隨著(zhù)互聯(lián)網(wǎng)的迅速發(fā)展，云計算已經(jīng)被應用于多個(gè)領(lǐng)域，互聯(lián)網(wǎng)企業(yè)也如雨后春筍般涌出，并帶動(dòng)各個(gè)行業(yè)的創(chuàng )新發(fā)展，隨之而來(lái)云上安全問(wèn)題也逐漸成為行業(yè)關(guān)注焦點(diǎn)。
6月25日，騰訊云TVP團隊和騰訊安全云鼎實(shí)驗室聯(lián)合發(fā)起云安全技術(shù)閉門(mén)會(huì )，邀請到5位來(lái)自北辰時(shí)代科技、鈦資本、紅途創(chuàng )程、游族網(wǎng)絡(luò )、騰訊云的安全領(lǐng)域資深技術(shù)專(zhuān)家，從多個(gè)維度、多種行業(yè)綜合分析云安全行業(yè)痛點(diǎn)，共討立體、可控、可視的安全之道。
TVP技術(shù)閉門(mén)會(huì )是由騰訊云TVP打造的專(zhuān)屬技術(shù)閉門(mén)研討會(huì )，旨在提供一個(gè)開(kāi)放的交流環(huán)境，針對熱門(mén)技術(shù)話(huà)題前沿科技、技術(shù)管理等話(huà)題進(jìn)行深入探討。在本次“云安全，行業(yè)痛點(diǎn)今何在？”技術(shù)閉門(mén)會(huì )上，5位嘉賓也基于各自在行業(yè)多年的經(jīng)驗，分享了對于云安全的實(shí)踐經(jīng)驗和對未來(lái)的預判。
安全從0到1
北辰時(shí)代科技技術(shù)總監、騰訊云TVP涂川首先分享了關(guān)于安全和云的話(huà)題，結合自身的從業(yè)經(jīng)驗，從傳統安全架構設計擴展至更加智能靈活可擴展的云計算平臺安全服務(wù)等內容，提出了目前比較適合企業(yè)的云安全服務(wù)形式。
涂川認為，安全是持續攻防對抗的動(dòng)態(tài)過(guò)程，沒(méi)有絕對的安全，從技術(shù)角度來(lái)看，安全涵蓋的面極其廣泛，安全技術(shù)的實(shí)現，除了有清晰的安全建設意識和規劃外，對組織和個(gè)人的技術(shù)能力要求高，全面安全體系的層次化建設，也絕非某個(gè)人或者是某個(gè)組織憑一已之力就能做好的，需要全民參與，更需求國家層面來(lái)領(lǐng)導與組織。
“從傳統網(wǎng)絡(luò )安全建設擴展到云安全領(lǐng)域，于行業(yè)內而言，并沒(méi)有看到顛覆性的云安全技術(shù)出現，雖然底層的平臺架構發(fā)生了變化，業(yè)務(wù)的承載模式發(fā)生了變化，但圍繞業(yè)務(wù)本身的安全問(wèn)題，依然存在同樣的風(fēng)險與威脅。好在云計算分布式的計算存儲網(wǎng)絡(luò )可以更靈活地應對大規模高并發(fā)的云服務(wù)場(chǎng)景。而之前在傳統安全架構設計里面，常見(jiàn)的堡壘機、日志審計、WAF防火墻、IPS入侵防御等安全防護手段，在云平臺安全服務(wù)中，也同樣存在。好在國家針對云計算平臺的安全，也基于傳統的安全架構之外，提出了更高的技術(shù)和管理要求，我們也相信，云安全的服務(wù)質(zhì)量亦會(huì )越來(lái)越強”涂川如是說(shuō)。
涂川還強調，云安全更重要的是服務(wù)，行業(yè)迫切需要更加智能的，類(lèi)似于騰訊云的安全服務(wù)，MSS托管的云安全服務(wù)形式，基于對云端的持續監控及AI和大數據分析，能夠把安全策略和大數據背后人的肉眼不能見(jiàn)的東西做到極致，服務(wù)價(jià)值非常高。
安全防護邊界越來(lái)越模糊，需要新思路
“從2005年到2020年，數據泄露呈現出的增長(cháng)趨勢十分明顯。79%的企業(yè)經(jīng)歷過(guò)數據泄露，有43%的公司報告了10次或者更多的數據泄露情況?？梢钥闯?，當前，數據泄露已經(jīng)不僅僅是個(gè)體情況?！?/p>
今年6月，國家正式出臺了《數據安全法》，并將于9月1日起施行。在需求與政策的雙重驅動(dòng)下，紅途創(chuàng )程創(chuàng )始人、騰訊云TVP劉新凱分析，如何選擇更好的方式保護一個(gè)企業(yè)的數據，將成為行業(yè)未來(lái)的熱門(mén)話(huà)題。
劉新凱表示，在討論風(fēng)險及合規的視角下，隱私及數據安全需求在改變，管理難度在增加。隨著(zhù)法律和企業(yè)的變化，保護的外延在擴張，范疇在變大，從企業(yè)的敏感數據逐步擴展到個(gè)人隱私數據、企業(yè)的敏感數據乃至國家的重要數據。同時(shí)，隨著(zhù)云技術(shù)、大數據的發(fā)展，IOT設備、智能汽車(chē)、智能家居等一系列物聯(lián)網(wǎng)終端的接入，也使得安全防護的邊界越來(lái)越模糊。新的改變下，需要構建全新的數據安全防護的思路。
人才培養是云安全的基礎
“安全是一個(gè)系統工程，不同的組織有不同的管理流程，不同的組織對資產(chǎn)的定義不同，對人的授權不同?！扁佡Y本CTO、騰訊云TVP雷葆華老師認為，安全本身是一個(gè)攻防的過(guò)程，不能用一套標準化的東西打天下，也不可能靠產(chǎn)品一蹴而就，需要的是安全服務(wù)團隊的持續投入，即安全人才是關(guān)鍵。
相比歐美比較完善的安全行業(yè)，國內的安全運營(yíng)團隊成熟度還遠遠不夠。雷葆華表示，“2014年之后國內開(kāi)始大規模做安全補課，投入比例基本在3%到5%，雖然縮短了差距，但是短期內的大量投入帶來(lái)的安全人才培養不像產(chǎn)品，不像技術(shù)，人才的培養是長(cháng)期性的事情?！?/p>
雷葆華總結道，網(wǎng)絡(luò )安全不僅僅是靠解決方案或產(chǎn)品就能實(shí)現，最終還是需要“人”來(lái)落地。
通過(guò)托管式的安全服務(wù)提升企業(yè)安全底線(xiàn)
游族網(wǎng)絡(luò )運維負責人、騰訊云TVP李志勇認為，從安全服務(wù)整體來(lái)看，主要還是需要一個(gè)強大的安全服務(wù)團隊，技術(shù)的服務(wù)是很重要的因素。對于很多企業(yè)來(lái)說(shuō)，安全建設可以通過(guò)引入一些第三方的安全托管服務(wù)，迅速將自身的安全基線(xiàn)拉到行業(yè)平均水平。 “從企業(yè)安全角度來(lái)看，相比專(zhuān)業(yè)安全廠(chǎng)商，我們自身的安全短板還是比較明顯的，如何能夠通過(guò)外部的資源和服務(wù)補足團隊的短板，這是我們會(huì )關(guān)注的一點(diǎn)。我們用怎樣的安全產(chǎn)品、怎樣的安全技術(shù)滿(mǎn)足業(yè)務(wù)上的需求，同時(shí)當我們的安全人才不足的情況下，我們需要引入哪些安全服務(wù)?！?/p>
李志勇認為，解決這個(gè)問(wèn)題可以從兩個(gè)方面入手，第一是采用托管式的安全服務(wù)，對于安全能力不夠的企業(yè)來(lái)說(shuō)，托管服務(wù)能夠使企業(yè)的安全建設和行業(yè)的安全基建保持一致；第二，很多時(shí)候安全在部分企業(yè)尤其是規模較小的行業(yè)里面是一個(gè)可選服務(wù)，未來(lái)需要把安全服務(wù)變成像計算資源、存儲資源一樣的“標配”，去提升行業(yè)的安全水平。
用戰爭思維構建云時(shí)代的安全防護體系
騰訊云安全總經(jīng)理李濱分析，由于云技術(shù)的發(fā)展應用與安全工具的落后之間的矛盾，使得當前云時(shí)代的安全建設面臨三個(gè)非常嚴重的挑戰：
首先是安全機制的變化。傳統的企業(yè)安全，資產(chǎn)的所有權，資產(chǎn)設備的控制權，全部都是統一一致的。但在今天的云場(chǎng)景里，更多采用的是租用形式，所以資產(chǎn)的所有權、控制權以及我們在選擇服務(wù)和產(chǎn)品和技術(shù)模型上面，都發(fā)生了巨大的變化。
其次，算力和數據量的變化都導致傳統的安全機制在云上的時(shí)候面臨失效，或者不適用。
最后，云時(shí)代導入的新技術(shù)，如扁平化的架構，虛擬化技術(shù)的應用，普遍存在的分布式機構，異構計算，服務(wù)的抽象化等，導致國內企業(yè)在安全分析的時(shí)候，不管是在攻擊面還是攻擊路徑的分析上面都會(huì )呈現更復雜的狀態(tài)。
在李濱看來(lái)，如今安全已經(jīng)不是傳統的靜態(tài)思維或周期性的思維。今天強調新的理念，就是安全一定要有戰爭思維，戰爭是動(dòng)態(tài)變化的，戰爭一定會(huì )有損失，一定會(huì )有取舍。所以如何用比較合理的投入取得最大化的效果，是今天云安全行業(yè)需要思考的?！盎谶^(guò)去在安全行業(yè)的實(shí)踐經(jīng)驗和儲備，騰訊安全推出了全新的理念，即云原生的安全托管服務(wù)。通過(guò)數據驅動(dòng)、情報驅動(dòng)、系統自動(dòng)化驅動(dòng)三個(gè)驅動(dòng)，消減云上海量事件對信息的淹沒(méi)，實(shí)現對數據的快速分析和對服務(wù)的快速響應?！?/p>
結語(yǔ)
數字化時(shí)代下，信息紛擾，數據龐雜，對每一個(gè)互聯(lián)網(wǎng)從業(yè)者來(lái)說(shuō)，如何保證安全是重中之重，面對云安全龐大復雜的涉及領(lǐng)域，需要安全研究人員持續深入挖掘具體場(chǎng)景，更需要企業(yè)管理者站在全局角度從戰略角度規劃。此次騰訊TVP技術(shù)閉門(mén)會(huì )對云安全痛點(diǎn)的深入挖掘，對安全從業(yè)者更好地構建云安全防護能力具有積極意義。
TVP即騰訊云最具價(jià)值專(zhuān)家(Tencent Cloud Valuable Professional)，是騰訊云授予云計算領(lǐng)域技術(shù)專(zhuān)家的一個(gè)獎項。TVP計劃致力打造與行業(yè)技術(shù)專(zhuān)家的交流平臺，構建云計算技術(shù)生態(tài)，實(shí)現“用科技影響世界”的美好愿景。
