阿里云吳翰清：云計(jì)算的安全之道 中國互聯(lián)網(wǎng)無線化峰會(huì)——圖王下載站暨阿里云開發(fā)者大會(huì)于今日在美麗的杭 州隆重召開。

本次大會(huì)由阿里巴巴集團(tuán)、阿里云計(jì)算主辦，云集全球 互聯(lián)網(wǎng)企業(yè)領(lǐng)袖、行業(yè)觀察家與活動(dòng)家、知名投資人、云計(jì)算技術(shù)達(dá) 人等各路精英，共同探討互聯(lián)網(wǎng)無線化的新未來。

在下午的云計(jì)算開 發(fā)者專場中阿里云吳翰清為大家?guī)砹酥黝}為“云計(jì)算的安全之道” 的精彩演講。

阿里云吳翰清演講實(shí)錄 大家好!我叫吳翰清，非常高興今天來到這里跟大家談一談我們關(guān)于 云計(jì)算安全方面的看法。

我們的題目是云計(jì)算的安全之道，首先介紹 一下我們團(tuán)隊(duì)，我們團(tuán)隊(duì)在阿里有了 6 年，之前一直做傳統(tǒng)的互聯(lián)網(wǎng) 安全，主要也就是在阿里集團(tuán)旗下的安全，包括像淘寶網(wǎng)、支付寶、 阿里巴巴、中國雅虎，這些年經(jīng)驗(yàn)做下來，在這里可以稍微吹牛，大 家可以看一下餅狀圖，我們的外部黑洞相對來說比較低。

我們這樣一個(gè)底蘊(yùn)的團(tuán)隊(duì)，最近在做什么?阿里云公司從第一天開 始，就把安全放在最重要的位置，安全對于云計(jì)算來說是最重要的， 所以我們在這邊竭盡所能把云計(jì)算做好。

阿里云吳翰清：云計(jì)算的安全之道

云計(jì)算到底是什么?今天有很多關(guān)于云計(jì)算的定義， 我在這里也不去 想去糾結(jié)到底什么是云計(jì)算， 講講云計(jì)算表現(xiàn)形式?主要是四個(gè)落實(shí) 實(shí)處的東西， 第一是云應(yīng)用; 第二是虛擬化技術(shù); 第三是 APP Engine; 第四是分布式計(jì)算。

云計(jì)算安全面臨一些挑戰(zhàn)， 因?yàn)槲覀冎耙恢笔窃谧鰝鹘y(tǒng)互聯(lián)網(wǎng)網(wǎng)站 的安全，到今天出現(xiàn)云計(jì)算，是不是會(huì)不太一樣?我們經(jīng)過研究發(fā)現(xiàn) 還真有點(diǎn)不太一樣。

主要從兩個(gè)方面來看，第一是云的規(guī)模很大，大 規(guī)模導(dǎo)致復(fù)雜的上升，我們知道一個(gè)城市里面小偷、騙子最多的地方 是火車站，因?yàn)榛疖囌救肆髯畲螅瑢?dǎo)致問題會(huì)非常復(fù)雜，這是復(fù)雜度 上升的一個(gè)方面。

在云里面設(shè)計(jì)里面有彈性，應(yīng)該是沒有上線，我們 去使用這樣一個(gè)設(shè)備，會(huì)達(dá)到什么效果?比如你可能會(huì)買一堆設(shè)備。

我們在做云預(yù)測時(shí)候也會(huì)遇到一些挑戰(zhàn)， 我們需要考慮一些分布式安 全的解決方案。

第二云是一個(gè)巨大的共享環(huán)境，比如公交車上，大家上上下下都會(huì)使 用這樣的設(shè)施，對于云來說，大家都會(huì)往里面輸入業(yè)務(wù)，互相之間會(huì) 干擾，一個(gè)系統(tǒng)會(huì)被攻擊，可能就會(huì)影響使用。

這兩個(gè)挑戰(zhàn)在傳統(tǒng)互 聯(lián)網(wǎng)安全網(wǎng)站中，可能都是沒有這么復(fù)雜。

具體到云計(jì)算需要解決的問題， 我們怎么看呢?我們從用戶的角度來 看， 需要四個(gè)方面： 網(wǎng)絡(luò)環(huán)境安全， 比如網(wǎng)站會(huì)被攻擊， 網(wǎng)站打不開，

用戶數(shù)據(jù)可能會(huì)被丟失;運(yùn)行環(huán)境安全，是不是會(huì)做一些壞的事情; 應(yīng)用程序安全，用戶的網(wǎng)站出現(xiàn)漏洞，誰來買單;業(yè)務(wù)邏輯安全，包 括一些的東西，國家也來看，可能這個(gè)網(wǎng)站需要關(guān)掉。

如果 用戶網(wǎng)站被黑了，可能傳統(tǒng) IDC 是不復(fù)責(zé)任了，但是在我們會(huì)在想， 云計(jì)算為用戶更多帶來什么?我們團(tuán)隊(duì)做安全的是， 用戶真正要去什 么，我們會(huì)去做。

首先說的是云的 DDOS 的保護(hù)，我們平均每天要遭受到 5 次攻擊， 就是今天的 Q3，我們最大的 DDOS 的攻擊是 16 次，意味著 5 分鐘 之內(nèi)攻擊者上傳了 100 部藍(lán)光電影到我們網(wǎng)站上，這個(gè)流量非常可 怕。

而我們的處理數(shù)據(jù)在 15 分鐘內(nèi)解決，我們做的核心就是日志分 析系統(tǒng)，綜合通過一些智能分析，是不是一次攻擊產(chǎn)生?我們會(huì)把攻 擊的流量導(dǎo)入到清洗設(shè)備中進(jìn)行清洗。

對于 DDOS 清洗設(shè)備來說， 不會(huì)對用戶數(shù)據(jù)進(jìn)行廝殺。

在網(wǎng)絡(luò)安全方面， 我們還擔(dān)心什么?我們最擔(dān)心中間人攻擊， 偽造 IP 地址，經(jīng)常搞網(wǎng)絡(luò)，或者寫程序的人，ARP 是攻擊之一。

我們做的 什么?在我們云的環(huán)境里面，在數(shù)主機(jī)綁定了云服務(wù)器的 IP 地址， 在云服務(wù)器上無法偽造地址，所以 ARP 也跑不起來。

除了網(wǎng)絡(luò)環(huán)境 安全之外，最重要一點(diǎn)就是云的安全，這是云計(jì)算里面核心，也最有 技術(shù)環(huán)境的一部分，就是 Cloud Engine，讓用戶上傳腳本搭建一個(gè)網(wǎng) 站。

Sandbox 設(shè)計(jì)原則：用戶代碼與系統(tǒng)之間需要隔離，用戶代碼與

用戶代碼之間需要隔離，第一點(diǎn)是為第二點(diǎn)服務(wù)的。

具體怎么做?就 是從這張小圖來做，對文件系統(tǒng)、內(nèi)存、網(wǎng)絡(luò)訪問、進(jìn)程間通信，從 這些方面符合安全檢測的標(biāo)準(zhǔn)， 或者修改系統(tǒng)的 ARP 來完成 Sandbox 的原則。

前面兩點(diǎn)是講云計(jì)算本身要怎么做，在云上面的用戶，如果自己出現(xiàn) 第一是服務(wù)器 問題怎么辦?我們會(huì)對云服務(wù)器推出健康檢查的服務(wù)， 后門檢測，第二周期性弱點(diǎn)掃描，我們現(xiàn)在的掃描是不計(jì)成本，現(xiàn)在 的掃描占用的帶寬就有 15T， 這個(gè) 15T 也是需要向運(yùn)營商去購買帶寬 資源，但是這一點(diǎn)我們現(xiàn)在愿意免費(fèi)給大家。

在云的環(huán)境里面， 我們根據(jù) 6 年前的經(jīng)驗(yàn)， 很多爬蟲會(huì)把互聯(lián)網(wǎng)掃死， 我們知道一個(gè)網(wǎng)站能承受的業(yè)務(wù)能力多少?所以我們會(huì)掃描 Apps， 為用戶服務(wù)。

這個(gè)健康檢查，就像我們的健康體驗(yàn)一樣，會(huì)周期 性報(bào)告用戶的網(wǎng)站弱點(diǎn)在什么地方。

光有健康檢查還是不夠的， 當(dāng)問題發(fā)生了怎么辦?我們是安全預(yù) 測和報(bào)警的服務(wù)。

目前我們網(wǎng)頁木馬監(jiān)控， 10W 站長的選擇， 78Per Day。

同時(shí)這個(gè)平臺(tái)搭建以后，可以對入侵檢測與報(bào)警，還有 業(yè)務(wù)異常行為報(bào)警，怎么理解?比如一些批量注冊的行為。

最后我們想做的事情是，是在座其他云服務(wù)商沒有做的，我們會(huì)為用

戶安全 SDK，在每本密碼學(xué)相關(guān)文章里面，都會(huì)提到這樣一個(gè) 原則，用戶如果自己沒有去理解原則，可能會(huì)存在一些缺陷。

我們會(huì) 根據(jù)歷年來總結(jié)的一些經(jīng)驗(yàn)，我們會(huì)為用戶防火墻 API、應(yīng)用安 我們今天擁有電子商務(wù)最大的數(shù)據(jù)庫， Google 全 API、 業(yè)務(wù)安全 API。

也要我們數(shù)據(jù)庫，但是跟不跟他們合作我們還在考慮中。

還有云驗(yàn)證 碼，讓用戶直接在云服務(wù)器環(huán)境里面構(gòu)建一個(gè)安全的系統(tǒng)。

所以以上這些安全的方案最后總結(jié)出來就是我們想要做的事情， 也就 是我們想要打造的品牌，就是云盾，也是我們在云安全領(lǐng)域想要做的 事情，看法總結(jié)為我們不光能保護(hù)自己，我們還能保護(hù)用戶，我們的 目標(biāo)就是做到業(yè)內(nèi)最好。