大咖访谈 | 数字时代下的安全新范式——云安全

数字经济时代，数字化转型推动企业上云数量持续激增，随着云的深度使用，云已然成为安全的主战场。据Gartner预测，到2025 年，全球企业云技术使用率将达100%，企业传统数据中心将关闭90%。

然而在全球范围内，云安全问题正在急剧恶化，越来越多的攻防案例都在不断地告诉企业管理者一个理念：打造万无一失的云平台是不可能的，要正视系统必然存在脆弱点的事实，做好预防和应急响应工作。那么，企业该如何做好自身的云上安全建设呢/p>

本次专家访谈，网安加云课堂邀请到晨星咨询安全架构师肖文棣老师，以安全从业者角度谈一谈他对云安全的看法，希望能给各位读者带来一些思考。

肖文棣

OWASP中国广东分会负责人、晨星资讯安全架构师。获得北京化工大学计算机科学与技术学士学位，华中科技大学软件工程专业工程硕士学位，现任晨星资讯（深圳）有限公司安全架构师，以及公司的深圳研发中心的安全领导者，带领深圳的虚拟安全团队协助美国总部的安全团队，推进S-SDLC在研发过程的落地；参与了虚拟安全团队的创建工作，并且促成公司虚拟安全团队的全球化建立。

啪仔：肖老师，麻烦您先给大家介绍一下什么是云安全吧。

肖文棣老师：在了解云安全之前，首先要了解什么是云。云是亚马逊于2006年提出的概念，是互联网的一种比喻说法。亚马逊作为一个电商平台，拥有过量的服务器，最初是由于资源过剩，而考虑把过剩的资源分享出去，即所谓“云化”，由此逐渐形成云的概念。

而云安全，可以说是由云计算衍生而来，主要指保障云自身及云上各种应用的安全，包括云计算平台系统安全、用户数据安全存储与隔离、用户接入认证、信息传输安全、网络攻击防护、合规审计等。企业将计算资源、应用放在云上，自然涉及对云的安全需求，不同于传统安全，云安全很难一言蔽之，是“致广大而尽精微”的，而责任共担模型就是云安全的典型特征。

云包括IaaS、PaaS和SaaS。IaaS服务，云供应商提供一些基础资源，属于云供应商，基于在云的硬件设备上做的虚机或者AWS EC2上面的操作系统以及操作系统以上的东西才是客户所拥有的。PaaS服务，云供应商提供软件部署平台，抽象掉了硬件和操作系统细节，可以无缝地扩展（scaling）。开发者只需要关注自己的业务逻辑，不需要关注底层。SaaS服务，是软件的开发、管理、部署都交给第三方，不需要关心技术问题，可以拿来即用。

在不同的服务模式中，云服务商和云服务客户对计算资源拥有不同的控制范围，控制范围则决定了安全责任的边界。除以上三种服务模式，更有公有云、私有云、混合云、行业云等不同云之分，最终责任归属如何划分，则根据签订的合约规定来履行。

谨记责任可以共担，不能分担。一旦出现安全问题，客户只会向云租户追责，而不会跨越云租户指向云供应商。为了防止后期出现不必要的纠纷，在推广阶段就应告知客户我们的应用和数据等是在云上运行，然后征得客户的明确答复。

啪仔：目前云安全市场的发展现状是什么样的呢内外是否有区别/strong>

肖文棣老师：2006年，亚马逊提出了云概念；2009年，许多企业开始大量上云，包括Azure、阿里云等；2014年，大家意识到对云安全的需求，传统安全开始向云安全大迁徙；2017年，云厂商与安全厂商互补互助，云安全开启自动化时代，把安全能力云化，变成服务或软件的形式。直至现在，云安全市场迎来高速增长期。

现在整个云安全变为由云厂商占主导位置，例如国外的微软，已成为一个强大的安全厂商，拥有超强的安全能力，并把安全能力变成服务输出给客户，就像是AWS上的关于漏扫的Inspector，国内的阿里、腾讯、华为也是如此。不论国内国外，云厂商都已拥有足够的安全能力。这一现象对安全厂商形成冲击，让安全厂商也把安全能力云化，与云设备厂商配合，取长补短，两相配合，或者与私有云结合。

在云安全方面，国内外的区别主要为：国外公有云发展较快，欧美将云计算视为商机；国内私有云发展较快，更关注技术进步与云计算建设。

啪仔：国内较为先进的云安全技术有哪些，它未来的发展趋势是什么样的/strong>

肖文棣老师：国内国外的云安全技术在慢慢趋同。有了Github后，中美在IT领域基本是不相伯仲。国内先进的云安全技术，如云抗DDOS，抵抗能力能达到T级，基本在云上就可以利用资源来抵抗住的那些DDOS攻击；还有微步在线在威胁情报方面做的也很不错，它的安全能力在逐渐云化；安华金和在数据安全方面的能力也走在了前列。这两个厂商都被知名咨询平台Gartner列于名单内。

未来随着计算资源往云迁移，云安全的需求会越来越大，数据中心会被慢慢淘汰掉。我认为未来的发展趋势会有这几个：发展云安全快捷自动化的合规能力、云原生安全能力重构企业安全架构、重建云环境下安全威胁的可见和可控能力、让人工智能持续提升安全自动化能力、还有安全访问服务器边界的变化。

啪仔：对于网络言论“下一代安全架构由云原生安全来定义”，您有什么看法吗/strong>

肖文棣老师：这个观点由阿里云安全的肖力在云栖大会上提出，对于这句话中的云原生安全，个人认为其实是云安全。云原生安全与云原生的安全是不同概念，云原生指应用程序运行在云上，为云设计，是Pivotal在2013年首次提出云原生概念，Pivotal将云原生概括为Devops+持续交付+微服务+容器，主要依赖于Kubernetes的架构，将计算资源容器化。这个云与公有云的云不同，后又增加了服务网格和声明化API。

肖力所提的云原生安全，是借助于云的能力，基于六个能力：全方位网络安全隔离管控、全网实时情报驱动自动化响应、基于云的统一身份管理认证、默认底层硬件安全与可信环境、全链路数据加密、DevSecOps实现上线即安全。他更多是指未来的一切都在云上，所以下一代的架构就是云架构，同样安全也是云的安全，基于云的安全，我们基于云做设计，不同于在应用数据中心做设计，数据中心采用宠物模式，重点养护，防止损坏，而云上采取放养模式，一坏即换。因此下一代安全架构是要基于云做安全考量的。

啪仔：要实现云环境真正安全，企业应该要注意什么问题呢/strong>

肖文棣老师：首先，盲目上云是有风险的，上云前要了解并接受云的责任共担模型；其次，进行云安全评估或者企业的上云安全评估，评估云产品和服务，清楚用法用途；第三，就是为云安全组织提供重组安全团队流程和培训的参考；第四，基于企业的要求做规划，企业在不够了解的情况下可采纳云设备厂商的解决方案架构师的上云建议。

啪仔：都是关于安全的，云安全与开发安全有什么联系吗/strong>

肖文棣老师：可从两个方面看这个问题，如果基于数据中心的应用程序开发，那二者联系不大，但是开发过程中也会应用云的安全服务；如果基于云的应用程序开发，二者联系就比较大，需要重复利用云的安全服务来提升开发的安全，并基于失败来设计系统是云开发的一个非常重要的特性。这两个概念是并列的概念，不互相冲突，也不互相包含。

啪仔：同学们想了解云安全相关知识，应该从哪方面进行学习，在那里可以获得相关资料呢/strong>

肖文棣老师：不同厂家的云安全产品，设计理念都是不一样的。云安全是需要实践操作的，而不是只为学习概念。建议同学们考取工作厂商所推出的相关认证，AWS、阿里云、腾讯云，华为云等各大厂商都有推出各自的认证并提供相关资料。例如若想了解AWS，可以看AWS的技术白皮书，看官方资料，考取AWS云安全专家认证，使用AWS Jam平台。

除此外还可考虑CSA的CCSSP认证，以及CISSP的CCSP认证等。通过认证来驱动云安全学习。

以上内容均为肖老师个人见解  并非代表所有的业界观点。

若有更好的见解或者不同意见，欢迎大家一起交流探讨！

文章知识点与官方知识档案匹配，可进一步学习相关知识网络技能树首页概览22367 人正在系统学习中

来源：网安加云课堂