2020 年 9 月 17 日 -18 日，一年一度的云栖大会在云上如约而至。疫情减速数字化转型大背景之下，云原生以一种高能见度为各行业带来了一个更动静多变、更具效率和生命力的架构。云原生平安具备什么劣势，是否解决线下业务场景的平安困局？作为阿里巴巴第一位平安工程师，阿里巴巴团体副总裁、阿里云平安总经理肖力，发表了以“提速云原生，翻新平安力”为主题的演讲。
肖力认为，上云是晋升平安程度的最佳抉择，翻新的云原生平安，有能力为企业用户打造“云上绿洲”。数据被更有逻辑性的存储，从物理数据中心平安、到外围云平台平安、以及和云平台无缝联合的云平安能力……企业本来须要独立、残缺承当的平安责任，转移到阿里云平台，低耗损的同时拥抱的是更高等级的平安。
云原生平安的“上游思维”
云平安的教训很稀缺，并且很低廉，阿里巴巴为此付出了多年致力，总结了业界当先的最佳实际。基于云的平安建设，最外围的思维转变在于：区别传统平安只能被动做出反馈，基于云的基础架构扭转，让平安开始有能力在上游解决问题。如果还带着传统平安思维，来构建新环境中的安全控制，无疑大大弱化了云的劣势。
云原生平安，领有从硬件层透穿的最高等级平安能力，打造全环境、全生命周期的可信环境。用户视角看到的层级也将发生变化，平安产品随之演进变动。用户基于云原生能力构建企业平安架构，只须要抉择服务去达成本人的平安指标，平安产品不再外挂，平安能力被买通。
云上是一个更平安的“绿洲”环境，它能够自动化帮忙用户解决掉同质化、繁冗的平安问题，让用户把精力集中在解决更有价值的问题上。
* 以下为本次演讲原文的整顿：
这次的疫情对各行各业影响都十分大，往年上半年各行业都在减速数字化过程。一方面，更多的行业用户在拥抱云计算、拥抱阿里云；另一方面，咱们看到网络安全曾经进入企业最关注、最须要解决的问题前三名。很多政府客户、金融客户在阿里云平台上，用云平安的外围能力去构建下一代的平安架构。接下来咱们会着重给各位介绍，以后阿里云平安在哪些技术畛域上的深刻、哪些云原生的平安能力，来帮忙企业更好地解决过来无解的平安问题。
** 2 小时扩容 1 万台服务器
平安服务化默认笼罩 **
2 月份的疫情，钉钉承当了数百万人在线教育和数亿人在线办公的责任。面对指数级暴发的流量，钉钉只花了 2 个小时工夫，扩容了 1 万台服务器。这种速度在传统架构中，平安实现全笼罩是一项不可能实现的工作。攻打可能导致钉钉的在线会议、在线视频中断，用户的隐衷数据透露危险随之晋升。钉钉通过云原生的平安服务化能力，疾速地染指了云抗 D、云 WAF 等组合平安防护伎俩，保障了钉钉稳固的运行。
试想一下，如果在传统安全线下场景，钉钉这样的企业要部署这么大规模的安全设备，每个设施都须要上架、调试，包含串联在链路下面起到进攻成果，我置信至多须要 1 个月工夫。那么云平安服务化，可能让整个业务在小时级别，平安能力疾速地扩容，提供实时服务，为业务保驾护航。
** 平安能力与基础设施交融
0 赎金解决勒索软件问题 **
传统企业平安架构在链路下面有大量的设施，是一个非常复杂的网络。大型企业在线下甚至领有上百台安全设备串联在网络上，可想而知这外面会遇到多大的整个安全设备的链路联通性问题。这会导致全面治理的问题，以及平安能力的数据孤岛问题。而云上的平安能力能够间接整合在云产品中。例如云原生平安能力和 CDN 和负载平衡 SLB 进行进一步的交融，用户应用的时候，无论是接入性，还是全面的治理，平安能力都能失去进一步的晋升。
阿里巴巴本身有一个零碎叫对立接入层。在这一层当中，咱们将平安的能力融入到了这个零碎当中，所有经济体、业务零碎在上线的时候只须要对立接入这个零碎，平安的能力就随之而来。这种新型的平安对业务方来说，也是十分的不便、便捷，加重很大的工作量。我还想再分享另一个案例，这半年勒索软件其实攻打是十分猖狂的，增幅高达 72%，攻击者通过加密企业的数据进行获利，曾经成为企业最次要的威逼之一。
国内出名的 GPS 公司佳明（Garmin）最近产生了一起安全事故，某一天寰球的用户无奈应用、服务中断。勒索软件将佳明的相干数据进行了加密，并且开出上千万美金的赎金金额。最终，佳明公司通过交付赎金解密了数据，从而复原服务，但损失惨重。
阿里云的防勒索计划，是将平安能力和整个基础设施云产品进行整合，对勒索软件进行检测和防护。用户能够利用容器镜像快照能力来打造这个平安计划。就算检测和进攻的能力遇到了挑战，有一些未知的蠕虫加密了用户的数据，阿里云防勒索计划用户能够通过镜像快照的形式疾速地复原数据，而不必去交赎金。
咱们也看到有很多这样的场景，平安能力和技术支持云产品进行进一步交融的时候，产生了更大的化学反应。
** 硬件安全降维打击固件攻打
最高等级平安爱护 **
刚刚前几周，英国的网络安全核心颁布了一份报告，有组织将新冠疫苗的钻研机构作为攻打的指标。他们利用的形式，是通过替换网络上所有 VPN 服务器的固件，来短暂取得边界网络的控制权。
而大家都晓得，这种基于固件的攻打，是零碎层安全软件十分难以发现的。平安反抗的时候，高维打低维成果最好，越底层的检测能力跟防御能力对越下层的攻打越有成果。
阿里云的硬件安全能力，反对系统启动的时候进行平安的检测，可能无效的发现这一类的高安全级别的后门和木马。这样的例子不可胜数，咱们期待通过阿里云硬件这一层的高平安能力，给到所有的云上用户高安全级别的爱护。
** 启用身份作为新的平安边界
打造零信赖网络环境 **
传统网络边界、访问控制包含隔离，随着业务越来越简单会越来越弱化，启用身份成为企业新的平安边界，将成为构建新型平安的外围维度之一。这次疫情，80% 的企业抉择了近程办公，而平安的挑战包含员工在家的终端的平安、整个办公网流量的平安、云端的利用零碎的数据透露危险……这对企业来说都是十分大的挑战。
阿里云有个客户叫猿辅导，作为在线教育龙头企业，疫情期间很多员工在家外面办公，寰球范畴内有超过 3 万名员工，须要对立的远程管理。通过多轮生产环境验证，猿辅导最终抉择了阿里云的整套零信赖近程办公计划来解决这个问题。
阿里云零信赖计划对所有员工的终端进行了可信认证，对每个用户的身份进行双因素的强认证，在云端的决策引擎买通了后端所有的外围利用零碎，实现对立 ID、对立受权。云端智能决策引擎还能够通过当下的平安因子，来判断给到每个用户什么样的对应权限，实现了办公效率、员工体验感和安全等级的全面提高。
_* 数据默认加密_密钥轮转
让隐衷泄露成为不可能 **
云上的数据安全肯定是所有企业十分关注的，而数据默认加密是数据安全的一个明确的趋势。我分享一个国内手机厂商的案例。大家手机照片都会存在云端，这对集体来说肯定是十分重要的隐衷数据。这家手机厂商将云端的数据存储在咱们 OSS 的云产品下面，客户通过 OSS 的默认加密的性能。
所有的云端的用户隐衷照片寄存在阿里云 OSS 下面的时候，都是默认加密的，所有的密钥都是由客户本人来保存。这样子无效避免了云端的数据透露后会造成的所有的安全隐患。咱们以后在 17 款云产品当中都反对了默认加密的性能，同时提供密钥轮转的性能，用户能够通过密钥管理系统来自主治理密钥，而且一旦云端密钥透露，能够进一步通过一键密钥轮转来晋升云端数据安全性。
数据智能驱动平安技术
原来，企业遇到的平安挑战在于数据量太大，在海量的流量中须要无效地发现威逼，精准的检测出威逼在哪里，第一工夫进行拦挡。而阿里云把数据技术利用在了多个平安方面的畛域，带了很好的成果。
咱们在 DDoS 进攻、Web 平安进攻当中，通过算法模型可能十分精准地辨认攻打流量、进行阻断。在威逼情报方面，阿里云能够辨认全网的歹意 IP，自动化地剖析威逼，自动化地产生“平安疫苗”。内容平安以及风控的场景，通过对图像、视频的剖析和了解，帮忙用户在业务下面辨认涉黄、涉恐、涉暴的违禁内容，以及对用户进行视频的实人认证等等。这些是过来一年实际中总结出的云原生平安“六点外围劣势”，基于很多曾经落地的平安产品能力和框架，明天我也重点公布阿里云原生平安架构。
每个企业能够基于这个架构，依据本人的业务需要、业务场景特点来构建基于云的下一代翻新平安架构。整个架构会分为三大层面：
第一个层面：云平台平安
阿里云应用硬件安全能力和全局云平台的威逼检测和响应能力，来打造更平安的云平台底层。
第二个层面：云产品安全
平安能力和平安威逼建模能力在产品设计阶段，就曾经被融入到产品的开发流程当中。
所有代码上线前确保是平安的，给到用户一个平安的云产品。
第三个层面：内置原生平安
在主机层、网络层、应用层甚至在数据层、业务层，各个层面上将平安能力交融成场景化的解决方案，提供给各行业用户。
明天毋庸置疑，无论是 IDC、Gartner、Forrester 等国内第三方咨询机构全线领导者象限的认可，还是国内外行业头部用户的抉择，阿里云平安曾经是云平安的领导者。
阿里巴巴全栈上云，咱们一方面基于云平台、云原生的平安能力帮忙各业务主体去解决好平安问题；另一方面，也心愿通过云平台，让云上的数百万级用户可能享受到跟阿里巴巴等同平安能力的爱护。
云演进到明天，底层基础设施变动给平安带来了天翻覆地的变动，我置信将来所有的企业都会在云上享受最高等级的平安。
云平安畛域会有更多的翻新的涌入，那我也期待通过云原生的平安能力，来帮助用户构建下一代的平安架构，应用云更要驾驭云，在“云上绿洲”充沛开释企业的商业竞争力！
原文链接
本文为阿里云原创内容，未经容许不得转载。