2016年如何應對云安全風(fēng)險？京東這些方法可以借鑒

　　自谷歌2006年率先提出“云計算”概念以來(lái)，云計算在飛速發(fā)展。近年來(lái)，國內隨著(zhù)政府及公司的持續高速增長(cháng)和大力推動(dòng)，云服務(wù)迎來(lái)信息技術(shù)發(fā)展的新一級增長(cháng)模式。當云計算加速推動(dòng)變革，越來(lái)越多的業(yè)務(wù)也開(kāi)始在云端開(kāi)展，更多的應用、更多的數據被部署在云端，云計算面臨的安全問(wèn)題也隨之更嚴峻。

　　基于漏洞、病毒、未知威脅的攻擊逐漸頻繁且智能化，根據之前云安全聯(lián)盟(CSA)的報告指出，云服務(wù)天生就能使用戶(hù)繞過(guò)公司范圍內的安全策略，建立起自己的影子IT項目服務(wù)賬戶(hù)。面臨種種情況，新的安全控制策略必須被引入，加促云安全成為企業(yè)防護的重中之重。

　　打造完整生態(tài)圈

　　當云安全做為下一階段“云”分支的爆發(fā)點(diǎn)和各個(gè)巨頭互聯(lián)網(wǎng)公司下一階段的投資主線(xiàn)時(shí)，如何將資源整合，共謀技術(shù)發(fā)展，打造生態(tài)圈或許是一個(gè)新的趨勢。

　　國內的云計算服務(wù)商，阿里面向開(kāi)發(fā)者推出了阿里聚安全，為開(kāi)發(fā)者提供互聯(lián)網(wǎng)安全解決方案，并收購了號稱(chēng)“中國火眼”的瀚海源;騰訊云率先拉攏賽門(mén)鐵克、綠盟、北信源等安全廠(chǎng)商發(fā)起了云安全產(chǎn)業(yè)聯(lián)盟;華為安全也在全球大量流量清洗中心合作，成立云清聯(lián)盟，采取近源清洗的方式，有效抵抗DDOS攻擊。

　　事實(shí)上，安全領(lǐng)域的收購與結盟正變得愈加頻繁，英特爾收購邁克菲更是成就了信息安全史上最大的收購案。與此同時(shí)，外眾多大型IT公司也在向云計算轉型，IBM、微軟等都在不遺余力地發(fā)展其云計算，他們所收購的對象也逐漸從傳統廠(chǎng)商變成了安全廠(chǎng)商。

　　不難發(fā)現，構筑一個(gè)強大的生態(tài)聯(lián)盟成為眾多廠(chǎng)商都在致力的事情。京東作為一家受益于云計算，依靠云計算信息去支撐系統，利用數據引導電商精細化運作的零售企業(yè)，對于云安全生態(tài)圈這個(gè)趨勢也有著(zhù)自己獨到的看法。

　　“云安全不是靠單一某一企業(yè)就能全部完成，云安全需要有云服務(wù)供應商、安全合作伙伴與用戶(hù)的共同打造?！币虼?，京東云希望通過(guò)構建云服務(wù)安全生態(tài)與云服務(wù)安全大數據共享平臺來(lái)提升整個(gè)中國云計算安全服務(wù)能力，讓京東云的安全合作伙伴從單一安全產(chǎn)品功能和性能的比拼升級到云計算安全數據運營(yíng)能力競爭，從業(yè)務(wù)角度洞悉安全問(wèn)題，做到全面覆蓋、合作共贏(yíng)。

　　隨著(zhù)更多的企業(yè)通過(guò)聚合第三方安全廠(chǎng)商，為企業(yè)提供一站式的安全服務(wù)平臺，去構建融合、開(kāi)放、安全、共贏(yíng)的云安全生態(tài)圈，云安全的生態(tài)圈發(fā)展進(jìn)步指日可待。

　　打破發(fā)展困境

　　當各主流廠(chǎng)商云安全事故頻頻發(fā)，給人們再次敲響警鐘。云計算行業(yè)的發(fā)展困境和瓶頸究竟在哪?業(yè)界有人談到，技術(shù)框架還是性能等新功能都可以復制，唯獨安全不可以。當越來(lái)越多的服務(wù)商將精力放在性能提升、架構等技術(shù)創(chuàng )新時(shí)，切不可忘了安全的保障，不談安全一切都是浮云。

　　面對各廠(chǎng)商資源共享、抱團取暖、協(xié)同作戰的必然趨勢，京東指出，不開(kāi)放、不透明仍讓是云安全所面臨的發(fā)展困境。

　　在共同合作的過(guò)程中，京東認為一定要對安全合作伙伴需要開(kāi)放。單個(gè)企業(yè)必定解決不了所有的問(wèn)題，云安全的發(fā)展離不開(kāi)整個(gè)信息安全產(chǎn)業(yè)的支持。封閉的云平臺，不能真正實(shí)現安全大數據的共享，就不能有效發(fā)揮信息安全產(chǎn)業(yè)各廠(chǎng)商的整體能力。與其他友商一樣，京東云將以開(kāi)放的姿態(tài)歡迎各信息安全廠(chǎng)商合作共建云安全。

　　目前，越來(lái)越多的企業(yè)選擇將他們的業(yè)務(wù)遷移到云端，但仍有一大部分企業(yè)很難相信云服務(wù)提供商能夠保護公司最敏感的數據，而對于對安全級別要求較高的公司而言，數據在不知情的情況下發(fā)生泄漏是非常危險的事情。這其中很大一部分的原因就是因為云服務(wù)提供商的保護措施不夠透明。

　　京東認為，客戶(hù)對于云安全的疑慮，一個(gè)重要的原因是客戶(hù)不信任云服務(wù)供應商，未來(lái)京東云安全的一個(gè)重點(diǎn)就是對客戶(hù)透明，讓客戶(hù)了解京東云的安全風(fēng)險控制技術(shù)措施，運維流程和管理方式，并針對重點(diǎn)客戶(hù)開(kāi)放安全數據接口，提供用戶(hù)審計API，讓客戶(hù)真正了解京東云，信任京東云安全運營(yíng)保障能力，讓用戶(hù)能真切感受的云服務(wù)供應商的運維操作合規性與安全保障工作的到位情況。

　　基于大數據的安全分析

　　在RSA2014安全大會(huì )上，RedOwl Analytics獲得了“最具創(chuàng )新力公司”大獎，該公司主要是以基于大數據分析和調查的新思路，提供主動(dòng)智能安全分析解決方案以減少企業(yè)的業(yè)務(wù)風(fēng)險。

　　基于大數據的安全分析技術(shù)，通過(guò)搜集來(lái)自多種數據源的信息安全數據，深入分析挖掘有價(jià)值的信息，對未知安全威脅能做到提前響應，降低風(fēng)險，實(shí)現最佳的安全防護。作為安全領(lǐng)域的一種發(fā)展趨勢，老牌的安全廠(chǎng)商如果還抱著(zhù)陳舊的思路和產(chǎn)品技術(shù)，滿(mǎn)足于修修補補而不是預先防范，或許會(huì )在技術(shù)變革中敗下陣來(lái)。

　　安全數據的數量、速度、種類(lèi)的迅速膨脹，不僅帶來(lái)了海量異構數據的融合、存儲和管理的問(wèn)題，也會(huì )顛覆傳統的安全分析方法。京東認為大數據精準分析是未來(lái)的趨勢，要從業(yè)務(wù)層深入分析安全入侵行為，更加有效的防范APT攻擊。京東具有最佳的業(yè)務(wù)數據分析實(shí)踐能力，結合信息安全行業(yè)特點(diǎn)，與第三方安全合作伙伴打造云平臺上的安全大數據分享平臺，包括安全運營(yíng)數據的分享、與安全大數據分析平臺的共享，目標是實(shí)現智能化的安全大數據分析，和業(yè)務(wù)層面的用戶(hù)安全態(tài)勢感知。

　　此外，保障云平臺的安全，京東也是從最底層的基礎架構安全性入手，結合京東云大數據處理的能力，以及業(yè)界最優(yōu)秀的第三方安全廠(chǎng)商打造完整的生態(tài)圈，實(shí)現從云平臺、網(wǎng)絡(luò )、系統、數據和應用系統安全的全面覆蓋。

　　應對云安全威脅

　　現下云數據泄露似乎都快成為一種常態(tài)，隔三差五就曝出重大泄漏事故，而云服務(wù)商監守自盜，讀取、利用數據又讓人防不勝防，各種安全事件讓用戶(hù)對云是又愛(ài)又恨。2016年，云計算到底面臨哪些安全風(fēng)險?近日，云安全聯(lián)盟列出了2016年“十二大云安全威脅”，包括包括數據泄密、憑據或身份驗證遭到攻擊或破壞、接口和API被黑客攻擊、利用系統漏洞等、賬戶(hù)被劫持等。

　　相信各大廠(chǎng)商對于此都有自己的應對方法，當然京東對此也非常關(guān)注，在安全能力規劃和產(chǎn)品設計上都有相應部署。例如，針對數據泄密，京東數據云會(huì )提供業(yè)界領(lǐng)先的數據匿名和變形加密技術(shù)，真正從數據層面實(shí)現對客戶(hù)敏感數據的保護;針對憑證被盜和身份驗證如同虛設的問(wèn)題，京東云不僅可以實(shí)現異地登錄通知和驗證，還支持SSH證書(shū)登錄方式(無(wú)密碼驗證登錄)，徹底解決弱密碼問(wèn)題;有關(guān)界面和API被黑問(wèn)題，京東云對外開(kāi)放的API都經(jīng)具有豐富互聯(lián)網(wǎng)安全實(shí)戰經(jīng)驗的京東集團安全部的嚴格審核，任何對外開(kāi)放的API存在安全性問(wèn)題，京東安全部都有一票否決權。

　　由上述種種發(fā)現，云計算實(shí)際上已經(jīng)打破了傳統的信息安全保障體系設計、實(shí)現方法和運維管理體系，當今的網(wǎng)絡(luò )安全變得越發(fā)無(wú)界，難以防護;同時(shí)，云計算的按需調配、資源彈性等特性，也會(huì )給安全措施的改進(jìn)升級、安全運維管理帶來(lái)問(wèn)題和挑戰。

　　2016年，企業(yè)面臨的安全問(wèn)題將更加嚴峻，一些都在不斷推動(dòng)安全服務(wù)內容、實(shí)現機制的創(chuàng )新和發(fā)展。如何應對云計算帶來(lái)的安全風(fēng)險?

　　加大與第三方優(yōu)秀安全廠(chǎng)商的合作力度，打造完整生態(tài)圈;從底層基礎架構入手，結合大數據處理能力，實(shí)現云平臺、網(wǎng)絡(luò )、系統、數據和應用系統安全的全面覆蓋;時(shí)時(shí)保持對云計算安全風(fēng)險的敏銳關(guān)注，進(jìn)一步清晰云安全相關(guān)的安全技術(shù)服務(wù)內容和范圍，并根據相關(guān)風(fēng)險做出針對性策略部署。京東與各大廠(chǎng)商的這些做法，或許能成為2016年值得借鑒的方法。