隨著中小企業(yè)上云進程的加速，安全問題如影隨形，成為懸在企業(yè)頭頂?shù)摹斑_摩克利斯之劍”。數(shù)據(jù)泄露、網(wǎng)絡攻擊、系統(tǒng)故障等安全威脅不斷沖擊著企業(yè)的運營根基，給企業(yè)帶來巨大的經(jīng)濟損失和聲譽損害。如何保障中小企業(yè)用云的安全性與穩(wěn)定性，保障用戶在云端的數(shù)據(jù)主權、增強數(shù)據(jù)連續(xù)性和構建完善的災備體系顯得尤為關鍵。

在此背景下，阿里云策劃了一場關于云上安全的深度訪談欄目，匯聚阿里云內(nèi)部眾多產(chǎn)品技術專家，攜手安全領域從業(yè)者，旨在通過全方位、多角度交流碰撞，揭示用云過程中的安全隱患與應對之道，幫助中小企業(yè)和云服務使用者安全“靠岸”。

首期節(jié)目邀請到的是阿里云彈性計算高級技術專家聶百川、阿里云彈性計算產(chǎn)品專家蘇忠煌，圍繞阿里云彈性計算團隊如何保障ECS用戶上云用云安全性、如何有效落地云上安全建設、ECS如何保障AI業(yè)務安全等維度展開。

• 云上用戶安全與ECS緊密相連

2024年7月12日，美國電信巨頭AT&T披露，其托管在Snowflake云服務公司的數(shù)據(jù)發(fā)生泄漏，涉及幾乎所有客戶，數(shù)量高達1.1億人。據(jù)悉，攻擊者主要是利用惡意軟件竊取設備上的憑據(jù)和敏感信息，再用獲得憑據(jù)對用戶的數(shù)據(jù)進行攻擊。

目前，采用公有云服務是很多企業(yè)數(shù)字化發(fā)展的“必經(jīng)之路”。據(jù)國際研究機構Gartner發(fā)布最新預測，到2025年，全球終端用戶在公有云服務上的支出將從2024年的5957億美元增長至7234億美元，實現(xiàn)21.5%的增長。

隨著企業(yè)對云的需求越來越高，對云安全的要求也就越來越高。保障云上安全的關鍵在于云服務器。具體來看，目前云上用戶面臨著三個主要的關鍵問題和挑戰(zhàn)：數(shù)據(jù)安全、網(wǎng)絡安全和身份認證與權限管理。

在數(shù)據(jù)安全方面，云計算環(huán)境中，用戶的數(shù)據(jù)存儲在云端服務器上，這意味著數(shù)據(jù)的安全性完全依賴于云服務提供商的安全措施及保障，一旦云服務提供商的安全措施被突破，用戶的敏感信息就可能遭到泄露。

在網(wǎng)絡安全方面，常見的云安全攻擊類型包括DDoS、云儲存桶惡意攻擊、APT攻擊等。攻擊者通過攻擊，不僅可以阻礙云上用戶業(yè)務的正常運轉(zhuǎn)，還會對企業(yè)的網(wǎng)絡、系統(tǒng)及供應鏈造成破壞，帶來損失。

在身份認證與權限管理方面，云上用戶往往從一開始就沒有制定適當?shù)纳矸輵?zhàn)略，而云的性質(zhì)導致一方面用戶可以在安全邊界外訪問，另一方面還會向合作伙伴等提供訪問權限。一旦在身份認證與權限管理中存在疏忽，就會導致安全事件的發(fā)生。

可以看出，云上用戶安全與云服務器的各環(huán)節(jié)息息相關。對此，阿里云結(jié)合自身實踐和服務經(jīng)驗，針對上述安全問題提出了解決方案。

• 圍繞ECS，阿里云提供了三道防線

阿里云始終強調(diào)，客戶在云上的業(yè)務安全，是ECS和客戶一起來承擔和共建的。從阿里云提出的責任共擔模型來看，云服務商提供云本身的安全，包括建設和保障云服務平臺、虛擬化系統(tǒng)、物理基礎設施及數(shù)據(jù)中心的安全；云上用戶負責云上的安全，包括數(shù)據(jù)安全、身份及權限管理、操作系統(tǒng)、網(wǎng)絡和防火墻以及數(shù)據(jù)加密和網(wǎng)絡流量保護。

在與用戶達成責任共擔的基礎上，阿里云也會將自身在安全領域上的沉淀，盡可能從產(chǎn)品功能或工具給到用戶。例如，把基于安全指導原則（安全左移、最小權限等）的最佳實踐給到用戶；在ECS的安全組和購買頁，提供可能的安全風險預警以及提供盡可能多的安全威脅檢測和通知能力，并提醒用戶進行風險治理。

目前，阿里云的ECS安全體系包括操作系統(tǒng)安全、網(wǎng)絡安全、數(shù)據(jù)安全、身份與訪問控制、應用安全等。針對數(shù)據(jù)安全，阿里云提供了云盤加密、鏡像加密以及VPC網(wǎng)絡默認加密等，這些功能可以滿足用戶在云上數(shù)據(jù)保護和數(shù)據(jù)規(guī)格方面的需求。此外，阿里云還提供了支持可信計算、機密計算實例和虛擬Enclave功能，可以滿足數(shù)據(jù)敏感、某些敏感行業(yè)合規(guī)、對應用和數(shù)據(jù)高水平保護的業(yè)務場景的需求，如數(shù)字錢包、區(qū)塊鏈、數(shù)據(jù)庫、憑據(jù)服務等。

針對網(wǎng)絡安全，阿里云提供了多類型的、經(jīng)過安全加固的公共基礎鏡像，滿足用戶安全快速部署的需求。阿里云為用戶提供了可選地安裝云安全中心Agent和云助手，提供云主機防護和安全訪問、運維能力。此外，阿里云的接口還提供很多一鍵生效的安全特性控制開關（如自動快照等），提供了企業(yè)級分組分權管理的特性（資源組、TAG）等。并通過權限控制、配置合規(guī)控制和檢查能力，包括RAM Policy、ECS Insight、資源目錄、Control Policy等，這些能力幫助企業(yè)用戶正確、安全地使用和配置云資源的目的。

針對身份訪問和權限管理，阿里云通過Metadata實例身份證明、ECS角色扮演、基于vTPM的身份憑據(jù)保護，很好地緩解了相關風險。此外，阿里云對身份憑據(jù)泄露和使用泄露的憑據(jù)訪問云也做了監(jiān)控和攔截能力。

通過卓越的安全技術架構、全面的安全體系、與用戶一同共建安全模型、提供易用的產(chǎn)品功能和工具、安全威脅檢測和通知能力，阿里云為用戶全方面提供了全面的安全保障。為了進一步服務用戶，提升用戶在云上的使用體驗和安全，阿里云還推出了“ECS 99套餐”，即便是安全小白，也可以通過“ECS 99套餐”提高上云用云期間的安全水平。

• 聚焦技術能力和安全保障，
• 阿里云的“ECS 99套餐”

2023年10月，阿里云推出了“ECS 99套餐”。據(jù)悉，“ECS 99套餐”以99元的價格為開發(fā)者提供1年的高性價比、高穩(wěn)定的云端算力，并可續(xù)費3年，不到以往用云成本的四分之一。

對于“ECS 99套餐”，阿里云表示，云計算最大的優(yōu)勢，是基于大規(guī)模實踐的公共云服務，任何客戶，不論大小，即使用戶購買的是最基礎的“ECS 99套餐”，都可以平等地享受昔日銀行、電信等大客戶才能花費巨量投資才可能享受到的技術能力和安全保障。

為了保障99實例的安全性，阿里云特地選擇了最小規(guī)格的設計，即從2核開始，避免因為CPU共享可能導致的數(shù)據(jù)泄漏問題。此外，無論是ECS側(cè)提供的安全能力、安全風險提示共擔以及自動化安全風險治理，默認都不收費。

除此之外，阿里云還以賦能的形式幫助用戶解決安全問題最大的痛點：可視化及自動化。其中，可視化指的是缺少安全相關的知識和經(jīng)驗，對此，阿里云通過對賬戶的安全Quota管理，從而實現(xiàn)可視化。自動化指的是降低安全問題的治理難度，對此，阿里云采用了鏡像EOL到期以推動鏡像升級，提高了用戶的自動化能力。

• 圍繞新技術，ECS保障模型和數(shù)據(jù)泄露

目前，AI的發(fā)展快速驅(qū)動了企業(yè)對云的需求，因為AI本身需要大量的算力資源，企業(yè)需要大量部署或租用云服務，來為企業(yè)使用AI提供底層環(huán)境。然而，云上AI用戶最擔心模型和數(shù)據(jù)泄露的問題，在訓練（微調(diào)）階段需要企業(yè)私域數(shù)據(jù)，推理時需要檢索用戶數(shù)據(jù)，用戶提示詞也可能攜帶用戶的敏感信息。因此，保護這些流程中的數(shù)據(jù)安全就特別關鍵。

彈性計算承載了AI應用的基礎設施，因此，在計算、存儲、網(wǎng)絡的安全增強能力就很適用于AI的模型和數(shù)據(jù)保護場景。例如，阿里云通過加密CPU上模型計算期的數(shù)據(jù)，可以有效阻止越權訪問、側(cè)信道攻擊等攻擊方式。值得一提的是，阿里云表示基于GPU的機密計算已經(jīng)在開發(fā)中。

對于基于容器的AI服務，阿里云提出可以使用安全容器runD來實現(xiàn)容器間更好地隔離，防止容器逃逸等攻擊，保護AI應用。此外，云上AI依賴的存儲服務如云盤、OSS、NAS、CPFS也都具有存儲加密的能力，可以保護存儲態(tài)的模型和數(shù)據(jù)安全。

在網(wǎng)絡方面，如果用戶選擇存儲加密，阿里云提供了從存儲機尾到計算機頭區(qū)間的網(wǎng)絡加密能力，用戶如果使用mTLS等應用層加密方案來保護內(nèi)部服務間和對外的服務通信，就可以很完整地保護數(shù)據(jù)傳輸態(tài)的安全。

綜上所述，以上安全能力可以支撐上層AI服務，給用戶提供更安全的AI訓練和推理服務。即便部分機構要求數(shù)據(jù)不出私域，那么還有用戶專屬服務的方案，如靈駿、百煉一體機都可以部署到用戶自身的機房中。

• 結(jié)語：阿里云將繼續(xù)推動最小原則設計

由于ECS自身為多租環(huán)境，因此，供應商勢必要比云上用戶承擔更多的安全責任。對此，阿里云提出，會進一步保障用戶在云上數(shù)據(jù)存儲，計算、傳輸?shù)陌踩?，避免任何可能的?shù)據(jù)泄漏問題。

同時，阿里云還會推動最小原則設計，對各個資源的Quota進行管控以及對各個管控API的權限進行收斂。最后，阿里云還會持續(xù)和安全團隊進一步共建，提升最小原則設計權限管理、推動零信任架構的實踐。

• 下期預告

隨著企業(yè)對容器化應用依賴的加深，容器安全成為軟件供應鏈安全的薄弱環(huán)節(jié)。下期將為大家?guī)砣萜靼踩珜?，分享容器化帶來的開發(fā)與交付效率提升的同時，如何更好應對容器鏡像安全、運行時安全、配置安全、主機安全和供應鏈安全等方面的安全挑戰(zhàn)。