隨著企業(yè)數(shù)字化轉(zhuǎn)型進(jìn)程進(jìn)入“快車道”，“上云是常態(tài)，不上云是例外”這一觀念不斷被接受，一系列云上安全問題也逐漸浮出水面——信息泄漏問題頻發(fā)，僵尸攻擊、應(yīng)用程序攻擊等頻繁侵?jǐn)_，使得業(yè)務(wù)連續(xù)性受到一定程度沖擊，對(duì)癥且有效的手段將成為護(hù)航企業(yè)玩轉(zhuǎn)云時(shí)代的“無形利器”。

11月10日、11月16日和11月24日，火山引擎公共云·城市分享會(huì)陸續(xù)亮相北京、上海、深圳。會(huì)上火山引擎以“如何輕松把控上云風(fēng)險(xiǎn)”為題，分享了字節(jié)跳動(dòng)在多云復(fù)雜架構(gòu)下的安全運(yùn)營(yíng)實(shí)踐經(jīng)驗(yàn)，展示火山引擎高效護(hù)航云上安全的能力。   

以下為演講實(shí)錄：

火山引擎致力于做一朵安全的云

隨著數(shù)字化轉(zhuǎn)型進(jìn)程加快，越來越多的企業(yè)將業(yè)務(wù)放置于云上，以提高業(yè)務(wù)運(yùn)行效率。然而，在近兩年，國(guó)內(nèi)外越來越多的攻防問題出現(xiàn)在云上。很多企業(yè)不禁困惑：上云是否助長(zhǎng)了危險(xiǎn)系數(shù)的提升，降低了業(yè)務(wù)的安全水平？

至此，各行各業(yè)開始愈發(fā)重視云上安全問題，如數(shù)據(jù)安全、云上權(quán)限管理等?；谑袌?chǎng)需求高漲，火山引擎致力于以產(chǎn)品與服務(wù)幫助企業(yè)解決上云過程中遇到的安全問題。

在火山引擎公共云·城市分享會(huì)上，討論最多的話題就是，火山引擎為什么要做云？

相比于toB行業(yè)的資深企業(yè)而言，火山引擎在云業(yè)務(wù)方面仍然處于追趕階段。但從競(jìng)爭(zhēng)力來看，火山引擎toB業(yè)務(wù)具備兩大核心競(jìng)爭(zhēng)力優(yōu)勢(shì)。

其一，火山引擎愿意服務(wù)各行各業(yè)，可以作為最后的“兜底方”，用積極的態(tài)度幫助客戶解決各種問題。其二，字節(jié)跳動(dòng)業(yè)務(wù)上云、業(yè)務(wù)云原生化都是走在行業(yè)較前列的。

在上云的過程中，字節(jié)跳動(dòng)也面臨著安全問題。其中最典型的就是云上和線下IDC的運(yùn)維、管理和操作方式完全不同，這給業(yè)務(wù)部門、安全部門和運(yùn)維部門都帶來了巨大的挑戰(zhàn)。   

在IDC領(lǐng)域，比如防火墻、交換機(jī)、數(shù)據(jù)庫(kù)能否訪問公網(wǎng)，都是可以由自己控制的，一個(gè)命令就可以實(shí)現(xiàn)。但是在云上這種方法就不可行了。幾乎所有的云都需要配置較多的規(guī)則、角色、權(quán)限等，一旦配置出錯(cuò)，就會(huì)出現(xiàn)前述種種問題。因此，云上的安全復(fù)雜性是很大的。

無論是從成本還是從穩(wěn)定性來考慮，很多業(yè)務(wù)使用多云是剛需。多云就意味著企業(yè)需要使用不止一家云廠商的產(chǎn)品，然而一種云產(chǎn)品就已經(jīng)帶來如此多的問題，多云就會(huì)讓這些問題、風(fēng)險(xiǎn)雙倍甚至三倍增長(zhǎng)，帶來不可估量的隱患。

在先前的調(diào)研中，火山引擎發(fā)現(xiàn)，海外的相關(guān)云上、多云防護(hù)產(chǎn)品大多數(shù)比較成熟，但國(guó)內(nèi)相對(duì)來說成熟產(chǎn)品較少，這與國(guó)內(nèi)的信息化進(jìn)程、轉(zhuǎn)型的節(jié)奏息息相關(guān)。

目前，國(guó)內(nèi)絕大多數(shù)企業(yè)使用云的形式比較單一，比如購(gòu)買大量的ECS算力、存儲(chǔ)，在云上放置一些邊緣業(yè)務(wù)，而主要的業(yè)務(wù)還是放在線下。這種做法相對(duì)來說，使用云的形式、模式還沒有那么復(fù)雜，很多問題還沒有充分暴露出來。

隨著企業(yè)信息化轉(zhuǎn)型、降本增效的需求增長(zhǎng)，公有云、混合云在未來將會(huì)繼續(xù)呈現(xiàn)增長(zhǎng)的趨勢(shì)。在這個(gè)趨勢(shì)下，安全類問題是企業(yè)必須關(guān)注的?；鹕揭嬉龅?，就是不管是自己使用多云場(chǎng)景，還是對(duì)外服務(wù)客戶，都將發(fā)揮最大價(jià)值來保障安全穩(wěn)定。這也是火山引擎將長(zhǎng)期投入的一項(xiàng)事業(yè)。

多云在安全方面的隱患會(huì)帶來很多附加成本。從安全角度來看，包括勒索問題在內(nèi)的各種各樣問題將會(huì)逐漸暴露；從業(yè)務(wù)角度而言，數(shù)據(jù)泄露等安全問題的修復(fù)過程是較為困難的，且成本較高。

要事前不要事后，要可見不要盲點(diǎn)

基于上述多重挑戰(zhàn)，字節(jié)跳動(dòng)從安全運(yùn)營(yíng)和安全防護(hù)的角度提出了解決思路——要事前不要事后，要可見不要盲點(diǎn)。

即盡可能讓安全風(fēng)險(xiǎn)控制在事前，而不是事后；盡可能讓所有的資產(chǎn)，無論是暴露在公網(wǎng)還是內(nèi)網(wǎng)，都盡可能可見，不要有盲點(diǎn)。盲點(diǎn)是非?？膳碌?，因?yàn)椴恢朗裁磿r(shí)候你的公司域名或IP會(huì)被仿冒，可能會(huì)泄露公司業(yè)務(wù)代碼或敏感數(shù)據(jù)，如果沒有做到提前預(yù)防，其造成的損失將不可控。

云上賬號(hào)的安全風(fēng)險(xiǎn)大大增加，不同的賬號(hào)有不同的權(quán)限，例如業(yè)務(wù)的開發(fā)或運(yùn)維人員，在完全不知情的情況下，在企業(yè)的一朵云上創(chuàng)建了一個(gè)數(shù)據(jù)庫(kù)或ECS，很可能就會(huì)遇到泄漏或被攻擊的風(fēng)險(xiǎn)。

此外，要統(tǒng)一，不要分散。安全問題在這一維度上跟業(yè)務(wù)是一樣的，要強(qiáng)調(diào)統(tǒng)一性。在安全領(lǐng)域有一個(gè)短板理論，即一個(gè)企業(yè)的安全是由最小的業(yè)務(wù)決定的，小業(yè)務(wù)一旦被攻破，將會(huì)直接影響所有的業(yè)務(wù)。統(tǒng)一的安全管控和治理，將是企業(yè)上云重要的一環(huán)，它將關(guān)系到效率、成本和穩(wěn)定性等因素。

以多重能力打造產(chǎn)品矩陣，護(hù)航企業(yè)云上安全

字節(jié)跳動(dòng)的上云進(jìn)程是比較快速的，幾乎主要業(yè)務(wù)都在云上。因此，火山引擎基于字節(jié)跳動(dòng)的業(yè)務(wù)防護(hù)經(jīng)驗(yàn)，總結(jié)了相關(guān)的解決方案，并沉淀在產(chǎn)品中，輸出給客戶和伙伴。

整體而言，字節(jié)跳動(dòng)要像運(yùn)營(yíng)一朵云一樣運(yùn)營(yíng)多云。這其中包括幾個(gè)方面的內(nèi)容。從底層來說，字節(jié)跳動(dòng)本身是多云架構(gòu)模式，使用過包括火山引擎在內(nèi)的多個(gè)云；從核心能力來看，火山引擎擁有流量、邊界、終端、賬號(hào)、資產(chǎn)、權(quán)限等等所有相關(guān)的安全數(shù)據(jù)能力，同時(shí)可以對(duì)外提供統(tǒng)一的多云管控、多云數(shù)據(jù)安全篩查，這是解決多云安全問題的總體思路和架構(gòu)。

對(duì)此，火山引擎總結(jié)了長(zhǎng)期在字節(jié)跳動(dòng)業(yè)務(wù)實(shí)踐中積累下來的安全策略。

在上云初期階段，火山引擎產(chǎn)品能夠在10分鐘內(nèi)橫跨多云，全面獲取資產(chǎn)潛在風(fēng)險(xiǎn)。業(yè)務(wù)在上云的過程中，也需要不同的賬號(hào)。通過統(tǒng)一的策略和界面，可以讓集團(tuán)的安全措施和安全要求及時(shí)觸達(dá)到每一個(gè)賬號(hào)上，一旦出現(xiàn)問題，集團(tuán)能夠及時(shí)屏蔽掉不同云之間、不同IDC之間安全防護(hù)能力的差異性。

在漏洞修復(fù)方面，僅需2步就能批量修復(fù)數(shù)千風(fēng)險(xiǎn)資產(chǎn)。多云安全內(nèi)置的快捷修復(fù)腳本可覆蓋90%的多云安全策略，能夠基于配置的敏感性提供多種修復(fù)方式，例如增量安全功能自動(dòng)加固開啟、歷史越權(quán)配置評(píng)估使用頻率、跨云資產(chǎn)細(xì)粒度操作支持、無需額外操作自動(dòng)區(qū)分多云差異性等。

在資產(chǎn)創(chuàng)建方面，1次點(diǎn)擊就能夠進(jìn)行資產(chǎn)創(chuàng)建，遵循最佳安全實(shí)踐。想要將業(yè)務(wù)放到云上，就要申請(qǐng)?jiān)粕系腄B、主機(jī)等，業(yè)務(wù)的運(yùn)維、研發(fā)人員都具備此權(quán)限。因此，需要對(duì)信息實(shí)時(shí)感知，才可能防范風(fēng)險(xiǎn)。通過實(shí)時(shí)的監(jiān)控和掃描，幫助運(yùn)維、安全人員記錄每一步操作，例如，誰開了一個(gè)端口、誰開了遠(yuǎn)程桌面，都能夠清晰記載。這對(duì)安全人員來說，就減少了相應(yīng)的擔(dān)憂，讓風(fēng)險(xiǎn)可見可管控。

在風(fēng)險(xiǎn)檢測(cè)方面，內(nèi)置4類入侵檢測(cè)引擎，全面保護(hù)云上資產(chǎn)?；鹕揭婕嫒莶煌飘a(chǎn)品和安全產(chǎn)品。通過可視化形式，幫助用戶在多云下，提高處置安全事件的效率。其中，字節(jié)跳動(dòng)開啟了基于內(nèi)核打造的長(zhǎng)期開源終端安全項(xiàng)目，在安全檢測(cè)能力、穩(wěn)定性、性能方面，基本處于國(guó)內(nèi)頂尖水平，能夠避免由于代碼寫錯(cuò)造成對(duì)業(yè)務(wù)的嚴(yán)重影響。

在風(fēng)險(xiǎn)處置方面，通過跨云協(xié)同處置的方式，讓風(fēng)險(xiǎn)閉環(huán)。當(dāng)遇到一個(gè)入侵事件或告警的時(shí)候，首先要判斷是否是真實(shí)的。能夠把告警的噪聲和精確度提升上來，是企業(yè)安全水平提升的一個(gè)顯著標(biāo)志。字節(jié)跳動(dòng)的業(yè)務(wù)規(guī)模已經(jīng)遍及各地，不同地區(qū)的分布、不同流量入口、不同終端規(guī)模帶來的告警事件是大量的。火山引擎通過長(zhǎng)期打磨，優(yōu)化降噪和止損的經(jīng)驗(yàn)，整合成了產(chǎn)品，通過可視化精準(zhǔn)識(shí)別需要關(guān)注的告警，并給出加固阻斷操作指引，讓止血、預(yù)防、降噪、自動(dòng)化形成閉環(huán)。

在安全運(yùn)營(yíng)方面，無論對(duì)于響應(yīng)時(shí)間，還是漏洞修復(fù)而言，安全運(yùn)營(yíng)都是至關(guān)重要的一環(huán)?；鹕揭嫣峁┴S富向外擴(kuò)展兼容能力，支持連接企業(yè)原生辦公軟件、工單流程、消息中心等，以開放接口，平滑銜接企業(yè)原有的安全流程，提高組織效率。

在合規(guī)問題上，火山引擎從IP角度、審計(jì)角度、合規(guī)角度，將大量需要滿足規(guī)范的經(jīng)驗(yàn)或策略形成模板提供給用戶。包括超過30個(gè)合規(guī)評(píng)估框架，自動(dòng)遵循等保2.0、NIST、SOC2、PCI-DSS和各種CIS標(biāo)準(zhǔn)等。

基于一系列字節(jié)跳動(dòng)多云安全運(yùn)營(yíng)的實(shí)踐與探索，火山引擎也推出了多云安全平臺(tái)產(chǎn)品，皆是在字節(jié)跳動(dòng)業(yè)務(wù)長(zhǎng)期實(shí)踐中總結(jié)的最佳解決方案，這也并非終點(diǎn)?；鹕揭鎸⒊掷m(xù)以字節(jié)跳動(dòng)為依托，打造更豐富、更穩(wěn)定、更安全可靠的云安全類產(chǎn)品，將更好的服務(wù)帶給用戶。