當(dāng)前，我國全面進(jìn)入云和數(shù)字化時(shí)代，云是數(shù)字化轉(zhuǎn)型的底座，是新一代基礎(chǔ)設(shè)施建設(shè)的基礎(chǔ)。云開始承擔(dān)越來越多的使命，不僅云上資產(chǎn)越來越重要，云上攻擊也愈演愈烈。同時(shí)，云計(jì)算顛覆了傳統(tǒng)的網(wǎng)絡(luò)安全實(shí)踐，給安全防守帶來了許多新的安全挑戰(zhàn)。
對(duì)此，在“2023云安全高峰論壇暨青藤品牌升級(jí)發(fā)布會(huì)”上，來自產(chǎn)學(xué)研用各方的專家，就“云時(shí)代，網(wǎng)絡(luò)攻防對(duì)抗的發(fā)展演化”主題，針對(duì)云計(jì)算帶來的安全變化，云安全防護(hù)發(fā)展趨勢(shì)，開源軟件安全風(fēng)險(xiǎn)，云安全托管發(fā)展前景，多云安全體系建設(shè)等問題開展了圓桌討論。主持本次討論的專家是青藤云安全副總裁萬京平，參與本次討論的嘉賓有北京大學(xué)教授、網(wǎng)絡(luò)與信息安全實(shí)驗(yàn)室主任陳鐘，中國信通院云大所開源和軟件安全部主任郭雪，首都在線CTO王春發(fā)，北汽福田汽車(600166)股份有限公司基礎(chǔ)設(shè)施及信息安全部負(fù)責(zé)人張志強(qiáng)，浪潮云安全產(chǎn)品總監(jiān)王禹博。
主持人：云計(jì)算，讓安全保護(hù)對(duì)象、安全管理、應(yīng)用架構(gòu)等都發(fā)生了根本性變化，那么云計(jì)算，到底給安全帶來了哪些本質(zhì)變化？請(qǐng)陳鐘主任、郭雪主任從產(chǎn)業(yè)的角度為我們分享；請(qǐng)志強(qiáng)總、春發(fā)總、禹博總站在攻防實(shí)戰(zhàn)的角度為我們分享。
(資料圖)
北京大學(xué)教授、網(wǎng)絡(luò)與信息安全實(shí)驗(yàn)室主任陳鐘：
現(xiàn)在上云已經(jīng)是一個(gè)不爭(zhēng)的事實(shí)，今天我們看到各種云化的應(yīng)用。過去，為了實(shí)現(xiàn)云計(jì)算的集中管理，催生了軟件定義網(wǎng)絡(luò)SDN。現(xiàn)在，業(yè)務(wù)上云后，你的計(jì)算在哪，安全防護(hù)也在哪，改變了原來攻防不對(duì)稱的形態(tài)。這既有好的一面，可以動(dòng)態(tài)調(diào)度云上的各種資源對(duì)安全攻防進(jìn)行支撐；這也有壞的一面，資源過度集中以后，使得自動(dòng)化攻擊變得更加便利。
同時(shí)，隨著AI大模型、GPT等出現(xiàn)以后，云計(jì)算架構(gòu)還在變化，特別是在計(jì)算、存儲(chǔ)、CPU加速方面會(huì)有一個(gè)新的結(jié)構(gòu)性的調(diào)整。青藤預(yù)先提出一些先進(jìn)的、創(chuàng)新的云安全解決方案，正在適應(yīng)這種變遷。未來當(dāng)AI人工智能融合到更多工具服務(wù)中的時(shí)候，我們的安全也能迅速跟得上。
中國信通院云大所開源和軟件安全部主任郭雪：
我說幾點(diǎn)我自己的感受。
? 首先，云計(jì)算極大地提升了信息系統(tǒng)建設(shè)速度，所以安全的建設(shè)速度也要加快，以匹配信息化建設(shè)的速度。
? 其次，未來云和安全一定是深度融合發(fā)展的，需要從研發(fā)階段就去關(guān)注安全，所以云計(jì)算給安全帶來的第二點(diǎn)重要變化就是云原生安全。
? 然后，大家都比較關(guān)注云上安全責(zé)任的問題，因?yàn)樵瓢踩媾R的是建設(shè)方、運(yùn)營(yíng)方、租戶、安全廠商等多方責(zé)任，所以云上安全責(zé)任的界定是很重要的問題。? 最后，云計(jì)算的發(fā)展對(duì)云安全建設(shè)提出了更高的要求。
北汽福田汽車股份有限公司基礎(chǔ)設(shè)施及信息安全部負(fù)責(zé)人張志強(qiáng)：
我們目前也在做數(shù)字化轉(zhuǎn)型，云是必備的數(shù)字化底座之一。我們擁有一個(gè)成熟的混合云架構(gòu)，這也讓網(wǎng)絡(luò)邊界越來越模糊，安全風(fēng)險(xiǎn)增加，這是很多上云企業(yè)的通病。下面我從三個(gè)方面簡(jiǎn)單說一下云時(shí)代的安全變化：
? 首先，在技術(shù)方面，隨著容器和微服務(wù)架構(gòu)等新技術(shù)的應(yīng)用，給我們帶來了新的安全風(fēng)險(xiǎn)，安全防御也需要升級(jí)。
? 其次，在管理方面，我們面臨的最大問題是如何實(shí)現(xiàn)高效的云安全運(yùn)營(yíng)，這需要云技術(shù)團(tuán)隊(duì)和安全團(tuán)隊(duì)的高效融合協(xié)作。
? 最后，在人員培養(yǎng)方面，我們需要專業(yè)的云安全運(yùn)營(yíng)管理人才，實(shí)現(xiàn)企業(yè)數(shù)字化轉(zhuǎn)型中的云安全建設(shè)。
首都在線CTO王春發(fā)：
我們是做云計(jì)算的公司，在全球有很大的一張網(wǎng)，我們對(duì)云安全非常重視。
? 首先,如果讓我建立一套完整的安全體系,第一步會(huì)先建立資產(chǎn)清點(diǎn)能力。因?yàn)樵粕嫌泻芏鄤?dòng)態(tài)資源,比如虛擬機(jī),虛擬的網(wǎng)絡(luò)定義,虛擬的網(wǎng)絡(luò)存儲(chǔ),這讓資產(chǎn)清點(diǎn)難度非常大。
? 其次，我們的客戶和我們自身，都在用微服務(wù)架構(gòu)和容器技術(shù)，容器的生命周期非常短，這使得網(wǎng)絡(luò)攻擊溯源非常難，這也是我現(xiàn)在碰到的難題。
? 最后，因?yàn)樗腥萜鞴灿靡粋€(gè)操作系統(tǒng)，單個(gè)系統(tǒng)漏洞風(fēng)險(xiǎn)會(huì)在整個(gè)集群廣播，使得風(fēng)險(xiǎn)擴(kuò)散速度非常快，管控難度非常高。面對(duì)這些云上安全的新變化，我們期望和青藤這樣的云安全廠商深度合作。一是可以加深我們?cè)频鬃踩欢俏覀兊目蛻粢部梢韵硎艿蕉鄻踊脑瓢踩a(chǎn)品。
浪潮云安全產(chǎn)品總監(jiān)王禹博：
剛才春發(fā)總講的很好，我們都屬于云服務(wù)商，所以云計(jì)算給安全帶來的這些困難和麻煩我們感同身受，我簡(jiǎn)單再補(bǔ)充兩點(diǎn)。
? 首先，大家關(guān)注的云上安全責(zé)任共擔(dān)模型，這是云計(jì)算出現(xiàn)之后給安全帶來的挺新穎的變化，它區(qū)分了云租戶和云服務(wù)商各自的責(zé)任點(diǎn)。
? 其次，利用云計(jì)算本身高算力和一體化的特性，能夠讓安全產(chǎn)品發(fā)揮更好的價(jià)值和效果，實(shí)現(xiàn)統(tǒng)一、融合的云安全管理。
主持人：針對(duì)云安全防護(hù)，市場(chǎng)上有兩種主流做法。一是通過虛擬化安全資源池的形式，包括虛擬防火墻、虛擬WAF等；二是基于云自身特性做安全防護(hù)，例如基于容器的DevSecOps全流程安全，這兩種方式未來發(fā)展情況各位專家怎么看？
首都在線CTO王春發(fā)：
剛才提到一個(gè)概念DevSecOps，我認(rèn)為它確實(shí)解決了傳統(tǒng)安全模型解決不了的安全問題，把安全團(tuán)隊(duì)、安全管理引入到開發(fā)、測(cè)試、上線的整個(gè)過程，在CI/CD過程都可以看到安全的影子，比如代碼的掃描、漏洞的掃描、安全管控等等。我列舉兩個(gè)例子：
? 首先，我們所有研發(fā)人員在提交代碼的時(shí)候都會(huì)進(jìn)行代碼安全漏洞掃描，這個(gè)過程是完全自動(dòng)化的。
? 其次，DevSecOps本身有很重的安全運(yùn)維過程，這是傳統(tǒng)的虛擬防火墻、WAF、主機(jī)安全、抗DDOS不能替代的。
北汽福田汽車股份有限公司基礎(chǔ)設(shè)施及信息安全部負(fù)責(zé)人張志強(qiáng)：
我想從業(yè)務(wù)角度回答這個(gè)問題，我們現(xiàn)在的業(yè)務(wù)形態(tài)多種多樣，有傳統(tǒng)的，也有云原生化的，這兩種形態(tài)在未來一段時(shí)間會(huì)共存。傳統(tǒng)型業(yè)務(wù)需要防火墻和虛擬WAF等進(jìn)行南北向安全防護(hù)；另外一種云原生化的業(yè)務(wù)，我們會(huì)采用云原生安全的方式去做，把現(xiàn)在所說的這些安全功能揉進(jìn)去。比如我們引入VSOC，同時(shí)把青藤的入侵檢測(cè)能力整合到我們整體的安全架構(gòu)中。所以說，基于企業(yè)的業(yè)務(wù)形態(tài)，傳統(tǒng)虛擬化資源池的安全防護(hù)方式和云原生安全的防護(hù)方式會(huì)共存發(fā)展。
主持人：2019年，中央網(wǎng)信辦、國家發(fā)改委、工信部、財(cái)政部4部委聯(lián)合發(fā)布《云計(jì)算服務(wù)安全評(píng)估辦法》，旨在提高黨政機(jī)關(guān)、關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者采購使用云計(jì)算服務(wù)的安全可控水平。那么針對(duì)當(dāng)前開源軟件的安全風(fēng)險(xiǎn)，各位專家是如何看待的？
北京大學(xué)教授、網(wǎng)絡(luò)與信息安全實(shí)驗(yàn)室主任陳鐘：
云計(jì)算快速發(fā)展，其中開源軟件扮演了非常重要的角色。因此，開源軟件安全問題就變得非常重要了。本來開源是眾人之眼，大家都看著它，它的安全性應(yīng)該是很強(qiáng)的，但是我們發(fā)現(xiàn)，很多開源軟件會(huì)突然爆發(fā)高危漏洞。我們國家對(duì)開源軟件的安全高度重視，在制度建設(shè)、標(biāo)準(zhǔn)研制、技術(shù)研發(fā)上都在全力突破，希望更好地應(yīng)對(duì)開源漏洞帶來的風(fēng)險(xiǎn)。
中國信通院云大所開源和軟件安全部主任郭雪：
開源應(yīng)用非常廣，我的團(tuán)隊(duì)一直在運(yùn)營(yíng)金融開源社區(qū)、通信開源社區(qū)、汽車開源社區(qū)，我們會(huì)定期調(diào)研開源的應(yīng)用率。根據(jù)最新調(diào)研數(shù)據(jù)，大概34%左右的企業(yè)開源組件數(shù)量達(dá)到上萬水平，同時(shí)還有約3%的企業(yè)開源組件數(shù)量達(dá)到了十萬以上。這種情況下，我們一定要關(guān)注開源軟件的安全問題。當(dāng)然，開源的問題非常復(fù)雜，除了漏洞之外，還有知識(shí)產(chǎn)權(quán)、許可證、持續(xù)性等問題。這里重點(diǎn)說一下，做好開源軟件安全管理首先要做好資產(chǎn)清點(diǎn)，之后再做進(jìn)一步的安全保護(hù)。
主持人：隨著數(shù)字化進(jìn)程逐步深入，網(wǎng)絡(luò)安全壓力與日俱增，企業(yè)單純依靠自身能力管理網(wǎng)絡(luò)安全已經(jīng)分身乏術(shù)。這種情況下，托管服務(wù)成為各行業(yè)用戶提升安全水位、化解安全風(fēng)險(xiǎn)的有效措施。各位專家如何看基于云的MSS、MDR安全托管服務(wù)在中國的發(fā)展前景？
北汽福田汽車股份有限公司基礎(chǔ)設(shè)施及信息安全部負(fù)責(zé)人張志強(qiáng)：
為什么我會(huì)積極引入MSS服務(wù)方式。首先是因?yàn)榧夹g(shù)沉淀不足，我們信息安全人員的技術(shù)沉淀，沒有想象的那樣強(qiáng)大。其次是我們的業(yè)態(tài)發(fā)生了很多變化，很多應(yīng)用要實(shí)現(xiàn)移動(dòng)化，意味著很多業(yè)務(wù)要發(fā)布到公網(wǎng)上，這使得網(wǎng)絡(luò)攻擊面增大了。
為了應(yīng)對(duì)這些問題，我們打造了統(tǒng)一聯(lián)動(dòng)的安全運(yùn)營(yíng)體系，做成了可視化風(fēng)險(xiǎn)處置平臺(tái)，管理員只需要看一個(gè)大屏，就可以處理我們集團(tuán)18個(gè)地點(diǎn)的安全事件。當(dāng)然，并不是說有了這些安全防護(hù)手段就可以高枕無憂，其實(shí)還差得遠(yuǎn)。我們需要自己去打自己一鞭子，所以我們引入攻擊模擬去測(cè)試安全防御能力。在這個(gè)過程中，我們發(fā)現(xiàn)自己的運(yùn)營(yíng)團(tuán)隊(duì)跟不上節(jié)奏，需要借助專業(yè)的安全服務(wù)團(tuán)隊(duì)進(jìn)行威脅分析，讓我們及時(shí)發(fā)現(xiàn)、及時(shí)處理風(fēng)險(xiǎn)事件。以前我們認(rèn)為一定要培養(yǎng)自己的人來做安全運(yùn)營(yíng)。但實(shí)際上這種思路需要改變。我們可以和安全廠商深度合作，借助專業(yè)的安全服務(wù)，效果更好。
主持人：企業(yè)數(shù)字化轉(zhuǎn)型過程中，大多會(huì)選擇“多云環(huán)境”的模式，這種模式帶來便利的同時(shí)，也衍生出很多新的安全風(fēng)險(xiǎn)，比如復(fù)雜的配置問題、權(quán)限、策略等問題。那么，多云場(chǎng)景下，企業(yè)在搭建安全防護(hù)體系時(shí)，應(yīng)該重點(diǎn)關(guān)注什么？比如安全監(jiān)測(cè)及管理等方面，各位專家能否給大家一點(diǎn)建議？
浪潮云安全產(chǎn)品總監(jiān)王禹博：
針對(duì)云上安全防護(hù)建設(shè)，我從三個(gè)方面來說一下。
? 首先，是資產(chǎn)的全面梳理，要特別關(guān)注API安全。傳統(tǒng)的主機(jī)層、服務(wù)層以及端口層大家基本上都能覆蓋，但是API安全做不好會(huì)導(dǎo)致更多的數(shù)據(jù)泄露。所以我覺得第一點(diǎn)是全面的資產(chǎn)梳理。
? 其次，需要重點(diǎn)關(guān)注身份權(quán)限管理。因?yàn)樵谠粕喜渴鸲囝悜?yīng)用，身份權(quán)限管理會(huì)面臨更為復(fù)雜的情況。
? 最后，是要建立安全運(yùn)營(yíng)體系。從攻防角度來說，新的攻擊手段層出不窮，防御體系也需要?jiǎng)討B(tài)變化，這就需要一套不斷優(yōu)化迭代的安全運(yùn)營(yíng)體系。不管是基于人+工具+流程的PPP，還是基于AI+大數(shù)據(jù)的智能融合，安全運(yùn)營(yíng)都是云上安全建設(shè)不可避免的一個(gè)環(huán)節(jié)。
小編總結(jié)：
從各位專家的闡述總結(jié)來看，近幾年我國的云計(jì)算產(chǎn)業(yè)一直處于高速發(fā)展時(shí)期，越來越多的企業(yè)為了實(shí)現(xiàn)數(shù)字化轉(zhuǎn)型，紛紛選擇業(yè)務(wù)上云，其業(yè)務(wù)也呈現(xiàn)出開放互聯(lián)、高效運(yùn)轉(zhuǎn)、結(jié)構(gòu)復(fù)雜、快速變化等特點(diǎn)。這些新特點(diǎn)給安全帶來了更為艱巨的挑戰(zhàn)。傳統(tǒng)安全在云和全面數(shù)字化變遷過程中能力有限。新時(shí)代，需要新安全。安全需要適配云的基礎(chǔ)設(shè)施，充分API化，能夠融入到業(yè)務(wù)中去，能夠高速迭代和演進(jìn)。簡(jiǎn)言之，就是實(shí)現(xiàn)“業(yè)安融合”，具體表現(xiàn)為以下四個(gè)特征：
? 敏捷：能夠跟上企業(yè)業(yè)務(wù)和安全威脅的快速變化，具備敏捷發(fā)布和部署的能力。
? 高效：在爆炸式海量數(shù)據(jù)(603138)和行為中實(shí)時(shí)發(fā)現(xiàn)并根除風(fēng)險(xiǎn)和威脅。
? 智能：能夠基于AI進(jìn)行智能化分析，提高安全防護(hù)效果。
? 連接：能夠?qū)崿F(xiàn)人與人、人與系統(tǒng)、系統(tǒng)與系統(tǒng)的連接。
我國已經(jīng)全面進(jìn)入了云和數(shù)字化時(shí)代，順應(yīng)云安全發(fā)展趨勢(shì)，建設(shè)有效的云安全防護(hù)體系，成為數(shù)字經(jīng)濟(jì)發(fā)展的重要保障。
（免責(zé)聲明：此文內(nèi)容為廣告，相關(guān)素材由廣告主提供，廣告主對(duì)本廣告內(nèi)容的真實(shí)性負(fù)責(zé)。本網(wǎng)發(fā)布目的在于傳遞更多信息，并不代表本網(wǎng)贊同其觀點(diǎn)和對(duì)其真實(shí)性負(fù)責(zé)，請(qǐng)自行核實(shí)相關(guān)內(nèi)容。廣告內(nèi)容僅供讀者參考。）
