全意味著什么不言而喻。我們也希望打造全世界最安全的云，在越來越復雜中，提供越來越簡單的選擇。

原文鏈接
本文為阿里云原創內容，未經允許不得轉載。

總結

以上是生活随笔為你收集整理的阿里云肖力：跳过量变过程的安全质变的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。