從2006年Google提出云計算概念開始至今已經過了近11年，前幾年業界還在討論云計算浪潮何時到來，時至今日云計算已經滲透到了各個行業。Gartner報告顯示，未來5年向云的轉移將會直接或間接影響超過1萬億美元的IT開支。我國云計算雖然起步較美國晚，但發展勢頭非常迅猛，第三方統計顯示，2016年我國云計算整體市場規模達514.9億元人民幣，整體增速35.9%，高于全球平均水平。

　　云計算的安全困擾

　　在業務上云的過程中，用戶除了廣泛關注云計算的穩定性、高性能等問題，云的安全性越來越受到用戶的重視。Forrest報告提到，71%的受訪者計劃在一年之內上云，而51%的受訪者認為如果上云，首要考慮就是云上的安全。云安全已經成為影響云計算產業進一步發展的最重要因素。

　　云安全和傳統的安全其實并沒有本質完全的不同，云計算平臺建設在數據中心，傳統數據中心安全依然是云安全的重要組成部分。傳統安全在云計算時代面臨的最大挑戰是要適配云計算環境動態化、軟件化、虛擬化的特點。

　　云計算帶來的邊界變化：云計算技術讓傳統邊界發生了變化，SDN、VPC、彈性擴展、動態遷移等技術打破了傳統的網絡架構，而過去安全基于傳統網絡和劃分安全域，在出口處堆疊防火墻等防御設備的時代已經不存在了。公有云、混合云的出現則徹底將企業的安全邊界擴展至了企業內網之外。而應對這種新的變化，首先要做的事情就是重新構建彈性安全，重建云上的安全邊界。

　　云計算帶來的資產集中：云讓數據資產更集中，形成了一個個數據金礦，更容易吸引黑客的攻擊。

　　云計算帶來管理上的變化：云計算將過去分散、孤立的IT系統進行了集中，勢必帶來運維和管理的集中，從而將原來的角色和責任分工也沖擊改變。

　　云計算帶來的復雜度：復雜IT融合環境以及SDN技術帶來的控制和數據平面分開、彈性調度與動態遷移等，都給安全的配置與管理帶來更大的復雜度;面對云環境中常態化的變化問題，靜態的部署和策略配置基本無效。安全也要能夠隨著云的變化而動態調整，主要體現在：安全設備從硬件向軟件化以及虛擬化轉變、跟隨云資源變化，支持按需分配、彈性擴容與自動回收資源這兩點。

　　云的引入對現行的IT技術和IT管理都產生了深刻影響。所以在云安全的設計中，也要多方面考慮，做到技術與管理并重，建設與運營并舉。

　　云安全管理考量

　　云安全首重合規

　　云安全從管理上考慮，首重合規。這個合規既有《網絡安全法》等法律法規，又有一些行業指導要求，還要從云平臺自身、云租戶和監管要求3方面考慮。

　　國內外機構近年來陸續發布多個云安全的相關標準，例如云安全聯盟(CSA)的《如何保護云數據》，美國國家標準技術研究所(NIST)發布的《云計算安全障礙與緩和措施》、《公共云計算中安全域隱私》，CSA大中華區發布的《云計算安全技術要求》，以及國內等保標準中的《信息系統安全等級保護云計算安全擴展要求》(草案)等。如何建設云計算系統的安全措施，保證符合法律和合規的要求，是用戶上云面臨的重要問題。

　　云安全要明晰角色定義與安全責任分工

　　云安全管理第二要素是明晰云環境下的角色定義和安全責任分工界面。各個角色安全分工會影響到安全制度的修訂，甚至管理組織架構的完善。以電子政務云為例，其可以分為云建設、云監管、云使用、云承建、云安全服務5個角色。哪個角色是監管責任，哪個角色是使用責任，哪個角色應該負責安全等，都要明確指出其安全責任，并落實到日常工作中。云安全服務方目前在云建設中存在兩種觀點：一種是云建設方是總集，負責協調云安全服務方;一種是云建設和云安全分開，兩個角色相互獨立。目前后一個觀點越來越被接受。因為云安全服務方作為一個特殊角色，獨立于云建設方，雙方的相互監督、相互制衡，會避免很多安全問題被“捂蓋子”，這對業主單位來說是非常好的。

　　云安全要重視常態化運營

　　云安全管理第三個要素是常態化運營。在云平臺的生命周期中，大規模建設和擴容通常時間較短，更多的是長期運營。運營如何能做到統一、完整、及時，要從多方面考慮。比如，安全運維包括資產管理、網絡安全管理、系統安全管理等，但云上的資產管理比傳統資產管理更有難度，因為云上的彈性擴展與動態遷移會帶來資產頻繁的動態變化。常態化安全運營需要通過安全管理中心覆蓋安全運維、威脅發現、持續監測問題溯源及聯動控制幾方面，而這其中，人是運營的核心。

　　360在2017年的ISC大會上，發布了數據驅動安全2.0的理念，對數據驅動安全進行了創新演進。它的核心是除了構建基于大數據的云端安全能力平臺，實現以數據驅動的安全產品聯動之外，還增加以人為核心的安全運營機制，如圖1所示。

　　圖1 360企業安全集團新一代安全防護體系

　　這是一個非常重要的人機協同，云端安全能力、數據驅動的產品協同和以人為核心的安全運營三者組成一個閉環，真正達成構建積極防御的完善能力體系。

　　云安全技術考慮

　　管理需要制度和技術手段支撐。360的云安全技術理念是以數據驅動安全為核心的自適應云安全，通過云安全Controller和多樣化的NFV安全能力，構建云上的縱深防御與協同聯動體系。

　　云環境的自適應安全框架

　　圖2 云環境的自適應安全框架

　　自適應安全是Gartner定義的下一代安全體系，連續兩年位列十大信息安全技術之一。在云環境下，由于系統的復雜性和云上應用的多樣性，僅依靠防御的建設遠遠不夠。特別是在“四個安全假設(假設系統一定有未被發現的漏洞，假設一定有已發現但未修補的漏洞，假設系統已經被滲透，假設內部人員不可靠)”前提下，云上的漏洞和一定被攻破的可能性遠比普通環境高。所以Gartner建議企業不要用分散的安全技術應對多樣化的安全需求，需要體系化地建設網絡、終端、應用的全方位感知能力，在檢測、響應、預測方面持續投入，并降低防御投入。云環境的自適應安全框架如圖2所示。

　　以持續檢測和響應為核心，就是強調對云系統的全面感知，以及結合威脅情報進行判斷，并通過常態化的安全運營進行快速響應，拼的是發現和響應速度。這對于云平臺這種大型復雜系統尤為重要。

　　以人為核心的數據驅動安全2.0

　　360在業內首先提出了“數據驅動安全”。在云環境下，該安全理念尤為適用。首先是云環境下的大規模數據，由于云本身的規模以及運行的應用和數據極多，所以安全數據極為龐大和豐富。其次，數據驅動安全本身就需要云與大數據的計算與存儲的支撐。通過對云環境的數據做安全大數據分析，并增加以人為核心的安全運營機制，驅動自適應安全的四個象限，形成一個閉環的云運營安全，其中數據是基礎，驅動是手段，但是目標還是安全。

　　云安全的智慧大腦——安全控制器

　　云把網絡、存儲、計算、數據、應用、管理、安全等都集成在一起，構成了一個復雜又高度集成的IT系統。云的兩個核心技術是虛擬化與調度管理，云安全的研究也需要針對這兩方面分別考慮。

　　虛擬化的安全研究目前比較多，比如針對虛擬機逃逸等方面的研究。如同SDN技術將控制與轉發分開一樣，針對云的控制層面的安全需求，則應有一個云安全的智慧大腦——云安全控制器(Controller)，它實現對各安全NFV組件的統一管控與調度，把各種安全能力綜合協同，可以直接將它和云平臺進行對接，通過兩個控制平臺層面的交互，實現資產以及防護策略的一致性，然后通過網絡將資源層打通，實現流量的靈活調度，完成整個云環境的安全防護，并最終形成各種安全研判的結果，以支撐云安全上的常態化、智能化的安全運營與管理。目前360已經在這方面有相關的產品布局與實踐——云安全管理平臺。

　　云安全管理平臺利用360云端大數據，結合客戶本地化數據，通過大數據安全分析，形成對事前、事中和事后的智能分析。而在事中的響應處置中，云安全管理平臺又可以協同各方面的安全能力構建起縱深防御體系，并通過持續收集分析的安全數據，對事后溯源進行支撐。這些能力必須要通過安全控制器來實現，而非單獨某一種安全能力可以覆蓋。安全控制器正是自適應安全架構與數據驅動安全技術理念在云安全上的核心。

　　總結預測

　　云計算技術與服務模式依然在高速發展和演進中，我們預測未來混合云的形態會更加普遍，如何支撐混合云這種復雜場景下的安全，將是云安全的未來重點之一。隨著越來越多的資產遷移到云上，云的規模與云上的數據安全也會越來越重要。隨著云被更廣泛使用，未來爆發大規模云安全事件的風險也越來越大。隨著云的常態化發展與使用，未來云安全將呈現一輪爆發式增長，在整個安全行業所占的比重也將增大。

　　作者劉浩：360企業安全集團云安全事業部總經理