從 2010 年至今，雲計算在中國的發展已有 10 年。這 10 年，雲計算從 1.0 進入 2.0，也有人說從上半場進入下半場。總之，雲計算逐漸普及，市場越來越成熟。如今，雲原生已經成爲雲計算髮展的主流，以 K8s 爲代表的容器生態逐漸壯大。企業上雲成爲大勢所趨，而安全則成爲首要的關注點。
上雲應該關注哪些安全問題？上雲後，企業的安全狀況會出現怎樣的變化？在雲上，用戶和雲服務商之間的安全責任應該如何劃分？… 針對上述問題，InfoQ 記者採訪了 Fooying。作爲騰訊雲產品安全負責人、騰訊安全雲鼎實驗室高級安全工程師，Fooying 主要研究企業安全建設、漏洞攻防、安全自動化、服務器安全與應急響應等。
雲安全
在 Fooying 看來，雲安全最早聚焦在防病毒、雲殺毒等領域，而現在，人們對雲安全的共識則是雲計算安全。
那什麼是雲安全？他說：“我的理解是，基於雲計算的一系列安全風險治理、安全解決方案、安全技術等都屬於雲安全的範疇。不僅有對雲平臺自身而言的虛擬化安全、多租戶隔離等，也有基於雲計算環境對企業而言的傳統網絡、主機安全和新增的雲服務安全風險等。”
總結來說，雲安全是基於雲計算對不同角色的安全問題、需求、技術和解決方案等。
上雲後，企業的安全狀況會發生怎樣的變化？
對企業來說，一旦上雲，其安全狀況會有很大的變化。上雲前，企業技術堆棧比較厚重，系統開發和維護生命週期長。這時候，企業雲化的最大驅動力來自於在業務快速變化和發展情況下，企業對 IT 需求交付速度和改善效率提出的要求。
爲滿足這種高要求，雲化應用更多采用了 DevOps 等開發模式，取代瀑布模型等傳統應用開發模式，對應的開發工具、平臺也會變化，比如傳統的 B/S、C/S 架構轉變爲微服務架構。
隨着開發模式的改變，系統的技術棧和底層平臺也會發生變化，比如傳統上採用防火牆和網絡安全域隔離，雲上則是 VPC 和安全組等，那麼企業所應用的安全產品、策劃和管理思想也要隨之改變。
Fooying 認爲，傳統企業，企業主體既是資產和數據的所有者，也是控制者，而云上根據雲服務器模式的差別，資產和數據的責任矩陣和傳統私有 IT 環境發生較大的變化。此外，還有數據跨境流動和不同區域內標準法規的差異，“這都給企業的數據治理帶來巨大的挑戰，裏面既有合規、治理的問題，也有流程和技術的問題”。
企業上雲後面臨的安全問題
上雲後，企業將兩方面的安全問題。首先，雲服務用戶會面臨傳統的安全問題，包括數據安全、DDoS 攻擊、應用和系統漏洞、針對主機的暴力破解、入侵等。
其次，相對於傳統服務架構，雲計算有一些新的概念和技術應用，比如虛擬化、多租戶等，因此這也會帶來一些新挑戰。
- 一是需要關注虛擬化逃逸、安全漏洞等虛擬化帶來的安全威脅；
- 二是企業用戶使用雲服務的方式不當也會帶來一些新風險，比如企業使用對象存儲，一旦配置錯誤就會泄露敏感信息，這樣的事情層出不窮。比如 2019 年 4 月，由於錯誤配置，Facebook 有 5.4 億用戶數據被泄露。
另外，很多雲服務支持雲 API 操作雲資源。但是，一些企業用戶會將雲 API 的密鑰寫在代碼中，上傳到 GitHub，從而導致泄露並被不法分子所利用，影響企業購買的雲資源。
除了使用方式不當，雲服務用戶還面臨的突出安全問題有信息泄露、弱密碼或配置不當等基線安全、通用漏洞未修復或系統補丁未更新和應用漏洞等，這也導致了出現比較多的數據勒索、入侵挖礦、文件加密勒索等問題。而 Fooying 強調，“大部分還是在於安全意識不當或運維操作不當。”
任何的安全都是相對的，沒有絕對的安全。“企業上雲是否安全不是由任何單一一方來決定的”。
他說：“從過去的衆多案例來看，企業上雲，雲平臺是相對安全的，因爲背後不僅有安全專家、專業的安全基礎設施，還有完善的安全保障機制、更安全的產品服務和更及時的安全響應等。
反而，企業的內在因素經常會成爲不安全的關鍵點，比如企業員工安全意識不高、危險的信息外傳操作、不合理的服務配置、不正確的運維管理、不及時的安全事件響應等。”
從這個角度來看，在雲平臺足夠安全的情況下，企業內部因素纔是決定企業上雲安全的根本因素，“就像再安全的汽車也需要安全駕駛，再安全的雲也需要正確使用”。
雲上的安全責任劃分和界定
從某種方面說，企業的安全狀況在雲上會更復雜，因爲這涉及劃分用戶和雲服務提供商之間的安全責任。根據 Fooying 介紹，不管是 AWS，還是 Azure，包括騰訊雲，都提出了安全責任共擔模型，一般是從 IaaS、PaaS、SaaS 三個場景針對不同的層面去界定用戶和雲平臺的責任範疇。
這裏，我們以騰訊云爲例。騰訊雲利用統一的底層架構和資源共享形式，爲用戶提供所需的網絡、存儲和計算能力等各種資源，那麼騰訊雲就有責任保障這些基礎設施安全，包括提供安全的雲產品給用戶使用。
但是，比如用戶購買了 CVM（雲服務器），那麼在 CVM 操作系統層面，包含系統中部署的用戶應用，沒有用戶授權，騰訊雲是沒有權限去操作的。因此，用戶就有責任自己對操作系統進行加固，對部署的應用加固，比如及時更新系統補丁等。
當然，在這個過程中，雲廠商也會盡可能的提供產品和功能去幫用戶，比如 CVM 的安全組功能、各種安全產品等，用戶可以選擇搭配，搭建自己的安全防護體系。
雲安全的核心能力
在 Fooying 看來，企業可以通過上雲，利用雲廠商的安全優勢，幫助自己建立更安全的IT體系。他認爲，雲廠商在雲安全上的核心能力主要體現在三個方面。
第一，足夠安全與合規的雲平臺和雲產品，這給企業 IT 體系帶來原生的安全與合規性。在過去，企業在相關 IT 體系中增加相關服務，這意味着可能帶來新的安全風險，即新增的服務可能由於其存在安全漏洞等問題導致企業 IT 體系引入安全漏洞。這反而增加了風險。所以，企業需要相應地投入安全人力去進行風險收斂。而使用原生安全的雲設施和服務，企業就不用過多精力去關注這些基礎服務和產品默認安全，這也提升了企業 IT 體系安全性。
第二，提供更靈活、更統一、更原生的安全功能與產品，企業可以使用這些安全功能、安全產品來構建自身的安全體系。另外，這些原生的功能與安全產品天然地與雲平臺適配，既可以高效的發揮作用，也能更靈活的動態擴展。同時，類似雲防護等場景，基於雲平臺的整體能力可以實現理想化的防護閾值，避免硬件的限制等問題。此外，過去傳統安全系統常常面臨各自作戰、完全堆砌的問題，即不同安全系統可能無法實現數據互通、策略聯動、統一管控等問題，而云原生的安全產品和系統則更統一化、更標準化。
第三，增值的安全服務與能力。“雖然談到安全責任，我們總會說責任共擔模型，但實際上作爲雲平臺，總是會盡可能幫用戶去保障安全，比如騰訊雲會通過內部安全團隊建立安全情報的監測機制，這樣在可能威脅到用戶的安全問題爆發前或第一時間通知用戶，發揮預警作用，這樣可以幫助用戶避免或減少由此帶來的損失。”他說。
企業上雲需要關注的安全問題
從騰訊雲鼎實驗室的長期觀察來看，企業上雲應該主要關注下列問題：
- 信息泄露：因員工安全意識不到位而導致（像雲 API 密鑰、運維相關賬號密碼等）泄露，這可能造成雲資源直接被黑客控制甚至銷燬等。
- 雲服務配置不當：這需要正確的使用雲服務，使用雲服務提供的安全功能進行安全加固和配置，避免由此帶來的數據泄露等問題，比如 COS 配置不當導致數據泄露。
- 運維不當導致的安全問題：比如自建服務需要進行訪問限制，避免主機和相關服務設置弱口令等，這些都可能成爲黑客入侵的利用條件，例如 Redis 未授權訪問導致的入侵問題。
- 通用組件及系統漏洞：業務中使用的一些通用組件及操作系統會不定期的爆發新的安全漏洞，需要及時修復與更新補丁，否則也會被黑客利用，比如永恆之藍等系統漏洞。
- 客戶自身業務系統的安全問題：不管是上雲或傳統安全，這方面的安全問題一直是持續存在的，也一直在被利用，例如業務系統中出現的命令執行漏洞等。
- DDoS 攻擊問題：尤其是一些核心系統，惡意的 DDoS 攻擊等可能導致業務中斷。
Fooying 認爲，不管是企業自己進行安全加固，或者使用雲安全產品進行防護，其實都應該重視這幾類問題並建立對應的防禦手段。另外，“建議善用雲平臺提供的安全功能與產品，比如很多時候，針對企業資源，使用 VPC 和安全組等做好網絡劃分和訪問限制，就能避免很多安全攻擊”。
寫在最後
正如本文開篇所說，安全是企業上雲的核心關注點。在“雲原生”成爲主流的今天，安全上則相應的出現“雲原生安全”。不過，不管是什麼新概念，對企業來說，雲化是趨勢。“雲化過程中，傳統安全問題會一直持續存在，而新產生的安全威脅則成爲企業需要額外關注的點“。
Fooying表示，“不管是傳統安全，還是新產生的安全威脅，企業應該學會安全的使用雲，善用雲的安全能力。”