货拉拉如何基于亚马逊云科技构服务建全面的信息安全防护体系

关键字: [symposium, 货拉拉 (Huolala), 云原生安全架构, 多层防护体系, 流量镜像感知, 分层治理策略, 安全运营中心]

本文字数: 1600, 阅读完需: 8 分钟

导读

王建强在亚马逊云科技GenAI生成式AI研讨会上分享了货拉拉公司的信息安全体系建设。他阐述了货拉拉如何通过分层架构、云原生技术、大数据和人工智能等手段,构建了一个全面的信息安全防护体系,实现了可感知、可控制和优先防护。他还探讨了生成式AI在信息安全领域的应用前景,如何利用大模型提升安全能力,并分享了货拉拉在安全运营中应用AI的实践案例。

演讲精华

以下是小编为您整理的本次演讲的精华，共1300字，阅读时间大约是6分钟。

王建强先生是货拉拉公司的员工,他首先介绍了货拉拉公司的背景。货拉拉成立于2013年,是一家成长于大湾区的物流公司,提供同城、跨城以及企业版的物流服务,包括搬家、跑腿、汽车租赁等。公司以”物流货运更轻松”为使命,“拉货等于货拉拉”为愿景。通过共享模式盘活社会资源,形成了大量用户和司机储备,并依托移动互联网、大数据和人工智能技术,搭建了便捷科技可靠的物流平台,实现高效调度。

截至2023年,货拉拉已经覆盖了11个国家和地区市场,包括东南亚和拉丁美洲。在中国内地,货拉拉服务遍及360个城市,月活跃司机达90万,月活跃用户达1200万。面对如此庞大的业务体量,信息安全建设对于货拉拉而言至关重要。王建强阐述了货拉拉的信息安全体系架构,核心理念是”可感可控又优先”,即能够全面感知安全风险,对风险实现可控,并优先考虑安全。

为实现”可感可控又优先”的目标,货拉拉将安全问题分解为多个层面。首先是云资源层,接下来是网络安全层,因为用户与服务的交互是通过网络进行的。再往上是应用安全层,应用运行在容器等运行时环境中,故又有运行时安全层。数据是互联网公司的核心资产,因此有数据安全层。员工可以接触数据,所以需要身份安全层,包括单点登录和统一权限控制。最后是员工生命周期安全层,包括入职培训、办公环境安全等。左侧是合规及安全认证的基线,右侧则是安全运营体系,包括安全管理、应急响应、安全文化等。

感知能力分为事前和事中两个层面。事前感知是指在安全开发生命周期的每个环节都会有安全介入,实现左移。事中感知则是通过全方位的监控,包括云、网络、主机、应用等,实现风险可见性,从而做到主动安全。一旦感知到风险,就需要防护能力。防护能力同样是分层的,从最外层的网络层防护,到主机层防护,再到核心的数据层防护,通过多层防护有效降低安全风险。

王建强以亚马逊云科技环境为例,解释了如何在网络层实现可感知和最小权限管控。首先,利用VPC将网段分层,通过流量镜像机制采集所有经过网卡的流量,实现全方位管控。接下来,使用网络ACL对无状态流量进行管控,使用安全组对有状态流量进行管控。对于EC2实例访问公网的场景,可在多个层面部署防火墙,如数据平面防火墙、NAT网关防火墙等,逐层加固防护。同时,引入网络流量分析器,提高可观测性和故障排查能力。总的来说,要充分利用组件的隔离性,在事前做好高维度隔离,区分有状态无状态场景,选择最合适的方案,通过流量镜像实现全方位可感知,并使用多级防火墙实现最小权限管控。

在Kubernetes环境下,货拉拉采用类似的分层理念。入口处使用流量镜像,对Pod间通信使用网络策略实现隔离,对Pod访问外部资源使用Pod安全组管控。同时,事前对应用程序进行加固,在网络层引入WAF等防护措施,越往内层防护越精细,实现分层防护,最大化安全投入产出比。

分层治理是精细化治理的前提,每一层只负责做好一件事情,遵循Unix哲学。为实现云资源的默认安全,货拉拉通过亚马逊云科技的安全状态管理工具持续监测、评估、修复,形成闭环,持续提升安全水位,有点类似于”增长飞轮”的理念。

从请求的全流程来看,货拉拉从开发者安全意识培养开始就进行了介入,包括安全培训、需求评审、技术方案评审、代码审计、应用加固等。在应用层,采用了双向认证、签名等措施。在网络层,经过WAF、签名校验、流量镜像等多重防护。在主机层,有主机防护、安全信息和事件管理等。在数据层,有数据防护和审计。如果涉及公网访问,还要经过数据平面防火墙、Pod安全组、NAT网关防火墙等防护。可以说,货拉拉对请求的全流程都实施了精细化的安全防护。

随着人工智能和大模型技术的发展,攻击方可以利用大模型生成虚假信息、恶意代码,发现漏洞,实施钓鱼攻击等,攻击面逐渐扩大。而防守方由于云原生环境的复杂性、人员短缺等因素,防御能力有限。因此,货拉拉开始探索如何利用大模型提升安全防御能力。

首先要解决大模型自身的安全性问题,从模型训练、部署、应用的整个生命周期进行分层防护,确保训练数据、基础设施、交互、监管合规等环节的安全。在确保大模型安全的基础上,可以充分挖掘大模型在安全领域的潜力,用于威胁检测、恶意软件分析、漏洞检测和修复、安全开发辅助、代码生成等,提高安全生产力。

王建强分享了货拉拉在安全运营中应用大模型的实践。由于每天会有大量的安全告警,运营人员很难全面把控。引入大模型后,可以对payload进行分析并给出处理建议,提高事件处理效率30%左右。在系统性能异常分析时,大模型可以生成优化建议,提效15%。对于公网流量评估,大模型可以辅助判断是否可以继续放行、给出更好的控制措施,提效40%。在数据分析方面,大模型可以根据自然语言查询自动生成Hive SQL语句,提效30%。

未来,大模型可以在更多安全领域发挥作用,如直接生成WAF规则、入侵检测规则等,甚至可以用于安全人才培训,构建实战模拟环境。王建强强调,安全需要攻守对等、主动防御,并充分挖掘新技术如大模型的潜力,提高生产力。降本增效固然重要,但更应该先提高效率,再降低成本。

总的来说,这个分享系统地介绍了货拉拉的信息安全建设理念、架构和实践,并探讨了大模型在安全领域的应用前景,内容丰富详实,对企业的信息安全建设和新技术应用具有一定的启发意义。

总结

货拉拉作为一家物流科技公司,高度重视信息安全体系建设。他们采取了”可感可控又优先”的理念,将安全体系分层,从云资源、网络、应用、运行时、数据、身份、员工生命周期等多个层面进行全方位防护。通过流量镜像、多级防火墙、网络策略等技术手段,实现风险可见性和最小权限管控。在Kubernetes环境中,也采用类似的分层防护策略。

此外,货拉拉充分利用亚马逊云科技的安全组件,如VPC、安全组、网络ACL等,构建纵深防御体系。通过持续监测、风险治理和闭环优化,不断提升默认安全水位。在上线前,他们对安全需求、编码、测试等各环节进行全流程介入,确保安全可控。

面对生成式AI的兴起,货拉拉认为攻防对抗将更加激烈。因此,需要保证大模型自身的安全性,并利用大模型的能力反哺安全能力建设,如事件自动处理、恶意软件检测、代码生成辅助等。最后,他们计划在安全运营领域应用大模型技术,提高效率。

亚马逊云科技（Amazon Web Services）是全球云计算的开创者和引领者。提供200多类广泛而深入的云服务，服务全球245个国家和地区的数百万客户。亚马逊云科技致力于成为企业构建和应用生成式AI的首选，通过生成式AI技术栈，提供用于模型训练和推理的基础设施服务、构建生成式AI应用的大模型等工具、以及开箱即用的生成式AI应用。深耕本地、链接全球 – 在中国，亚马逊云科技通过安全、稳定、可信赖的云服务，助力中国企业加速数字化转型和创新，并深度参与全球化市场。