阿里云肖力：数据智能驱动安全技术

　　2020年9月17日至18日，年度云栖大会如约而至。在疾病爆发加快数字化转型的大背景下，云原生以高可视性为各行业带来更加动态、多变、高效和有活力的架构。云本安全有哪些优势，能否解决线下业务场景的安全难题？在阿里巴巴集团副总裁、阿里巴巴云安全总经理肖力的带领下，阿里巴巴公司首位安全工程师以“云提速，安全创新”为主题作了主题演讲。

　　肖力认为，上云是提升云安全级别的最佳选择，创新的云原生安全，能够为企业用户打造“云绿洲”。通过更合理的数据存储，数据可以从物理数据中心安全存储到核心云平台安全存储，以及与云平台无缝结合的云安全能力…企业原本需要独立、完整地承担安全责任，转移到阿里云平台，低损耗带来更高的安全性。

　　云本安全的“上游思维”

　　云计算安全的经验非常稀少，成本也非常高，阿里巴巴花了数年的时间总结出行业领先的最佳实践。云端安全构建，其最核心的变化在于：将传统安全区分开来只能被动响应，云端基础架构的变化，让安全有能力开始上游解决问题。以传统安全思想为指导，构建新环境下的安全控制，无疑大大削弱了云的优势。

　　云本安全，具有从硬件层渗透的最高级别安全能力，打造全环境、全生命周期的可信环境。从用户的角度看，层次也会改变，安全产品也会随之改变。用户基于云本地能力构建企业安全体系结构，只需选择服务就能达到他们自己的安全目标，安全产品不再外挂，安全能力打通。

　　云端是一个更安全的“绿洲”环境，它能自动帮助用户解决同质化和复杂的安全问题，让用户专注于更有价值的问题。

　　*下面是对这次讲话原文的整理：

　　此次暴发对各行各业的影响都很大，今年上半年，工业部门正在加快数字化进程。一是越来越多的行业用户喜欢云计算，喜欢阿里云；二是我们看到网络安全已经进入了企业最关心、最需要解决的三大问题。阿里云平台上有许多政府客户，金融客户，利用云安全的核心能力来构建下一代安全架构。下一步，我们将重点向大家介绍，目前阿里云安全深入到哪些技术领域，哪些云具有本地安全能力，以帮助企业更好地解决过去难以解决的安全问题。

　　两小时后扩展到10,000个服务器。

　　Security默认覆盖**

　　今年2月的疫情爆发，钉钉公司承担了数百万在线教育和数亿在线办公用户的责任。钉子只花了2个小时，就可以在面对指数级爆发的流量时扩展到10,000个服务器。在传统体系结构中，这种速度、安全实现全覆盖是不可能完成的任务。网络攻击会导致网络会议、网络视频等中断，用户隐私数据泄露的风险也随之增加。通过云本地的安全服务能力，钉钉迅速介入到云抗D、云WAF等多种安全防护组合，保证了钉钉稳定运行。

　　想象一下，如果在传统安全离线场景中，钉钉这样的企业部署如此庞大的安全设备，每台设备都需要上架、调试，包括链路上的串联，以达到防御性效果，我认为至少需要一个月的时间。然后就可以实现云安全服务，使整个业务达到小时级、安全能力快速扩展，提供实时服务，为业务保驾护航。

　　*安全能力融入基础结构。

　　0赎金解决软件勒索问题**

　　常规的企业安全体系结构中包含大量的设备连接，是一个非常复杂的网络。大企业甚至有上百个安全设备在线下串联到网络上，可想而知，这里面会遇到多大的整个安全设备链路连接问题。这样就造成了全面管理的问题和安全能力的数据孤岛问题。而且云端安全功能可以直接集成到云端产品中。例如，云本机安全能力与CDN及负载均衡SLB进一步融合，用户在使用时，无论是接入性，还是整体管理，安全能力都会得到进一步提升。

　　阿里巴巴有一个自己的系统叫做统一访问层。从这个层面来看，我们把安全性融入到系统中，所有的经济、商业系统在上线时，只要能够统一接入系统，安全性就会随之产生。这一新的安全措施对于商务当事人来说，也是十分方便，方便，减轻了大量的工作量。在这半年中，勒索软件的攻击实际上非常猖獗，增长了72%，而黑客们通过对企业的数据进行加密来获利，这已成为企业面临的最大威胁之一。

　　佳明(Garmin)是世界著名的GPS公司，最近发生了一起安全事故，导致全球用户无法使用，服务中断。佳明的相关资料被勒索软件加密，并开出上千万美金的赎金。最后，佳明公司通过交付赎金来解密数据，恢复了服务，但是损失很大。

　　阿里云的防敲诈方案，就是整合安全功能和整个基础设施云产品，对敲诈软件进行检测和保护。通过使用容器镜像快照功能，用户可以创建此安全方案。即使探测和防御能力受到挑战，存在着一些对用户数据进行加密的未知蠕虫，阿里云防勒索方案的用户可以通过镜像快照快速恢复数据，而无需支付赎金。

　　在安全能力和技术支持云产品进一步融合的情况下，我们也看到许多这样的场景，这会产生更大的化学反应。

　　*降低硬件安全性，打击固件攻击。

　　高级安全防护**

　　就在几个星期前，英国的网络安全中心发布了一份报告，指出有组织地针对新冠状病毒疫苗的研究机构。它们所采用的方法，是通过替换网络中所有VPN服务器的固件，长期控制边界网络。

　　而且众所周知，这种基于固件的攻击，很难被系统层安全软件发现。在安全对抗中，低维高维效果最好，越底层的探测能力和防御能力对越上层的攻击效果越好。

　　阿里云的硬件安全能力，在系统启动时支持安全检测，能有效地发现这类高安全性后门和木马。我们期望通过阿里云硬件这一层的高安全性，为所有云上的用户提供高安全性的保护，这样的例子不胜枚举。

　　使身份成为新的安全边界。

　　建立无信任的网络环境**

　　随着业务日益复杂化，传统的网络边界访问控制包含隔离，启用身份将成为企业新的安全边界，并将成为构建新型安全的核心维度之一。此次疫情中，80%的企业选择远程办公，而安全挑战包括员工在家里的终端的安全、整个办公网络的安全、云应用系统的数据泄露风险……这些都是企业面临的巨大挑战。

　　阿里有一个客户叫猿辅导，作为网上教育的龙头企业，暴发期间很多员工都在家里办公，全球有超过3万名员工，需要统一远程管理。在经过多次生产环境验证后，猿辅导最终选择了阿里云的全套零信任远程办公解决方案。

　　阿里云零信任方案对各员工终端进行可信认证，对各用户的身份进行双因素强认证，云端决策引擎打通各核心应用后台，实现统一标识，统一授权。云智能决策引擎还能根据当前的安全因素，判断给每个用户什么样的相应权限，实现了办公效率、员工的体验感和安全等级的全面提升。

　　*数据的默认加密密钥轮转。

　　使隐私泄露变得不可能

　　云端数据安全必须引起所有企业的高度重视，默认的数据加密是数据安全的明显趋势。本文介绍了一家国内手机厂商。每个人手机照片都会有云，这对于个人来说肯定是很重要的隐私数据。移动电话提供商在我们OSS的云产品上存储云端数据，用户通过OSS默认加密功能进行操作。

　　所有的云端的用户隐私照片存放在阿里云OSS上面的时候，都是默认加密的，所有的密钥都是由客户自己来保管。这样子有效防止了云端的数据泄漏后会造成的所有的安全隐患。我们当前在17款云产品当中都支持了默认加密的功能，同时提供密钥轮转的功能，用户可以通过密钥管理系统来自主管理密钥，而且一旦云端密钥泄漏，可以进一步通过一键密钥轮转来提升云端数据安全性。

　　数据智能驱动安全技术

　　原来，企业遇到的安全挑战在于数据量太大，在海量的流量中需要有效地发现威胁，精准的检测出威胁在哪里，第一时间进行拦截。而阿里云把数据技术应用在了多个安全方面的领域，带了很好的效果。

　　我们在DDoS防御、Web安全防御当中，通过算法模型能够非常精准地识别攻击流量、进行阻断。在威胁情报方面，阿里云可以识别全网的恶意IP，自动化地分析威胁，自动化地产生“安全疫苗”。内容安全以及风控的场景，通过对图像、视频的分析和理解，帮助用户在业务上面识别涉黄、涉恐、涉暴的违禁内容，以及对用户进行视频的实人认证等等。这些是过去一年实践中总结出的云原生安全“六点核心优势”，基于很多已经落地的安全产品能力和框架，今天我也重点发布阿里云原生安全架构。

　　每个企业可以基于这个架构，根据自己的业务需求、业务场景特点来构建基于云的下一代创新安全架构。整个架构会分为三大层面：

　　第一个层面：云平台安全

　　阿里云使用硬件安全能力和全局云平台的威胁检测和响应能力，来打造更安全的云平台底层。

　　第二个层面： 云产品安全

　　安全能力和安全威胁建模能力在产品设计阶段，就已经被融入到产品的开发流程当中。

　　所有代码上线前确保是安全的，给到用户一个安全的云产品。

　　第三个层面：内置原生安全

　　在主机层、网络层、应用层甚至在数据层、业务层，各个层面上将安全能力融合成场景化的解决方案，提供给各行业用户。

　　今天毋庸置疑，无论是IDC 、Gartner、 Forrester等国际第三方咨询机构全线领导者象限的认可，还是国内外行业头部用户的选择，阿里云安全已经是云安全的领导者。

　　阿里巴巴全栈上云，我们一方面基于云平台、云原生的安全能力帮助各业务主体去解决好安全问题；另一方面，也希望通过云平台，让云上的数百万级用户能够享受到跟阿里巴巴同等安全能力的保护。

　　云演进到今天，底层基础设施变化给安全带来了天翻覆地的变化，我相信未来所有的企业都会在云上享受最高等级的安全。

　　云安全领域会有更多的创新的涌入，那我也期待通过云原生的安全能力，来协助用户构建下一代的安全架构，使用云更要驾驭云，在“云上绿洲”充分释放企业的商业竞争力！