关于云安全:深入原生冰山安全体系详解华为云安全服务如何构筑全栈安全

摘要：如果把云平安比作“冰山”，不仅要关注冰山上的“平安服务和个性”，还要关注冰山下各种根底平安建设。

本文分享自华为云社区《深刻原生冰山平安体系，详解华为云平安服务如何构筑全栈平安》，原文作者：华为云社区精选。

近年来，随着寰球网络空间疾速倒退，高危破绽、大流量 DDoS 攻打、数据泄露事件频发。在高速变动的网络威逼态势中，仅仅依附对破绽的补救，或针对已知远远不够了，新的威逼还在不断涌现。企业客户在数字化转型和上云过程中，须要系统化构建平安体系以应答新的平安挑战。

如果把云平安比作“冰山”，那云平安服务及云服务的平安个性属于“冰山”上的可见局部。而“冰山”下 90% 局部的平安能力，往往不为人所知，但正是这“冰山”下的局部，承载着整个私有云的安全性。

华为云构筑的原生冰山平安体系，通过四大能力：自主研发的平安服务，笼罩寰球的平安认证、笼罩寰球的平安保障能力和全生命周期的数据安全治理，帮忙企业抵挡网络攻击，从简单业余的平安工作中解放出来，疾速、便捷地获取到普惠、合规、高效的平安服务。（详见《厚积薄发，华为云构筑原生冰山平安体系，守护云上平安》）。

华为云平安服务全解析

华为云基于 20 多年平安积攒，自主研发的 20+ 款云平安服务 是华为云冰山平安体系中，最重要的能力之一，通过平安服务将华为平安能力共享给用户，帮忙用户高效稳固地倒退业务。

华为云平安服务笼罩 “爱护云工作负载、爱护应用服务、爱护数据资产、治理平安态势、业务合规上云” 五大畛域，，从计算层、网络层、数据层再到平安管理层，积攒了不同维度的云平安教训，造成了协同联动的云平安服务体系，为用户提供优良实际，构筑全栈平安。

为了更具象的了解，咱们以典型的电商场景为例，来具体理解这五大平安服务是如何为企业保驾护航的。

爱护云工作负载

计算机和网络运行的外围是数据，而数据的归属则是主机，这其中包含个人电脑、服务器以及一些大型的磁盘阵列。对企业而言，主机既是承载公司业务及外部运行的底层平台，也是承载企业数据和服务的外围，其稳固、平安地运行是公司失常运行的前提保障。

例如电商在大促期间，会有数以万计的用户下单信息存储在服务器中。如果没有主机平安防护体系，黑客就能够利用明码破解、社工攻打或破绽攻打等伎俩入侵服务器数据库，获取大量数据资产。电商在被攻打的过程中，业务会被中断，大量歹意文件占用系统资源，也会导致服务器不能失常运行，影响用户的购买下单。

新时代的主机平安素养：防得住暴力破解、查得出挖矿木马、守得住后门破绽，不可或缺、一样都不能少。华为云企业主机平安（HSS）以服务器贴身平安管家的身份，实现病毒木马查杀、破绽一键修复、入侵检测、防勒索等平安防护保障。其旗舰版及网页防篡改版，还减少反弹 Shell、高危命令执行、自启动检测等能力，避免网页被篡改，有效应对 APT 攻打等高级威逼，全方位为云上企业保驾护航。

很多企业会在多个云平台部署业务，一来享受不同云厂商的产品和服务劣势；二来扩散和缩小业务零碎危险。但多云部署也会带来主机平安治理难度陡增的难题。蘑菇街让你更漂亮，华为云让蘑菇街更平安，蘑菇街通过华为云 HSS 实现了对多云平台主机的对立平安防护和治理，平安管理效率晋升了 3 倍。同时，蘑菇街平安团队丰盛的平安实战经验联合华为云 HSS 弱小的入侵检测能力，晋升了蘑菇街的平安防护等级。

除了要防护内部的平安问题，对于企业外部的身份、权限和资产等 IT 运维平安问题，同样也要时刻关注。有考察显示，有超过半数的企业网络安全事件并非是因为内部攻打所导致，而是因为企业外部的不平安、不合规运维操作所造成的。

堡垒机在企业平安运维内需和法律合规的双要求下，成为每个企业都须要的平安产品。华为云堡垒机毋庸装置部署，一站式运维和平安治理，升高企业运维老本；实时记录所有操作和日志，并提供实时监控、录屏和回放等性能，便于预先审计和取证；同时产品安全合规，三大特点让云堡垒机成为企业必备的平安运维爆品。

爱护应用服务

许多企业的要害业务依赖于 Web 利用，而互联网 75% 的攻打都集中在应用层。以电商来说，在 618、双 11 期间常常会公布秒杀流动利用页面，一些不法攻击者会借助代理服务器生成指向受益主机的非法申请，对 Web 服务器进行大量拜访申请，导致失常用户无奈失常拜访。最终就会呈现秒杀流动一开始，页面就 404 无法访问的景象。

网页被篡改，拜访被钓鱼、一做流动就宕机…其实，这些背地都是因为 Web 利用的防护没有做到位。

针对 Web 利用防护，Web 利用防火墙可用于常见攻打的检测和阻断，反对辨认并拦截常见的 Web 攻打。帮忙用户应答网站入侵、破绽利用、网页篡改、后门植入、CC 攻打等平安问题，为企业 Web 业务平安经营保驾护航。

以华为云的 Web 利用防火墙为例，它首先剖析 Web 攻击行为，对具体业务场景设置动静防护，智能进攻 CC 性能在第一工夫开启。在一直反抗的过程中，基于灵便的自定义策略配置，摸清黑产的攻打策略，从而进行抵挡。同时帮忙客户梳理分明业务逻辑，为业务调整优化提供根据。小心！网站遭逢 Web 攻打！谨防数据泄露，网页篡改！中通过漫画的形式，形象的展现了华为云 Web 利用防火墙是如何帮忙用户应答网站入侵、破绽利用、网页篡改、后门植入、CC 攻打等平安问题，为企业 Web 业务平安经营保驾护航。

不仅如此，电商平台往往还会蒙受歹意竞争者或黑客利用大量“受控主机”收回歹意攻打，导致平台网站无法访问导致业务中断，带来的经济损失以及客户散失。大规模网络攻击随时到来，中枪了咋整？华为云 DDoS 高防服务帮您轻松解决！除了这些可能防护内部攻打的平安保障，企业还须要破绽扫描，主动发现网站或服务器在网络中的平安危险，为云上业务提供多维度的平安检测服务，让平安弱点无所遁形爱护数据资产。

咱们都晓得，数据是企业的外围信息，数据存储的要害地位依然在数据库中。而现状则是，大量互联互通的企业环境中，数据库广泛不足无效平安防护。一些不法分子会利用拖库洗库撞库的形式攻打数据库盗取信息。

咱们晓得电商企业的数据不仅蕴含商品信息，还有大量的注册用户、用户行为等相干隐衷数据。数据隐衷须要存储和流通，然而不能“裸奔”。

数据金矿如何守？云上数据能够通过密钥技术、新算法和加密算法等身份验证伎俩来爱护数据隐衷，同时对数据自身加强了爱护。数据传输、存储及解决的各个阶段对数据进行加密，利用云技术对信息进行解决，实现信息隐蔽，爱护用户数据安全。

为保障云上数据库的平安，咱们能够基于反向代理及机器学习机制，进行敏感数据监测、数据脱敏、数据库审计和防注入攻打，具体能够理解数据库安全服务（Database Security Service，DBSS）。

如果担心数据泄露，数据加密服务（Data Encryption Workshop, DEW）能够为你疾速解决这个难题，提供专属加密、密钥治理、密钥对治理性能，让你罢黜数据泄露发愁。

不仅如此，在钓鱼网站泛滥的明天，企业还须要避免网站被仿冒、被篡改，而引发用户的信息数据被偷盗，对用户造成经济上的损失。

治理平安态势

在企业的日常平安运维工作中，各种平安产品每日会产生海量的威逼告警，须要破费大量人力去人工排查实在威逼和误报，工夫久了会产生“狼来了”的成果。如何可能真正晓得什么人在攻打你、攻打的全局态势是什么样的，甚至要能依据现有信息预测进去攻击者可能的口头方向，成为企业平安防护的重点工作。

态势感知就是对可能引起用户云上零碎的平安态势发生变化的所有平安因素进行获取、了解以及预测将来的发展趋势，并通过可视化技术出现进去，为平安防护口头提供决策。它领有感知、了解、预测、出现、决策等四大外围点。

放心未知危险，决策谬误？态势感知让平安运维不再摸黑！态势感知基于大数据安全剖析能力，汇总和关联剖析了云中资产、日志、告警等多维度的信息，扭转过来运维人员吞没在海量数据中的困境，最终升高被动发现平安威逼的工夫。并且，可视化的态势感知的大屏，就像一个作战指挥核心，可能出现全局视角的网络安全的防护程度和短板，对于管理层掂量平安投资价值及决策具备重要指导意义。

基于态势感知，电商企业就能够分明的理解到云上攻打从哪儿来，如何防，资产平安态势如何？让企业轻松感知当初，预知将来！

除了态势感知，堪称云上危险“听诊器”的华为云威逼检测服务（MTD）能够继续监控歹意流动和未经受权的行为，补足其余服务检测能力，第一工夫辨认危险，躲避由潜在威逼造成的安全事件，帮忙企业晋升平安经营效率，保障业务的连续性。

业务合规上云

当然，除了网络安全和业务平安须要失去保障，对于电商企业而言，最好的平安爱护是制度爱护。早在 2017 年 6 月，《中华人民共和国网络安全法》就正式施行，等级爱护制度也成为国家网络安全的根本制度。2019 年，等保 2.0 提出新的技术要求和治理要求，强调“一个核心，三重防护”，企业在平安防护体系建设、危险评估和治理上须要更加全面。

为此，华为云为客户提供了等保平安（DJC）解决方案，帮忙企业晋升平安防护能力，满足等保合规要求。过等保其实不难，找对帮手很重要！在服务客户之前，华为云所有大区都通过等保 3 级，局部安全性要求高的大区、节点过等保 4 级，为用户顺利、高分过等保打下基础。为了让用户更省心省事，华为云更是以 100% 满足等保条款要求部署的各类平安防护产品。

并且，联合华为 30 年的平安教训，华为云推出治理检测与响应服务（MDR），以云服务的模式，为客户建设由治理、技术与运维形成的平安危险管控体系，联合企业与机构业务的平安需要反馈和防控成果对用户平安防护进行继续改良，帮忙企业与机构实现对平安危险与安全事件的无效监控，并及时采取有效措施继续升高平安危险并打消安全事件带来的损失。

为了更好地帮忙企业做好平安防护工作，开启云端平安模式。在华为云 TechWave 寰球技术峰会平安专题日，华为云聚焦利用平安防护，公布四大平安新品：平安智能剖析平台 ISAP、威逼检测 MTD、利用信赖核心 ATC 和平安经营核心 SOC，为企业的云上平安防护再添新的武器。

云原生时代下，无处不在的云原生平安

随着云原生技术的成熟和市场需求的降级，云计算的倒退已步入新的阶段——云原生 2.0 时代。越来越多的企业及集体抉择应用云原生技术来构建业务。企业在享受云原生红利的同时，也对平安防护有了更高的需要，因为需更符合云原生业务倒退的平安服务。

作为云原生代表技术之一的容器，每个企业都应该对容器平安有所理解。云原生 2.0 时代，企业都应该理解的容器平安，从容器与虚拟机的比照，为咱们介绍了容器更便携和高效特点。华为云容器平安服务 CGS 构建了容器平安威逼纵深进攻体系，提供包含镜像扫描、威逼检测与威逼防护的一整套容器平安能力，提供针对容器的 Build、Ship、Run 全生命周期爱护能力，渗透到整个容器 DevOps 流程，保障容器虚拟环境从开发到生产整个流程的平安。在 2020 可信云大会上，经信通院严格检测，49 项平安能力全副过检，华为云容器平安服务获可信云最高级的先进级认证。

不仅如此，在云原生平安方面，华为云推出了 CFW 云防火墙、DSC 数据安全核心服务和 ATC 利用信赖核心三款产品。

在华为云 TechWave 云原生 2.0 专题日上，为给企业业务提供多场景全流量防护，筑牢网络安全的第一道防线，华为云 CFW 云防火墙正式公布！华为云 CFW 云防火墙作为新一代云原生防火墙，提供云上互联网边界和 VPC 边界的防护，兼具“极简、智能、可视、凋谢”四大特点。

传统的平安防护基于网络边界构建，但随着云计算和挪动互联网的衰亡，传统网络边界逐步含糊，基于网络边界的进攻理念难以适应云环境下的需要。零信赖“从不信赖、永远验证”的理念应势而起，即基于身份而非网络地位来构建访问控制体系。

华为云基于零信赖理念，依靠云原生平安能力，对网络隐身、自适应危险管制等关键技术进行翻新，在平安运维、近程接入等泛滥场景进行大量实际，让利用更平安，华为云利用信赖核心 ATC 正式公测。ATC 服务是围绕用户利用打造的平安服务，通过构建利用平安威逼全景拓扑，实现细粒度访问控制，满足客户对零信赖访问控制能力的需要。

在 2021 年 6 月，十三届全国人大常委会第二十九次会议通过了《中华人民共和国数据安全法》（以下简称数据安全法），并将于 9 月 1 日起实施。数据是当今时代的金矿，爱护数据安全更是企业的外围诉求。企业用云数字化转型的同时，如何保障企业数据资产的全生命周期平安？

明天云上的数据安全能力其实始终是扩散在各个服务之中，例如 VPN、平安组、SSL 证书以及诸如 ECS、RDS、OBS 等集成的加密能力。数据安全是一个管道，整体的平安能力是由每个阶段的平安能力独特组成的，换言之，如果某一个阶段做的很强，而另一个阶段没有任何保护措施，那么对于整体数据安全状态来说也是于事无补。企业短少一个对整体平安能力扫视对立视角，这个时候企业就须要一名数据资产“贴身守卫”——数据安全核心。

作为 2019 年 9 月份开始内测，2020 年年底正式推出的云原生华为云数据安全核心服务。该服务可能提供数据分级分类、数据安全危险辨认、数据水印溯源和数据脱敏等根底数据安全能力，通过构建数据安全对立入口，围绕数据全生命周期，帮忙用户实现云上数据安全可视化治理服务。而且还可能为企业提供数据资产的全生命周期全景图，让客户分明晓得本人的数据从哪里来、到哪里去、有无平安问题。保障云上数据在产生、采集、传输、存储、应用、替换、销毁各阶段的平安。真正的帮忙企业做到：数据安全核心在手，爱护数据计划都有。

最初

平安是个须要继续投入、继续演进、继续晋升的系统性工程，不积跬步无以至千里。新兴技术高速倒退的同时也带了未知平安威逼的频发，华为云平安继承华为 20 多年的平安能力积攒，逐渐打造欠缺云平安服务矩阵，构筑全栈平安防线，在云原生时代帮忙客户高效平安地上云。

点击关注，第一工夫理解华为云陈腐技术~