Move to Cloud:憑什么安全?(1)
編者按:
網(wǎng)絡(luò)世界不斷誕生、跳動(dòng)的數(shù)據(jù)字節(jié)們,他們隨著業(yè)務(wù)游走虛擬世界,在應(yīng)用間穿梭。復(fù)雜環(huán)境里數(shù)據(jù)安全應(yīng)處于精細(xì)設(shè)計(jì)的系統(tǒng)中數(shù)據(jù)的一生應(yīng)當(dāng)被這樣保護(hù)。
一、云的物理機(jī)房
數(shù)據(jù)的「金鐘罩、鐵布衫」
云對(duì)數(shù)據(jù)的保護(hù),從這里就開始了。我們來看下,阿里云堪稱“森嚴(yán)”的物理防護(hù):
物理中心作為“基建狂魔”的阿里云,在全球24個(gè)地域開通了78個(gè)可用區(qū),為遍布全球的數(shù)據(jù)提供多個(gè)靈活可掌控的“容身之所”。
安防設(shè)備從物理中心的選址、內(nèi)部分區(qū)劃分,到火災(zāi)報(bào)警系統(tǒng)的防誤報(bào)功能,再到覆蓋人員、車輛、儀器、運(yùn)維管控等等,執(zhí)行全球最高級(jí)別的物理安防制度。
內(nèi)部管控通過分類分級(jí)管控、工單驅(qū)動(dòng)授權(quán)、行為數(shù)據(jù)化分析等建立了內(nèi)部管控體系,嚴(yán)控內(nèi)外部任何可能發(fā)生的威脅。
維護(hù)保障定期進(jìn)行維護(hù)檢查,對(duì)物理設(shè)施、云服務(wù)平臺(tái)進(jìn)行定期更新,【永不宕機(jī)】不是一句口號(hào)。
(圖:阿里云數(shù)據(jù)中心安防體系)
二、云平臺(tái)
收斂數(shù)據(jù)風(fēng)險(xiǎn)
01
什么叫安全融入基礎(chǔ)設(shè)施?
不喊口號(hào),從數(shù)據(jù)保護(hù)維度看一下是怎么實(shí)現(xiàn)的。
如果說物理機(jī)房為云上數(shù)據(jù)打好了堅(jiān)硬的地基,那由虛擬化的存儲(chǔ)、網(wǎng)絡(luò)、計(jì)算等共同構(gòu)建的云平臺(tái),則是為數(shù)據(jù)提供居住、傳輸、計(jì)算的場所。
存儲(chǔ):主流的存儲(chǔ)類型(例如OSS、文件存儲(chǔ)、表格存儲(chǔ)等)和數(shù)據(jù)庫服務(wù),阿里云均支持落盤加密,在數(shù)據(jù)寫入的一刻,即保護(hù)其安全。
網(wǎng)絡(luò):阿里云全球部署的3000余個(gè)POP節(jié)點(diǎn),在每個(gè)節(jié)點(diǎn)中都融入了諸如IP隔離、DNS防護(hù)、單節(jié)點(diǎn)60000QPS能力以抵御DDoS攻擊,此外還有單獨(dú)的SCDN能力,提供加密網(wǎng)絡(luò)傳輸,交織起一張安全的防護(hù)網(wǎng)絡(luò)。
計(jì)算:虛擬化ECS實(shí)例,既要保證其本身的高可用,也要具備從底層透穿而上的可信環(huán)境,讓數(shù)據(jù)在此環(huán)境中可以安全地流動(dòng),并創(chuàng)造價(jià)值。阿里云在可信環(huán)境上,基于TPM\VTPM技術(shù),構(gòu)建了基于芯片的云平臺(tái)可信鏈,形成“一級(jí)加載一級(jí),一級(jí)檢查一級(jí)”的邏輯鏈條,為云上數(shù)據(jù)提供安全可信的處理環(huán)境。在機(jī)密計(jì)算側(cè),通過虛擬化Enclave技術(shù),在ECS實(shí)例內(nèi)部創(chuàng)建可信隔離空間,實(shí)現(xiàn)數(shù)據(jù)可用不可見,讓數(shù)據(jù)能夠高效流動(dòng)起來,從而產(chǎn)生價(jià)值。
(圖:阿里云全鏈路可信環(huán)境)
02
容災(zāi)備份:數(shù)據(jù)的“兜底”保障
孤品,應(yīng)該如何保護(hù)?備份,似乎是個(gè)不錯(cuò)的選擇。數(shù)據(jù),道理也是共通的。數(shù)據(jù)的備份容災(zāi),可以很好地幫其避免丟失、勒索的命運(yùn),是安全的“兜底”保障。而云,隨用隨取的海量彈性資源,簡單易用的計(jì)算、存儲(chǔ)、網(wǎng)絡(luò)、數(shù)據(jù)庫、大數(shù)據(jù)服務(wù),讓它成為了天然的備份容災(zāi)中心。
勒索頑疾,迎刃而解
勒索軟件正在成為數(shù)據(jù)的頭號(hào)威脅,報(bào)告顯示,以數(shù)據(jù)加密為主要攻擊手段的勒索軟件在2021上半年比去年同期平均增長了93%,受害者在2020年所支付的贖金比2019年增長了171%。
阿里云上,「無處不在」的數(shù)據(jù)備份讓勒索病毒無用武之地。
塊存儲(chǔ)、文件存儲(chǔ)、對(duì)象存儲(chǔ)、數(shù)據(jù)庫、HBR等等等等,都設(shè)計(jì)了冗余數(shù)據(jù)存儲(chǔ)機(jī)制,可默認(rèn)/手動(dòng)開啟的多副本冗余存儲(chǔ),例如,OSS存儲(chǔ)即采用多可用區(qū)(AZ)機(jī)制,將客戶的數(shù)據(jù)分散存放在同一地域(Region)的3個(gè)可用區(qū)內(nèi)。當(dāng)某個(gè)區(qū)不可用時(shí),仍然能夠保障數(shù)據(jù)的正常訪問,極大降低數(shù)據(jù)丟失率。
容災(zāi)=永不宕機(jī)?
阿里云一直致力于提供“永不宕機(jī)”的云服務(wù)。全球范圍內(nèi)最高標(biāo)準(zhǔn)的基礎(chǔ)設(shè)施容災(zāi):對(duì)云下數(shù)據(jù)中心設(shè)置電力、溫度、災(zāi)難等應(yīng)急預(yù)案,哪怕遭遇極端情況,物理中心遭到了斷水、斷電、火災(zāi),甚至物理破壞,也能在雙路備用電源、火災(zāi)檢測系統(tǒng)等機(jī)制下,支持訪問服務(wù),并發(fā)出維修警報(bào)。
極其復(fù)雜的容災(zāi)體系:針對(duì)云基礎(chǔ)產(chǎn)品以及存儲(chǔ)在云上的數(shù)據(jù),阿里云均建立了冗余體系,實(shí)現(xiàn)業(yè)務(wù)數(shù)據(jù)跨地域、跨可用區(qū)部署,構(gòu)建同城應(yīng)用雙活、異地?cái)?shù)據(jù)災(zāi)備、異地多活和兩地三中心等容災(zāi)體系。當(dāng)災(zāi)難發(fā)生時(shí)可實(shí)現(xiàn)秒級(jí)切換,對(duì)于金融、證券等監(jiān)管部門有明確要求的行業(yè),每年例行進(jìn)行周期性容災(zāi)演練,提供高SLA使用承諾。
周密設(shè)計(jì)的容災(zāi)體系落地的好,是保障永不宕機(jī)的基礎(chǔ),才是真正的數(shù)據(jù)高可用。
(圖:阿里云云上容災(zāi)體系)
三、云上
數(shù)據(jù)保護(hù)如此天然
云的價(jià)值之一,是數(shù)據(jù)的在線。云被長期質(zhì)疑的聚焦之一,是數(shù)據(jù)的安全性。矛盾如此的對(duì)立統(tǒng)一。
當(dāng)真正了解云之后,會(huì)發(fā)現(xiàn)它對(duì)數(shù)據(jù)的保護(hù)是一種天然直覺。數(shù)據(jù)在云上誕生的那一刻在它一生的旅行中
在一個(gè)基于可信硬件的安全云環(huán)境里,確保合規(guī)基礎(chǔ)上,以精密設(shè)計(jì)的天級(jí)的密鑰輪轉(zhuǎn),形成主動(dòng)自發(fā)的行為,構(gòu)建“天書級(jí)”破解難度,保護(hù)每一個(gè)數(shù)據(jù)“發(fā)光發(fā)熱”。
(圖:數(shù)據(jù)的上云之旅)
具體到一些細(xì)粒度的技術(shù)點(diǎn),比如:數(shù)據(jù)血緣保證流轉(zhuǎn)時(shí)的安全,記錄數(shù)據(jù)之間的復(fù)雜鏈路;敏感數(shù)據(jù)在存儲(chǔ)、使用時(shí)加了機(jī)器可以看到而肉眼無法識(shí)別的盲水??;基于深度神經(jīng)網(wǎng)絡(luò)和機(jī)器學(xué)習(xí)的數(shù)據(jù)識(shí)別,以提升數(shù)據(jù)發(fā)現(xiàn)和分類分級(jí)的能力;API隱身提升數(shù)據(jù)訪問時(shí)的安全...相比起云下,云上各安全產(chǎn)品有統(tǒng)一OpenAPI接口和強(qiáng)大的威脅情報(bào)庫的加持,可以實(shí)現(xiàn)多產(chǎn)品間的聯(lián)動(dòng)、全網(wǎng)預(yù)警、策略秒級(jí)下發(fā)等能力。利用這些工具可以提升客戶對(duì)云上數(shù)據(jù)的可見度和操作自動(dòng)化,可見度可以讓我們對(duì)威脅看的更清楚,自動(dòng)化可以減少因人為造成的錯(cuò)誤,二者結(jié)合,可以打造比IDC更安全的云上數(shù)據(jù)處理流程。
(圖:云上數(shù)據(jù)權(quán)限管控體系)
四、打破黑盒,看見信任
在上一段提到的矛盾對(duì)立統(tǒng)一中,我們發(fā)現(xiàn)割裂的地方之一是:“數(shù)據(jù)放在云上,怎么保證云廠商不會(huì)擅自使用、操作?”