安全快讯
首页 > 新闻报道 > 安全快讯> 正文

云上的世界是否真的更安全?2016杭州·云栖大会云安全看点

作者:Blackhold
2016-10-15 03:48:56
次阅读
来源:http://www.freebuf.com/fevents/116699.html

如果我们要列举相关大数据和云计算的实例,恐怕几天几夜都说不完。而且其神奇程度绝对超乎绝大部分人的想象。比如马云在昨天云栖大会上提5个“新”中的“新制造”,就实在很值得探讨——这是阿里巴巴集团首席技术官张建锋在今天的云栖大会主论坛上谈到的很有意思的延伸。

你真的懂云计算吗?

张建锋说,很多人都以为现在是海量数据时代了,就像昨天我们说的,杭州马路上的数万摄像头每天产生的数据,人类是根本无力处理的,因为太多了。但实际上,真实世界的数字化信息仍只占到这个世界的很少一部分,如果每辆汽车甚至每个行人都能全天候佩戴摄像头,这才产生了可称作“海量”的数据。现在所谓的“大数据时代”,只不过才刚开了个头。

“奥巴马先前去欧洲拜访西门子,那儿的高尔夫球杆上刻了他的名字。这在我们看来似乎是种很了不得的事,但未来,淘宝能为每个人实现这种个性化定制。”

阿里巴巴集团首席技术官 张建锋

是不是感觉很不可思议?“淘宝本身有大量用户数据,了解用户需求和个性。智能工厂在收到个性化订单之后,就能进行相应的制造。”这听来似乎是个反人类的命题,然而接下来的第二步,“奥巴马的这跟球杆,它本身也需要实现数字化是智能化,它能记录每次击杆力度并上传到云端——工厂在接收到这些数据之后才进行进一步的个性化生产。”

“随后的第三步,是实现产品的智能化服务:高尔夫球教练可以根据这些数据,来指导用户改进打高尔夫球的方式。”

“现在的许多信息仍是孤岛。如果数据是真正海量的:比如我要买个牛奶——当代的理念只在于考察用户需求,之后细分产品线。但实际上,每个用户都有自己的需求,比如牛奶的脂肪含量、含糖量等。”“如果工厂能够实现智能化,也就可以为不同的用户贴上标签,实现智能化生产。”这就是“新制造”,是数据作为资源的价值体现——马云昨天提出的制造行业未来的走向。

所以,你真的了解云计算,或者大数据、人工智能吗?何况这不过是云计算的某一个设想。我们在云栖大会的展场看到那么多千奇百怪的“数据化”产品,电饭煲、衣服裤子、自行车、电视机、钢琴、GPU芯片、冰箱——究竟还有什么是不能与云计算挂钩的?

Intel、惠普和阿里一同发布的YunOS Book

所以今天上午的云栖大会上阿里云发布了YunOS for TV(还有YunOS针对可穿戴设备、家居、手机、汽车、机器人的不同版本);随之而来的是夏普的YunOS电视;阿里云、Intel和惠普联合发布的一台YunOS Book笔记本,就显得很稀松平常了——YunOS是今日云栖大会的主角,而YunOS本身也就是阿里云布局的一环罢了。

淘宝移动平台资深总监 庄卓然在谈淘宝移动未来的发展方向将是AR/VR

云计算深入“吃穿住行”的基础保证仍旧是安全。但大概是因为阿里云想要阐释的内容实在太过丰富和庞大,我们上面列举的这种“新制造”的创想,不过是今天大会谈到的“云计算”的其中一个实例罢了。所以即便今天下午有个专门的“云安全专场”分论坛,好不容易盼到了安全相关内容,却也并没有深入到技术中去。

除了昨天阿里云首席安全研究员吴翰清在国际专场分论坛,针对海外用户的一波阿里云安全产品的发布,今天云安全专场的侧重点在于,主论坛上阿里云资深总监李津就提到的,阿里云金融云通过云等保四级备案评测——所以害怕云不安全是没道理的。

阿里云资深总监 李津

“云上的世界更安全”

实际上,李津在上午主论坛收尾的时候宣布了几个比较重要的消息,包括AliSQL数据库开放源码下载;中国区云产品价格下调,核心云产品最高降幅50%(包括云服务器ECS、晕数据库RDS和云存储OSS及云安全产品等);还有据说Intel首次为云量身定制的CPU落户阿里云的新一代云服务器,三个系列的产品很快会发布;GPU硬件虚拟化服务器的即将发布(昨天我们在文章中谈到的AMD);云通信产品发布;还有为开发者准备的一站式开发者服务即将发布。

不过他在发布开场的时候说:“IT行业皇冠上的明珠就是金融”,“如果连金融都能上云,还有什么产业是不能的呢”?这个问话或许是用来消除企业用户对云安全的顾虑的,这里也就提到了金融云通过云等保四级备案测试。

阿里云高级安全专家邬怡

恰巧下午云安全专场,阿里云的发言基本也是围绕云等保和云环境合规问题展开的。阿里云高级安全专家邬怡的议题名为《云上的世界为什么更安全》。除了列举阿里云本身在安全方面的经验,比如每天抵御1000次以上DDoS攻击、2000万次Web应用攻击、超过2亿次密码暴力破解攻击等;还提到阿里云获得的更多合规性认证。

这里有个有趣的话题,即云安全的责任共担。阿里云高级合规专家陈雪秀就在演讲中谈到了《基于云等保的责任分担模型及解读》。我们将云上用户的风险责任共担说得直白些,是指企业将基建搬到云端,并不意味着一切安全问题都推给了云提供商。

比如上图的SaaS模型下,用户需要承担的风险责任在业务管理部分;云服务商的安全责任涵盖了从最底层的物理架构,到网络、存储、虚拟化、操作系统、运行环境等。根据购买产品和服务的差异,如IaaS(云服务器)、PaaS(云数据库)、CaaS(容器服务),用户需要承担的责任部分都会有差异。当然,这实际还涉及到很多问题,比如说双方系统备案、等级测试等的区隔。

这似乎成为今天阿里云向云用户传递的一个重要信号,我们在会后采访邬怡的时候,他还半开玩笑地谈:真有用户遭遇自己部署的应用层面的安全问题后来找我们。

圆桌讨论:谈云等保及环境合规

为此,阿里云甚至还找来了公安部信息安全等级保护评估中心、浙江省公安厅网安总队的领导,以及中国化工集团信息安全处,和阿里云自己的安全高级专家,对这种责任划分进行了进一步的明确。所以才有了《谈云等保及云环境合规》的圆桌讨论,似乎就是要强调这种责任共担是有据可依的。

当然邬怡也没有忘记宣传自家的安全管家产品——是在云用户需要为自己承担责任的部分,阿里云依旧可以提供安全服务和安全建议,比如为用户提供修复建议,甚至以后的自动化修复能力。

阿里云与公安三所战略合作

这其实差不多就可以概括今天云安全专场的内容了。除了在这场分论坛中,还安插了公安三所和阿里云的战略合作发布,更多议题内容也是阿里云客户的安全分享,比如安化金和针对阿里云所推的云数据加密和云数据审计产品。

Check Point中国区技术总监朱凯

还有Check Point的vSEC虚拟安全网关——比较有意思的是,Check Point的中国区技术总监朱凯引用了一些传言,比如“网络安全解决方案不能适应阿里云架构”,而实际情况是在阿里云VPC内部署虚拟机;云环境下的HA模式;安全策略自动更新都完全适用。而Check Point的这套着重高级威胁防御的解决方案预计2个月之后会在阿里云上线,提供的是防火墙、应用控制、反病毒、URL过滤等服务。这也很大程度破除了“高级安全模块不能在阿里云上使用”的传言。

美柚技术总监 黄益聪

最后值得一提的是,美柚技术总监黄益聪演讲的《女性移动App的安全攻防战》,大概是全场唯一在谈技术的一个议题了,虽然大体上也有宣传美柚的成份。这款App是女性专用的,比如前期有经期记录一类的功能,算是相当隐私的数据。

在安全方面,除了有一些常规的安全策略,比如代码混淆、防冲打包,还有阿里聚安全提供的App安全加固服务之外,这家公司还特别自建HTTPDNS服务(配合HTTP 2.0),对于防劫持是很有好处的。据说2014年根DNS服务器瘫痪时,美柚就是因为自建HTTPDNS服务器幸免于难。另外他们还有基于openresty构建的自研WAF,以及反垃圾系统架构(应用阿里绿网API反黄图,还有相似图片算法等)。这个分享大致上算是给许多App为核心的企业以借鉴价值了。

这届云栖大会花了大量篇幅描绘大数据的美好图景,我们甚至还听到高德地图在大数据方面的经验,比如通过某位用户经常出入的地理位置来给他画像,而针对某个地理位置出入的人群来给某个地理位置聚类(比如某家商务酒店,通过数据可知其潜在客户并不止商务型客户,就是数据的价值),这样能更好地提供广告、资讯等服务。这样的图景我们现在已经在享受,而在阿里云的创想中,未来还有极大提升空间,就像文首张建锋提到的那样。

可惜的是,我们只是听到大数据在安全方面相对蜻蜓点水式的应用经验,安全领域的分享就没能让我们过足瘾,这理应是阿里云的拿手好戏——毕竟数据的价值挖掘,就像张建锋说的,现阶段还相当初级,所以我们更期待大数据针对安全能做的那些事。

云栖大会更多花絮:

云栖小镇的展览中心很大!

半空中的直播间!

这里是导播间,你们看到的视频直播就是由这儿负责导播工作的

休息时间,参会的人们回来这儿喝个茶

随时随地!都要充电

今天户外的乐队很带劲儿

户外展示产品之一:无人机

户外展示产品之二:自动驾驶汽车

户外展示产品之三:帐篷

巨型体感互动设备

展场中无处不在的咖啡

上一篇:信息泄露事件频发: 网络安全投资机会何在?
下一篇:厉害了,Word哥:NSA如何破解数万亿份加密连接?

已有 条评论

推荐阅读

小组Security交流群: 199852440
关注网络攻防小组微信公众号
每日精选文章推送

新浪微博