云安全將是安全領域最大的賽道

“云安全將是安全領域最大的賽道。”在近日長亭科技2022年度發布會上，長亭科技新任CEO肖力對未來網絡安全發展給出了自己的判斷。

記者了解到，幾個月前，肖力剛剛就任長亭科技CEO。從中國最大電商平臺和云平臺安全，在以攻防能力著稱的長亭科技，肖力如何用其在云安全上的能力，來帶領長亭科技走上一條面向云時代的道路？

伴云成長的云安全“老兵”

肖力可謂是一個安全界的“老兵”。從2005年開始，他就在阿里巴巴從事安全工作，和團隊一起從0到1構建阿里集團的安全體系。2015年，隨著云計算的風起云涌，肖力開始專職阿里云安全的工作，讓阿里云成為廣大用戶放心使用的平臺。截至2022年來到長亭科技，肖力在阿里巴巴做了整整17年的安全工作。

17年間，肖力經歷了阿里巴巴逐漸成長為中國最大的電商平臺的過程；也經歷了云計算從一個新生事物到遍地開花的各個階段。期間，既有克服重重安全挑戰的成就感，也有面對云計算到底是什么的迷茫。

從阿里巴巴到阿里云，對肖力是一個安全視角的轉變。在阿里巴巴，肖力的工作是標準的甲方視角，每天都在想著怎么把阿里巴巴的“金鐘罩”打造得更牢靠。到了阿里云之后，一方面，肖力和他的團隊把之前積累的安全經驗和實踐在阿里云上進一步發揚光大，讓中國這個最大的云平臺穩定可靠運轉；同時，面對阿里云數百萬的用戶，尤其是大量的中小企業，既不懂安全技術又沒有專職人員，肖力開始通過安全產品輸出阿里的安全能力。就像阿里的的使命是讓天下沒有難做的生意，肖力他們的目標是讓天下沒有難用的云，幫助企業做好必要的安全防護，讓廣大企業安心上云。

加入長亭科技，進入傳統的ToB領域，對肖力來說是一個全新的開始。

安全因勢而動

作為一個安全從業者，肖力認為，必須時刻關注行業的重大變化。要抓住影響安全行業發展的變量：當這些變量產生變化時，就能看清事物發展變化的趨勢，從而找到應對變化的正確方法，滿足用戶的新需求。

對當前影響網絡安全體系發展的變量，肖力總結主要有四個方面：政策法規的推出、攻擊技術的演進、用戶業務的變化，IT基礎設施的變化。

首先，合規是安全的基本要求。國家近年來政策法規不斷完善，對安全行業的影響深遠。《網絡安全法》《數據安全法》《密碼法》《關鍵信息基礎設施安全保護條例》、等保2.0等，都對當前企事業單位的網絡安全建設提出了明確要求。國家通過政策法規的驅動，包括常態化的攻防演練，推動全社會加強安全能力的建設，提升全社會的安全水位，應對未來網咯空間的競爭。所以，必須關注政策法規的導向，包括配套的標準規范，從而明確網絡安全工作最基本的方向。

其次，是攻擊技術的演進。安全行業有句老話叫“未知攻，焉知防”，防守方必須非常清楚攻擊者的手段，才能做到有效對抗。最初的病毒木馬讓系統癱瘓，后來的DDoS攻擊讓業務不可用，但現在這些攻擊已不再是主流。數字時代，數據是企業最重要的資產，是第一生產力，針對數據的攻擊已經成為這兩年的“頂流”。無論是APT攻擊、勒索軟件攻擊，還是供應鏈攻擊，都是針對數據而來，對抗這類攻擊是未來企業必備的安全技能。

再次，是用戶業務的變化。數字化給企業的IT和業務帶來了根本性的改變，從簡單的辦公環境信息化，到現在企業的生產辦公包括業務大多構建在網上、在云上。例如，物聯網、車聯網、工業互聯網等新業態的發展催生了大量新場景新業務，疫情帶來了遠程辦公浪潮，這些都產生了新的安全需求和安全挑戰。數字化讓安全和業務緊密關聯，安全要和業務保持同步發展。

最后，是對企業安全體系影響最大的變量——IT基礎設施的變化。安全本質上是在IT基礎設施之上的應用，基于不同的IT基礎設施來構建。當IT基礎設施從辦公網變成數據中心，再從數據中心變成漸趨統一的云，相應的安全架構，安全技術、產品和解決方案也都在跟隨演進。

安全是一個動態的概念，肖力強調。這四個方面每出現一點變化，都可能導致整個網絡體系出現新的風險、新的漏洞，安全也必須隨之做出改變。

肖力認為，上述這四個變量的演進，讓當前的企業網絡安全面臨三大挑戰：攻擊策略的不確定性、IT環境的復雜性，以及用戶體驗和安全的平衡。

挑戰一，攻擊策略的不確定性。從長亭的攻擊者視角來看，軟件供應鏈風險和不斷暴露的企業攻擊面，已經成為攻擊者最主要的突破口。開源軟件的流行，云上業務的增加，企業大量使用的軟件中的漏洞，甚至安全設備自身的漏洞，讓今天的攻擊者處處有機可趁。而攻擊者會從哪里入手，會采用何種攻擊策略，卻越來越難以判斷。

挑戰二，IT環境的復雜性。隨著IT基礎設施的復雜度越來越高，安全的管理難度不斷加大。混合云是國內普遍采用的新IT基礎設施，混合云場景對安全建設的挑戰會成倍增加。這其中，既有OT和IT之間日益增長的互聯性帶來的挑戰，又有為數眾多的不同安全廠商產品帶來的管理和協作的挑戰。安全解決方案越來越復雜，甚至超過了IT架構的復雜性，讓運維工作繁重而低效，用戶對安全體系是否真正有效缺乏信心。

挑戰三是用戶體驗和安全的平衡。業務的穩定運行是用戶最重要的目標，作為深植在用戶信息系統每個環節的安全硬件或軟件，不能只考慮讓自身發揮作用，而是要確保系統的穩定，兼顧安全和用戶體驗的平衡。

直面混合云時代的安全挑戰

肖力認為，中國企業的數字化轉型，以私有云為主的混合云將是主流趨勢。這里所定義的混合云，是指由私有云、公共云，以及多云的環境組成的企業IT基礎設施。據Gartner《中國混合云運營的三個重要經驗》報告數據，中國的混合云采用率在2021年達到了42%，預計到2024年將達到70%，遠高于50%的全球平均水平。肖力表示，未來再談論數據安全、主機安全、身份安全、應用安全等，都是基于云的基礎設施，所以，云安全將不再是安全領域的一個分支，而是會成為未來安全領域最大的賽道。

面對上面提到的種種安全挑戰，混合云下的安全該怎么做？肖力表示，云基礎設施讓安全變得更簡單，做好云安全要基于云原生安全的思維。

對云安全，尤其是云原生安全，肖力有著自己的理解。肖力認為，基于過去他對云安全的最佳實踐，發現有些廠商和用戶對云安全有理解上的誤區。肖力總結了混合云安全體系的5個關鍵理念，分別對應云原生安全產品的定義、新的安全風險指標、云上安全的關注重點、安全運營的重要性以及云安全生態的構建。

第一是云原生安全的定義，這也是肖力強調的最為關鍵的一點，云安全必須具備云原生思維。云原生安全首先是一種安全思路的轉變，而不局限于業界很多針對云工作負載、容器、K8S、API安全等細分的技術領域。只是把安全產品裝到虛擬機上，這并不是一個真正的云安全產品。只有將安全能力融合于云基礎設施、云產品組件之上的系統，才能說是云安全產品。換句話說，真正的云安全產品必須能夠充分利用云基礎設施的原生能力，例如分布式彈性的存儲、計算、網絡等，高度API化、數據統一、管理統一，把云的優勢特點用到極致，在面對超大流量、動態龐雜資產、24小時在線的快速變化業務時，才能在擴展性、穩定性、安全看見能力、安全控制細粒度上表現出云原生安全的巨大優勢。

第二是風險覆蓋率成為安全的新指標。過去業界強調的指標是檢測和響應，就像人生病了去醫院做檢查，對癥下藥。但現在云上安全體系更要做到“治未病”，防患于未然。成熟的安全團隊要做的是設置持續減少風險暴露面的安全指標，融入日常運營，以緩解風險，消除風險。

第三是企業上云后安全要著重關注身份、應用數據和配置問題。云場景是一個多租戶共享的環境，傳統的安全隔離手段已經失效，一個應用有漏洞，或一個身份憑證被竊取，帶來的可能是更多用戶的身份權限、應用數據的安全問題。同時，Gartner提出，到2023年 99%的云安全事件將是客戶錯誤的配置所導致，這充分說明了配置的重要性。高度自動化的日常巡檢、基線掃描和配置管理，可以有效抵消云環境的復雜性和動態性。

第四是安全運營體系比安全產品更重要。很多客戶非常重視安全，投入很大，買了大量的安全產品，但沒有用好，達不到預期的防護效果。安全產品需要好的運營能力，才能做到真正有效，但很多用戶在安全運營、安全服務的投入非常少。安全運營的價值，不僅是專業的分析，還要對各類安全事件的優先級做出判斷，采取相對應的措施。例如，用掃描器發現了一個高危漏洞，找出漏洞后安全運營團隊要做分析，判斷危害性和影響范圍，是否需要立即修復，并制定相應的修復方案。云安全運營更需要關注身份識別、風險評估和運營安全驗證、合規性評估、威脅防范和風險發現、運營監控。

最后是云安全需要標準化的開放生態。從安全廠商的角度，常稱自己有一站式的服務，可以滿足用戶的全部需求；但從成熟的甲方角度來看，其最佳實踐是采用細分技術領域最好的產品，基于自己的業務特性來構建符合自己需求的安全體系。所以，云安全需要一個統一的生態，各家的產品都符合云原生架構，高度API化，可以統一存儲、統一計算、統一決策、統一調度。最終，用戶會基于統一標準的開放生態，用各個技術領域最好的產品來構建云安全解決方案。

肖力表示，云計算仍處于發展期，混合云的浪潮勢不可擋。長亭科技始于技術和攻防，未來將面向異構混合云場景，將混合云的思想技術貫穿于產品中，圍繞企業安全攻防場景的核心能力，打造更多單點極致的云原生安全產品。

年度發布會上，長亭科技發布了兩款新品：云圖(Cloud Atlas)攻擊面管理運營平臺、全悉(T-ANSWER)高級威脅分析預警系統。長亭科技旗下產品如下一代 Web 應用防火墻雷池（SafeLine）、主機安全管理平臺牧云（CloudWalker）、安全評估系統洞鑒（X-Ray）、偽裝欺騙系統云蜜罐產品諦聽（D-Sensor）均采用容器化技術架構，全面進化為云原生安全產品，并全新升級其安全運營體系。

長亭科技這一套“組合拳”，充分體現了肖力為長亭科技選擇的混合云安全道路。長亭科技已經做好了迎接混合云時代的準備，將持續以攻防實戰能力為基石，為企業全面構建混合云場景下的網絡安全防護體系，助力企業筑牢云上安全防線。