撰文｜小不董
編輯｜李信馬
頭圖｜IC Photo
?
一朵云能承擔多大的重量？如果是天上的云，那么它連一個50千克的人都承受不住，但如果放在網絡中，它所能承擔的無限大。近些年，上云的對企業(yè)的重要性在不斷提升，對于企業(yè)來說，云承擔著數(shù)字化轉型技術底座的作用，但與此同時，云上安全也成為了企業(yè)面臨的新問題。
隨著企業(yè)對云原生等技術的深度應用，多云技術架構得到了快速發(fā)展。據(jù)中國信通院《2023年混合云發(fā)展調查》數(shù)據(jù)顯示，調研的上云企業(yè)中，使用混合云的企業(yè)占比達到75.5%，并且有59.3%的企業(yè)表示預計將在未來一年內加大在混合云的投入。
“混合云具有部署靈活、成本低、最大化整合現(xiàn)有資產、促進業(yè)務創(chuàng)新等顯著優(yōu)勢，隨著數(shù)字化進程推進，已逐漸成為企業(yè)普遍選擇的部署方式?！敝袊磐ㄔ涸拼笏_源和軟件安全部副主任、中國通信標準化協(xié)會TC608云安全工作組組長孔松表示。
放眼未來，混合云因為靈活部署的特性，成本低、能夠最大化整合資產的優(yōu)勢，使得越來越多的企業(yè)加入。在信通院的調查中，所有的企業(yè)中將近有60%的企業(yè)預計在未來的一年都會增加混合云的投入。
與此同時，混合云模式下，企業(yè)想要保護好核心的云上資產，內部的團隊大多面臨著兩個問題：
- 在多云混合的場景下，面對多個需求各異的云服務商，怎么做好多個云服務商的責任管理？
- 云安全廠商提供不同的能力，需要承擔的責任也是不同的，所以給企業(yè)的責任共擔的模式也帶來了挑戰(zhàn)。
來自企業(yè)的經驗
互聯(lián)網公司中，小紅書就屬于極具代表性的多云部署企業(yè)。截止到2022年底，小紅書上的分享者數(shù)量超過6900萬，月活的用戶數(shù)量超過2.6億，筆記日均發(fā)布量超過300萬篇。
2014年，小紅書為了快速發(fā)展互聯(lián)網業(yè)務，用了第一朵云。當業(yè)務體量發(fā)展到一定程度，小紅書開始關注服務的高可用和穩(wěn)定性。當時不少企業(yè)選擇先有自建IDC，然后去用云，而小紅書選擇多云自主。
通過用多云，把流量入口分散，把服務分散在不同的云上，比如一個云或者一個VPC掛了之后，小紅書的APP不至于打不開。另外，多云策略還能夠提高小紅書的自主性：成本上不會被單個云廠商綁定提高價格，可以比價；業(yè)務上不必擔心重要活動遇到單個云廠商的資源不足，可以隨時切換到別的云上。
為了應對多云原生下的安全挑戰(zhàn)，小紅書用一套標準去給所有能力建設定目標：
- 通用性。任何一個安全能力脫離于云的基礎設施。比如HIDS是要能夠在阿里云上用，同時在華為云上用，同時在AWS上用，在所有云上都是通用的，都可以能夠實現(xiàn)。
- 一致性。一層是數(shù)據(jù)的一致性，一層是策略和防護效果的一致性。最基礎的是日志的一致性。但是對于內部的業(yè)務團隊來講，業(yè)務部署在騰訊云上和阿里云上，防護效果是不一致的，所以要進一步做到策略的一致性。
- 擴展性。“如果我們今天的流量從騰訊云80%調整成騰訊云20%，另外一個云飛速擴張，在這種情況下怎么能夠保證安全能力，它的帶寬，我們的冗余度，它的冗余度是可以快速調整的。我們所有的能力建設都是朝著這樣的目標去走的?！毙〖t書安全負責人林敏說到。
其次，把安全風險可視化同樣重要，口頭上說把安全從60分做到70分是很難理解的，這時候就需要數(shù)據(jù)化和嚴重等級分級的邏輯。
最后，保持健康狀況是很重要的一環(huán)，小紅書也在嘗試通過安全可視化去牽引整個安全風險的具像分級，給到業(yè)務方去呈現(xiàn)價值。
而在傳統(tǒng)行業(yè)，云安全也受到了更多的重視。在2023廣州國際車展開幕前，曾有媒體發(fā)起了一項隨機調研，調研的結果顯示，有超過43%的用戶將“網絡安全”和品牌、外觀、價格、續(xù)航等一起納入了購買智能汽車的首要考慮因素。
蔚來汽車的信息安全基礎設施負責人馬磊介紹，汽車行業(yè)上云面臨的安全風險可以總結為：數(shù)字化應用上云的風險、關鍵基礎設施的合規(guī)風險以及供應鏈的風險。馬磊總結了蔚來汽車如何去面對這樣的挑戰(zhàn)：
- 從傳統(tǒng)的被動防御轉化成主動；
- 持續(xù)云上風險的治理和巡檢；
- 持續(xù)的威脅暴露面管理；
- 通過數(shù)據(jù)驅動去做安全運營以及提升響應能力。
蔚來汽車的整個安全體系架構分為四個維度建設安全體系
?
- 辦公網，蔚來在國內以及海外都有分支機構；
- 公有云，也是主要合作伙伴騰訊云。蔚來汽車核心的app和一些數(shù)字化應用，包括車聯(lián)網的服務都跑在騰訊云上面和一些其他公有云；
- 自建的數(shù)據(jù)中心，跑在重要的計算集群和企業(yè)的服務；
- 整個工廠，包括整車制造和零部件的制造。
第二個層次是整個安全體系，蔚來汽車會提供安全能力或者工具來支撐整個安全的防御體系，包括云安全、主機安全、系統(tǒng)安全、整個終端和辦公網等。
最后一個層次是情報。情報對安全能力的建設，包括運營是起著非常重要的作用，特別是在戶網外，以及日?；倪\營當中。
同時，馬磊也表示提出需要在以下四方面建設云安全能力：
應該是
- 身份和憑據(jù)，大量賬號如何遵守最佳的安全設計原則，如何做權限劃分對企業(yè)來說是很大的挑戰(zhàn)，特別是憑據(jù)管理非常困難，這也是很多云上出現(xiàn)風險或者出現(xiàn)泄露時核心的關鍵點。
- 各種各樣的操作和運營審計，這種用戶、管理員在企業(yè)實踐當中有大量的運用，他們的這種操作、配置、變更行為是需要安全做審計的。
- deep?obs能力。騰訊云或者公有云廠商已經提供了豐富的API接口，作為安全運營來說，是需要充分利用好這些能力的。
云廠商
雖然不同企業(yè)遇到的問題都不同，采取的策略也不同，但目的都是保證云安全，而要做到這一點，提供基礎設施的云廠商責無旁貸。騰訊云安全產品負責人周荃認為：“我們的業(yè)務可能是多云的、混合云部署的，但是我們希望安全運營可以是統(tǒng)一的?！?/p>
周荃介紹，在多云/混合云趨勢下，越來越多的企業(yè)有統(tǒng)一安全運營的需求，近幾年，騰訊云安全也一直在推進云安全產品的“一體化”。2021年，騰訊云曾提出來云安全“3+1”防線的模型。
圖片來源：云安全趨勢暨騰訊云安全年度產品發(fā)布會
2022年，騰訊云安全發(fā)布云安全中心，打通了云防火墻、云WAF、云主機安全三道防線，實現(xiàn)了云安全產品的一體化。
今年，騰訊云安全升級發(fā)布“全域安全”解決方案，將云安全中心與主機安全合二為一，打造了CNAPP+SIEM的安全一體化平臺及可插拔式安全底座，企業(yè)可在底座上層“樂高式”搭建安全產品模塊，實現(xiàn)公有云、混合云、自研云的多云統(tǒng)一管理，以及橫跨生產網、辦公網、互聯(lián)網的三位一體防護，即“全域安全”。
圖片來源：云安全趨勢暨騰訊云安全年度產品發(fā)布會
周荃稱，騰訊云安全之所以要打通云安全中心和主機安全，是因為高效的安全運營往往是基于數(shù)據(jù)和驅動的，安全數(shù)據(jù)的收集是安全運營工作的基礎。而服務器上的業(yè)務運行數(shù)據(jù)，以及網絡側的訪問和請求數(shù)據(jù)等基本上是在主機安全和安全運營中心之上，兩個產品結合有利于數(shù)據(jù)的高效收集。
圖片來源：云安全趨勢暨騰訊云安全年度產品發(fā)布會
“我們認為，實現(xiàn)全域安全的前提是平臺化，主機安全和云安全中心融合為一體化平臺的底座，是為后續(xù)的全域融合打下基礎，同時騰訊云防火墻4.0版本、騰訊云WAF5.0也都是沿著全域安全方向進一步防護升級?！敝苘醣硎尽?/p>
另外，騰訊云安全發(fā)布的AI安全助手，覆蓋了告警解釋、漏洞修復、日志處理、智能客服等四大能力，將會在2024年1月全量正式上線。
圖片來源：云安全趨勢暨騰訊云安全年度產品發(fā)布會
據(jù)周荃介紹，騰訊云AI安全助手主要解決兩大類的需求：一類是高頻場景，即確定性的、重復的工作可以交給AI來完成，例如封禁一個IP、封禁10000個IP和封禁“過去30天攻擊過我的高危告警IP”都是確定性的事情，通過AI安全助手，企業(yè)只需要一次對話就可以完成。
第二類是硬核場景，即需要安全專業(yè)能力和經驗判斷的工作，例如告警解釋、事件溯源分析、應急響應等，都可以交給騰訊云AI安全助手來進行輔助。
生成式人工智能的發(fā)展，有可能將增強網絡攻擊者的能力，成為網絡威脅的助推器。云安全也需要與時俱新，有新的應對手段。未來面對更復雜的多云環(huán)境和攻擊手段，還需要云廠商、企業(yè)等的共同推動。
