阿里安全峰会：云安全的未来是什么样子的？

7月13日-14日，2016阿里安全峰会在北京国家会议中心举行。从阿里巴巴集团CEO张勇，阿里巴巴首席风险官刘振飞，到蚂蚁金服安全资深总监冯春培，阿里云安全资深总监肖力，再到来自360、Fireeye、百度、腾讯、安恒、绿盟、启明星辰和安天实验室——各路大咖齐聚一堂，可谓是“聚各方之力”的一次安全盛宴。

生态，是峰会上的“热议话题”。

阿里巴巴CEO张勇在开场演讲时就强调：“安全必须依靠生态的力量.阿里希望聚集合作伙伴的力量，努力把技术和能力赋能给价值链上的合作伙伴，关注于合力，关注于人，让整个生态都能够安全起来。

阿里巴巴CEO张勇

.

.

.

.

而在全民上云的时代，云安全自然是企业用户和嘉宾们最关注的话题之一。

云安全的未来将怎么走？

安全厂商如何面对云时代的机遇和挑战？ 用户上云后，安全怎么管理？

小编整理了峰会上，云安全的“两大观点”，

和来自九家安全合作伙伴、友商的干货分享，

解读云安全未来的样子。

1
下一个“独角兽”将出自安全SaaS服务

阿里云资深总监肖力在峰会演讲中提到：“下一个独角兽出自安全SaaS服务”。SaaS化是云安全生态的未来，和安全厂商转型的方向。正因如此，阿里云也希望能够在自己的平台上，扶持出越来越多的安全‘独角兽’公司。

阿里云资深总监肖力在会场上演讲

这段话听起来是不是有点熟悉？

没错，在今年6月的成都云栖大会上，阿里云首席安全研究员吴翰清也力挺SaaS的未来，说 “安全行业的未来在于SaaS"。 6月，阿里云携手安恒，绿盟，斗象科技和升鑫网络等国内知名安全厂商共同启动安全SaaS合作伙伴计划，助力安全厂商更好地完成这次升级转型。”

成都云栖大会·阿里云安全SaaS合作伙伴计划成立

Gartner预测，到2017年,全球云服务市场规模将达到2500亿美元。其中，SaaS市场规模将超过250亿美元。而在国内，传统安全厂商SaaS化转型还刚刚迈开步子，在这个高潜力的市场中，下一个“弄潮儿”就是那些能真正拥抱云计算的安全服务商。
2
云上安全的责任，你也有份

肖力在演讲中还介绍了阿里云的“安全责任共担模型”。未来的云上安全将由阿里云、安全厂商与用户一起“并肩作战”。

阿里云安全责任共担模型

CSA云安全联盟统计，64%的企业认为云上更安全。因为传统IDC要求用户对所有安全问题负责，到了云上，安全迎来责任共担新时代，安全问题变成厂商与用户共同解决。

目前，云安全责任共担模式在业界已经达成共识。在海外，亚马逊AWS、微软Azure均采用了与用户共担风险的安全策略。一方面，责任共担是用户数据和隐私的“保护伞”。阿里云一直认为数据是客户的资产。云计算平台不得以任何理由将这些数据移作它用。

因此，存放着用户敏感数据、邮件、访问数据和日志的“地带”，需要用户来负责，在安全的云环境中保护好自己的“私有财产”。——就如同住宅的安保团队，是无法监视、控制用户家门内的安全一样。

肖力介绍，“在阿里云，从安全责任划分的角度来讲，即阿里云负责云基础设施层面的安全，用户责任虚拟化层以上的安全。”

3
阿里云安全的“好兄弟们”都来分享干货了

在昨天下午的云安全分论坛上，来自安华金和、天际友盟、安全狗、臻至科技、九州云腾、广州锦行网络科技、长亭科技、三未信安、青藤云的嘉宾们在讲坛上各抒己见，与观众们聊用户在安全防护中的“痛点”和云安全中的热议话题。

长亭科技安全专家文雷

北京天际友盟创始人杨大路 

来自阿里云的安全专家马乐乐分享了阿里云网络安全防御体系和实践经验介绍。以DDoS为首的网络层攻击是全球公认的安全“宿敌”之一，而用户所不知道的是，如何部署安全产品达到防御效果“最优化”，DDoS防护到底是如何防御、甚至溯源攻击者的？……

马乐乐通过分享网络攻防的实战案例——数据建模防御CC攻击、和移动App的防御、用信誉库来摆平大规模僵尸网络攻击——解答了用户的难题。阿里云的防御体系，能做到有效、精准地识别攻击，快速地响应，并利用大数据很好地改善了“误杀”的问题。从游戏空链接、CC攻击、僵尸网络到Web攻击——攻破“宿敌”的关键不在于“兵来将挡，水来土掩”，而在于“整体部署，知己知彼”。

阿里云安全专家马乐乐

安华金和创始人兼副总裁杨海峰在论坛上带来了公共云平台数据安全的思考——对于绝大多数用户来说，性价比更高、有统一安全管理的公共云是最好的“上云”选择。而按需加密、文件层和应用层加密、风险的感知能力、以及数据合规的要求，是应对公共云数据安全挑战的几大核心能力。

安华金和创始人兼副总裁杨海峰

九州云腾首席客户官尚红林在论坛上分享了通过身份认证来实现公有云API 安全的一些实战经验——API是安全隐患的“高发地带”，很多公司不得不凭借开发人员的经验和能力来规避风险。而利用API防护和身份安全等核心技术， 通过采用象阿里云的API网关， 在公有云上可以实现认证授权， 流量限制， 病毒防护等。对于认证层面的保护，OIDC (OpenID Connect)显然是更好的选择。 

北京九州云腾科技客户官尚红林 

安全狗高级产品工程师何春根也带来主题为《云安全之威胁情报的应用实践》的演讲——聚焦“威胁情报”防护体系，如何利用“情报驱动”的安全管理平台来解决当下安全不可知、不可视、不可防的盲区。

结

云计算发展十余年来，安全从来就不是云平台、用户或者安全厂商某一方的单打独斗。安全SaaS和责任共担，是云安全未来的必走之路。阿里巴巴希望和所有的安全厂商共同联手，共建属于“大家”的云上安全感。