数据驱动构建云安全的智慧大脑

　　从2006年Google提出云计算概念开始至今已经过了近11年，前几年业界还在讨论云计算浪潮何时到来，时至今日云计算已经渗透到了各个行业。Gartner报告显示，未来5年向云的转移将会直接或间接影响超过1万亿美元的IT开支。我国云计算虽然起步较美国晚，但发展势头非常迅猛，第三方统计显示，2016年我国云计算整体市场规模达514.9亿元人民币，整体增速35.9%，高于全球平均水平。

　　云计算的安全困扰

　　在业务上云的过程中，用户除了广泛关注云计算的稳定性、高性能等问题，云的安全性越来越受到用户的重视。Forrest报告提到，71%的受访者计划在一年之内上云，而51%的受访者认为如果上云，首要考虑就是云上的安全。云安全已经成为影响云计算产业进一步发展的最重要因素。

　　云安全和传统的安全其实并没有本质完全的不同，云计算平台建设在数据中心，传统数据中心安全依然是云安全的重要组成部分。传统安全在云计算时代面临的最大挑战是要适配云计算环境动态化、软件化、虚拟化的特点。

　　云计算带来的边界变化：云计算技术让传统边界发生了变化，SDN、VPC、弹性扩展、动态迁移等技术打破了传统的网络架构，而过去安全基于传统网络和划分安全域，在出口处堆叠防火墙等防御设备的时代已经不存在了。公有云、混合云的出现则彻底将企业的安全边界扩展至了企业内网之外。而应对这种新的变化，首先要做的事情就是重新构建弹性安全，重建云上的安全边界。

　　云计算带来的资产集中：云让数据资产更集中，形成了一个个数据金矿，更容易吸引黑客的攻击。

　　云计算带来管理上的变化：云计算将过去分散、孤立的IT系统进行了集中，势必带来运维和管理的集中，从而将原来的角色和责任分工也冲击改变。

　　云计算带来的复杂度：复杂IT融合环境以及SDN技术带来的控制和数据平面分开、弹性调度与动态迁移等，都给安全的配置与管理带来更大的复杂度;面对云环境中常态化的变化问题，静态的部署和策略配置基本无效。安全也要能够随着云的变化而动态调整，主要体现在：安全设备从硬件向软件化以及虚拟化转变、跟随云资源变化，支持按需分配、弹性扩容与自动回收资源这两点。

　　云的引入对现行的IT技术和IT管理都产生了深刻影响。所以在云安全的设计中，也要多方面考虑，做到技术与管理并重，建设与运营并举。

　　云安全管理考量

　　云安全首重合规

　　云安全从管理上考虑，首重合规。这个合规既有《网络安全法》等法律法规，又有一些行业指导要求，还要从云平台自身、云租户和监管要求3方面考虑。

　　国内外机构近年来陆续发布多个云安全的相关标准，例如云安全联盟(CSA)的《如何保护云数据》，美国国家标准技术研究所(NIST)发布的《云计算安全障碍与缓和措施》、《公共云计算中安全域隐私》，CSA大中华区发布的《云计算安全技术要求》，以及国内等保标准中的《信息系统安全等级保护云计算安全扩展要求》(草案)等。如何建设云计算系统的安全措施，保证符合法律和合规的要求，是用户上云面临的重要问题。

　　云安全要明晰角色定义与安全责任分工

　　云安全管理第二要素是明晰云环境下的角色定义和安全责任分工界面。各个角色安全分工会影响到安全制度的修订，甚至管理组织架构的完善。以电子政务云为例，其可以分为云建设、云监管、云使用、云承建、云安全服务5个角色。哪个角色是监管责任，哪个角色是使用责任，哪个角色应该负责安全等，都要明确指出其安全责任，并落实到日常工作中。云安全服务方目前在云建设中存在两种观点：一种是云建设方是总集，负责协调云安全服务方;一种是云建设和云安全分开，两个角色相互独立。目前后一个观点越来越被接受。因为云安全服务方作为一个特殊角色，独立于云建设方，双方的相互监督、相互制衡，会避免很多安全问题被“捂盖子”，这对业主单位来说是非常好的。

　　云安全要重视常态化运营

　　云安全管理第三个要素是常态化运营。在云平台的生命周期中，大规模建设和扩容通常时间较短，更多的是长期运营。运营如何能做到统一、完整、及时，要从多方面考虑。比如，安全运维包括资产管理、网络安全管理、系统安全管理等，但云上的资产管理比传统资产管理更有难度，因为云上的弹性扩展与动态迁移会带来资产频繁的动态变化。常态化安全运营需要通过安全管理中心覆盖安全运维、威胁发现、持续监测问题溯源及联动控制几方面，而这其中，人是运营的核心。

　　360在2017年的ISC大会上，发布了数据驱动安全2.0的理念，对数据驱动安全进行了创新演进。它的核心是除了构建基于大数据的云端安全能力平台，实现以数据驱动的安全产品联动之外，还增加以人为核心的安全运营机制，如图1所示。

　　图1 360企业安全集团新一代安全防护体系

　　这是一个非常重要的人机协同，云端安全能力、数据驱动的产品协同和以人为核心的安全运营三者组成一个闭环，真正达成构建积极防御的完善能力体系。

　　云安全技术考虑

　　管理需要制度和技术手段支撑。360的云安全技术理念是以数据驱动安全为核心的自适应云安全，通过云安全Controller和多样化的NFV安全能力，构建云上的纵深防御与协同联动体系。

　　云环境的自适应安全框架

　　图2 云环境的自适应安全框架

　　自适应安全是Gartner定义的下一代安全体系，连续两年位列十大信息安全技术之一。在云环境下，由于系统的复杂性和云上应用的多样性，仅依靠防御的建设远远不够。特别是在“四个安全假设(假设系统一定有未被发现的漏洞，假设一定有已发现但未修补的漏洞，假设系统已经被渗透，假设内部人员不可靠)”前提下，云上的漏洞和一定被攻破的可能性远比普通环境高。所以Gartner建议企业不要用分散的安全技术应对多样化的安全需求，需要体系化地建设网络、终端、应用的全方位感知能力，在检测、响应、预测方面持续投入，并降低防御投入。云环境的自适应安全框架如图2所示。

　　以持续检测和响应为核心，就是强调对云系统的全面感知，以及结合威胁情报进行判断，并通过常态化的安全运营进行快速响应，拼的是发现和响应速度。这对于云平台这种大型复杂系统尤为重要。

　　以人为核心的数据驱动安全2.0

　　360在业内首先提出了“数据驱动安全”。在云环境下，该安全理念尤为适用。首先是云环境下的大规模数据，由于云本身的规模以及运行的应用和数据极多，所以安全数据极为庞大和丰富。其次，数据驱动安全本身就需要云与大数据的计算与存储的支撑。通过对云环境的数据做安全大数据分析，并增加以人为核心的安全运营机制，驱动自适应安全的四个象限，形成一个闭环的云运营安全，其中数据是基础，驱动是手段，但是目标还是安全。

　　云安全的智慧大脑——安全控制器

　　云把网络、存储、计算、数据、应用、管理、安全等都集成在一起，构成了一个复杂又高度集成的IT系统。云的两个核心技术是虚拟化与调度管理，云安全的研究也需要针对这两方面分别考虑。

　　虚拟化的安全研究目前比较多，比如针对虚拟机逃逸等方面的研究。如同SDN技术将控制与转发分开一样，针对云的控制层面的安全需求，则应有一个云安全的智慧大脑——云安全控制器(Controller)，它实现对各安全NFV组件的统一管控与调度，把各种安全能力综合协同，可以直接将它和云平台进行对接，通过两个控制平台层面的交互，实现资产以及防护策略的一致性，然后通过网络将资源层打通，实现流量的灵活调度，完成整个云环境的安全防护，并最终形成各种安全研判的结果，以支撑云安全上的常态化、智能化的安全运营与管理。目前360已经在这方面有相关的产品布局与实践——云安全管理平台。

　　云安全管理平台利用360云端大数据，结合客户本地化数据，通过大数据安全分析，形成对事前、事中和事后的智能分析。而在事中的响应处置中，云安全管理平台又可以协同各方面的安全能力构建起纵深防御体系，并通过持续收集分析的安全数据，对事后溯源进行支撑。这些能力必须要通过安全控制器来实现，而非单独某一种安全能力可以覆盖。安全控制器正是自适应安全架构与数据驱动安全技术理念在云安全上的核心。

　　总结预测

　　云计算技术与服务模式依然在高速发展和演进中，我们预测未来混合云的形态会更加普遍，如何支撑混合云这种复杂场景下的安全，将是云安全的未来重点之一。随着越来越多的资产迁移到云上，云的规模与云上的数据安全也会越来越重要。随着云被更广泛使用，未来爆发大规模云安全事件的风险也越来越大。随着云的常态化发展与使用，未来云安全将呈现一轮爆发式增长，在整个安全行业所占的比重也将增大。

　　作者刘浩：360企业安全集团云安全事业部总经理