從 2010 年至今，云計算在中國的發展已有 10 年。這 10 年，云計算從 1.0 進入 2.0，也有人說從上半場進入下半場。總之，云計算逐漸普及，市場越來越成熟。如今，云原生已經成為云計算發展的主流，以 K8s 為代表的容器生態逐漸壯大。企業上云成為大勢所趨，而安全則成為首要的關注點。

　　上云應該關注哪些安全問題？上云后，企業的安全狀況會出現怎樣的變化？在云上，用戶和云服務商之間的安全責任應該如何劃分？… 針對上述問題，InfoQ 記者采訪了 Fooying。作為騰訊云產品安全負責人、騰訊安全云鼎實驗室高級安全工程師，Fooying 主要研究企業安全建設、漏洞攻防、安全自動化、服務器安全與應急響應等。

　　云安全

　　在 Fooying 看來，云安全最早聚焦在防病毒、云殺毒等領域，而現在，人們對云安全的共識則是云計算安全。

　　那什么是云安全？他說：“我的理解是，基于云計算的一系列安全風險治理、安全解決方案、安全技術等都屬于云安全的范疇。不僅有對云平臺自身而言的虛擬化安全、多租戶隔離等，也有基于云計算環境對企業而言的傳統網絡、主機安全和新增的云服務安全風險等。”

　　總結來說，云安全是基于云計算對不同角色的安全問題、需求、技術和解決方案等。

　　上云后，企業的安全狀況會發生怎樣的變化？

　　對企業來說，一旦上云，其安全狀況會有很大的變化。上云前，企業技術堆棧比較厚重，系統開發和維護生命周期長。這時候，企業云化的最大驅動力來自于在業務快速變化和發展情況下，企業對 IT 需求交付速度和改善效率提出的要求。

　　為滿足這種高要求，云化應用更多采用了 DevOps 等開發模式，取代瀑布模型等傳統應用開發模式，對應的開發工具、平臺也會變化，比如傳統的 B/S、C/S 架構轉變為微服務架構。

　　隨著開發模式的改變，系統的技術棧和底層平臺也會發生變化，比如傳統上采用防火墻和網絡安全域隔離，云上則是 VPC 和安全組等，那么企業所應用的安全產品、策劃和管理思想也要隨之改變。

　　Fooying 認為，傳統企業，企業主體既是資產和數據的所有者，也是控制者，而云上根據云服務器模式的差別，資產和數據的責任矩陣和傳統私有 IT 環境發生較大的變化。此外，還有數據跨境流動和不同區域內標準法規的差異，“這都給企業的數據治理帶來巨大的挑戰，里面既有合規、治理的問題，也有流程和技術的問題”。

　　企業上云后面臨的安全問題

　　上云后，企業將兩方面的安全問題。首先，云服務用戶會面臨傳統的安全問題，包括數據安全、DDoS 攻擊、應用和系統漏洞、針對主機的暴力破解、入侵等。

　　其次，相對于傳統服務架構，云計算有一些新的概念和技術應用，比如虛擬化、多租戶等，因此這也會帶來一些新挑戰。

• 一是需要關注虛擬化逃逸、安全漏洞等虛擬化帶來的安全威脅；
• 二是企業用戶使用云服務的方式不當也會帶來一些新風險，比如企業使用對象存儲，一旦配置錯誤就會泄露敏感信息，這樣的事情層出不窮。比如 2019 年 4 月，由于錯誤配置，Facebook 有 5.4 億用戶數據被泄露。

　　另外，很多云服務支持云 API 操作云資源。但是，一些企業用戶會將云 API 的密鑰寫在代碼中，上傳到 GitHub，從而導致泄露并被不法分子所利用，影響企業購買的云資源。

　　除了使用方式不當，云服務用戶還面臨的突出安全問題有信息泄露、弱密碼或配置不當等基線安全、通用漏洞未修復或系統補丁未更新和應用漏洞等，這也導致了出現比較多的數據勒索、入侵挖礦、文件加密勒索等問題。而 Fooying 強調，“大部分還是在于安全意識不當或運維操作不當。”

　　任何的安全都是相對的，沒有絕對的安全。“企業上云是否安全不是由任何單一一方來決定的”。

　　他說：“從過去的眾多案例來看，企業上云，云平臺是相對安全的，因為背后不僅有安全專家、專業的安全基礎設施，還有完善的安全保障機制、更安全的產品服務和更及時的安全響應等。

　　反而，企業的內在因素經常會成為不安全的關鍵點，比如企業員工安全意識不高、危險的信息外傳操作、不合理的服務配置、不正確的運維管理、不及時的安全事件響應等。”

　　從這個角度來看，在云平臺足夠安全的情況下，企業內部因素才是決定企業上云安全的根本因素，“就像再安全的汽車也需要安全駕駛，再安全的云也需要正確使用”。

　　云上的安全責任劃分和界定

　　從某種方面說，企業的安全狀況在云上會更復雜，因為這涉及劃分用戶和云服務提供商之間的安全責任。根據 Fooying 介紹，不管是 AWS，還是 Azure，包括騰訊云，都提出了安全責任共擔模型，一般是從 IaaS、PaaS、SaaS 三個場景針對不同的層面去界定用戶和云平臺的責任范疇。

騰訊云安全責任共擔

　　這里，我們以騰訊云為例。騰訊云利用統一的底層架構和資源共享形式，為用戶提供所需的網絡、存儲和計算能力等各種資源，那么騰訊云就有責任保障這些基礎設施安全，包括提供安全的云產品給用戶使用。

　　但是，比如用戶購買了 CVM（云服務器），那么在 CVM 操作系統層面，包含系統中部署的用戶應用，沒有用戶授權，騰訊云是沒有權限去操作的。因此，用戶就有責任自己對操作系統進行加固，對部署的應用加固，比如及時更新系統補丁等。

　　當然，在這個過程中，云廠商也會盡可能的提供產品和功能去幫用戶，比如 CVM 的安全組功能、各種安全產品等，用戶可以選擇搭配，搭建自己的安全防護體系。

　　云安全的核心能力

　　在 Fooying 看來，企業可以通過上云，利用云廠商的安全優勢，幫助自己建立更安全的 IT 體系。他認為，云廠商在云安全上的核心能力主要體現在三個方面。

　　第一，足夠安全與合規的云平臺和云產品，這給企業 IT 體系帶來原生的安全與合規性。在過去，企業在相關 IT 體系中增加相關服務，這意味著可能帶來新的安全風險，即新增的服務可能由于其存在安全漏洞等問題導致企業 IT 體系引入安全漏洞。這反而增加了風險。所以，企業需要相應地投入安全人力去進行風險收斂。而使用原生安全的云設施和服務，企業就不用過多精力去關注這些基礎服務和產品默認安全，這也提升了企業 IT 體系安全性。

　　第二，提供更靈活、更統一、更原生的安全功能與產品，企業可以使用這些安全功能、安全產品來構建自身的安全體系。另外，這些原生的功能與安全產品天然地與云平臺適配，既可以高效的發揮作用，也能更靈活的動態擴展。同時，類似云防護等場景，基于云平臺的整體能力可以實現理想化的防護閾值，避免硬件的限制等問題。此外，過去傳統安全系統常常面臨各自作戰、完全堆砌的問題，即不同安全系統可能無法實現數據互通、策略聯動、統一管控等問題，而云原生的安全產品和系統則更統一化、更標準化。

　　第三，增值的安全服務與能力。“雖然談到安全責任，我們總會說責任共擔模型，但實際上作為云平臺，總是會盡可能幫用戶去保障安全，比如騰訊云會通過內部安全團隊建立安全情報的監測機制，這樣在可能威脅到用戶的安全問題爆發前或第一時間通知用戶，發揮預警作用，這樣可以幫助用戶避免或減少由此帶來的損失。”他說。

　　企業上云需要關注的安全問題

　　從騰訊云鼎實驗室的長期觀察來看，企業上云應該主要關注下列問題：

• 信息泄露：因員工安全意識不到位而導致（像云 API 密鑰、運維相關賬號密碼等）泄露，這可能造成云資源直接被黑客控制甚至銷毀等。
• 云服務配置不當：這需要正確的使用云服務，使用云服務提供的安全功能進行安全加固和配置，避免由此帶來的數據泄露等問題，比如 COS 配置不當導致數據泄露。
• 運維不當導致的安全問題：比如自建服務需要進行訪問限制，避免主機和相關服務設置弱口令等，這些都可能成為黑客入侵的利用條件，例如 Redis 未授權訪問導致的入侵問題。
• 通用組件及系統漏洞：業務中使用的一些通用組件及操作系統會不定期的爆發新的安全漏洞，需要及時修復與更新補丁，否則也會被黑客利用，比如永恒之藍等系統漏洞。
• 客戶自身業務系統的安全問題：不管是上云或傳統安全，這方面的安全問題一直是持續存在的，也一直在被利用，例如業務系統中出現的命令執行漏洞等。
• DDoS 攻擊問題：尤其是一些核心系統，惡意的 DDoS 攻擊等可能導致業務中斷。

　　Fooying 認為，不管是企業自己進行安全加固，或者使用云安全產品進行防護，其實都應該重視這幾類問題并建立對應的防御手段。另外，“建議善用云平臺提供的安全功能與產品，比如很多時候，針對企業資源，使用 VPC 和安全組等做好網絡劃分和訪問限制，就能避免很多安全攻擊”。

　　寫在最后

　　正如本文開篇所說，安全是企業上云的核心關注點。在“云原生”成為主流的今天，安全上則相應的出現“云原生安全”。不過，不管是什么新概念，對企業來說，云化是趨勢。“云化過程中，傳統安全問題會一直持續存在，而新產生的安全威脅則成為企業需要額外關注的點“。

　　Fooying 表示，“不管是傳統安全，還是新產生的安全威脅，企業應該學會安全的使用云，善用云的安全能力。”

總結

以上是生活随笔為你收集整理的腾讯云产品安全负责人 Fooying：企业上云应关注这六大问题的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。