深度 | 一朵安全的云是怎样炼成的

当今社会，提起「云计算」三个字，那可谓是无人不知，无人不晓。

安全对于基础设施而言，如同万丈高楼平地起，地基直接决定了安全系数。安全底座没搭好，抗风险能力经不住考验。

在众多的安全功能里，一朵可信的云首先应当具备四根安全支柱：物理中心安全、基础平台安全、身份权限管控、数据分级规则。

看似遨游于九天之上的云，安全之根仍需回归机房硬件。任你云平台安全功能做的多百花齐放，一个有预谋的社会工程攻击就能让你功亏一篑，应了那句老话：千里之行，始于足下。

任何一个物理数据中心，都可能遭遇花样繁多的物理攻击。

实际上，云的物理数据中心作为一切平台、服务的基础，比传统企业数据中心拥有更高的安全等级，它最起码需要做好：

大到机房选址、防火防盗防断电，小到电线、插座、加湿器，再到最新技术的液冷机房，都彰显着顶级数据中心的奢华和尊贵。

作为云平台依赖的基础安全，硬件固件安全应当做到基线扫描、高性能GPU实例保护、BIOS固件验签、BMC固件保护等等能力，对安全进行加固。

所谓“天下大势，分久必合合久必分”，一台台本是同根生的ECS，虽然遍布世界各地，但根系都彼此相连。所以针对虚拟化的安全加固、逃逸检测、补丁热修复、数据清零...等等安全能力，必不可少。

一朵安全的云当然要获得全球各家权威机构的广泛好评和认可，才能经得起各行各业用户遇到的实际安全需求。

遍布世界的云平台，根系彼此相连，做好了上述这些，云平台才算是有了一个稳定的躯干，构建起一体化的可信环境，保持整个系统环境健康运转。

作为信息时代的水电煤，云计算可以通过任何终端设备：电脑、笔记本、手机、Ipad.....进行连接访问。

传统架构下的互联网边界消失了，任何人+在任何地点+任何时间+通过任何设备+访问任何数据，如果仅仅以传统的防火墙、waf等单点的流量安全产品去防护，结果可能有点凉凉~~

云时代，身份信任能力和体系应运而生：

1. 身份认证：确保是对的人
2. 访问授权：确保访问的是对的资源
3. 账号管理：确保授予的是对的权限
4. 操作审计：确保及时发现异常访问
5. 应用管理：确保云上云下身份的统一

只有做好云平台的身份管理，才能对每一次的访问、每一次的资源分配、每一次的权限授予，做出正确的抉择。它就像人的头骨一般，保护着大脑这个最核心的器官，用身份交织成的坚硬防护网，打造独特的属于云的边界防护体系。

数据，作为云上最重要的资产，没有之一，也是攻击者的终极目标。但是，先别急着聊数据安全防护，保护的前提是理解被保护者，我们首先要了解数据本身：

数据是「不平等」的，不同的数据有不同的归属。

物理环境、平台安全、身份体系和数据分级，共同构建了云平台的安全骨骼，一朵安全的云已经逐渐成形。

而这套连接万物的有机系统，其实并不神秘，它就隐藏在云上的流量里、数据里、甚至漏洞修复里...

要说云服务的核心，流量，流量，还是流量！

而说到云上最核心的资产，数据，数据，还是数据！

数据和流量，这两个在云上飞速产生、流动、交换的核心，就像是遍布在人体各处的血脉、血管。被无数攻击者穷追不舍，被无数勒索软件苦苦追寻，一个不小心的趔趄或者擦挂，就会受伤流血，导致业务受损，在单点防护几乎不可能的情况下，只能进行系统调控。

如果类比人体呼吸系统，一起看看空气和血液的互动旅程：

第一是数据的采集安全，空气进入人体前确定氧气、二氧化碳、氮气……不同目的地，数据在进入云时，也需要识别分类。

第二是数据的传输安全，空气在人体流动，氧气会和血红细胞融合受到保护，数据整个传输链路全程加密，例如HTTPS协议，VPN/SAG网关、SSL证书等。

第三是数据的存储安全，红细胞存储着氧气，数据拥有个性化的密钥管理及密钥轮换体系。

第四是数据处理、交换安全，氧气和二氧化碳交换，源源不断供养给身体，数据在身份权限管控下，安全的交换共享。

第五是数据销毁，荷载废料的气体随着呼吸排出，对无用数据在保障隐私的前提下及时物理销毁。

云上数据，因为体系化的调控能力有机配合，是一个更天然的保护过程。

除此以外，在数据防护方面，云平台还应该具备几大核心能力：

• 实现云平台环境可信
• 难以破解的加密能力
• 数据可用不可见，驱动智能
• 安全便捷的密钥管理服务

而针对云上云下时时刻刻都在奔涌的流量，防护则更加需要细化。

当一朵云做好的了云上数据和流量的安全防护体系，那么它也实现了自我的蜕变升华：将安全的基因深深镌刻在云的每一个角落。

从ECS、存储、数据库，到网络、计算、身份，无不是生来就饱含着安全的元素，让用户上云即享受安全

体现了云在安全上的不可替代性。

我们期待和云上用户、合作伙伴生态一起，让阿里云真正成为一朵最值得信赖的安全云。