隨著互聯(lián)網(wǎng)的迅速發(fā)展，云計算已經(jīng)被應(yīng)用于多個領(lǐng)域，互聯(lián)網(wǎng)企業(yè)也如雨后春筍般涌出，并帶動各個行業(yè)的創(chuàng)新發(fā)展，隨之而來云上安全問題也逐漸成為行業(yè)關(guān)注焦點。
6月25日，騰訊云TVP團隊和騰訊安全云鼎實驗室聯(lián)合發(fā)起云安全技術(shù)閉門會，邀請到5位來自北辰時代科技、鈦資本、紅途創(chuàng)程、游族網(wǎng)絡(luò)、騰訊云的安全領(lǐng)域資深技術(shù)專家，從多個維度、多種行業(yè)綜合分析云安全行業(yè)痛點，共討立體、可控、可視的安全之道。
TVP技術(shù)閉門會是由騰訊云TVP打造的專屬技術(shù)閉門研討會，旨在提供一個開放的交流環(huán)境，針對熱門技術(shù)話題前沿科技、技術(shù)管理等話題進行深入探討。在本次“云安全，行業(yè)痛點今何在?”技術(shù)閉門會上，5位嘉賓也基于各自在行業(yè)多年的經(jīng)驗，分享了對于云安全的實踐經(jīng)驗和對未來的預(yù)判。
安全從0到1
北辰時代科技技術(shù)總監(jiān)、騰訊云TVP涂川首先分享了關(guān)于安全和云的話題，結(jié)合自身的從業(yè)經(jīng)驗，從傳統(tǒng)安全架構(gòu)設(shè)計擴展至更加智能靈活可擴展的云計算平臺安全服務(wù)等內(nèi)容，提出了目前比較適合企業(yè)的云安全服務(wù)形式。
涂川認為，安全是持續(xù)攻防對抗的動態(tài)過程，沒有絕對的安全，從技術(shù)角度來看，安全涵蓋的面極其廣泛，安全技術(shù)的實現(xiàn)，除了有清晰的安全建設(shè)意識和規(guī)劃外，對組織和個人的技術(shù)能力要求高，全面安全體系的層次化建設(shè)，也絕非某個人或者是某個組織憑一已之力就能做好的，需要全民參與，更需求國家層面來領(lǐng)導(dǎo)與組織。
“從傳統(tǒng)網(wǎng)絡(luò)安全建設(shè)擴展到云安全領(lǐng)域，于行業(yè)內(nèi)而言，并沒有看到顛覆性的云安全技術(shù)出現(xiàn)，雖然底層的平臺架構(gòu)發(fā)生了變化，業(yè)務(wù)的承載模式發(fā)生了變化，但圍繞業(yè)務(wù)本身的安全問題，依然存在同樣的風(fēng)險與威脅。好在云計算分布式的計算存儲網(wǎng)絡(luò)可以更靈活地應(yīng)對大規(guī)模高并發(fā)的云服務(wù)場景。而之前在傳統(tǒng)安全架構(gòu)設(shè)計里面，常見的堡壘機、日志審計、WAF防火墻、IPS入侵防御等安全防護手段，在云平臺安全服務(wù)中，也同樣存在。好在國家針對云計算平臺的安全，也基于傳統(tǒng)的安全架構(gòu)之外，提出了更高的技術(shù)和管理要求，我們也相信，云安全的服務(wù)質(zhì)量亦會越來越強”涂川如是說。
涂川還強調(diào)，云安全更重要的是服務(wù)，行業(yè)迫切需要更加智能的，類似于騰訊云的安全服務(wù)，MSS托管的云安全服務(wù)形式，基于對云端的持續(xù)監(jiān)控及AI和大數(shù)據(jù)分析，能夠把安全策略和大數(shù)據(jù)背后人的肉眼不能見的東西做到極致，服務(wù)價值非常高。
安全防護邊界越來越模糊，需要新思路
“從2005年到2020年，數(shù)據(jù)泄露呈現(xiàn)出的增長趨勢十分明顯。79%的企業(yè)經(jīng)歷過數(shù)據(jù)泄露，有43%的公司報告了10次或者更多的數(shù)據(jù)泄露情況。可以看出，當(dāng)前，數(shù)據(jù)泄露已經(jīng)不僅僅是個體情況。”
今年6月，國家正式出臺了《數(shù)據(jù)安全法》，并將于9月1日起施行。在需求與政策的雙重驅(qū)動下，紅途創(chuàng)程創(chuàng)始人、騰訊云TVP劉新凱分析，如何選擇更好的方式保護一個企業(yè)的數(shù)據(jù)，將成為行業(yè)未來的熱門話題。
劉新凱表示，在討論風(fēng)險及合規(guī)的視角下，隱私及數(shù)據(jù)安全需求在改變，管理難度在增加。隨著法律和企業(yè)的變化，保護的外延在擴張，范疇在變大，從企業(yè)的敏感數(shù)據(jù)逐步擴展到個人隱私數(shù)據(jù)、企業(yè)的敏感數(shù)據(jù)乃至國家的重要數(shù)據(jù)。同時，隨著云技術(shù)、大數(shù)據(jù)的發(fā)展，IOT設(shè)備、智能汽車、智能家居等一系列物聯(lián)網(wǎng)終端的接入，也使得安全防護的邊界越來越模糊。新的改變下，需要構(gòu)建全新的數(shù)據(jù)安全防護的思路。
人才培養(yǎng)是云安全的基礎(chǔ)
“安全是一個系統(tǒng)工程，不同的組織有不同的管理流程，不同的組織對資產(chǎn)的定義不同，對人的授權(quán)不同。”鈦資本CTO、騰訊云TVP雷葆華老師認為，安全本身是一個攻防的過程，不能用一套標(biāo)準(zhǔn)化的東西打天下，也不可能靠產(chǎn)品一蹴而就，需要的是安全服務(wù)團隊的持續(xù)投入，即安全人才是關(guān)鍵。
相比歐美比較完善的安全行業(yè)，國內(nèi)的安全運營團隊成熟度還遠遠不夠。雷葆華表示，“2014年之后國內(nèi)開始大規(guī)模做安全補課，投入比例基本在3%到5%，雖然縮短了差距，但是短期內(nèi)的大量投入帶來的安全人才培養(yǎng)不像產(chǎn)品，不像技術(shù)，人才的培養(yǎng)是長期性的事情。”
雷葆華總結(jié)道，網(wǎng)絡(luò)安全不僅僅是靠解決方案或產(chǎn)品就能實現(xiàn)，最終還是需要“人”來落地。
通過托管式的安全服務(wù)提升企業(yè)安全底線
游族網(wǎng)絡(luò)運維負責(zé)人、騰訊云TVP李志勇認為，從安全服務(wù)整體來看，主要還是需要一個強大的安全服務(wù)團隊，技術(shù)的服務(wù)是很重要的因素。對于很多企業(yè)來說，安全建設(shè)可以通過引入一些第三方的安全托管服務(wù)，迅速將自身的安全基線拉到行業(yè)平均水平。 “從企業(yè)安全角度來看，相比專業(yè)安全廠商，我們自身的安全短板還是比較明顯的，如何能夠通過外部的資源和服務(wù)補足團隊的短板，這是我們會關(guān)注的一點。我們用怎樣的安全產(chǎn)品、怎樣的安全技術(shù)滿足業(yè)務(wù)上的需求，同時當(dāng)我們的安全人才不足的情況下，我們需要引入哪些安全服務(wù)。”
李志勇認為，解決這個問題可以從兩個方面入手，第一是采用托管式的安全服務(wù)，對于安全能力不夠的企業(yè)來說，托管服務(wù)能夠使企業(yè)的安全建設(shè)和行業(yè)的安全基建保持一致;第二，很多時候安全在部分企業(yè)尤其是規(guī)模較小的行業(yè)里面是一個可選服務(wù)，未來需要把安全服務(wù)變成像計算資源、存儲資源一樣的“標(biāo)配”，去提升行業(yè)的安全水平。
用戰(zhàn)爭思維構(gòu)建云時代的安全防護體系
騰訊云安全總經(jīng)理李濱分析，由于云技術(shù)的發(fā)展應(yīng)用與安全工具的落后之間的矛盾，使得當(dāng)前云時代的安全建設(shè)面臨三個非常嚴重的挑戰(zhàn)：
首先是安全機制的變化。傳統(tǒng)的企業(yè)安全，資產(chǎn)的所有權(quán)，資產(chǎn)設(shè)備的控制權(quán)，全部都是統(tǒng)一一致的。但在今天的云場景里，更多采用的是租用形式，所以資產(chǎn)的所有權(quán)、控制權(quán)以及我們在選擇服務(wù)和產(chǎn)品和技術(shù)模型上面，都發(fā)生了巨大的變化。
其次，算力和數(shù)據(jù)量的變化都導(dǎo)致傳統(tǒng)的安全機制在云上的時候面臨失效，或者不適用。
最后，云時代導(dǎo)入的新技術(shù)，如扁平化的架構(gòu)，虛擬化技術(shù)的應(yīng)用，普遍存在的分布式機構(gòu)，異構(gòu)計算，服務(wù)的抽象化等，導(dǎo)致國內(nèi)企業(yè)在安全分析的時候，不管是在攻擊面還是攻擊路徑的分析上面都會呈現(xiàn)更復(fù)雜的狀態(tài)。
在李濱看來，如今安全已經(jīng)不是傳統(tǒng)的靜態(tài)思維或周期性的思維。今天強調(diào)新的理念，就是安全一定要有戰(zhàn)爭思維，戰(zhàn)爭是動態(tài)變化的，戰(zhàn)爭一定會有損失，一定會有取舍。所以如何用比較合理的投入取得最大化的效果，是今天云安全行業(yè)需要思考的。“基于過去在安全行業(yè)的實踐經(jīng)驗和儲備，騰訊安全推出了全新的理念，即云原生的安全托管服務(wù)。通過數(shù)據(jù)驅(qū)動、情報驅(qū)動、系統(tǒng)自動化驅(qū)動三個驅(qū)動，消減云上海量事件對信息的淹沒，實現(xiàn)對數(shù)據(jù)的快速分析和對服務(wù)的快速響應(yīng)。”
結(jié)語
數(shù)字化時代下，信息紛擾，數(shù)據(jù)龐雜，對每一個互聯(lián)網(wǎng)從業(yè)者來說，如何保證安全是重中之重，面對云安全龐大復(fù)雜的涉及領(lǐng)域，需要安全研究人員持續(xù)深入挖掘具體場景，更需要企業(yè)管理者站在全局角度從戰(zhàn)略角度規(guī)劃。此次騰訊TVP技術(shù)閉門會對云安全痛點的深入挖掘，對安全從業(yè)者更好地構(gòu)建云安全防護能力具有積極意義。
TVP即騰訊云最具價值專家(Tencent Cloud Valuable Professional)，是騰訊云授予云計算領(lǐng)域技術(shù)專家的一個獎項。TVP計劃致力打造與行業(yè)技術(shù)專家的交流平臺，構(gòu)建云計算技術(shù)生態(tài)，實現(xiàn)“用科技影響世界”的美好愿景。
申請創(chuàng)業(yè)報道，分享創(chuàng)業(yè)好點子。點擊此處，共同探討創(chuàng)業(yè)新機遇！
