作為一個(gè)熱愛看喪尸片的女編輯，我曾被多位雷鋒網(wǎng)同事吐槽口味很重。
天啦嚕，我只是喜歡看喪尸圍城這種精彩刺激的情節(jié)，哪像有些同事去排隊(duì)搶過優(yōu)衣庫(kù)與KAWS合作T恤，這才是現(xiàn)實(shí)版“僵尸大戰(zhàn)”好么？
賽博世界的“另類喪尸臨城”也很有意思。
一種是喜悅劃過嘴角，業(yè)務(wù)量上漲，尤其如果平臺(tái)搞了大促，用戶一擁而上，這種簡(jiǎn)稱為“人肉版”DDoS。還有一種是正經(jīng) DDoS，別想了，就是有人要搞你，比如最常見的游戲業(yè)，如果一款游戲爆火，它的安全做得又那么隨意，眼紅的競(jìng)爭(zhēng)對(duì)手可能要派攻擊者來(lái)搞一把 DDoS。
這類“僵尸大軍”會(huì)堵在“門口”，不讓真正的用戶使用業(yè)務(wù)，或者頻繁無(wú)效地?fù)屨紭I(yè)務(wù)入口，搞癱系統(tǒng)?？膳碌氖?，發(fā)展到現(xiàn)在，黑產(chǎn)已經(jīng)可以用少量的帶寬打出巨量的 DDoS 攻擊，輕而易舉地把一個(gè)系統(tǒng)打趴下。
就像懵懂無(wú)知的年代，如果一個(gè)男生被欺負(fù)，可能會(huì)憤憤不平地對(duì)方說：放學(xué)你別走。然后，找一堆“兄弟”前去助陣。
一般企業(yè)平常沒有儲(chǔ)備對(duì)抗上T大流量攻擊的能力，但他們想到了一個(gè)辦法——上公有云，號(hào)召五湖四海的“兄弟”，一起抗衡超大流量的攻擊。
我們把這種動(dòng)作稱為“云化”。
換了一個(gè)環(huán)境，安全迎來(lái)挑戰(zhàn)，很多安全公司提出了自己的解法和產(chǎn)品，甲方爸爸要做的就是捋清楚自己的需求，花錢購(gòu)買安全產(chǎn)品和服務(wù)，像串羊肉一樣串好自己買的“武器”，這是一種解法。
另一種解法則是由公有云安全廠商提出，他們的理念是，既然我們提供了最好用的云，我們也要提供最好用的云安全產(chǎn)品和服務(wù)，后者的核心是“云原生安全能力”。
知己知彼
云的原生安全能力有什么不一樣？以占據(jù)國(guó)內(nèi)公有云市場(chǎng)大半江山的阿里云為例。
既然強(qiáng)調(diào)“原生”，與前一種解法的不同當(dāng)然是“統(tǒng)一”：統(tǒng)一的身份接入、統(tǒng)一的網(wǎng)絡(luò)安全連接、統(tǒng)一的主機(jī)安全以及統(tǒng)一的整體全局管理。
無(wú)論是將軍帶兵打仗，還是企業(yè)安全守衛(wèi)者與攻擊者對(duì)陣，最重要的一條兵法就是“知己知彼”。云原生安全能力中的其中三項(xiàng)能力都是為此努力。
第一，了解自己有什么，邊界線在哪里，有哪些薄弱點(diǎn)，哪里正在遭受入侵。
云的天然優(yōu)勢(shì)是“網(wǎng)絡(luò)的虛擬化調(diào)度能力”，企業(yè)可以清晰的看到自己主機(jī)東西南北向的流量，統(tǒng)一管理好自身邊界安全問題，包括對(duì)外的安全邊界以及內(nèi)部資產(chǎn)之間的安全邊界，公網(wǎng)資產(chǎn)暴露情況、端口暴露情況，甚至是正遭受攻擊的情況一目了然。
第二，如果說第一條是從自身角度出發(fā)，我們還需要知道“大局”。
云具備實(shí)時(shí)的全網(wǎng)威脅情報(bào)監(jiān)測(cè)和分析能力，打破單點(diǎn)視線的局限，知道整體環(huán)境的“變化”。但這還不夠，如果一有風(fēng)吹草動(dòng)，士兵就得出動(dòng)勘察及作出行動(dòng)，對(duì)于現(xiàn)實(shí)戰(zhàn)爭(zhēng)而言，可能還可行，但是對(duì)于網(wǎng)絡(luò)威脅而言，完全行不通，天知道浩如煙海的威脅告警中哪些應(yīng)該真正值得注意？就算人力可以分析，問題是沒有這么多人力可以實(shí)時(shí)待命，所以從發(fā)現(xiàn)威脅到主動(dòng)防御的自動(dòng)化響應(yīng)是一項(xiàng)迫切的要求。
第三，我要知道什么人是我的員工，員工是否正在干權(quán)限范圍內(nèi)的事情，但是如果企業(yè)內(nèi)部業(yè)務(wù)系統(tǒng)太多，怎么辦？當(dāng)企業(yè)擁抱云并享用SaaS級(jí)服務(wù)帶來(lái)效能的同時(shí)，基于云的統(tǒng)一身份管理認(rèn)證成為關(guān)鍵。
企業(yè)安全事件中有接近50%都是員工賬戶權(quán)限問題導(dǎo)致的?；谠频?API 化等原生能力，企業(yè)可以對(duì)身份權(quán)限進(jìn)行統(tǒng)一的認(rèn)證和授權(quán)，并可以在動(dòng)態(tài)環(huán)境中授于不同人不同權(quán)限，讓任何人在任何時(shí)間、任何地點(diǎn)，以正確、安全、便捷的訪問正確的資源。
安全的本質(zhì)是為了保障業(yè)務(wù)的連續(xù)、順利進(jìn)行，如果還能提升業(yè)務(wù)效率，簡(jiǎn)直就是享受買一送二的增值喜悅。
云原生安全能力的后三項(xiàng)是為“知彼”準(zhǔn)備的。
它堅(jiān)守的第一條準(zhǔn)則是，“我知道攻擊者一定都是時(shí)時(shí)存在，并且鍥而不舍，所以我要把自己打造得更安全”。將安全下沉到底層硬件與可信環(huán)境是一種選擇，但是困境依然是：沒人沒錢，成本高，但是云原生內(nèi)置的安全芯片就不一樣了，公有云廠商將安全芯片的底層硬件能力開放給使用者，并構(gòu)建可信環(huán)境，很簡(jiǎn)單，不需要用戶自己辛苦布人布局，且“眾籌”給公有云的成本要低很多。
第二條準(zhǔn)則是，“我知道攻擊者一定會(huì)盯上我最寶貴的數(shù)據(jù)，我知道它想要這個(gè)”。未來(lái)隨著數(shù)據(jù)安全、用戶隱私數(shù)據(jù)保護(hù)要求越來(lái)越高，全鏈路的數(shù)據(jù)加密一定是云上企業(yè)的最大需求?；谠圃僮飨到y(tǒng)的加密能力，秘鑰由企業(yè)自己保管，無(wú)論是云服務(wù)商、外部攻擊者、內(nèi)部員工沒有秘鑰都無(wú)法看到數(shù)據(jù)。
第三條準(zhǔn)則是，“我知道無(wú)論自己怎么預(yù)防，攻擊者都會(huì)來(lái)，所以我要比預(yù)防還快一步”。在云和互聯(lián)網(wǎng)模式背景下，業(yè)務(wù)的頻繁調(diào)整和上線對(duì)業(yè)務(wù)流程安全提出了更高的要求，從源頭上做好安全才能消除隱患?；谠频脑芰?，安全可以內(nèi)置到全流程的設(shè)計(jì)開發(fā)過程中，確保上線即安全。
混合云的需求
問題來(lái)了，企業(yè)上云不是一個(gè)一蹴而就的“動(dòng)作”，而是一個(gè)時(shí)間跨度比較長(zhǎng)的過程。越是大型的企業(yè)，歷史包袱越重，上云的時(shí)間越長(zhǎng)。
還有一些企業(yè)自己的業(yè)務(wù)做得好好的，本來(lái)沒有上云的需要，突然要做一些創(chuàng)新的業(yè)務(wù)需要上云。
因此，可能出現(xiàn)一個(gè)在“公有云”“私有云”“專有云”中排列組合游戲：混合云，也就是說，企業(yè)中可能有好幾朵云，那么，這與公有云的云原生安全能力所說的“統(tǒng)一”又有什么用，難道能在本地與公有云，或者幾朵云中共用一套云安全方案嗎？
有這種解法。
阿里云智能安全總監(jiān)葛岱斌說，混合云安全方案的形成其實(shí)靠用戶發(fā)展需求或者遭遇的安全事件驅(qū)動(dòng)。
【葛岱斌，每次想到這個(gè)辛苦打造的方案，他就露出蒙娜麗莎式微笑】
有一家企業(yè)用了四朵云，并用專線把四朵云打通，一天，企業(yè)發(fā)現(xiàn)自己遭遇了蠕蟲式病毒，剛開始，他只在阿里云上應(yīng)用了云安全中心，心想要不也在其他幾朵云上部署一下安全中心，看看其他云有沒有受到影響，結(jié)果發(fā)現(xiàn)其他云已經(jīng)中毒了。
這是第一個(gè)需求：能否給四朵云應(yīng)用同一套安全中心，就像一個(gè)有錢業(yè)主在四個(gè)小區(qū)都有房，業(yè)主心想：這四套房要是都由同一個(gè)物業(yè)公司管理，有一樣的安保系統(tǒng)就好了。
還有一種需求是，降低運(yùn)營(yíng)成本，保證業(yè)務(wù)的連續(xù)性，就像開頭提到的“僵尸大軍”的故事一樣，把本地接口交給公有云，扛住攻擊。
但是混合云還有“天然的基因缺陷”：不一樣的資源管理、不同的底層架構(gòu)、不一致的安全工具。
從原生能力落地的化繁為簡(jiǎn)
葛岱斌思考，混合云安全主打的云原生安全能力應(yīng)該落在四個(gè)方面。
采用混合云時(shí)，安全的邊界變得模糊不清，怎么縮小邊界？
身份成了最小的邏輯邊界。
“這時(shí)需要一個(gè)統(tǒng)一的身份認(rèn)證，到底有哪些人可以訪問應(yīng)用，如何訪問，有哪些應(yīng)用的權(quán)限。以前做法是內(nèi)外網(wǎng)分屬不同系統(tǒng)，我們希望給他一個(gè)統(tǒng)一的身份認(rèn)證體系，不管是外網(wǎng)用戶還是內(nèi)網(wǎng)用戶，無(wú)論認(rèn)證源是設(shè)在公共云還是在私有云上都可以，只要認(rèn)證一次就行?！备疳繁髮?duì)雷鋒網(wǎng)說。
就像現(xiàn)在的有些大學(xué)校園沒有圍墻，但師生進(jìn)入各類實(shí)驗(yàn)室要靠刷卡或刷臉，虛擬環(huán)境給了用戶一把更強(qiáng)大的“鑰匙”：只要認(rèn)證一次，就被系統(tǒng)記住，更加便利。
除了將身份變成邊界，還可以把邊界擴(kuò)大到“無(wú)垠”：專有云和私有云不需要有互聯(lián)網(wǎng)的暴露面，將所有流量入口放在阿里云上，無(wú)論是內(nèi)部員工還是外部用戶，訪問的都是阿里云的接口，雖然用戶和攻擊者都不知道流量已經(jīng)悄悄回到了企業(yè)內(nèi)部的IDC中，暴露面降低，則安全風(fēng)險(xiǎn)降低。
“以前設(shè)置一個(gè)DMZ區(qū)（邊界區(qū)），所有的流量經(jīng)過這個(gè)DMZ區(qū)，但是現(xiàn)在流量全部從阿里云過來(lái)，相當(dāng)于把邊界交給了阿里云，阿里云是你的邊界，我只要把阿里云的邊界做好。”面對(duì)潛在的攻擊者，葛岱斌祭出“虛晃一招”，企業(yè)則從原來(lái)“雇了幾個(gè)保安”轉(zhuǎn)變到將安保工作交給了“安保公司”。
這一招也叫作“統(tǒng)一接口”。
有些用戶有自己的機(jī)房，后來(lái)因?yàn)闃I(yè)務(wù)需求把一部分業(yè)務(wù)放到公有云上，還有的用戶有幾萬(wàn)臺(tái)分布式的服務(wù)器，如果云上有一套安全系統(tǒng)來(lái)管理安全，線下服務(wù)器的安全怎么管理？幾個(gè)地方的服務(wù)器怎么管理？
就像前面提到被蠕蟲病毒侵蝕的四朵云的用戶，服務(wù)器的安全其實(shí)可以被統(tǒng)一起來(lái)，無(wú)論線上線下，通通交給云安全中心。還可以把探針部署到其他云平臺(tái)上做統(tǒng)一的檢測(cè)，做統(tǒng)一的響應(yīng)，因?yàn)橹灰性频?API 接口也開放了，云安全中心就可以調(diào)用 API 做響應(yīng)。
和想要由同一個(gè)物業(yè)來(lái)管理自己四套房子的房主一樣，安全管理也可以統(tǒng)一，不過，有些政企用戶的考慮是，大部分資產(chǎn)在線下，只有少部分資產(chǎn)在云上，如果使用統(tǒng)一管理平臺(tái)，干脆直接將控制臺(tái)從云上搬到云下也是可選的選項(xiàng)。
“我們想要做的就和整個(gè)阿里巴巴的理念一樣，讓天下沒有難做的生意，讓天下沒有難做的安全運(yùn)維。”葛岱斌對(duì)雷鋒網(wǎng)(公眾號(hào)：雷鋒網(wǎng))說。
說白了，這一套混合云安全方案的直接目的并不是像安全服務(wù)提供商一樣做可以掙錢的安全方案，而是讓阿里云飄得更遠(yuǎn)，被云覆蓋的用戶以更低的成本、更少的專業(yè)安全人員、更輕盈的方式獲得更大的安全。
天下武功路數(shù)紛繁，阿里云安全想做的，是化繁為簡(jiǎn)，更少地向?qū)κ直┞丁氨∪趺妗钡耐瑫r(shí)，打破威脅情報(bào)、數(shù)據(jù)、運(yùn)維的藩籬，登泰山頂，眾山動(dòng)向一覽無(wú)遺。
賽博世界如同戰(zhàn)場(chǎng)，隨時(shí)面臨威脅，沒有人可以做到永遠(yuǎn)安全，但安全可以更簡(jiǎn)單。
