阿里雲安全肖力：雲的六大安全基因助力企業構建智慧化安全體系

摘要： 杭州雲棲大會主論壇上，阿里雲安全事業部總經理肖力發表了《雲安全，技術驅動智慧化防禦》主題演講，結合企業的安全痛點詳細解讀了雲上安全的六大優勢，並指出了企業安全最佳實踐之道。 肖力表示，傳統的企業安全邊界正在失效，無論企業資料部署在本地還是雲上都會成為攻擊的目標，看似銅牆鐵壁的傳統安全防禦措...

杭州雲棲大會主論壇上，阿里雲安全事業部總經理肖力發表了《雲安全，技術驅動智慧化防禦》主題演講，結合企業的安全痛點詳細解讀了雲上安全的六大優勢，並指出了企業安全最佳實踐之道。

肖力表示，傳統的企業安全邊界正在失效，無論企業資料部署在本地還是雲上都會成為攻擊的目標，看似銅牆鐵壁的傳統安全防禦措施已經無法應對越來越智慧化的攻擊。基於雲的原生安全能力及安全產品和服務，能夠幫助使用者構建從基礎設施安全到應用安全的全方位多層次安全體系，保障使用者資產安全及業務穩定性。

相對於傳統安全防禦體系而言，雲上安全的先天優勢如何幫助企業構建更強壯的安全體系，肖力在會上做了詳細解讀。

雲產品的預設安全優勢

阿里雲在設計雲作業系統及雲產品時會預設加進安全理念。2017年釋出了89個基於雲產品的安全功能，所有產品在上線之前都要在產品設計、產品開發及產品交付等各個階段考慮預設安全問題。例如雲伺服器ECS在交到使用者手上時預設不對網際網路開放，只能使用者按需開放，遵循了最小許可權原則。

全方位安全隔離管控

傳統的企業網路拓撲圖一般是雜亂無章的，而業務上雲以後，基於雲構建的網路架構清晰明瞭，可以藉助雲防火牆進行東西南北向的全方位防護，進行更智慧的流量排程，實時檢測整個安全體系的威脅情況。

雲上使用者資產全面管理

以漏洞應急響應為例，傳統部署方式若發生高危漏洞，做資產盤點可能就需要花上十個小時。而安全攻防的對抗，時間非常關鍵。在雲上，阿里雲通過API將使用者所有的資產資訊甚至配置資訊、雲產品的日誌都給到使用者，讓使用者可以清晰的看到雲上資產的全部情況，儘可能縮短響應時間。

快速準確的威脅情報以及應急響應能力

基於雲平臺的全網聯動優勢，使用者可以擁有快速準確實時的威脅情報能力。以WannaCry病毒為例，在病毒爆發前28天，阿里雲就對整個雲平臺上受“永恆之藍”漏洞影響的使用者做了詳細分析，併發出安全預警，及時上線預設防禦策略。28天之後病毒爆發，全球很多企業內網遭受攻擊，而使用者幾乎不受影響。

阿里雲還為使用者提供了快速的應急響應服務，2017年共啟動了79次應急響應，一小時之內提供響應服務並上線防禦策略。

基於容災和映象快照，實現快速恢復能⼒

在容災方面，雲的基礎設施能力能夠幫助使用者以更便捷、更快速甚至更低成本的方式搭建容災系統。而映象功能為安全管理員在漏洞爆發之後及時打補丁提供了有利條件，若出現新補丁與應用系統不相容的情況，可以通過映象快速恢復，保證業務正常執行，這在傳統的安全體系下是無法做到的。

雲上智慧安全運營管理

原來運用傳統的IPS或防火牆做安全管理的時候，每天有大量的日誌報警，使用者根本無法有效使用。阿里云為使用者提供了態勢感知產品，通過精準的資料分析能力以及模型能力，能夠幫助使用者全面監控雲上所有威脅，極大地減少誤報。利用雲的基礎設施排程能力，使用者不僅可以提前預警、感知威脅，還可以實現自動化響應。

雲上智慧安全運營能力也為企業安全合規體系建設提供了便利。基於雲的基礎設施能力，可以對每一個安全控制點進行自動化的檢測合規點是否強壯和牢固，安全管理員可以很明確地知道每一天企業的安全水位。

雲上安全最佳實踐，遵循最小許可權原則

安全的最基本的原則是遵循安全最小化原則，這是安全的鐵律。

第一，正確地配置雲產品

很多雲服務提供商出現安全問題其實都是因為使用者配置授權過大導致的，所以在雲產品安全配置方面要遵循最小化原則；

第二，資料加密是解決資料安全最好的方案

阿里雲可以提供非常完善的資料加密服務，並且確認所有的金鑰掌握在使用者自己手中；

第三，開啟雲安全保護

阿里雲基於雲的基礎設施優勢，設計了雲防火牆、態勢感知等多種安全產品和服務，為使用者業務安全開啟全方位防護。

2018上半年阿里雲成為全球首家也是唯一一家審計報告覆蓋所有C5標準基礎要求和附加要求的雲服務提供商。目前承載著中國超過40%的網站，每天為使用者抵禦超過36億次攻擊，幫助使用者修復了超過648萬的高階漏洞，極大改善了中國網際網路的安全態勢。

肖力表示，我們的初衷是打造最安全的雲平臺，通過雲的原生能力和安全能力幫助更多的企業解決安全問題。