压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

阿里巴巴集團(tuán)安全部技術(shù)專家王小東跟我們分享一下阿里巴巴安全的實(shí)踐。

王小東：各位下午好，非常榮幸參與這次交流，我今天下午給各位帶來的主題演講是關(guān)于云計算和安全。為什么把云計算和安全分開說呢？首先我認(rèn)為做安全往往不能在外端，除了平臺安全以外，我們還應(yīng)該對平臺本身上的業(yè)務(wù)也要做安全的保障。所以我們整體解決方案通常都是要適應(yīng)于平臺以及平臺上業(yè)務(wù)用戶，所以我們分別看一下云計算的安全和云安全有什么區(qū)別。

自主可控。

現(xiàn)在我們國家在講信息安全戰(zhàn)略時都會提到自主可控的方向，阿里云成立于2009年的一家專做云計算的公司，2010年主要將集團(tuán)內(nèi)四大應(yīng)用搬上了云計算。2010年我們將阿里云.com正式上線，第一臺云服務(wù)器對外提供服務(wù)。逐步通過幾年的發(fā)展，阿里云已經(jīng)建成了一個相對開放的生態(tài)，現(xiàn)在有百萬級的用戶在阿里云上跑著。今年我們在中東、歐洲國際化市場、日本都會建立阿里云的數(shù)據(jù)中心，在中國我們已經(jīng)有了五個地域有我們的數(shù)據(jù)中心。

現(xiàn)在員工超過2200人，80%人員都是開發(fā)技術(shù)人員，我們是相對技術(shù)的公司，在北京、杭州都有研發(fā)中心，全球各地都會逐步建立起我們的數(shù)據(jù)中心。

如圖，阿里云總體架構(gòu)。最底層是機(jī)房，ADC、物理服務(wù)器。紅色區(qū)域是與傳統(tǒng)或其他云計算有所不同的一個特點(diǎn)，是阿里云分布式的云操作系統(tǒng)，在此之上我們做了很多工作，主要解決以下幾大問題：1、設(shè)計盤古分布式文件系統(tǒng)，可以實(shí)現(xiàn)三副本的保存，實(shí)現(xiàn)數(shù)據(jù)高可用性，里面會有很好的節(jié)能型；2、伏羲，解決任務(wù)調(diào)度的問題，云計算是將成千上萬臺很多計算機(jī)連接起來工作，其中調(diào)度的任務(wù)是非常重要的，因此伏羲是解決這個部分的問題，在100pb排序算法當(dāng)中，應(yīng)該比世界最快的能快大概500秒左右的時間。在盤古分布式操作系統(tǒng)之上還有一個模塊是安全管理模塊，所有阿里的安全產(chǎn)品在上線之前都會有這樣的設(shè)計，包括安全的設(shè)計，包括安全的需求開發(fā)，上線的評估。因此作為阿里云非常重要的一個部分我們也有一個單獨(dú)模塊來實(shí)現(xiàn)云平臺內(nèi)部安全管理的設(shè)計；3、女媧，實(shí)現(xiàn)的是我們自動的診斷、修復(fù)能力等等。

在飛天平臺上建立起我們其他的一些云的服務(wù)，比如我們的ECS、OSS、數(shù)據(jù)庫操作系統(tǒng)服務(wù)器、存儲等等都是基于阿里飛天分布式操作系統(tǒng)建立起來的。

阿里云究竟有一些什么特點(diǎn)？其實(shí)阿里云有兩項(xiàng)關(guān)鍵技術(shù)：1、飛天的5K技術(shù)，就是我們有單集成5000臺規(guī)模的能力，經(jīng)歷了大概六年時間，今年會將這個單集成由5000臺升級到1.5萬臺的規(guī)模。目前從商用達(dá)到的規(guī)模角度來講，阿里這是非常大的一個規(guī)模；2、大數(shù)據(jù)分析平臺（ODPS），我們算是獨(dú)一無二的，整體跨機(jī)房的調(diào)動、任務(wù)管理、授權(quán)、權(quán)限都是有非常詳細(xì)的設(shè)計，比如我們的數(shù)據(jù)放在ODPS里去跑、去設(shè)計，用戶擔(dān)心數(shù)據(jù)都放在大數(shù)據(jù)平臺，會不會把我們的數(shù)據(jù)拉走、丟掉，其實(shí)做了很多安全機(jī)制，數(shù)據(jù)在這里計算，計算出結(jié)果才可以輸出我們的平臺。

電商，雙”十一”對阿里是最大的日子，也是對我們技術(shù)人員最大的挑戰(zhàn)。這里主要有大量的業(yè)務(wù)復(fù)雜的環(huán)境，還有很多安全攻擊都需要我們?nèi)ケＵ稀⑷プo(hù)航。天貓去年支撐很大的交易額，這里我們的PAAS平臺做到了非常大的支撐作用，我們支持恢復(fù)發(fā)布，比如現(xiàn)在是1.5版本的，上2.0，可以同時在這里面運(yùn)行，在里面也會做一鍵部署，比如1萬臺機(jī)器一鍵部署，馬上部署好，不需要投入大量人工做這樣一些工作。

阿里云其實(shí)想把我們的安全解決方案、整個計算環(huán)境、存儲環(huán)境都打造成一個不單單替代國外廠商的方案，包括安全在內(nèi)的完整解決方案。除了硬件設(shè)備，我們采用國產(chǎn)的一些硬件設(shè)備，網(wǎng)絡(luò)服務(wù)器的都有，這個基礎(chǔ)之上，云計算平臺、操作系統(tǒng)、大數(shù)據(jù)、中間件等阿里都有中間件補(bǔ)齊這些內(nèi)容。阿里巴巴有一套安全防護(hù)體系，叫云盾，也是其中我們非常重要的一個組成部分。

安全定位和能力。

10年攻防、百人團(tuán)隊(duì)、構(gòu)建生態(tài)、打造健康、純凈的云計算平臺。去年我們成功抵御了全球最大的攻擊，云盾保護(hù)了百萬級用戶的安全，每天有大量的一些DDos攻擊或其他一些攻擊都是我們做了這樣一些抵御。

阿里巴巴集團(tuán)安全部內(nèi)有一塊云計算安全，就是所在的部門，主要分為幾塊工作：我們要有安全產(chǎn)品的開發(fā)團(tuán)隊(duì)，主要開發(fā)的是系統(tǒng)安全產(chǎn)品，網(wǎng)絡(luò)安全產(chǎn)品、應(yīng)用安全產(chǎn)品，我們有后端也有一些安全通用開發(fā)，比如后端的安全管理平臺、開放平臺、安全運(yùn)營平臺等等，是我們第二個團(tuán)隊(duì)，其中還有一些安全研究，主要做一些APP研究、前沿技術(shù)、攻防、反欺詐等工作；威脅情報及解決方案團(tuán)隊(duì)；安全推廣團(tuán)隊(duì)和標(biāo)準(zhǔn)和合規(guī)團(tuán)隊(duì)，等級保護(hù)是我們國家的基本國策，我們也一直在跟進(jìn)相關(guān)保護(hù)工作。

云安全其實(shí)有兩個保障，我們內(nèi)部一直在提倡，一方面保障我們云平臺的安全，另一方面保障我們平臺之上業(yè)務(wù)的安全，所以在這里面我們做了很多的工作，接下來看一下具體的內(nèi)容。首先和大家一起探討云安全究竟是什么樣的概念？很早之前我們在想云安全是利用云計算來提供的安全能力還是保護(hù)云計算的一個安全能力？我們內(nèi)部來看云計算首先應(yīng)該是利用云平臺彈性的可擴(kuò)展的一個能力來提出的核心思想，也就是說我們所有的安全方案都應(yīng)該是符合這一點(diǎn)的，比如DDos攻擊過來，可以彈性可擴(kuò)的防護(hù)，云的解決方案不應(yīng)該存在這些問題，應(yīng)該是彈性可擴(kuò)展的。系統(tǒng)高可用性，傳統(tǒng)在做邊界安全的時候都會有解決方案，防火墻、APS等等很多的安全設(shè)備串在網(wǎng)絡(luò)的出口，一方面會對業(yè)務(wù)的可用性造成很大的壓力，我們安全解決方案通常都是旁路部署對業(yè)務(wù)影響最低的一個設(shè)計模式，云計算也應(yīng)該符合高可用的要求；云平臺應(yīng)該用大數(shù)據(jù)的技術(shù)來分析原來我們沒有辦法做到的，我們現(xiàn)在很多企業(yè)都做安全管理平臺，收集到很多安全日志、安全數(shù)據(jù)，但是能夠保存多久？其實(shí)日志量越大、收集的越多，保存的周期會有很大的挑戰(zhàn)。數(shù)據(jù)收過來了，怎么去分析？怎么找到真正的問題？其實(shí)也是我們面臨的一個很大問題，我想應(yīng)該用大數(shù)據(jù)的問題解決現(xiàn)有的安全問題也是云安全應(yīng)該要做的一些內(nèi)容。

我們公有云的服務(wù)打造成一個賓館模式，可以把它理解成五星級的酒店，也有四星級、三星級的，它的服務(wù)水平、安全能力會有所差別，這是我們在整體設(shè)計過程當(dāng)中都會遵循考慮或設(shè)計的一些內(nèi)容。在整體云安全防御體系里，縱深防御概念仍然存在，我們需要繼續(xù)擴(kuò)展、豐富、沿用下來。第一個是云安全的防御體系，保障用戶平臺的安全。這里阿里云盾防御體系，在網(wǎng)絡(luò)安全上要能夠有抵御DDos、網(wǎng)絡(luò)入侵的能力，在主機(jī)上能夠抵御主機(jī)的入侵，能夠抵御暴力破解。如果服務(wù)向互聯(lián)網(wǎng)發(fā)布出來之后，最大的風(fēng)險其實(shí)不是DDos攻擊，很多時候都會被破解，會去不斷嘗試，所以防暴力破解也是其中很大的一部分工作。這臺機(jī)器在公有云上面，一般在北京分布，忽然在芝加哥去分布的，這時候可能代表你的機(jī)器有一些異常的行為，需要去報警、需要我們聯(lián)合去檢測來發(fā)現(xiàn)并排查一些問題。在應(yīng)用層也和我們原有方案一樣，我們應(yīng)該有主動發(fā)現(xiàn)安全問題的能力，去搜索、掃描我們應(yīng)用系統(tǒng)存在的安全漏洞，在這里我們提供了外部應(yīng)用防火墻和外部分析。之前會有一個數(shù)據(jù)庫防火墻，實(shí)現(xiàn)了數(shù)據(jù)庫防控機(jī)制。

云計算平臺也應(yīng)該是安全的，這個安全的保障不是在外圍做一些防御就OK，我們需要在平臺內(nèi)部也要做安全的設(shè)計和開發(fā)的一些工作。比如我們的ECS在設(shè)計的時候是不是應(yīng)該增加一些安全的特性和功能？舉例，涉密信息的防御，上了云以后和傳統(tǒng)環(huán)境不一樣的地方是有租戶的概念，A租戶租了一片空間，他退出了，走了，但是他的數(shù)據(jù)會在云里面有，雖然在云當(dāng)中的數(shù)據(jù)是分篇保存，但是如果B租戶不進(jìn)來，不做簽名的話，可能會出現(xiàn)一個風(fēng)險，數(shù)據(jù)會被恢復(fù)出一部分。所以我們的服務(wù)器是A租戶退出以后，將它簽名，才能給到B租戶，這些設(shè)計統(tǒng)統(tǒng)為了保障平臺安全而做的內(nèi)容，包括三副本的技術(shù)，盤古系統(tǒng)可以做到非常高數(shù)據(jù)可用性的能力，還有一些APC的隔離，安全隔離是一個要點(diǎn)，APC技術(shù)可以實(shí)現(xiàn)二級的隔離。

云操作系統(tǒng)的安全，即飛天操作系統(tǒng)也應(yīng)該是安全的。在所有物理服務(wù)器上面都會針對我們的物理服務(wù)器做安全加固，然后部署我們的防入侵的模塊，里面會有砂箱的機(jī)制，所有的進(jìn)程都是跑在砂箱里的。信息安全不僅是技術(shù)的一個問題，很多時候是管理的問題。

多租戶隔離。講到云計算，多租戶肯定跑不掉，CPU內(nèi)存、存儲、網(wǎng)絡(luò)等等都需要隔離，做多租戶隔離的時候考慮一些革新的點(diǎn)。網(wǎng)絡(luò)需要做訪問控制，訪問控制怎么做？我們有安全組的虛擬防火墻，實(shí)現(xiàn)最基本的防護(hù)控制，什么樣的能過，什么樣的不可以過，這實(shí)現(xiàn)了云服務(wù)器的隔離。還有其他的隔離是通過標(biāo)簽打標(biāo)記，或者基于身份認(rèn)證的訪問控制技術(shù)來實(shí)現(xiàn)整體云平臺的一些隔離手段。

入侵是什么？防入侵從幾個角度來看：物理網(wǎng)絡(luò)，整個網(wǎng)絡(luò)的結(jié)構(gòu)也像原來一樣，會把端口做一些控制，設(shè)置一些非法的接入，我們的路由器默認(rèn)是回收，只有上層虛擬網(wǎng)絡(luò)可以出去。宿主機(jī)上面做了一些操作，操作系統(tǒng)內(nèi)核和組件都是精簡的，符合業(yè)務(wù)安全規(guī)范等等一系列有保護(hù)。針對虛擬化來說還有非常重要的一個技術(shù)就是砂箱的技術(shù)，所有的程序和進(jìn)程都是跑在我們的砂箱里，每個租戶都有這樣一個內(nèi)容來實(shí)現(xiàn)它的隔離。

飛天整個云操作系統(tǒng)的安全其實(shí)做到了幾層內(nèi)容，一個用戶也好，一個進(jìn)程要訪問我們的飛天或下層資源的時候都要經(jīng)過：要經(jīng)過認(rèn)證，有一個認(rèn)證中心檢測它是不是可以接受訪問，首先就會做認(rèn)證。認(rèn)證通過之后，就會看這個用戶或這個進(jìn)程有什么樣的權(quán)限，能夠做什么，就會下到權(quán)限管理中心，看看它能做哪些權(quán)限。有了權(quán)限之后就可以再往下其訪問跑在砂箱里的進(jìn)程還是其他一些文件，去訪問文件。這是整個過程。

剛才講到安全開發(fā)，大量信息安全問題其實(shí)由于在開發(fā)過程中一些設(shè)計的缺陷、編碼的缺陷造成的，我們現(xiàn)在在需求開發(fā)階段安全就會介入做一些需求的分析、威脅的建模、設(shè)計，直到上線前的安全檢測。在整體上，飛天、云產(chǎn)品等等都是覆蓋我們安全開發(fā)規(guī)范的。

云平臺安全里面還有一點(diǎn)是高可用性，我們要通過補(bǔ)丁修復(fù)技術(shù)保證用戶業(yè)務(wù)不受中斷。補(bǔ)丁修復(fù)通常有兩種，冷補(bǔ)丁和熱補(bǔ)丁，冷補(bǔ)丁需要服務(wù)器中斷打補(bǔ)丁，還有停止業(yè)務(wù)；熱補(bǔ)丁修復(fù)業(yè)務(wù)部需要停止服務(wù)，可以通過正常服務(wù)去工作。阿里云是支持熱補(bǔ)丁修復(fù)技術(shù)，可以在服務(wù)器服務(wù)不中斷情況下對這些服務(wù)進(jìn)行補(bǔ)丁的修復(fù)。今年年初的時候有一個案例XXA123的補(bǔ)丁，這個問題可以造成一些用戶可以獲取其他用戶的一些數(shù)據(jù)，就會導(dǎo)致數(shù)據(jù)的泄露。阿里云是通過熱補(bǔ)丁修復(fù)的技術(shù)將這些補(bǔ)丁打上。大家在看到Z曝出高危漏洞的時候，我們提前10-14天拿到一些漏洞的信息，你看到的時候其實(shí)已經(jīng)修補(bǔ)掉了這些問題。

詳細(xì)介紹一下虛擬專有網(wǎng)絡(luò)。現(xiàn)在云計算有公有云、私有云、混合云，有很多模式，相信未來混合云是一個大的方向，如何將公有云上的資源更好為我們所服務(wù)，其實(shí)在這其中就可以應(yīng)用到VPC的技術(shù)。比如在公有云上租了一片空間，幾百臺機(jī)器對互聯(lián)網(wǎng)發(fā)布的業(yè)務(wù)，自己數(shù)據(jù)中心里面做內(nèi)部辦公的業(yè)務(wù)活數(shù)據(jù)處理一些業(yè)務(wù)，互聯(lián)網(wǎng)只做發(fā)布，所以我們可以通過VPC技術(shù)將云上的數(shù)據(jù)中心和線下的數(shù)據(jù)中心形成一個打通。VPC很好解決了數(shù)據(jù)的隔離問題，VPC實(shí)現(xiàn)的是二層隔離，防火墻實(shí)現(xiàn)的是三層隔離。在VPC的內(nèi)部，IP地址是可以自定義的，傳統(tǒng)云計算里面，經(jīng)典網(wǎng)絡(luò)都是大熱層網(wǎng)絡(luò)，IP地址用戶不可以自定義。

我們參與很多標(biāo)準(zhǔn)制定工作，包括云計算的基本要求和”等保”的一些設(shè)計要求我們都參與其中。其中我們也做了很多工作，去年年底公有云上一個部委級的網(wǎng)站通過等保三級的測評。去年年底發(fā)生的一個事情，2014年12月20號，阿里云上一個游戲客戶遭受到了世界最大的DDos攻擊，453.8G的攻擊在250G以內(nèi)都是云盾自動處理、侵襲這些惡意流量，當(dāng)我們發(fā)現(xiàn)這個攻擊已經(jīng)非常高的時候，我們?nèi)斯そ槿胫鸩綄⑦@些惡意流量清洗掉。十幾分鐘就打到了300G的流量，按照傳統(tǒng)防御手段可能很快就會打趴下了，因?yàn)橐环矫媸苤朴谖覀儙拞栴}，另一方面受制于設(shè)備瓶頸問題。

云盾體系，最早也是在阿里巴巴集團(tuán)內(nèi)部為內(nèi)部系統(tǒng)提供一些服務(wù)，也是逐步推出來對外提供服務(wù)。直到今年為止我們逐步將云盾這套體系加入進(jìn)來。

云盾解決三大問題：1、DDos攻擊。2、入侵防御，從幾個層次來講，網(wǎng)絡(luò)上我們會有網(wǎng)絡(luò)上入侵防御的措施，實(shí)時會去攔截網(wǎng)絡(luò)的入侵；在主機(jī)上也部署的主機(jī)防入侵模塊；APP攻擊防御，未來我們會在云盾里面增加APP攻擊檢測和防御部分的一些能力。3、弱點(diǎn)分析能力，除了能夠防還要能夠檢測我們的一些問題，所以里面有一些針對應(yīng)用系統(tǒng)的安全檢測措施和能力。4、態(tài)勢感知安全管理，我們會將大數(shù)據(jù)技術(shù)應(yīng)用到云平臺之上，會檢測多維度日志進(jìn)行關(guān)聯(lián)分析，分析出這些安全的問題，去看究竟我們現(xiàn)在的網(wǎng)絡(luò)狀態(tài)是什么樣的。5、關(guān)于內(nèi)容安全的過濾和檢測，網(wǎng)絡(luò)上有很多色情、暴力的內(nèi)容，尤其像阿里云提供公共云計算服務(wù)的提供商，對很多”站崗”也構(gòu)成一些影響，比如掛馬，給你一個其他鏈接，在你的網(wǎng)站里放一些反動、色情也好，對它也有一些影響，在阿里云內(nèi)部有一些體系做到事前、事中、事后的防御。事前主要是我們綠網(wǎng)技術(shù)，能夠檢測非法一些黃賭毒的信息；我們應(yīng)用爬蟲技術(shù)將非法信息搜到我們的指南庫里，未來會做一些對比，去處理這些問題；事后被動防御，我們會為所有阿里云一些流量檢測里面有沒有色情或其他一些信息。這是關(guān)于內(nèi)容安全上的一些防護(hù)。6、云安全里面大數(shù)據(jù)是非常重要的一個點(diǎn)，我們將所有的網(wǎng)絡(luò)流量全部分包分流過來，結(jié)合安全日志，利用大數(shù)據(jù)分析平臺做安全運(yùn)算，來計算有什么樣的問題。目前為止利用大數(shù)據(jù)分析平臺抓云備、抓僵尸網(wǎng)絡(luò)。

回顧阿里云安全的特點(diǎn)，自主可控，有十多年的安全攻防經(jīng)驗(yàn)，加上大數(shù)據(jù)一些能力和我們在合規(guī)方面的的一些能力，希望給用戶或阿里云的伙伴提供更好的一個安全的能力。

謝謝大家！