新基建從云而生

　　——專訪阿里巴巴副總裁,、阿里云安全總經(jīng)理 肖力

　　導(dǎo)語：“新基建”已經(jīng)成為當(dāng)下一個現(xiàn)象級熱詞,。新基建的核心在于數(shù)字化，5G,、大數(shù)據(jù),、人工智能、工業(yè)互聯(lián)網(wǎng)等新一代信息技術(shù)的應(yīng)用,。而隨著新基建的高速發(fā)展,，加大了網(wǎng)絡(luò)安全威脅的暴露面。近段時間,，企業(yè)被黑客勒索的事件頻發(fā),，那么怎樣在高速發(fā)展新基建的同時還能保證網(wǎng)絡(luò)安全？通過專訪阿里巴巴副總裁肖力先生，云原生安全對新基建的意義進(jìn)行了深入探討,。

　　圖片來源：阿里巴巴公司提供

　　記者：在新基建大力發(fā)展的背景下,，國家加快推進(jìn)工業(yè)、制造業(yè)企業(yè)上云,，《工業(yè)互聯(lián)網(wǎng)創(chuàng)新發(fā)展行動計劃（2021-2023年）》指出到2023年,，工業(yè)企業(yè)及設(shè)備上云數(shù)量比2020年翻一番，那么什么是云原生安全理念,？

　　肖力：

　　現(xiàn)代商業(yè)復(fù)雜程度遠(yuǎn)遠(yuǎn)高于過去,，簡單是消解復(fù)雜的最佳路徑，安全理念需要被化約,。企業(yè)員工的位移和身份動態(tài)變化的速度,，大概是過去的N倍速。數(shù)據(jù)可能產(chǎn)生于任意終端,、任意人員,、任意地理位置。數(shù)據(jù)可能存儲在公共云,、私有云,、邊緣計算節(jié)點(diǎn)……這其中發(fā)生的計算、處理和交換動作更是形成了復(fù)雜的交叉網(wǎng)狀結(jié)構(gòu),。,，傳統(tǒng)的邊界防御失靈，安全防護(hù)已經(jīng)看似無處下手,。

　　云原生安全期望打造的不僅僅是一套防護(hù)體系更像是一個基于云的原生“免疫系統(tǒng)”,。我們?nèi)轿粚徱暟踩榻z剝繭去看背后的邏輯,。

　　云上數(shù)據(jù)的生命周期旅程可能發(fā)生于IT系統(tǒng)的大腦,、心臟、甚至末梢,，像血液一樣在企業(yè)內(nèi)流轉(zhuǎn)，為各器官的運(yùn)作服務(wù),，信息流代替工作流在推動著業(yè)務(wù)的發(fā)展,。如何保證整個系統(tǒng)的安全？

　　1.云即信任

　　云原生安全的進(jìn)化,，在不斷縮小信任成本,，讓基礎(chǔ)設(shè)施本身成為更加高可用、高安全等級的可信計算環(huán)境,。

　　芯片級硬件可信

　　芯片級安全,，是當(dāng)前技術(shù)領(lǐng)域內(nèi)最高等級的安全。硬件的不可篡改性，決定了其成為最高等級安全的基礎(chǔ),。阿里云在去年10月,，業(yè)內(nèi)首發(fā)基于SGX2.0和TPM的可信虛擬化實(shí)例，最早完成了芯片級硬件安全的落地,。最新推出的第七代ECS實(shí)例,，全量搭載安全芯片作為硬件可信根，實(shí)現(xiàn)服務(wù)器的可信啟動,，確保零篡改,。這意味著真正意義上第一次實(shí)現(xiàn)了能夠支持大數(shù)據(jù)運(yùn)算的安全可信環(huán)境。

　　數(shù)據(jù)默認(rèn)透明加密

　　加密是最原始的數(shù)據(jù)保護(hù)方式,，這并不是一個安全新概念,。而云上的數(shù)據(jù)加密是一個更天然的過程，原生數(shù)據(jù)自“出生”默認(rèn)加密,。云上產(chǎn)生的數(shù)據(jù),，實(shí)現(xiàn)自動加密，數(shù)據(jù)遷移上云默認(rèn)落盤加密,，關(guān)鍵業(yè)務(wù)敏感數(shù)據(jù)實(shí)現(xiàn)字節(jié)級加密,。云基礎(chǔ)設(shè)施還提供公鑰密碼應(yīng)用系統(tǒng)，在數(shù)據(jù)加密的基礎(chǔ)上再加一把鎖,。密碼系統(tǒng)可以自動或自定義改變密碼,，這個聽起來很普通，但實(shí)際需要基礎(chǔ)設(shè)施層算法精巧設(shè)計的功能叫“密鑰輪轉(zhuǎn)”,。公共云有一個主密鑰,，阿里云目前已實(shí)現(xiàn)默認(rèn)每天輪轉(zhuǎn)一次，用戶自有密鑰可從天到年為單位自定義設(shè)置輪轉(zhuǎn)周期,，讓被破解成為不可能,。

　　2.對動態(tài)因素持續(xù)懷疑的零信任

　　數(shù)據(jù)總是由人創(chuàng)造的。企業(yè)各環(huán)節(jié)線上化,，每個人都可能是數(shù)據(jù)的生產(chǎn)者,。無論是企業(yè)訪問OA系統(tǒng)、審批系統(tǒng),、公司郵件,、視頻會議等傳統(tǒng)需求，還是遠(yuǎn)程開發(fā),、測試,、運(yùn)維、客服等復(fù)雜場景,，從身份認(rèn)證,、網(wǎng)絡(luò)準(zhǔn)入,、動態(tài)權(quán)限管理等方式入手，到通過網(wǎng)絡(luò)能力實(shí)現(xiàn)安全的內(nèi)網(wǎng)準(zhǔn)入,，打造持續(xù)懷疑,、動態(tài)監(jiān)測和認(rèn)證的安全云環(huán)境。

　　云上安全與傳統(tǒng)安全最大的不同

　　2000年到2021年國內(nèi)誕生了上千家安全公司,，提供上百種品類的安全產(chǎn)品,，介紹手冊里對使用體驗從未改變的一句描述是：即插即用。然而,，實(shí)際情況因接口統(tǒng)一性,、兼容性等問題，標(biāo)注即插即用的設(shè)備,，1個月都部署不進(jìn)去的情況比比皆是,。

　　云上的安全能力與云基礎(chǔ)設(shè)施深度融合，通過API靈活調(diào)用,，全局統(tǒng)一的協(xié)同全網(wǎng)威脅情報,，這是線下各安全產(chǎn)品長期以來希望實(shí)現(xiàn)，而很難真正實(shí)現(xiàn)的地方,。

　　應(yīng)對攻擊,，相較于傳統(tǒng)安全的短兵相接，云安全更像是一種“重型兵器”的降維打擊,。因此,，我們所有的技術(shù)努力在讓基礎(chǔ)設(shè)施本身更加高可用、更高安全等級,。

　　記者：5G與物聯(lián)網(wǎng),、工業(yè)互聯(lián)網(wǎng)結(jié)合將產(chǎn)生海量大數(shù)據(jù)，其應(yīng)用正在從外圍輔助環(huán)節(jié)向核心生產(chǎn)環(huán)節(jié)滲透,，保障新基建的數(shù)據(jù)安全面臨哪些挑戰(zhàn),？

　　肖力：

　　2020年數(shù)據(jù)泄露呈現(xiàn)爆炸式增長，短短12個月內(nèi)泄露記錄比過去15年總和還多,。

　　做好數(shù)據(jù)安全是一個復(fù)雜工程,，可以說企業(yè)遇到的百分之八九十的安全風(fēng)險最終指向的都是數(shù)據(jù)風(fēng)險，而數(shù)據(jù)如同血液流動在IT基礎(chǔ)設(shè)施的各個角落,?；诎⒗镌茖?shí)踐，我們將數(shù)據(jù)安全挑戰(zhàn)歸結(jié)為三類：

　　盲人摸象：摸清數(shù)據(jù)資產(chǎn)情況

　　當(dāng)企業(yè)意識到需要做數(shù)據(jù)保護(hù)的時候,，往往已經(jīng)有很多數(shù)據(jù)，這些數(shù)據(jù)散落在IT系統(tǒng)中的什么位置,，是什么類型的數(shù)據(jù),，哪些數(shù)據(jù)需要重點(diǎn)保護(hù),，看不見也看不全。

　　而且傳統(tǒng)情況下,，數(shù)據(jù)庫及存儲類產(chǎn)品賬號密碼分散在各個開發(fā)人員手中,，安全人員難以獲得統(tǒng)一管理權(quán)限。

　　多如牛毛：敞口風(fēng)險如何最小化

　　數(shù)據(jù)是流動的,，可能會出現(xiàn)在企業(yè)業(yè)務(wù)各個環(huán)節(jié),、IT系統(tǒng)中各個角落，造成可能帶來數(shù)據(jù)泄露的敞口風(fēng)險變得動態(tài)和復(fù)雜,，比如一個看似低危的漏洞,、或者復(fù)雜系統(tǒng)中的老舊API都可能成為攻擊者竊取數(shù)據(jù)的跳板，再比如數(shù)據(jù)訪問權(quán)限管理不清晰很可能會被“內(nèi)鬼”利用等等,。

　　用保兼?zhèn)洌簲?shù)據(jù)使用/分享/計算需要兼顧安全

　　數(shù)據(jù)只有被合理合法的有效使用才能成為企業(yè)的真正資產(chǎn),，但數(shù)據(jù)的使用、分享,、計算不僅會面臨各種合規(guī)要求,，而且當(dāng)數(shù)據(jù)在不同人、系統(tǒng),、網(wǎng)絡(luò)中流動時會加大風(fēng)險暴露面,。數(shù)據(jù)作為新生產(chǎn)要素需要被高效利用，促進(jìn)業(yè)務(wù)和經(jīng)濟(jì)的發(fā)展,，聯(lián)合研發(fā),、聯(lián)合營銷等多方計算場景需求出現(xiàn)，對數(shù)據(jù)被安全的使用也提出新要求……

　　傳統(tǒng)環(huán)境下,，數(shù)據(jù)本身以“孤島”形式存在于企業(yè)各個服務(wù)器之上,，訪問日志數(shù)據(jù)也各自孤立，安全產(chǎn)品外掛模式又難與數(shù)據(jù)庫類產(chǎn)品深度集成,，從割裂,、孤立的數(shù)據(jù)中能夠分析得出的高價值信息非常有限，安全工作被局限于表面,。云打通了數(shù)據(jù)的集約化發(fā)展,，讓深度的安全保護(hù)成為可能。比如阿里云的數(shù)據(jù)庫產(chǎn)品,，上線即安全保證產(chǎn)品自身攻擊面最小化,；其次，原生安全能力內(nèi)置到基礎(chǔ)設(shè)施,，阿里云數(shù)據(jù)庫產(chǎn)品具備存儲加密,、VPC隔離、BYOK,、接口級權(quán)限控制等等十幾項安全功能,，用戶購買的云產(chǎn)品本身就是安全又具備一定保護(hù)能力的,。

　　記者：當(dāng)前國內(nèi)眾多企業(yè)都在為新基建和數(shù)字化轉(zhuǎn)型做準(zhǔn)備，然而目前世界網(wǎng)絡(luò)安全形勢十分嚴(yán)峻,，眾多企業(yè)都遭受到黑客勒索,，導(dǎo)致勒索事件頻發(fā)的原因是什么？

　　肖力：

　　勒索軟件的確是疫情發(fā)生后的主要攻擊方法之一,，2020年上半年增長了7倍,，贖金要求是往年同期的4倍，最近的新數(shù)據(jù)顯示全球有近一半的成功攻擊都來自勒索軟件,。

　　造成勒索事件上漲的原因,，我認(rèn)為主要有以下三個方面：

　　一是越來越多的勒索病毒集成了豐富的攻擊模塊，不再只是傳統(tǒng)地爆破弱口令,，而是具備了自傳播,、跨平臺和蠕蟲的功能，如Lucky,、Satan勒索病毒等,。

　　二是云環(huán)境租戶業(yè)務(wù)的多樣性，不斷出現(xiàn)的業(yè)務(wù)場景日趨復(fù)雜,，使得用戶展示給黑客的基礎(chǔ)攻擊面不斷放大,，持續(xù)面臨漏洞的威脅。

　　三是企業(yè)安全意識不足,，未做好口令管理和訪問控制,，因此給了黑客可乘之機(jī)。

　　不過云具備解決這個問題的天然優(yōu)勢,，原生容器自備鏡像快照功能,，遇到數(shù)據(jù)被加密，用戶通過這個功能快速恢復(fù),，完全不需要交付贖金,。

　　記者：云時代，開源組件得到廣泛應(yīng)用,，分布式異構(gòu)計算也普遍存在,，這就分別帶來軟、硬件層面的供應(yīng)鏈安全風(fēng)險,。那么軟,、硬件的供應(yīng)鏈安全應(yīng)該從何做起？

　　肖力：

　　受益于開源軟件與成熟的三方產(chǎn)品和服務(wù)的優(yōu)勢,，國內(nèi)互聯(lián)網(wǎng),、金融行業(yè)快速發(fā)展。Synopsys公司最新報告顯示,，超過90%的現(xiàn)代應(yīng)用融入了開源組件,，平均每個應(yīng)用包含超過124個開源組件,，其中49%的開源組件存在高危漏洞。

　　在傳統(tǒng)邊界安全的防護(hù)理念下,，安全是一個整體，保證安全不在于強(qiáng)大的地方有多強(qiáng)大,，而在于真正薄弱的地方在哪里,。企業(yè)邊界無限擴(kuò)大后，面臨的風(fēng)險會隨之增加,，邊界上任一節(jié)點(diǎn)的「安全性」被打破,，攻擊者就能通過這層信任鏈路，利用多種APT手段滲透到企業(yè)內(nèi)部,，竊取核心數(shù)據(jù),。

　　以往企業(yè)防護(hù)的策略，可以從梳理企業(yè)最有價值的資產(chǎn)開始,，再看資產(chǎn)面臨的最大潛在威脅是什么,，基于威脅分級、資產(chǎn)分級的方式來循序漸進(jìn)做治理,。

　　在今天這種企業(yè)架構(gòu)與軟件開發(fā)形態(tài)下,，越來越多的商業(yè)軟件、硬件設(shè)備,、開源項目被集成到企業(yè)的IT基礎(chǔ)設(shè)施中,，從而擴(kuò)大了潛在的攻擊面，讓安全防御變得越來越復(fù)雜,，以及充滿著大量「不確定性」,。攻擊不再關(guān)注你是誰，只要你與被攻擊目標(biāo)的網(wǎng)絡(luò)或業(yè)務(wù)存在關(guān)聯(lián),，就會成為重點(diǎn)攻擊對象,。

　　風(fēng)險主要來自于，首先,，并不是所有的軟硬件供應(yīng)商都會自建完善的安全團(tuán)隊,，對產(chǎn)品開展軟件安全生命周期管理來確保其安全性。其次,，三方軟件供應(yīng)商對安全的「漠視態(tài)度」,，是導(dǎo)致攻擊者頻頻入侵「輕易得手」的關(guān)鍵原因。

　　應(yīng)對供應(yīng)鏈攻擊的三大建議：

　　一,、梳理數(shù)字資產(chǎn),，建立物料清單：從最關(guān)鍵的供應(yīng)商開始，將數(shù)字資產(chǎn)納入安全評估體系,。為每個硬件,、應(yīng)用程序持續(xù)構(gòu)建詳細(xì)的物料清單,，全面洞察每個硬件、應(yīng)用軟件的組件情況,。

　　二,、慎選供應(yīng)商，全鏈路加密和驗簽：降低對第三方組件,、開源軟件的依賴,，選擇可信度較高，對安全重視的供應(yīng)商,，加強(qiáng)信任鏈路的自主安全能力,。

　　三、提升軟硬件產(chǎn)品的安全發(fā)現(xiàn)能力：通過產(chǎn)品架構(gòu),，或在產(chǎn)品設(shè)計中內(nèi)置安全性,，部署和啟用惡意軟件防護(hù)和檢測能力，提升企業(yè)在遭受供應(yīng)鏈攻擊時的響應(yīng)與恢復(fù)能力,。

　　記者：在新基建的不斷發(fā)展下,，云原生安全還有哪些不足？未來的技術(shù)發(fā)展趨勢是什么樣的,？

　　肖力：

       云安全技術(shù)乃至整個安全技術(shù),，經(jīng)10到25年的發(fā)展，已到達(dá)了一定階段,，但仍存在多項問題：

　　第一,，用戶體驗有待提升。安全產(chǎn)品或安全服務(wù)的用戶體驗是非常關(guān)鍵的,，安全產(chǎn)品應(yīng)服務(wù)于企業(yè),，當(dāng)產(chǎn)品服務(wù)與企業(yè)需求緊密結(jié)合時，其應(yīng)用性才能得到保證,。因此產(chǎn)品的易用性是非常重要的,，安全產(chǎn)品不應(yīng)只有特定的企業(yè)或安全工程師才能使用，因為不是每個企業(yè)都有專業(yè)的業(yè)務(wù)人員,。一個好的安全產(chǎn)品應(yīng)該讓每個人都可以非常便捷地使用檢測,、對抗、漏洞修復(fù),、安全防御等安全防護(hù)功能,。

　　第二，安全效果需要增強(qiáng),。隨著企業(yè)數(shù)字化,、信息化的推進(jìn)，企業(yè)的核心業(yè)務(wù)與數(shù)據(jù)都部署在信息系統(tǒng)或云端上，其安全的重要性不言而喻,。云安全的防護(hù)效果直接決定了企業(yè)業(yè)務(wù)的穩(wěn)定性和可連續(xù)性,，但攻擊方式逐年不斷迭代，因此云安全防護(hù)的性能亟需提升,；云安全是個復(fù)雜的體系,，涉及信息系統(tǒng)各個層面，需要大量科研與人才的投入,。

　　第三,，安全產(chǎn)品的碎片化問題仍需改善。目前安全產(chǎn)品在設(shè)計上仍存在突出的片面化與碎片化問題,。以隔離為主的傳統(tǒng)安全體系催生出防火墻、入侵檢測防御系統(tǒng),、WEB應(yīng)用防火墻,、統(tǒng)一威脅管理、上網(wǎng)行為管理探針,、加密機(jī)等單一化的安全設(shè)備,，導(dǎo)致網(wǎng)絡(luò)安全工作呈分散割據(jù)化，影響安全與業(yè)務(wù)應(yīng)用間的結(jié)合,。未來安全產(chǎn)品將會統(tǒng)一且高度集成,，同時得益于云計算能力的提升以及安全廠商的深厚技術(shù)積累，預(yù)計云安全產(chǎn)品將迎來重大突破,，安全產(chǎn)品的碎片化問題會迎刃而解,。

　　目前銀行、證券,、保險和央企等多個重要行業(yè)已逐步將業(yè)務(wù)轉(zhuǎn)移到云上,，未來更多的業(yè)務(wù)場景將會在云上實(shí)現(xiàn)，會形成混合云等不同形態(tài)的云,。相比自建機(jī)房,，云安全的投入開銷更小且防護(hù)性能更強(qiáng)，通過“云,、管,、邊、端”的協(xié)同,，實(shí)現(xiàn)數(shù)據(jù)傳輸速度更快,、數(shù)據(jù)處理實(shí)時性更強(qiáng)、計算環(huán)境更安全和穩(wěn)定,、定制化程度更高的業(yè)務(wù)解決方案,，具有較強(qiáng)的優(yōu)勢。

　　云原生安全發(fā)展方向，我從安全技術(shù)和理念里兩方面,，總結(jié)為內(nèi)置,、前置兩大關(guān)鍵詞。

　　第一,、內(nèi)置-單點(diǎn)的防護(hù)能力打碎重組,，融入基礎(chǔ)設(shè)施本身；

　　第二,、前置-在更上游的階段考慮安全,，樹立一個信任和一個懷疑；

　　阿里云自身的安全實(shí)踐已久,，無論基于廣義云原生還是狹義云原生概念,，面向未來的幾個技術(shù)趨勢已經(jīng)越來越清晰。

　　1. 安全成公共資源實(shí)現(xiàn)按需調(diào)用

　　大部分企業(yè)安全資源是非常有限的,，卻存在峰值流量和日常流量資源支撐差距過大的矛盾,。比如阿里巴巴自身業(yè)務(wù)，雙11無疑是一個流量峰值,，而全年業(yè)務(wù)由一個峰值+多個波峰+波谷構(gòu)成,，峰值和波谷的區(qū)別可能非常大，安全沒必要儲備了大量“糧草”處于“待命”狀態(tài),。安全能力服務(wù)化（SaaS化）,，是一個行業(yè)內(nèi)展望已久的趨勢。在云環(huán)境中,，安全可以實(shí)現(xiàn)按需調(diào)用,，業(yè)務(wù)系統(tǒng)上線只需要完成接入動作，安全保護(hù)隨之而來,。

　　2.基礎(chǔ)設(shè)施天然具備檢測防護(hù)能力

　　安全能力直接內(nèi)置在基礎(chǔ)設(shè)施節(jié)點(diǎn)中,。流量通過某些節(jié)點(diǎn)時，比如SLB負(fù)載均衡和CDN邊緣計算,，直接完成安全檢測,。同一份帶寬資源，業(yè)務(wù)提速做到無感保護(hù),。

　　遍布基礎(chǔ)設(shè)施的各安全能力節(jié)點(diǎn),，面對風(fēng)險如同開啟了 “上帝視角”， 單點(diǎn)威脅實(shí)現(xiàn)全網(wǎng)秒級協(xié)同,，提升了全I(xiàn)T環(huán)境的風(fēng)險反應(yīng)和處理速度,。

　　3.攻擊主動修復(fù)實(shí)現(xiàn)無感防御

　　十幾年前我們做安全，系統(tǒng)不行全靠手動排查,。修復(fù)過程業(yè)務(wù)不能下線,，還要做到用戶無感,，導(dǎo)致后臺的操作緩慢又痛苦。這種被迫降速,，又進(jìn)一步拉長攻擊窗口期,，提升了業(yè)務(wù)風(fēng)險。

　　云原生安全可以把產(chǎn)生問題的難點(diǎn)在IT建設(shè)的時候就思考和解決掉,，安全人員看到的是相對簡單的統(tǒng)一控制臺,，通過業(yè)務(wù)邏輯來進(jìn)行安全策略的配置，把精力聚焦到高價值的事情上,。

　　新基建對新一代信息技術(shù)的應(yīng)用,，無疑會擴(kuò)大暴露面，帶來網(wǎng)絡(luò)安全理念上的顛覆,，需要我們堅持不斷創(chuàng)新,，用新理念、新手段來解決發(fā)展中出現(xiàn)的新問題,。

　　當(dāng)云作為IT基礎(chǔ)設(shè)施,，算力成為像水、電,、煤一樣的公共資源，這其中安全意味著什么不言而喻,。我們也希望打造全世界最安全的云,，在越來越復(fù)雜中，提供越來越簡單的選擇,。