“零信任”防御云计算信任危机

浅沫记忆

近年来，随着云计算在企业数字化转型过程中扮演越来越重要角色，相关企业不断加大基础设施投入，市场需求旺盛。在政府推动和市场需求双重影响下，云计算产业在我国也迎来了加速发展。
据中国信息通信研究院发布的《云计算报告2021》显示，2020年，我国公有云 SaaS市场规模达到278亿元，较2019年增长了43.1%，SaaS市场有望在未来几年迎来增长高峰；公有云PaaS市场规模突破100亿元，与去年相比提升了145.3%，随着数据库、中间件、微服务等服务的日益成熟，PaaS市场仍将保持较高的增速；公有云laaS 市场规模比2019年增长了97.8%。
厂商市场份额方面，据统计，2020年，阿里云、天翼云、腾讯云、华为云、移动云占据公有云laaS 市场份额前五；公有云PaaS 方面，阿里云、腾讯云、百度云、华为云位于市场前列。 人“云”亦“云”的时代，云计算驱动产业升级的同时，更为严峻的安全威胁和挑战也逐渐进入人们的视野。前几年，云服务出现了很多安全事故。比如，谷歌在2009年三月份泄露了大量的文档；微软的Azure平台宕机22小时；2011的四月份，亚马逊的EC2服务崩溃，影响甚大等等。
虽然相关安全事故还没有到决堤释放的程度，但将为数字化发展造成严重的影响。阿里、腾讯、百度、京东、360……如今，云计算这条赛道可以说是百舸争流，这样的环境下，如何打造“安全的云”，如何在“万云汇聚”的当下建立起云上网络安全的“第一道防线”，显得尤为重要。
01、信任危机
数字化云计算往往被一众业内人士称为数字化转型的基石和枢纽。一方面，以云计算技术为承载，融合多种数字技术打造数字基础设施一体化云平台，赋能各行业企业、各业务板块转型发展，满足海量多样化客户群体的个性化需求；另一方面，针对企业通用业务单元管理系统、核心业务系统，深入运用云计算技术对业务应用底层资源进行有效整合，实现应用系统的集成融合，打破业务单元之间壁垒，完成业务单元间协同共享。
尤其在2021年，无论是华为云换帅，腾讯云全力加码云计算，阿里云发力云+AlOT，还是京东对云与AI业务的战略调整，都在说明一个问题，云业务已经成为互联网发展的重中之重。
不过，随着云计算的普及和升级，传统的一些防御机制已经失效，需要引入新的安全措施。尤其是，IT架构从以传统数据中心为核心向以云计算为承载的数字基础设施转变，多云、混合云成为主要形态，以数据中心内部和外部进行划分的安全边界被打破，整个行业面临更多信任危机。
一位云计算行业专家表示，云环境中的信任很大程度上依赖于所选的部署模型，因为数据和应用的管理是外包的或则委托的，所以他们并不被拥有者严格控制。传统架构中，信任是通过有效的安全规则来强制实施的。公有云和社区云中，控制权被委托给了拥有基础设施的组织。当部署一个公有云的时候，基础设施拥有者的控制权被削弱，这样是为了强制实施有效的安全政策，从而让危险降低。这就引入了一系列威胁，因为云服务基础设备提供商是否值得信任关系到整个云中数据的安全。
当然，私有云的基础设施被一个私有组织承诺来管理和操作，这不会引入一些额外的安全问题，因为基础设施拥有者同时也是数据和流程负责人。最重要的是，云环境使得边界安全的观点不再适用。在一个云计算模型中，什么人在什么地方获取什么样的数据这些都很难被确切定位，传统的基于划分边界来保证整个架构安全的方法也很难在云计算中实施。
为了应对云计算信任危机带来的安全问题，零信任与原生安全深入融合，成为一众企业的“守塔攻城”的手段。
02、“零信任”防御
从收入组成来看，拼多多目前依然是在线营销服务及其他的收入为主要收入来源，二季度营收180.804亿元，同比增长64%，在总营收中占比达78%，而上一季度占比为64%。
“零信任”的故事可以从2013年说起。“斯诺登事件”后，时任 Forrester 分析师的 John Kindervag 提出了“零信任”解决方案。所谓零信任的核心是不再区分内外网，认为内网也是不安全的，所有的访问都需要经过认证和授权，这对防止组织东西向流量安全起到保护作用。
简单来说，我们不能仅因为某个系统位于防火墙后面就直接信任它。相反，应该在安全性方面采取悲观观点，首先假定任何计算机、用户和服务器都不可信，除非事实证明并非如此。
那么又该如何证明？答案是强身份验证和授权，并且在建立信任之前不进行任何数据传输操作。此外还应通过分析、筛选和日志记录等措施来验证所有行为的正确性，并持续观察是否存在代表威胁的信号。
零信任的互联互通特征，取代了传统彼此隔离的物理空间，是产业数字化和万物互联健壮发展必须要面对的技术路径。尤其随着如今全球数字化和万物互联的加速，物理空间的边界彻底被打破，以“零信任”理念重构防御体系势在必行。
从具体实践来看，腾讯云、阿里云、华为云等都在加速布局，并且已经取得了一定的成效。腾讯从2016年开始在内部实践落地自主设计、研发的零信任安全管理系统——腾讯iOA。疫情期间，这套系统为自身超过7万名员工和10万台服务终端的跨境、跨城远程办公提供了安全护航。从效果来看，这套系统兼具云端业务与所有终端的安全、高效连接，在确保企业业务安全的同时，保证办公效率。
当然，零信任是一个演进式的框架，而不是革命性的方法，需要长期坚守，不断维护。