編者按：

作為亞太區(qū)最早布局機(jī)密計(jì)算、最全合規(guī)資質(zhì)認(rèn)證和用戶隱私保護(hù)的先行者，阿里云從硬件級(jí)安全可信根、硬件固件安全、系統(tǒng)可信鏈、可信執(zhí)行環(huán)境和合規(guī)資質(zhì)等方面落地可信計(jì)算環(huán)境，為用戶提供全球最高等級(jí)的安全可信云。

導(dǎo)語(yǔ)

當(dāng)今社會(huì)，提起「云計(jì)算」三個(gè)字，那可謂是無(wú)人不知，無(wú)人不曉。

但一提到核心業(yè)務(wù)上云，很多人就只剩下禮貌而不失尷尬的微笑了。

那么，究竟什么樣的云可以讓大家信任，一朵安全的云應(yīng)該具有哪些特點(diǎn)呢？

云安全的四大骨骼

物理中心/基礎(chǔ)平臺(tái)/身份權(quán)限/數(shù)據(jù)分級(jí)

安全對(duì)于基礎(chǔ)設(shè)施而言，如同萬(wàn)丈高樓平地起，地基直接決定了安全系數(shù)。安全底座沒搭好，抗風(fēng)險(xiǎn)能力經(jīng)不住考驗(yàn)。

在眾多的安全功能里，一朵可信的云首先應(yīng)當(dāng)具備四根安全支柱：物理中心安全、基礎(chǔ)平臺(tái)安全、身份權(quán)限管控、數(shù)據(jù)分級(jí)規(guī)則。

01

云的誕生之地：數(shù)據(jù)中心物理環(huán)境安全

看似遨游于九天之上的云，安全之根仍需回歸機(jī)房硬件。任你云平臺(tái)安全功能做的多百花齊放，一個(gè)有預(yù)謀的社會(huì)工程攻擊就能讓你功虧一簣，應(yīng)了那句老話：千里之行，始于足下。

任何一個(gè)物理數(shù)據(jù)中心，都可能遭遇花樣繁多的物理攻擊。

實(shí)際上，云的物理數(shù)據(jù)中心作為一切平臺(tái)、服務(wù)的基礎(chǔ)，比傳統(tǒng)企業(yè)數(shù)據(jù)中心擁有更高的安全等級(jí)，它最起碼需要做好：

物理安全：建房子，沒有那么容易

大到機(jī)房選址、防火防盜防斷電，小到電線、插座、加濕器，再到最新技術(shù)的液冷機(jī)房，都彰顯著頂級(jí)數(shù)據(jù)中心的奢華和尊貴。

權(quán)限管控：想來(lái)沒那么容易。

逃跑？想都別想。

無(wú)論是外部訪問人員，內(nèi)部員工，還是機(jī)房本體設(shè)計(jì)，都需遵守精密設(shè)計(jì)的最小權(quán)限原則。

容災(zāi)備份：刪庫(kù)跑路？不存在的

一個(gè)好的機(jī)房，既要不懼風(fēng)吹雨打、日曬雨淋，還要學(xué)會(huì)“狡兔三窟”：異地/同城容災(zāi)，兩地三中心，冗余機(jī)制......哪怕被外力破壞，也可以保護(hù)數(shù)據(jù)的絕對(duì)安全。

阿里云的數(shù)據(jù)中心已經(jīng)面向全球四大洲，開放24個(gè)公有云地域、75個(gè)可用區(qū)、4個(gè)專屬地域，可以實(shí)現(xiàn)用戶同城/異地?cái)?shù)據(jù)備份，冗余存儲(chǔ)等能力。全副武裝的物理數(shù)據(jù)中心，就像是兩條健全的腿部骨骼，作為第一大支柱，幫助云堅(jiān)實(shí)地邁向虛擬化。

02

云的“飛天”之路：基礎(chǔ)平臺(tái)安全

有了數(shù)據(jù)中心強(qiáng)大的支撐，通過給硬件服務(wù)器創(chuàng)建虛擬化層，并將虛擬機(jī)的計(jì)算、存儲(chǔ)、網(wǎng)絡(luò)等資源進(jìn)行隔離，完成了性能與物理機(jī)的解綁，實(shí)現(xiàn)云上租戶的分割，一個(gè)初步的云平臺(tái)終于形成了。

而安全，自平臺(tái)誕生之初，就應(yīng)該如影隨形，深度隱藏且難以察覺的威脅，最好的保護(hù)從源頭開始。

硬件固件安全

作為云平臺(tái)依賴的基礎(chǔ)安全，硬件固件安全應(yīng)當(dāng)做到基線掃描、高性能GPU實(shí)例保護(hù)、BIOS固件驗(yàn)簽、BMC固件保護(hù)等等能力，對(duì)安全進(jìn)行加固。

可信之芯

面對(duì)深度隱藏且難以察覺的威脅，我們需要來(lái)自底層的保護(hù)，從源頭上保障上層的不可篡改性。阿里云硬件服務(wù)器已植入可信芯片，通過可信根和可信鏈，構(gòu)建起了硬件級(jí)別的可信環(huán)境，保證云上環(huán)境健康。

虛擬化安全

所謂“天下大勢(shì)，分久必合合久必分”，一臺(tái)臺(tái)本是同根生的ECS，雖然遍布世界各地，但根系都彼此相連。所以針對(duì)虛擬化的安全加固、逃逸檢測(cè)、補(bǔ)丁熱修復(fù)、數(shù)據(jù)清零...等等安全能力，必不可少。

合規(guī)標(biāo)準(zhǔn)

一朵安全的云當(dāng)然要獲得全球各家權(quán)威機(jī)構(gòu)的廣泛好評(píng)和認(rèn)可，才能經(jīng)得起各行各業(yè)用戶遇到的實(shí)際安全需求。

遍布世界的云平臺(tái)，根系彼此相連，做好了上述這些，云平臺(tái)才算是有了一個(gè)穩(wěn)定的軀干，構(gòu)建起一體化的可信環(huán)境，保持整個(gè)系統(tǒng)環(huán)境健康運(yùn)轉(zhuǎn)。

03

云的準(zhǔn)入原則：身份&權(quán)限

作為信息時(shí)代的水電煤，云計(jì)算可以通過任何終端設(shè)備：電腦、筆記本、手機(jī)、Ipad.....進(jìn)行連接訪問。

傳統(tǒng)架構(gòu)下的互聯(lián)網(wǎng)邊界消失了，任何人+在任何地點(diǎn)+任何時(shí)間+通過任何設(shè)備+訪問任何數(shù)據(jù)，如果僅僅以傳統(tǒng)的防火墻、waf等單點(diǎn)的流量安全產(chǎn)品去防護(hù)，結(jié)果可能有點(diǎn)涼涼~~

云時(shí)代，身份信任能力和體系應(yīng)運(yùn)而生：

這些令人眼花繚亂的概念和產(chǎn)品背后，我們需要抓住身份體系的五大核心能力：

身份認(rèn)證：確保是對(duì)的人

訪問授權(quán)：確保訪問的是對(duì)的資源

賬號(hào)管理：確保授予的是對(duì)的權(quán)限

操作審計(jì)：確保及時(shí)發(fā)現(xiàn)異常訪問

應(yīng)用管理：確保云上云下身份的統(tǒng)一

只有做好云平臺(tái)的身份管理，才能對(duì)每一次的訪問、每一次的資源分配、每一次的權(quán)限授予，做出正確的抉擇。它就像人的頭骨一般，保護(hù)著大腦這個(gè)最核心的器官，用身份交織成的堅(jiān)硬防護(hù)網(wǎng)，打造獨(dú)特的屬于云的邊界防護(hù)體系。

04

云的寫入規(guī)則：數(shù)據(jù)分類分級(jí)

數(shù)據(jù)，作為云上最重要的資產(chǎn)，沒有之一，也是攻擊者的終極目標(biāo)。但是，先別急著聊數(shù)據(jù)安全防護(hù)，保護(hù)的前提是理解被保護(hù)者，我們首先要了解數(shù)據(jù)本身：數(shù)據(jù)是「不平等」的，不同的數(shù)據(jù)有不同的歸屬。

無(wú)論是結(jié)構(gòu)化數(shù)據(jù)、非結(jié)構(gòu)化文本還是圖片文件，云上海量的數(shù)據(jù)需要先進(jìn)行分類分級(jí)，才能有針對(duì)性地分類分級(jí)分層次管理。

云上一層一層的數(shù)據(jù)分級(jí)，就像人體骨骼的肋骨一樣，以嚴(yán)密的體系幫云展開胸廓。

物理環(huán)境、平臺(tái)安全、身份體系和數(shù)據(jù)分級(jí)，共同構(gòu)建了云平臺(tái)的安全骨骼，一朵安全的云已經(jīng)逐漸成形。

云的安全神經(jīng)網(wǎng)絡(luò)

但是光有安全的骨架還遠(yuǎn)遠(yuǎn)不夠，還需要一套完善的神經(jīng)網(wǎng)絡(luò)將云串聯(lián)，才能讓這些安全能力成為協(xié)同聯(lián)動(dòng)的有機(jī)整體。

這套系統(tǒng)應(yīng)該有兩個(gè)核心功能：調(diào)控能力：控制、調(diào)節(jié)各種安全能力、產(chǎn)品的活動(dòng)，實(shí)現(xiàn)將安全能力融入到云的每一個(gè)設(shè)施、端口、節(jié)點(diǎn)中，提供全面綜合的防御能力；分析學(xué)習(xí)能力：通過對(duì)不同信息的分析、綜合與學(xué)習(xí)，對(duì)于不同的外部行為、攻擊做出正確的反應(yīng)，使云上安全成為一個(gè)有機(jī)的自適應(yīng)系統(tǒng)。

而這套連接萬(wàn)物的有機(jī)系統(tǒng)，其實(shí)并不神秘，它就隱藏在云上的流量里、數(shù)據(jù)里、甚至漏洞修復(fù)里...

01

調(diào)控能力：建立云上動(dòng)態(tài)防護(hù)機(jī)制

要說(shuō)云服務(wù)的核心，流量，流量，還是流量！

而說(shuō)到云上最核心的資產(chǎn)，數(shù)據(jù)，數(shù)據(jù)，還是數(shù)據(jù)！

數(shù)據(jù)和流量，這兩個(gè)在云上飛速產(chǎn)生、流動(dòng)、交換的核心，就像是遍布在人體各處的血脈、血管。被無(wú)數(shù)攻擊者窮追不舍，被無(wú)數(shù)勒索軟件苦苦追尋，一個(gè)不小心的趔趄或者擦掛，就會(huì)受傷流血，導(dǎo)致業(yè)務(wù)受損，在單點(diǎn)防護(hù)幾乎不可能的情況下，只能進(jìn)行系統(tǒng)調(diào)控。

如果類比人體呼吸系統(tǒng)，一起看看空氣和血液的互動(dòng)旅程：

第一是數(shù)據(jù)的采集安全，空氣進(jìn)入人體前確定氧氣、二氧化碳、氮?dú)狻煌康牡?，?shù)據(jù)在進(jìn)入云時(shí)，也需要識(shí)別分類。

第二是數(shù)據(jù)的傳輸安全，空氣在人體流動(dòng)，氧氣會(huì)和血紅細(xì)胞融合受到保護(hù)，數(shù)據(jù)整個(gè)傳輸鏈路全程加密，例如HTTPS協(xié)議，VPN/SAG網(wǎng)關(guān)、SSL證書等。

第三是數(shù)據(jù)的存儲(chǔ)安全，紅細(xì)胞存儲(chǔ)著氧氣，數(shù)據(jù)擁有個(gè)性化的密鑰管理及密鑰輪換體系。

第四是數(shù)據(jù)處理、交換安全，氧氣和二氧化碳交換，源源不斷供養(yǎng)給身體，數(shù)據(jù)在身份權(quán)限管控下，安全的交換共享。

第五是數(shù)據(jù)銷毀，荷載廢料的氣體隨著呼吸排出，對(duì)無(wú)用數(shù)據(jù)在保障隱私的前提下及時(shí)物理銷毀。

云上數(shù)據(jù)，因?yàn)轶w系化的調(diào)控能力有機(jī)配合，是一個(gè)更天然的保護(hù)過程。

除此以外，在數(shù)據(jù)防護(hù)方面，云平臺(tái)還應(yīng)該具備幾大核心能力：實(shí)現(xiàn)云平臺(tái)環(huán)境可信、難以破解的加密能力、數(shù)據(jù)可用不可見，驅(qū)動(dòng)智能、安全便捷的密鑰管理服務(wù)。

而針對(duì)云上云下時(shí)時(shí)刻刻都在奔涌的流量，防護(hù)則更加需要細(xì)化。

除了前面提到的通過身份權(quán)限來(lái)對(duì)流量進(jìn)行源頭上的控制以外，還需要對(duì)云的各個(gè)節(jié)點(diǎn)做好防護(hù)：

流量的進(jìn)出口：使用防火墻、WAF、抗DDoS等產(chǎn)品，對(duì)東西南北向流量進(jìn)行把控。

CDN邊緣計(jì)算、SLB負(fù)載均衡節(jié)點(diǎn)：打通相應(yīng)的安全監(jiān)測(cè)能力，實(shí)現(xiàn)安全能力和基礎(chǔ)設(shè)施融合。

DMZ區(qū)：建立安全與非安全地帶的緩沖。

流量準(zhǔn)入邏輯：通過機(jī)器學(xué)習(xí)、大數(shù)據(jù)分析等能力實(shí)現(xiàn)惡意陸良自動(dòng)化識(shí)別和攔截

當(dāng)一朵云做好的了云上數(shù)據(jù)和流量的安全防護(hù)體系，那么它也實(shí)現(xiàn)了自我的蛻變升華：將安全的基因深深鐫刻在云的每一個(gè)角落。

從ECS、存儲(chǔ)、數(shù)據(jù)庫(kù)，到網(wǎng)絡(luò)、計(jì)算、身份，無(wú)不是生來(lái)就飽含著安全的元素，讓用戶上云即享受安全。

02

分析學(xué)習(xí)能力：安全的中樞神經(jīng)

當(dāng)一朵云做好以上的種種安全能力，它離“神功大成”只有一步之遙，但這也是整個(gè)過程中最核心的一步。

體現(xiàn)了云在安全上的不可替代性。

統(tǒng)一的端口方便信息的搜集處理以及策略的一鍵同步，強(qiáng)大的算力支撐著機(jī)器學(xué)習(xí)、AI、自動(dòng)化等高級(jí)能力，實(shí)現(xiàn)真正的無(wú)感防御，而這些功能，構(gòu)成了云安全的中樞神經(jīng)系統(tǒng)。

要做好這個(gè)中樞神經(jīng)系統(tǒng)，需要三大核心能力：

其一，不同云產(chǎn)品間協(xié)同聯(lián)動(dòng)

云上統(tǒng)一的Open API接口，可以實(shí)現(xiàn)數(shù)十條產(chǎn)品線內(nèi)置安全能力聯(lián)動(dòng)，體現(xiàn)本是同根生的御敵優(yōu)勢(shì)。比如主機(jī)防護(hù)產(chǎn)品發(fā)現(xiàn)了一個(gè)新的安全警告，可以主動(dòng)給外圍設(shè)備下達(dá)指令，威脅情報(bào)可以通過API快速地分發(fā)給云內(nèi)所有組件。就像是戰(zhàn)火紛爭(zhēng)下的狼煙傳信，從邊疆一路抵達(dá)王都，再由王都通知給四方屬地，共同御敵。

.

其二，統(tǒng)一安全管理系統(tǒng)

一套體系內(nèi)的威脅識(shí)別、分析、預(yù)警、溯源，高速度的完整閉環(huán)。

至此，一朵具備安全基因的云已初具雛形，但是它的安全之旅還遠(yuǎn)遠(yuǎn)沒有結(jié)束。在安全骨骼框架和神經(jīng)網(wǎng)絡(luò)之下，還等待血肉的補(bǔ)充，機(jī)體的增強(qiáng)。

我們期待和云上用戶、合作伙伴生態(tài)一起，讓阿里云真正成為一朵最值得信賴的安全云。

結(jié)語(yǔ)

國(guó)際領(lǐng)先的云安全解決方案提供方，保護(hù)全國(guó) 40% 的網(wǎng)站，每天抵御 60 億次攻擊。

2020 年，國(guó)內(nèi)唯一云廠商整體安全能力獲國(guó)際三大機(jī)構(gòu)（Gartner/Forrester/IDC）認(rèn)可，以安全能力和市場(chǎng)份額的絕對(duì)優(yōu)勢(shì)占據(jù)領(lǐng)導(dǎo)者地位。

阿里云最早提出并定義云原生安全，持續(xù)為云上用戶提供原生應(yīng)用、數(shù)據(jù)、業(yè)務(wù)、網(wǎng)絡(luò)、計(jì)算的保護(hù)能力，和基礎(chǔ)設(shè)施深度融合推動(dòng)安全服務(wù)化，支持彈性、動(dòng)態(tài)、復(fù)雜的行業(yè)場(chǎng)景，獲得包括政府、金融、互聯(lián)網(wǎng)等各行業(yè)用戶認(rèn)可。

作者 :阿里云安全

編輯：阿里云研究院內(nèi)容運(yùn)營(yíng)主管 趙子千