在企業(yè)安全意識(shí)和能力提升的進(jìn)程中，伴隨著企業(yè)上云的數(shù)量和規(guī)模越來(lái)越多，他們對(duì)于在云上如何保護(hù)業(yè)務(wù)系統(tǒng)和提升安全防護(hù)水平更加關(guān)注。在剛剛結(jié)束的2017云棲大會(huì)深圳峰會(huì)的安全專場(chǎng)中，參會(huì)者擠滿了會(huì)場(chǎng)，這些阿里云的客戶來(lái)聽(tīng)的正是如何在云上做好企業(yè)安全
重視對(duì)安全投入的云服務(wù)商無(wú)疑將會(huì)贏得客戶的青睞，在中國(guó)，雖然企業(yè)對(duì)于安全的采購(gòu)比例占整體IT采購(gòu)比例的份額非常低。但隨著企業(yè)安全意識(shí)的轉(zhuǎn)變和等保合規(guī)等政策的要求愈加嚴(yán)格、《網(wǎng)絡(luò)安全法》的即將落地等，可以預(yù)期，中國(guó)企業(yè)安全環(huán)境將快速改善。
在企業(yè)安全意識(shí)和能力提升的進(jìn)程中，伴隨著企業(yè)上云的數(shù)量和規(guī)模越來(lái)越多，他們對(duì)于在云上如何保護(hù)業(yè)務(wù)系統(tǒng)和提升安全防護(hù)水平更加關(guān)注。在剛剛結(jié)束的2017云棲大會(huì)深圳峰會(huì)的安全專場(chǎng)中，參會(huì)者擠滿了會(huì)場(chǎng)，這些阿里云的客戶來(lái)聽(tīng)的正是如何在云上做好企業(yè)安全。
實(shí)際上，阿里云是對(duì)安全進(jìn)行重力投入為數(shù)不多的幾個(gè)云服務(wù)商之一，基于此，這也成為其吸引越來(lái)越多的國(guó)外大型客戶入駐阿里云的重要原因。
阿里云為客戶提供了一整套安全產(chǎn)品和服務(wù)，阿里云安全專家蘊(yùn)藉在2017云棲大會(huì)深圳峰會(huì)安全專場(chǎng)中對(duì)其進(jìn)行了詳細(xì)解讀。
阿里云安全體系
由于云區(qū)別于傳統(tǒng)的IT形態(tài)，阿里云提出安全責(zé)任共擔(dān)模型，阿里云負(fù)責(zé)云平臺(tái)基礎(chǔ)安全防護(hù)，用戶負(fù)責(zé)虛擬化層以上的組件安全、業(yè)務(wù)安全等，這也符合國(guó)家等保政策的要求。云平臺(tái)基礎(chǔ)安全防護(hù)方面不是本文的重點(diǎn)，實(shí)際上對(duì)于如此規(guī)模和技術(shù)實(shí)力的服務(wù)商來(lái)說(shuō)，攻擊者想要突破其底層平臺(tái)防線并不容易，過(guò)去還沒(méi)有這樣的事件發(fā)生。并且，去年阿里云也成為全國(guó)首家云等保試點(diǎn)示范平臺(tái)，尤其金融云通過(guò)測(cè)評(píng)成為全國(guó)首個(gè)四級(jí)云平臺(tái)。
云上安全，阿里云能為你做什么？
阿里云安全體系
那么，對(duì)于企業(yè)用戶可控和可操作的安全來(lái)說(shuō)，阿里云又為其賦予了哪些能力？
蘊(yùn)藉表示，阿里云為用戶提供了安全管理、系統(tǒng)安全、業(yè)務(wù)及內(nèi)容安全三大安全能力，這三大能力來(lái)源于阿里云安全的三大策略，一是云盾SaaS安全服務(wù)、二是云產(chǎn)品安全功能、三是云安全生態(tài)彌補(bǔ)租戶更豐富的安全需求。
阿里云安全產(chǎn)品及服務(wù)
安全管理包括云賬號(hào)安全管理及訪問(wèn)控制、安全審計(jì)和遠(yuǎn)程運(yùn)維，它們大多源于云產(chǎn)品本身的安全功能，值得一說(shuō)的是這些常常被中小客戶所忽略，例如為特權(quán)用戶開(kāi)啟雙因素認(rèn)證、使用授權(quán)條件限制來(lái)增強(qiáng)安全性、不可信設(shè)備必須使用臨時(shí)訪問(wèn)令牌等，所以要避免安全管理不當(dāng)而成為攻擊者的突破口。
阿里云提供的系統(tǒng)安全包括了網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全、安全態(tài)勢(shì)感知等多方面安全服務(wù)，這其中許多安全服務(wù)均提供免費(fèi)版本，租戶如果要獲取更高級(jí)的防護(hù)能力和服務(wù)，可以按需付費(fèi)使用。
阿里云盾提供了在系統(tǒng)安全方面強(qiáng)大的保護(hù)能力，例如云盾DDoS高防IP針對(duì)互聯(lián)網(wǎng)服務(wù)器在遭受大流量的DDoS攻擊后導(dǎo)致服務(wù)不可用的情況下，用戶可以通過(guò)配置高防IP，將攻擊流量引流到高防IP，確保源站的穩(wěn)定可靠。云盾WAF通過(guò)防御SQL注入、XSS跨站腳本、常見(jiàn)Web服務(wù)器插件漏洞、木馬上傳、非授權(quán)核心資源訪問(wèn)等OWASP常見(jiàn)攻擊，過(guò)濾海量惡意訪問(wèn)，避免網(wǎng)站資產(chǎn)數(shù)據(jù)泄露。
安騎士能夠解決主機(jī)層面安全問(wèn)題，蘊(yùn)藉指出，它具備頂級(jí)Webshell查殺能力，一鍵體檢，支持0day漏洞修復(fù)，從而保護(hù)服務(wù)安全。事實(shí)上，很多企業(yè)由于開(kāi)發(fā)測(cè)試安全意識(shí)薄弱，導(dǎo)致系統(tǒng)存在各種漏洞，安騎士在入侵防護(hù)上能極大解決用戶安全問(wèn)題。
在數(shù)據(jù)安全方面，云盾證書(shū)服務(wù)幫助租戶輕松實(shí)現(xiàn)全站HTTPS，防劫持、防竊聽(tīng)，云盾加密服務(wù)/密鑰管理服務(wù)讓企業(yè)的敏感數(shù)據(jù)加密存儲(chǔ)，未經(jīng)授權(quán)員工及黑客拿不到、解不開(kāi)數(shù)據(jù)。
此外，阿里云還升級(jí)了態(tài)勢(shì)感知平臺(tái)，作為一個(gè)大數(shù)據(jù)安全分析平臺(tái)，它能對(duì)租戶云上所有資產(chǎn)進(jìn)行安全告警，并用機(jī)器學(xué)習(xí)和威脅情報(bào)發(fā)現(xiàn)潛在的入侵和高隱蔽性攻擊，回溯攻擊歷史，預(yù)測(cè)即將發(fā)生的安全事件。
在業(yè)務(wù)及內(nèi)容安全方面，阿里云進(jìn)行了細(xì)粒度的數(shù)據(jù)風(fēng)控，同時(shí)云盾綠網(wǎng)提供了多樣化的內(nèi)容識(shí)別服務(wù)，能有效幫助用戶降低違規(guī)風(fēng)險(xiǎn)。蘊(yùn)藉介紹，目前已開(kāi)放網(wǎng)站內(nèi)容檢測(cè)、圖片鑒黃服務(wù)、垃圾廣告過(guò)濾、圖片識(shí)別等服務(wù)。
所以，阿里云安全從網(wǎng)絡(luò)層到數(shù)據(jù)層，從內(nèi)部視角到外部視角，均部署了防護(hù)和監(jiān)測(cè)體系，租戶亦能得到縱深端到端的安全防護(hù)服務(wù)。
開(kāi)啟云端安全
對(duì)于如何在阿里云上開(kāi)啟云安全，蘊(yùn)藉給出了兩個(gè)簡(jiǎn)單步驟：
- 首先，六步開(kāi)啟云安全基礎(chǔ)防護(hù)：使用RAM管理云賬號(hào)及其權(quán)限、啟用ActionTrail進(jìn)行操作審計(jì)、網(wǎng)絡(luò)訪問(wèn)控制減小網(wǎng)絡(luò)攻擊面（安全組、源IP白名單）、任何用到密碼的地方啟用強(qiáng)密碼、合理使用云產(chǎn)品的安全特性（如訪問(wèn)控制）、啟用云盾基礎(chǔ)防護(hù)。
- 其次，根據(jù)業(yè)務(wù)風(fēng)險(xiǎn)選擇解決方案，例如常被DDoS攻擊影響業(yè)務(wù)運(yùn)轉(zhuǎn)時(shí)，則選擇DDoS高防方案；因?yàn)槔?cè)、拖庫(kù)撞庫(kù)、營(yíng)銷作弊導(dǎo)致業(yè)務(wù)損失的風(fēng)險(xiǎn)場(chǎng)景，可以選擇數(shù)據(jù)風(fēng)控的業(yè)務(wù)風(fēng)控方案；網(wǎng)站內(nèi)容需要加密傳輸、防釣魚(yú)、方流量劫持，敏感數(shù)據(jù)需要加密存儲(chǔ)時(shí)，則選擇證書(shū)服務(wù)、加密服務(wù)方案；被頻繁爆漏洞引發(fā)公共危機(jī)，被黑客入侵導(dǎo)致數(shù)據(jù)泄露、資金損失時(shí)，則可以選擇WAF、安騎士、先知計(jì)劃、態(tài)勢(shì)感知、安全專家服務(wù)等等。阿里云安全服務(wù)針對(duì)諸多風(fēng)險(xiǎn)場(chǎng)景，提供了針對(duì)性的和靈活的安全解決方案，同時(shí)阿里云還在大力建設(shè)安全生態(tài)，通過(guò)引入第三方安全產(chǎn)品進(jìn)入云市場(chǎng)，從而滿足租戶個(gè)性化和復(fù)雜的安全需求。
混合云安全解決方案
此外，阿里云提供的安全能力并不只針對(duì)其云上的客戶，系統(tǒng)不在阿里云的上的企業(yè)同樣可以獲得其安全服務(wù)，即混合云安全解決方案。企業(yè)將流量導(dǎo)向阿里云即可以統(tǒng)一管理混合云安全策略，減少運(yùn)維成本和對(duì)線下安全硬件的投入。并且，阿里云也可以將其安全服務(wù)完成客戶本地部署，包括網(wǎng)絡(luò)流量監(jiān)控、應(yīng)用防火墻、主機(jī)入侵防護(hù)、態(tài)勢(shì)感知等可以部署到企業(yè)用戶的機(jī)房，結(jié)合云端情報(bào)中心等實(shí)現(xiàn)企業(yè)安全的本地防護(hù)。
蘊(yùn)藉強(qiáng)調(diào)，阿里云所提供的下一代方案架構(gòu)和傳統(tǒng)安全安全架構(gòu)的盒子化、單點(diǎn)防御等特性相比，新的安全架構(gòu)SaaS化，更敏捷和彈性，大數(shù)據(jù)檢測(cè)未知威脅更加智能化，規(guī)則實(shí)時(shí)更新，可以產(chǎn)生威脅防御的聯(lián)動(dòng)效果，并能抵御業(yè)務(wù)層的攻擊。
所以，無(wú)論是保護(hù)云上安全還是“云下安全”，阿里云正在呈現(xiàn)越來(lái)越強(qiáng)的安全能力。說(shuō)到這，有必要給阿里云打上一個(gè)新的標(biāo)簽，阿里云不僅是一個(gè)云端的計(jì)算服務(wù)商，還是一個(gè)云安全服務(wù)商。
