9月1日—2日，由工业和信息化部指导，中国信息通信研究院、中国通信标准化协会主办，数据中心联盟承办的“2016可信云大会”在京隆重召开。在云安全分论坛上，深信服科技市场行销副总裁殷浩发表了题为“为企业级安全赋能”的演讲。

深信服科技市场行销副总裁 殷浩

以下是演讲全文：

大家好，我是深信服的殷浩。我今天想跟各位分享的是政务云安全平台这样一个思考。

云安全其实是一个老生常谈的话题，大家已经谈了很多年了，包括政务云上到底该有什么样的方案，各个厂家也有不同的想法。现在在整个政务云的平台下还没有一种方案能够完全得到大家认同，今天想围绕这个话题来进行探讨。

首先安全已经成为大家上云的一个最大的障碍，这点是毋庸置疑的。在我们看来，用户在上云的时候，不是技术问题，特别是在真的环境下，应该是由于整个的建设模式、使用模式和运维监管的模式都发生了变化之后，所带来的传统安全的方案很难去适应这样一套新的体系。这样的过程当中，政务云原来引入的可能是外保信息中心，自建自用，现在不但他们作为监管，可能还会有承建方和运营服务方。同时还有更多的租户，信息中心也从原来的自建自用更多变成监管的责任。这样的过程当中他们考虑的问题不是技术问题，可能每一个人每一个角色在这种环境下， 他们的痛点已经发生了很大的变化。首先对租户方来讲，我迁移到了你的云平台上，如果我不能满足合规性的要求，在传统物理环境下能满足合规性的要求，但是我到了云平台上我发现，虽然你可能有虚拟防火墙，有虚拟IPS，但是其他更多的合规手段在虚拟化的环境下是很缺乏的，可能就不愿意上云，很难快速去上云。在上云的过程当中，到底和平台的运营建设方，我的安全责任的边界该怎么去划分，我该承担怎么样的责任，出现安全事故了，该怎么去理清中间的关系。这些在前期我们看到在前几年虽然云安全讨论很多，但是这些问题都没有确定下来。虽然现在云安全、电子政务、等级保护云计算的等标准出台，但是还是缺乏相关的手段去满足等保的要求。同时看到如果把传统的安全手段硬生生的搬到虚拟化，也解决不了问题，新的问题还是解决不了。比如说整个我在VDC环境下的流量、威胁的可视化，其实依然还是解决不了的。既然租户觉得上云有这么多的困难，他当然不愿意快速上云。在前期我们跟一线城市、二线城市的很多政务云已经建设的平台或者正在上云的平台的平台方在进行交流的时候，他们都说，现在即使我发了文，从财政上把资金给切断之后，不让新建硬件的传统的数据中心之后，他上云的意愿还是很低。即使有些我们看到目前大部分上云往云上迁的也都是网站，其实它的规模和数量还是很少，不能快速让租户大规模把产生业务全部迁上来。这可能只是第一个阶段。当上了云之后，我们发现对运营服务方来讲，他们更关心的是如何降低运维服务成本。比如最近G20峰会，我们整个政务系统的网站应该说是首当其冲受到了很大挑战和威胁，在这个过程当中，你如何帮助他们去发现网站是否有安全的异常，出了异常，问题在于什么地方，黑客怎么进来，我如何快速的应急响应和恢复，这都是需要人去做的。之前是和南方的一个省级政务云在聊的时候，他说我现在能帮用户去做安全运维的人员平均的薪资在40到50万，但他一个人并发的处理的工作可能只有三到四个业务系统。大家可以算一下，未来我们上云的时候需要多少的业务系统，出了安全事件，我们靠堆人的方式去解决，但是我们的成本就会提升，那我们运营服务方的利润又从哪里去获得。这样一个生态他们没有利润就很难提供更好的服务。所以说在我们看来对于运营服务方法来源讲，他们更多的是如何让用户安心上云，并且降低成本，把原有的投资转化成利润和收益。最后对于原有的信息中心，建设方也变成了一个监管方，当出现安全问题的时候，不是说我自己要去做，他更多思考的应该是出了问题我要及时通告，督促你快速进行整改和修复。前期网站有很多漏洞，比如有一个漏洞出来，72小时内在互联网上是黑客利用它进行攻击的高峰期，但是在我们的后期检测发现，往往在两到三个月还有50%的网站没有修复。这个过程当中就给我们的监管方提出很高的要求，你首先能不能知道我们当前政务云平台上的业务系统出现了问题，我能不能在第一时间感知发现，然后通过技术手段转化成为管理的方式去督促他们快速的满足，去进行修复。这些我想可能都是我们在整个政务云这样一个大的建设模式状况下引入的这么多方他们在安全上所存在的痛点。

我们也在想怎么去适应这样一种方案，在这样一个过程当中大家做了很多的尝试，总结起来有三种。第一种是部分解耦，硬件一虚多的方式。还有一些有互联网基因的公司，SaaS化的网站安全服务都出来，为政务云的网站提供SaaS化的服务。比如对于这种镜像化，我们发现这不是用户所需要的。刚才讨论的这些痛点其实都解决不了，而且还会引申出来你和云平台之间做管理对接、自动化对接、授权、收费等一系列的问题。比如说我们目前和阿里、AWS、浪潮等等都有开展合作，他们的平台上，他平台停机一次，我整个后台的这些NFV的设备全部都要停机。另外是SaaS化的方式这种方式挺好，但是有局限，更多是适合网站，因为我们的政务云一般会分为两个大区，一个是互联网的在线业务区，另外是外网的内部的数据共享区域，还有租户的其他的业务系统区域。这种方式只适合互联网区，但其实更多的业务是在外网的内部，这种方案还是相对不太适应。我们觉得在这样的情况下，政务云的平台需要的一种方案应该是什么样的，首先我们觉得它应该是一个可以本地化交付，不用太大量依赖互联网上的资源，但是交付的是更加简单快速的来进行交付，安全不要再以设备化的方式呈现，而是以服务的方式来给不同的建设方、运营方、租户来提供安全服务。透视不能仅仅是去做防御，应该还是能满足整个从防御到应急到检测到快速响应整个的流程。最后，最好应该是可以和云平台结合，无论选择的是华为的华三的VMware或者我们深信服自己的超融合的政务云的解决方案，无论是哪一家的，这样一个安全的资源池的方案都可以跟它快速去应对，不能形成绑架。另外这样一套方案最核心根本的一点就是要回归责权清晰，帮助我们理顺整个的政务云环境下的边界。最后是可运营可增值的平台。

正是由于这样一种出发点，我们提出了安全资源池的解决方案架构。这样的架构，无论是谁的计算或者存储的平台，都没问题。在串接的过程当中，在旁边旁挂上一个安全资源池，这样的方案可以理解成分成三个层面，第一可以通过超融合底层的平台，依赖于X86的系统，就可以水平扩展出来。前期投资可能只需要两到三台的服务器，一个资源池的方案就可以完成了。后续用户追加增多的时候，增加服务器就可以了。变成超融合之后，在上面提供的不是NFV化的安全网关，而是服务化的组件，而且完全是满足等保合规性要求的一系列组件。目前是防御、检测、响应、持续服务，所有这些安全服务，我们都尽量往上集成。对于也些不太擅长的，我们会开放出来，引入第三方专业的合作伙伴，引入到这个平台当中，一起来为我们提供服务。最后这个平台还应该是可运营的平台，有一个整套的管理运营的系统，来帮助我们实现用户自主的申请、创建以及和我们大运营平台的结合。除了这个资源池之外，它只是提供前端交付的一个最基础的需求，但是当前安全的建设需要投入人，去做安全的运维，这部分专家的经验和知识怎么去简化和自动化去交付，不再需要大量的雇佣四五十万高薪的维护人员。把过去做安全风险评估、咨询、应急响应的专家变成一整套服务，降低对人的依赖。这样一套方案前期分不同的服务包，租户根据各自的需要，根据等级保护二级三级相关的基础要求来进行相关的采购，或者形成一个模板快速进行采购，不需要关注我到底需要什么，可能他知道的是我需要合规，我需要二级或者三级的要求。

这样一种方案在我们自己的超融合平台出来之前，我们是很难的，因为当我们这些上端的安全的服务化的组件要想去运行的时候，在这个超融合的平台上，过去我们没有这样的实力，包括它的稳定性和高可靠性上，其实做了大量的投入才能确保，尤其是在这个超融合平台上，我们在另外一个会场专门有针对超融合整个政务云架构的分享，整个这块我们去解决底层平台的可靠性和稳定性的问题，然后变成这样一套方案。尤其是目前大家都在谈到的防御，未来是要加大检测和响应的，都已经出现在了这个平台上。都是参照目前等保相关的没有正式发布的草案，电子政务云相关的草案，去对标提供的系列的服务。对于像堡垒机这些我们完全都是开放的，可以合作来做。尤其是这一点，失控主机的发现功能很有意思，这是我们在和很多政务云平台现有环境下去沟通之后就会发现，无论它用的是哪一家的IPS，整个政务云的网站肯定会出被黑。往往我们在很多政务云平台上，你的网站被黑了，即使你用再好的防火墙也有可能被黑。失控主机对于这样一系列风险检测的服务包现在很切中需求。

除此之外，更重要的是云端的服务，降低服务人员的成本，帮助租户能够提供他对于风险感知的速度和应急响应的效率。比如云端检测实时分析平台，一旦出现事件能够让用户成为第一个知道也是最后一个知道的人，意味着什么，第一个知道可以快速发展，最后一个知道是我们后端的专家团队可以在五分钟之内马上帮你接管网站的应急响应，快速恢复，希望把整个事件的影响力降到最低。通过这样一个平台，对租户方提升他们的响应速度，对我们云平台的服务方降低他们的成本。一个租户是面向内部政府的OA办公协同系统，另外可能是面向公众的行政审批或者政务的在线的业务系统。这样两个业务系统来说，他们的安全需求和对标的标准也是不一样的，所以可以打造初步统的模板来为他提供。对于在线的网站，更关注出问题要及时的感知，第一时间发现。有了这样一个需求之后，用户的创建会变得很简单，他只需要在整个的平台当中，首先去定义服务，首先我们的管理人员需要去定义清楚这种场景。然后把安全服务的类别定义清楚，针对不同的场景给出定义。最后可以以功能的方式来给用户进行服务化的交付。比如说对一个租户的创建来讲，完全可以很便捷的实现。当用户定义完了他所需要的这一系列服务包之后，在后台就是自动化的编排为用户展现出来。比如刚才是一个网站类型的用户，一个是内部的系统，可能对应的是不同的安全资源池，每一个资源池相关的服务包模板都是对应到它的VBC。在不同人员的视角可能关注的东西也是不一样的，在整个运营平台的管理人员来说，他关注的是整个安全资源池目前使用的情况，未来还需不需要扩容，未来租户使用多CPU的利用率是否ok。同时当前有没有遇到最新的攻击，对于我们监管方来讲，这个云平台一旦出现安全事件，是不是有一个全局化的租户的安全风险和威胁的通报排名。通过通报排名的方式，来感知整个政务云平台当前的风险。每周提供一次报表，通过微信可以把通知发送给租户的管理人员。最后度租户方来讲，他也需要感知业务系统的安全状态，这个展示的不是一条条的攻击值，而是一个局委办的领导在出现安全事件的时候他能够看懂这些复杂安全攻击背后的政治目的、危害，相对应的他应该去做决策的内容。在这个平台我们展示的不是说你是一个什么类型的攻击，你是什么样的IP地址，把这些完全翻译成局委办领导能够看懂的相关的危害、价值的方式来进行呈现。这些是整个可视化的报表，当时这个版本后续大家有兴趣我们下来再进行详细沟通。

在座肯定也有很多圈里的朋友，对于这样的平台我们完全是抱着开放化的态度来去构建，因为我们相信在未来政务云的平台当中，我们深信服能做的也是有限的，未来政务云环境下用户的需要会不断演进。比如我们政务服务的合规性的要求，比如合规性要求当中我们深信服不会提供的这些安全产品，其实我们都愿意敞开这样的大门，和业界在座的各位一起把政务云这样一个安全的生态系统建好。

我们希望能够通过安全资源池的方案带来如下的五点价值首先能够帮助租户和平台方理清安全的边界，责权匹配，满足我们的合规要求。第二是能够帮助我们的运营服务方去提升他安全运营的能力，帮助他更快实现业务增值，降低他的成本，实现利润的增长。第三是做这个平台更重要是安全成效，我们希望为用户做到真正看懂安全风险，并且可以持续进行检测快速响应的技术理念。最后在它的交付使用过程当中一定要简单，和大家一起实现多方共赢，谢谢各位。