阿里云欧阳欣：守护数字经济时代云安全

阿里云智能首席安全官，阿里云智能安全总经理欧阳欣受邀参加年会主论坛，分享了在数字经济时代中，阿里云如何定义云上安全责任，守护平台安全，引入生态共建更高等级的安全防御体系，让云比数据中心更安全。

云，因其环境天然的规范性、统一性、自动化等特点，诞生了云原生安全这一新的安全品类。欧阳欣认为，企业需要对云厂商有更充分的了解，加深对云安全责任共担模型的认识，持续在安全上投入才能实现更高等级的云上安全。有别于传统认知，云上安全并非仅是客户或云厂商某一方的责任，而是各有其负责的领域。

在线下环境中，安全的各个方面都需要企业自行投入建设，从物理机房、平台网络构建到支撑商业运营的执行环境、终端等等，都属于客户自己的安全责任。安全域类目庞杂，人力物力的有限往往会遗留给攻击者大量漏洞。上云后，云厂商会承担相应安全能力，比如物理机房、云平台、云产品的安全等等，目前阿里云10条产品线50款产品已经具备522项核心安全能力，并且已经有40多款云产品实现原生接入安全产品，全面保障平台侧安全。同时，客户也需要及时升级工作负载，安全配置产品基线，保护其数据、访问凭证安全等，即安全的使用云平台。

阿里巴巴已经实现了全量业务上云，在2021年双十一期间达到了百万级在线业务容器规模，在长期的发展业务发展中，阿里云安全也总结了一套体系化建设方案，欧阳欣分享了阿里云的五大安全实践，从云平台、云产品到云上业务，打造了从数据保护到终端安全的云时代安全架构。

阿里云从2006年起即在内部引入了安全开发生命周期（SDL）概念，2009年即建立了SDL标准化流程，2015年进入成熟阶段，2022年逐步实现自动化。15年的积累，让阿里云实现了安全左移，在事前即将风险最小化。

在上图中，完整的呈现了阿里云产品从研发立项到上线测试的全流程。立项之初，使用统一的安全框架、网关与开发包；架构设计阶段，将威胁建模植入到流程中，对产品做默认安全设计，并进行安全技术和意识培训；开发阶段，产品将根据安全要求自评和测试；交付时进行安全检验和测试，并把控上线。安全成为阿里云产品的基本组成部分。

欧阳欣表示，建立内部安全开发流程以来，阿里云在迭代发布数量100%增长基础上，外报漏洞数量降低了50%，而安全工程师的人力资源指标实现0新增。这种云环境带来的高度自动化，和云下的差别非常之大。

在数字化经济时代，受益于开源软件与三方产品的服务，国内互联网、金融行业快速发展，供应链正在变得越来越不可或缺。但Solarwinds事件的爆发，让我们看到了其背后的巨大风险，安全的边界再一次被打破，漫长的供应链中有任何一个薄弱的地方，就有可能通过此渗透进企业内部。

阿里云盘点了历史上处理过的126起供应链攻击事件，总结了常见的15种攻击手段，并沉淀为阿里云供应链安全框架。欧阳欣认为，对于云上客户而言，阿里云本身就是供应链的一个环节，做好供应链安全是我们的职责所在。

阿里云将供应链分为供应商、系统集成商、外部服务商、外部开发商四大类，对生产物料和生产工具的开发与设计、分发流转、获取部署、运营和维护等过程进行生命周期管理。

在框架之外，阿里云也总结了三大供应链安全准则，能有效控制并缩减风险：

今天的阿里云平台，面临着数百万服务器，数百个数据中心，P8级流量，数万名员工，上百个全球办公场景，数万量级域名的超复杂环境。如果仅以防守方思维去构建安全，难以面面俱到，而以攻击者视角，逆向测试平台安全性，则是更有效的提升手段。

在此思维之上，阿里云基于攻防对抗体系，建立了内部蓝军体系，模拟最接近真实场景的攻击。并将其常态化，不限时间，不限范围，不限手段，通过持续性的攻击，达到对自身云平台的安全测试。

在这些年的积累中，阿里云发现了200000条以上的攻击路径，164种攻击战术模式，每年发现高危风险200个以上。从攻击者视角，对云平台风险查漏补缺，最大化的提升了平台安全性。

在责任共担模型中，云平台部分的安全责任被转移给了云厂商，而企业在云上的应用、数据和身份安全则保留为客户侧的责任。对于上云的客户，安全建设从自己辛苦打井向接入自来水管道转变，阿里云也提供了各类安全产品和机制来帮助客户做好安全管控。

欧阳欣举了一个实际的场景，对于一家刚上云的公司。企业必然需要一个VPC，并在VPC里把安全组配置好。接下来需要对云上的流量、应用、主机、数据开启相应的安全防护措施：

同时企业也可根据自身需要，拥抱更多的云上安全理念和工具，例如零信任、业务安全等。对于上云企业而言，利用好云天生的安全能力，再辅助以审核企业的安全产品、服务，并辅助以持续的安全运营，即可形成完整的安全防护闭环。

前面的四个最佳安全实践可以有效的帮助企业构建云上安全，但更重要的是将安全持续化的运营、优化，将安全从低频的攻击防御变为高频的管理运营。

从体系上看，安全运营包含面广，类目庞杂，对相关人员专业水平要求高。阿里云根据多年实践梳理了云上用户在运营体系建设时核心思路。

阿里云安全从云诞生之初即开始演进发展，目前已覆盖从云基础设施，到上层网络、应用、虚拟化、主机、数据、办公网等多个垂直技术域，及合规审计、安全研究、安全运营组成的一张纵深防御网。今年，阿里云在国内首次“云原生安全成熟度”评估中取得国内唯一全域最高等级认证。

但在欧阳欣看来，客户的业务是非常多元的，尽管云安全会尽力提供给客户标准化的安全产品和安全特性，但是要满足云上所有用户对安全的需求，需要云安全合作伙伴来共同完成。数字经济时代，我们需要和伙伴一起努力，阿里云现已构建了7大领域、100多个合作伙伴的安全生态，这个生态中包含了450多类安全产品，上万名高质量白帽子。