5月18日，第八屆中國云計算大會在北京國家會議中心召開，本屆大會設立了四大主題，分別為：“VISION遠見”、“PRACTICE實踐”、“INNOVATION創(chuàng)新”和“FRONTIER前沿”，呈現(xiàn)出云計算大數(shù)據(jù)產業(yè)從萌芽到發(fā)展至今的歷程。

　　隨著云計算的發(fā)展，安全越來越成為云計算應用順利落地的重中之重。云計算為大數(shù)據(jù)提供了存儲、傳輸和計算的平臺，大數(shù)據(jù)也為云計算安全提供了監(jiān)測、分析等方面的支持。5月19日下午，由中國電子學會主辦、ZD至頂網(wǎng)協(xié)辦、烏云和《中國信息安全》雜志社提供論壇支持的“云計算大數(shù)據(jù)安全論壇”召開。論壇聚焦云計算大數(shù)據(jù)安全話題，邀請云計算大數(shù)據(jù)安全專家、云安全提供方及云計算用戶、白帽子現(xiàn)身說法，一起交流云計算大數(shù)據(jù)安全的實踐經(jīng)驗。

　　會議由中科院信息安全國家重點實驗室翟起濱教授主持，同時他也是第一個演講者。下面我們分享每個演講者的精華部分。

 

　　現(xiàn)在的互聯(lián)網(wǎng)已經(jīng)由一般的Internet慢慢發(fā)展成網(wǎng)際空間，云計算的出現(xiàn)是社會的需要。Gartner曾經(jīng)預測，大數(shù)據(jù)分析的問題會越來越多，大規(guī)模的數(shù)據(jù)需要被有效關聯(lián)分析和挖掘，未來將出現(xiàn)安全平臺，需要大量的信息工程師。

　　在RSA2015、2016年產品博覽會上，很多公司現(xiàn)場表演砸掉原來生產的盒式安全設備。這是什么原因？云計算和大數(shù)據(jù)將我們推向智能的機器時代，智能設備的發(fā)展速度大大超出人們的預測，給網(wǎng)際空間帶來層出不窮的安全問題，按照原來的方式處理安全問題已經(jīng)落后了。

　　我國三大運營商在各地密集建設大數(shù)據(jù)和云計算中心，有關數(shù)據(jù)顯示僅中國電信一家的數(shù)據(jù)中心數(shù)量超過330個，占全國50%以上的份額，云計算核心是數(shù)據(jù)，本質上是軟件和服務，云計算絕對不等于建設數(shù)據(jù)中心。

　　李克強總理最近講信息數(shù)據(jù)深藏閨中是極大的浪費。政府信息公開不是單純的信息發(fā)布那么簡單，而是關系國家治理現(xiàn)代化的一項基礎性工作。身處大數(shù)據(jù)時代，最大限度發(fā)揮政府信息數(shù)據(jù)滿足需求、解決問題的效用，才是信息公開未的基點所在。云計算、大數(shù)據(jù)發(fā)展過程中社會意識形態(tài)要跟著改變。

　　現(xiàn)在更多的個人和企業(yè)都開始使用云，但近幾年移動、互聯(lián)網(wǎng)、大數(shù)據(jù)的發(fā)展給云計算數(shù)據(jù)中心帶來很多安全考驗，我們要從物理安全、計算安全、網(wǎng)絡安全、危機分析防護等一系列的問題進行探討。

　　首先是云計算基礎安全架構，包括云平臺整體的架構安全和云平臺的虛擬化安全。云平臺的整體架構安全包括物理架構的安全和云平臺虛擬架構的安全。在云平臺架構安全設計中，我們將網(wǎng)絡安全數(shù)據(jù)資源化，安全設備資源池化更有彈性，這樣能滿足云平臺彈性伸縮的架構。整個設計要基于全局可管控的角度設計，要把虛擬網(wǎng)絡、web網(wǎng)絡、物理網(wǎng)絡做整個梳理。其次就是物理平臺的架構，整個網(wǎng)絡設計都是全冗余的，這樣出現(xiàn)問題的情況下所有網(wǎng)絡數(shù)據(jù)可以自動切換達到高可用的目的。

　　云平臺虛擬化安全一個是CPU虛擬化，一個是內存的虛擬化安全保證，其次是存儲和網(wǎng)絡虛擬化安全保證。

　　數(shù)據(jù)中心要建立統(tǒng)一的監(jiān)管控制平臺，所有網(wǎng)絡的進出，流量的信息，包括訪問信息必須要能夠看到，因為用戶種類不同，需求不同，數(shù)據(jù)類別太多，我們要防患于未然，數(shù)據(jù)信息必須可控。

　　今天我跟大家分享的是對于大型互聯(lián)網(wǎng)企業(yè)如何進行安全防護的問題。云時代的安全威脅會涉及到各種各樣的攻擊，如DDOS、中間人加密攻擊、網(wǎng)絡劫持、旁路攻擊、驗證攻擊等，所以云時代的安全已經(jīng)是一個非常緊迫的事情，尤其在大數(shù)據(jù)非常普及的現(xiàn)在，我們每個人的私有數(shù)據(jù)都在云上存儲的時候，這些數(shù)據(jù)的安全性就變得非常至關重要。

　　云時代數(shù)據(jù)安全存在哪些挑戰(zhàn)？分布式存儲：現(xiàn)在海量的數(shù)據(jù)分布在網(wǎng)絡當中，相應的安全性也是分散的，任何一個地方都有可能造成數(shù)據(jù)的泄露，所以對安全技術要求很高。非關系性的數(shù)據(jù)：原來數(shù)據(jù)是結構性，現(xiàn)在90%以上都是非結構數(shù)據(jù)，比如說文本、圖像，怎么進行保護是我們面臨的問題。還有數(shù)據(jù)隱私，電商有很多的數(shù)據(jù)，涉及到數(shù)據(jù)加密、存儲、限制獲取，在此日志非常重要，是做安全的最寶貴的數(shù)據(jù)，我們可以通過這些數(shù)據(jù)反映當時的情景。數(shù)據(jù)審計，數(shù)據(jù)肯定經(jīng)過一個處理的過程，所以要對數(shù)據(jù)進行實時的處理，這需要龐大的集群來做。數(shù)據(jù)源控制，數(shù)據(jù)放在數(shù)據(jù)庫當中，再到數(shù)據(jù)分析系統(tǒng)中去，傳輸過程可能被劫持，涉及到泄密的可能。

　　我們認為高級可持續(xù)性攻擊靠現(xiàn)在傳統(tǒng)安全的手段無法阻擋，因為攻擊變得越來越多樣化，漏洞也越來越多，比起攻擊來說防范困難得多�，F(xiàn)代的安全防范手段應該是是全局性、立體性而且是感知性的。作為電商，大數(shù)據(jù)分析的方法會幫助我們提高整體的安全體系，我們能知道數(shù)據(jù)是否處在危險當中或者有泄露的可能，可以通過大數(shù)據(jù)方式對蛛絲馬跡進行完整的分析。

　　創(chuàng)業(yè)型企業(yè)對公有云非常歡迎，原因一是按需交付，二是有資源池，三是網(wǎng)絡訪問便捷。這些企業(yè)面臨著激烈的市場競爭，一般公司規(guī)模不太大，而且?guī)缀鯖]有專職的安全運維人員，這是他們很明顯的痛點。

　　對企業(yè)安全的方法論，第一個叫做七分技術，三分管理，其實我覺得這并不是一個標準答案，但是它是可以參考的框架。管理的作用是在控制對象比較多的時候，通過一個政策一次性的控制所有的控制對象，這是管理的巨大價值。但是如果管理的對象是一個規(guī)模較小的創(chuàng)業(yè)公司，我更傾向用技術解決問題。當企業(yè)發(fā)展到一定程度是，需要用管理制度去經(jīng)營改善問題。第二是安全的可度量和可視化，我相信很多公司都在通往這條路的路上，這可以讓你的安全是可度量的。第三個是安全開發(fā)生命周期，從最開始的安全培訓，到需求、設計的評審，到編碼過程、測試、發(fā)布、運營整個流程，都要關注安全。第四是做好事前免疫、事中攔截和事后追溯、解救。這是做安全很重要的理念，安全沒有辦法一招就把黑客拒之門外，要做好事前事后的每個環(huán)節(jié)。最后就是縱深防御，企業(yè)安全領域最底層。進不來、找不到、拿不走、看不了、能發(fā)現(xiàn)，這就是企業(yè)安全方法論，也是執(zhí)行層需要去做的事情。

　　發(fā)展的企業(yè)適合上云，云上的安全和傳統(tǒng)安全有很多差異，一是成本降低，二是效率提高，三是提升體驗，最后能力加強。

　　根據(jù)我們在政府企業(yè)和云計算包括大數(shù)據(jù)中心建設的實踐，我們總結了一些經(jīng)驗，政府和企業(yè)過去積累下來很多不同的應用不同的系統(tǒng)，這些怎樣有機的去跟云計算和大數(shù)據(jù)的技術做一個有效結合，能夠充分利用云計算大數(shù)據(jù)給我們帶來的隨需而變的便利，是政企客戶面臨的問題。

　　具體到政企大數(shù)據(jù)云中心有這四個目標，第一個是彈性+定制，要考慮彈性、定制化、可用性、安全性、性能等諸多關鍵要素，在我們這邊彈性不僅僅是一朵云，我們可以管理下面幾朵同構或者異構的云。定制靠中間件，針對客戶管理上或使用上的需求做一些定制和對接。

　　第二安全可信，我們通過等保三級的流程和規(guī)范進行管理，同時通過可信技術如TPM2.0提高系統(tǒng)安全性，還對敏感數(shù)據(jù)進行加強防護和安全滲透測試。

　　第三是技術可靠，要用技術手段來保證系統(tǒng)本身具有高可用性，如分布式存儲，數(shù)據(jù)三倍冗余，主機保護，專業(yè)備份等。

　　第四是專業(yè)運維，建好了不代表你用起來沒有問題，在后期從建設轉化到運維時，我們要能夠持續(xù)保障業(yè)務系統(tǒng)能夠運營下去。

　　在黑客的行為模式里，當我們今天要做的不是偵測已知而是防范未知的話，我必須知道黑客怎么想怎么做，這樣我才能防護到每一個點。大部分黑客在系統(tǒng)能夠做的行為，總歸起來只有三十幾種固定的模型，今天只要能夠在系統(tǒng)里監(jiān)控這三十幾種模型，不管病毒怎么變，不管用什么方法進來的，最后做的操作行為。我們都可以察覺到，更好的進行防護。

　　云數(shù)據(jù)安全第一個是零信任，在2009年業(yè)界提出的一個新概念是零信任，不能信任任何一個區(qū)域，因為攻擊現(xiàn)在不一定是從外部進來，特別是在云里，安全需要更加細分，不僅有防火墻這樣的監(jiān)控設備，還需要有橫向保護。第二快速敏捷是云帶來的最大優(yōu)勢，運用云平臺大數(shù)據(jù)作關聯(lián)分析，可以讓我們看到隱藏的威脅，進行分享，甚至實時把學到的行為變成可以在新一代安全設備里面實施的策略，快速回到設備加強自我的狀態(tài)。

　　云計算還有一個問題是要考慮誰負責誰的安全。我們都認為云平臺運營商應該擔負起安全責任，但業(yè)界有好幾起OpenStack的平臺被黑掉，甚至所有資料被抹掉。作為用戶需要確保我在云里面安全策略和我在企業(yè)里面是一模一樣的，有沒有一套機制確定達到100%的轉換，到底安全不安全。

　　作為甲方來說，面對安全需求的時候不可能完全靠硬件去做，我們不可能把所有產品線產品流量都往云上遷移，所以我們必須做自己的云WAF，這是公司內部的安全要求，防黃牛、防刷票、防掃號、防爬蟲一些業(yè)務需求我們都可以自己防護。還有一個難點就是系統(tǒng)里存在很多不同的操作系統(tǒng)，我們通過集中式的平臺來防護，不需要每一臺都部署。

　　不管是業(yè)務需求還是應用安全需求，目前來說基于規(guī)則的準確性更高。那么規(guī)則語言從哪來？首先最開始的核心規(guī)則來源是從開源獲得，我們把它從外部收集回來以后內部進行一些調整。其次通過日志流量鏡像的方式進行規(guī)則使用的實時計算，第三步將實時計算結果進行分析，第四我們會將故報率低、漏報率低的規(guī)則才會考慮放進WAF當中。所以我們要檢測具有什么特征的流量，都會用這套系統(tǒng)先去計算，再把規(guī)則加進去。對一些維度的統(tǒng)計我們有一個分數(shù)計算，分數(shù)越高證明IP獨立攻擊的危險度越大，后面將這個規(guī)則手動與WAF進行聯(lián)動。因為WAF并不是萬能的，它也可以被繞過。

　　現(xiàn)在系統(tǒng)每天差不多收到幾十億的請求，每次處理大概0.2毫秒的時間，每天攔截數(shù)百萬次的攻擊，誤報率低于千萬分之一，我們可以結合自己的業(yè)務特征，做成白名單，讓誤報率降低，同時不會放過真正的攻擊。我們將來計劃進一步提高自動化，通過機器學習和前端的實時計算，能夠做到無人值守，讓它可以自動識別可疑訪問。

　　在上世紀80年代到90年代，中小企業(yè)面臨的終端安全威脅最主要的就是病毒，本世紀初，計算機蠕蟲傳播影響很大，到2006年的時候木馬數(shù)量顯著增加�，F(xiàn)在對企業(yè)安全構成最大影響的是惡意軟件，如現(xiàn)在比較流行的加密勒索軟件。

　　勒索軟件本身不是很新的概念，但從2013年開始增長迅速，有三個原因：首先它從投入產出比來看利潤非常豐富，勒索軟件只是一個簡單的加密程序；制作成本很低，甚至有一些勒索軟件是開源的；最后是需要的能力低，沒什么能力的犯罪分子也能完成傳播的服務，從而受益。此外APT的威脅也越來越嚴重，APT威脅是一種未知威脅，非常復雜難以檢測，沒有辦法建立有效的檢測規(guī)則，沒有辦法把檢測能力實施到產品中去，破壞力強，影響嚴重。

　　我們對此有一套應對策略，未知防御、全網(wǎng)追溯、定點清除，主要適用于中小企業(yè)以及對安全要求非常高的部門。我們首先對不同企業(yè)使用的黑白名單，建立單獨的安全基線，保證網(wǎng)絡設備的安全運行。同時進行深度威脅鑒定，通過前置沙箱發(fā)現(xiàn)里面的漏洞利用和可疑行為，讓有問題的未知程序都不能執(zhí)行。還有全網(wǎng)追溯，一旦發(fā)生事件，可以在內網(wǎng)進行追溯，管理員可以根據(jù)某一種機制進行定點清除。對勒索軟件我們有文檔跟蹤備份，利用云存儲的優(yōu)勢來進行。我們把防御這套思路以一種SaaS模式提供服務。用戶在終端安裝程序，所有服務在云端上，可以省去很多環(huán)節(jié)。

　　企業(yè)安全的本質是數(shù)據(jù)安全，互聯(lián)網(wǎng)本質其實是信息互聯(lián)的概念，信息本質也是數(shù)據(jù)，所以企業(yè)安全的核心其實就是數(shù)據(jù)安全。云給企業(yè)安全帶來的變化是數(shù)據(jù)的邊界正在消失。由于云計算的普及，大量客戶的數(shù)據(jù)已經(jīng)從個人終端向云平臺做遷移，這使得數(shù)據(jù)安全將更多關注整個云平臺的安全。

　　云平臺安全出問題會導致用戶核心數(shù)據(jù)的風險。例如有一些企業(yè)開始接入企業(yè)辦公的SaaS平臺，如財務、人事，導致原本在內部的數(shù)據(jù)同步到了云端。所以對于這些企業(yè)來說，數(shù)據(jù)的安全已經(jīng)不是內網(wǎng)、辦公網(wǎng)的網(wǎng)絡安全，而是云平臺是否安全。

　　現(xiàn)在很熱的“互聯(lián)網(wǎng)+傳統(tǒng)行業(yè)”的業(yè)務，像互聯(lián)網(wǎng)醫(yī)療、互聯(lián)網(wǎng)金融、P2P相關企業(yè)、出行服務這些場景，有一個很明顯的特征，他們的互聯(lián)網(wǎng)業(yè)務處于起步階段，關注的是企業(yè)生存問題，對安全的需求較高，但自身能力可能不足，不知道該怎么去做，以及找不到合適的人才。這樣一個大背景下我們要思考能否提供更好的解決方案。

　　新的解決方案，首先要做一個精細化的資產管理，其次對當前資產和服務做風險監(jiān)測，接下來才能做整個安全的建設。我們結合烏云本身社區(qū)的優(yōu)勢，將近幾年積累的近20萬的漏洞，2萬名的白帽子，把安全能力輸出給企業(yè)。另外社區(qū)還有一塊是對全球威脅情報的收集，依賴社區(qū)的力量涵蓋到最新的風險。

　　最后我們要對企業(yè)的安全做持續(xù)的保障，首先做一些周期性的檢測，根據(jù)業(yè)務更新進行風險檢測。其次進行持續(xù)的風險管理，風險分析，幫助企業(yè)了解當前的安全狀況，未來的趨勢。