阿里云安全掌门人肖力：企业上云，如何保证安全？

本文转载自微信公众号：CSDN（ID：CSDNnews），采访者：伍杏玲，受访者：肖力

近日，国家互联网应急中心发布《2019 年上半年我国互联网网络安全态势》，报告显示在 2019 年上半年，国家互联网应急中心新增捕获计算机恶意程序样本数量约 3200 万个，计算机恶意程序传播次数日均达约 998 万次，我国境内感染计算机恶意程序的主机数量约 240 万台。

这表明，互联网安全不容忽视。

有一个人，从成为阿里巴巴第一个安全工程师开始，不遗余力地带领团队搭建起阿里云安全事业部，现在每天帮助中国超过40% 的网站抵挡 50 亿次攻击，2000 次大流量DDoS 攻击。由阿里云所成功防御的大流量DDoS攻击，占全国的一半以上。

他便是阿里云安全事业部的掌门人肖力。今年是阿里云十年，在 3 月 21 号的阿里云北京峰会上，阿里云提出“十年再出发”。肖力作为阿里云安全技术发展的重要见证人和参与者，他对云上安全技术有何独到专业的解剖？未来将带领阿里云安全团队如何“再出发”呢？在本期《问底中国IT技术演变》中，CSDN（ID：CSDNnews）有幸采访到阿里云智能安全事业部总经理肖力，为我们分享阿里云十年安全之路。

阿里云智能安全事业部总经理 肖力

一

阿里十四年

从 2005 年加入阿里的肖力，在阿里经历两个不同时期的安全“创业史”：

1、负责阿里巴巴集团“纯甲方”的安全技术

作为阿里第一位安全工程师，一开始肖力是负责阿里巴巴集团的安全工作，在此阶段，他是用“甲方”思维和视角来工作的。

当时随着去 IOE 的浪潮兴起，业务呈现爆发性增长，业内的安全产品不能满足其需求，肖力带领技术团队自建大量的安全产品。例如，将 WAF 串联在淘宝网前，当双11巨大的流量来袭时，他们很早就采用分布式架构、核心的技术互联网化架构来解决。

这是站在阿里巴巴集团的“纯甲方”位置，为了集团的安全而研发技术产品，但到了云时代，需要从云的核心——基础设施安全出发，肖力带领团队推出相应的安全产品和服务，成为云安全提供商。

2、云时代，成为阿里云安全事业部掌门人

从2009年阿里云成立的第一天开始，肖力所带领的阿里云安全团队便同步诞生。在保障云平台安全的同时，肖力带领团队基于过去多年负责阿里巴巴的安全产品技术经验，将阿里巴巴的能力转化成云的安全产品服务。

同时团队属性也发生一些改变，以前几百号人均是安全技术工程师，现在团队有安全架构师、解决方案、产品、安全服务等成员。这是随着云业务的高速发展，需要更高要求的人来解决问题，人的能力就会提升，这就是一个正向的循环。

目前阿里云在安全生态上的显著成果有：仅凭借过去几年的发展，在保障阿里云平台自身安全的同时就已经为超过 20 万家的企业提供高等级的企业级安全服务；并有超过200多款的安全产品在阿里云的云市场上，供具有不同需求的用户来选择。

可能会有人问，为什么阿里云作为云服务厂商，却如此不遗余力地部署安全服务呢？ 

二

“安全一定是云服务提供商的核心竞争力之一” 

在“云”界里，有这样一种说法：“云服务提供商同时也是一家‘安全厂商’。”

对此，肖力表示，云服务提供商肯定会提供优秀的安全产品、服务和整体解决方案给到用户，但并不代表所有的安全产品和方案都是云服务提供商自己完全从零开始做。但现状是全球 Top 云服务提供商，都在作为安全的服务提供商向用户提供产品和方案。

为何云服务商的现状是如此？

设想下，当云服务提供商作为基础设施或操作系统向用户提供相关服务时，如果用户在你的操作系统上遇到大量的安全事件，那么用户就会觉得这个云服务提供商的操作系统是不安全的。

虽然从责任的角度来讲，并不完全说云服务提供商需要为用户的每一个安全事件负责。此时如果其他的云服务提供商能更有效地提供相应的产品和方案，并更有效地帮助用户降低安全事件、消除安全事件，用户一定会选择这样的云服务提供商。

所以肖力说，“安全一定是云服务提供商的核心竞争力之一。”

尤其在如今的数字化转型浪潮下，大量的用户业务系统在线化、拥抱互联网之际，如何让用户在云上更好地解决互联网安全问题，“这是云服务提供商都在努力的方向”，肖力表示。

那么在努力前行之际，厂商该提升自身的哪些能力呢？

三

为何安全厂商需有“被集成”能力？ 

在 2018 年的云栖大会上，阿里云发布云安全生态战略 2.0，正式对外开放安全合作平台。为何会发布 2.0 战略？对此，肖力表示“国内的安全厂商，包括云服务提供商，都要拥有‘被集成’的能力。”

阿里云是如何“被集成”，可分为两个部分来诠释：

1、阿里云安全集成其他安全厂商能力。

肖力举例，在阿里云的云安全中心，用户如果发生安全事件，阿里云会第一时间做出预警和响应。

那么在检测安全事件时，不仅靠阿里云自身的研发能力，还集成业内最好的威胁情报厂商的引擎能力，通过多引擎来检测安全事件，更好地做出响应。 

2、阿里云安全的核心能力集成到安全厂商的产品中。

很多的安全公司在漏洞检测的能力不错，但是在对内容安全的检测能力可能会存在不足。由于阿里云在内容安全检测的能力比较强，所以他们可集成阿里云这部分的能力来解决难题。

肖力表示，在安全生态上，未来阿里云跟安全厂商是一个被集成的关系：阿里云可集成安全厂商的产品和核心能力，安全厂商也可集成阿里云的安全产品和技术的核心能力。

所以肖力提醒，“未来安全厂商一定要提升被集成的能力。”

也许正因为阿里云不断强化自身的“被集成”能力，在CSDN《2018-2019中国开发者调查报告》中，阿里云以 67% 的使用率领跑其他厂商，但同时在报告中显示，有 40% 的企业在云技术开发面临最主要问题是云模式的数据安全问题。

四

企业上云，何以保证数据安全？

肖力表示，数据安全是企业上云的刚需。

因为原来企业是将应用系统跟数据放在自己的IDC（Internet Data Center，互联网数据中心）里，认为在这样的环境下其系统和硬件、数据安全是可控的。

而如今企业上云，底层的基础设施是共享的。所以企业对数据安全的需求会非常迫切。肖力表示，归根到底是环境的变化而导致了需求的优先级不一样。

那如何解决这个难题？

数据加密。

阿里云的大数据计算平台、云原生数据库、云服务器 (Elastic Compute Service, 简称 ECS) 、虚拟机等，都是支持云原生的数据加密能力。且给用户提供了密钥管理服务，通过密钥管理和云产品的数据加密功能，保证用户在云上使用这些产品时，数据默认是加密的。

肖力举例道，很多手机用户在使用手机拍照后，会上传到云端备份。有一个较知名的手机厂商背后使用阿里云的 OSS 云存储来存用户照片。当每一张照片保存在 OSS 上时，它会通过 OSS 提供的数据加密功能，对每张照片进行加密。所以即使任何人拿到 OSS 上的密文数据也没用，解不出来。因为加密的密钥是在手机厂商里，这就像钥匙是放在手机厂商手上的。

这仅是云产品的一个云存储例子，除此之外，无论在数据库、ECS、大数据计算平台里，阿里云都支持这样的数据加密以及KMS密钥管理系统。

在刚结束不久的云栖大会上，阿里云还开创性的推出了内部操作透明化服务，实现平台侧与用户相关操作日志对用户可见。与可靠的全链路数据加密体系，用户完全可控的密钥管理服务一起，帮助用户构建云上全栈数据保护体系。

五

AI 助力安全，打造智能化安防 

随着 AI 技术的发展，阿里云安全技术也不断往数据化、智能化的方向发展。

在这个发展过程中，阿里云有一大优势是在保障服务上百万家企业的云平台安全的同时，还为超过20万家企业提供企业级安全服务，毕竟放眼全球，服务超过 1 万家企业的安全厂商数量都是不多的，所以对于黑灰产的攻击和漏洞检测，阿里云能第一时间感知。

同时，阿里云接入 AI 技术和大数据的能力，来对保障云上用户安全。当云上某一个用户遭受攻击时，阿里云能第一时间启动防护流程：自动化检测攻击，制作疫苗，制定防御策略，最后让其他所有的用户能对这种新型的攻击免疫。例如之前阿里云发现有人利用微软的高危漏洞来攻击用户，阿里云做到第一时间上线默认防御策略，并上报微软，使微软开发补丁、发布漏洞公告。

在上述过程中，目前有一部分是自动化完成，但有一部分还需人工分析，阿里云正往全流程智能化技术努力着。那么在未来，除了人工智能，阿里云安全还将部署和发展哪些技术呢？ 

六

为何下一代安全架构由云原生安全来定义？

谈及下一代安全架构，肖力曾表示“云原生安全定义下一代安全架构”。为何他如此说？

肖力解释道，企业上云，其实不完全是因为云计算的弹性或者是性价比、虚拟化技术。而是因为企业在数字化转型过程当中，它的架构会互联网化，也就是我们说的分布式架构。

原来企业的架构是非常单点的系统，而如今数据中台、业务中台都是对企业技术架构的本质改变。

肖力认为在下一代的技术或者说下一代企业架构上，是基于云的底层新技术来构建新的企业架构。

众所周知，安全是企业架构之上的，所以企业底层架构技术变成了云原生的技术时，上层的安全技术架构随之会有很大的变化。

肖力举例道，未来可能所有的企业都会用容器代替如今的 ECS，容器的安全跟现在的主机安全，从架构上看是存在很大不同的，其技术产品也不一致。

云原生下的 Serverless 是非常强调 API 和服务化。现在用户的需求是在系统的安全上，未来用户可能连系统也不关心的，只关心 API 的安全就行。系统的安全则是由云服务提供商来提供的，这对企业架构又有很大的变化。

谈及未来，肖力表示阿里云将更聚焦在基础设施的安全，并在云原生安全、威胁感知、容器安全、Serverless 安全、基于 API 安全、身份认证即服务等技术领域上，均有一定的布局。

七

建议安全工程师：兴趣导向，多技术领域学习 

最后，肖力认为，要成为一个优秀的高潜能安全工程师，一定是兴趣导向的。“好奇心很重要。”他强调。

因为他曾看过很多安全工程师只专注一个领域的安全技术，如果想要更加优秀，就需要能了解多领域的安全技术，才能全局看待问题，拥有良好的解决问题能力，天花板也会高很多。

比如说有些工程师将自己固定在 Wi-Fi 安全领域上，但 Wi-Fi 安全只是安全技术领域的一部分，工程师可从二进制安全、协议安全、网络安全技术等方向多探索。

这个过程是需要开发者的兴趣导向和好奇心。

毕竟安全工作是一个经典的木桶原理，需要系统化的知识结构。因为作为安全工程师，是要做用户的最终防护，确保用户的数据安全。

如果一位安全工程师专注 Web 安全，在 Web 安全技术很优秀，但可能是一个系统漏洞就导致了要防护的系统出问题。

最后，肖力建议安全工程师在学习安全知识时，需不断扩大自己的技术知识面，深入了解各技术领域，这才能保证自己有完整的技术能力提供给用户，帮助用户解决安全问题。

肖力，阿里云智能安全事业部总经理，负责阿里巴巴集团基础设施安全以及阿里云智能安全整体工作。在企业安全体系架构建设和云计算安全领域，积累了10多年的实践和管理经验。

目前，肖力带领的阿里云智能安全团队帮助全中国40%的网站每天抵御50亿次攻击，同时，保护了上百万云上企业的安全，阿里云也成为了数据安全和用户隐私的领先实践者。在IDC中国云服务提供商安全评估中，阿里云在安全能力和安全投入上处于绝对领先位置。