中国IDC圈讯 12月11日-13日,由中国IDC产业年度大典组委会主办,中国IDC圈、CloudBest承办的以“赋能企业数字化转型”为主题的第十三届中国IDC产业年度大典(简称“IDCC2018”)在北京国家会议中心隆重召开。

13日上午,IDCC2018分论坛智能运维安全论坛正式召开!本次论坛由威客安全和中国IDC圈承办,汇聚了来自来自运营商、互联网、数据中心云计算等多领域多行业的企业高管、嘉宾、媒体等。与会嘉宾们在大典现场,共话数字经济时代,聚焦数据安全问题,探讨智能化与可视化运维的新方向与新趋势。

微信图片_20181213102436

PCSA行业云安全联盟副秘书长,太极股份信息安全事业部总经理郭峰

会上,PCSA行业云安全联盟副秘书长,太极股份信息安全事业部总经理郭峰先生,为我们作《信息安全1.0 网络安全2.0 数字安全3.0——数字时代生态安全之道》主题演讲。以下为演讲实录(未经本人核实):

大家好,今天跟大家谈谈数字安全时代安全之道的一个分享。我是来自于太极股份的,也是PCSA行业与安全联盟的副秘书长。我今天演讲的主题是1.0、2.0、3.0,在数字时代生态安全之道是我们通过两年的研究和研发做了一些工作,今天跟大家作一下分享。

数字中国的场景,在我所工作的环境里,大概有十几年,跟数字化、数据化打交道比较多一点,第一个比如数字政务,我们做互联网+政务的平台,已经上线,现在在内测,将会对全球推送。第二个是数字海南,4月18号习大大去海南省的时候,也有数字政务的概念,数字医疗、交通、警务等,我们刚刚承建了朝阳区的警务工程,这是数据共享的大型的数据项目。我们认为在“数字中国”,未来数字化会赋能各行各业当中。第五届互联网大会,我们提出三个词,物联、数联、众联,在数字时代中国,万物互联是非常典型的标志。

我们看到很多云宣传片,所理解的万云时代各不相同,我服务的群体看到的所有云,写的所有方案必须是有云的方案,没有云的方案基本上不可能的,但是很多客户还在传统的环境当中,包括用行业云、公务云、政务云,面向的对象基本上都是混合云的场景。

我做了一张图,是我们联盟的图,设计的时候,数字社会当中的安全就像地球上的物理社会和网络空间社会一样,来自于关键基础设施、重要信息系统、重要公共服务,在这样的空间如何能够具有层次化、体系化、模块化、清晰化的去做信息安全保障的建设,这是非常重要,而且具有挑战的一个问题。

我们看我们所经历的时代,在整个信息化发展的过程中,其实从主机时代到网络时代,到互联网时代,到现在的智能时代,在我们整个发展的过程中,我们在主机时代基本上以主机安全为核心,到网络时代以信息安全1.0为特征,2.0的特征就是刚需+合规,3.0的特征已经步入了聚合生态和平台这样一个非常典型的特征。

Gartner在2018年发布的报告中,提出Digital  Security,这个概念把数字时代的数字安全讲出来了,在国内我们正在跟工信部做调研,还没有出现这个数字安全的概念,当时在2015年、2016年的时候,我们面临着最大的困惑是什么呢?就是没有真正的信息安全保障体系的整体解决方案。当时国内最大的测评机构,他们所测试的云平台基本上是不合规的,当时我们所服务的党政机关,包括行业用户的安全体系,基本上也是不健全的。

我们一直在探讨数字时代的生态安全之道这个理念,当时发起了类似的活动,当时讲私有云环境,2014年更多讲的是公有云,发起这个活动之后我们成立了致力于云安全的标准化技术研究,提供安全咨询和安全保障,有两个重点实验室,这两个实验室就是行业云和政务云的雏形。当时以阿里云为代表,我们做完测评之后发现并没有达到云上安全,当时成立理事会的时候,我们把联合当中以集成商为代表的、以用户为代表的、以做云上安全的同事一块儿聚合在一起,一起讨论数据安全。

我们在2016年成立了大会,通过了专家评审委员会,把行业云联盟的解决方案做完了。做完以后又定了两个专业的标题,就是PCSA两大平台,第一大平台叫云安全“银河”的PssS平台,把所有安全能力聚合在PssS平台上,这个PssS平台就是把安全能力变成服务的转化方式,聚焦于三件事,第一是做了资源化,第二是生态聚合化,第三是弹性化,我们对接了广东政务云、国家的国信政务云、北京市政务云、海南政务云等。大家都知道软件定义网络、软件定义存储、软件定义环境,都已经实现,但是大家知道国内有多少家安全厂商呢?大概有1400家,总共在国内的安全营业收入不到400亿,这个产业特别不小,说现在网络安全特别火,其实不是的,国内也很小,在美国也很小,这个产业就变成了什么产业?每个公司只能做一个点的工作,没有像工业云公司把软件定义计算、软件定义存储、软件定义数据中心那样。用一个安全工具和安全能力,或者安全检测的时候,会发现所有的能力其实不是触手可及的,在云安全环境下会发现原来装在公共机盒的安全根本没有地方找。原来在传统环境中看到的政务云、所有云、业云的基础设施的安全,已经抱着盒子没有地方去。大家说全国做了4000朵云,我们调研其中有很多是僵尸云,没有场景,其实是假云。一旦像北京政务云、委办局全部上云之后最大的风险就是云上租户的安全,需要的是把安全能力作为资源池化进行调用,这就是我们看到的非常典型的一个趋势。

第二是等级保护2.0,中国的网络安全法立法出台,我曾与跟沈院士进行沟通的时候,得出了这样一个结论,我们做网络安全的和做食品安全的,和做桥梁隧道工程安全的,最大的区别是你写了一个方案专家敢签字,不怕担责任,但是做食品安全和建筑安全的,签完字如果出了问题会找你,但是网络安全立法以后,这种情况专家签字就要考虑了。所有的公有云,我们最大的公有云在国内可能是阿里和华为为主,还有三大运营商的公有云,他们提供更多的是平台安全,还有是租户,租户上去以后,你买了云平台以后,租户安全怎么办?我提供了大厦、每个隔断、每间房子租给了不同的租户,租户的安全要自身来考虑,这是两个不同的主体。

PCSA在国家信息中心、太极股份、包括网信办的支持下,做了聚合中国关键安全能力,把安全能力的生态化、开放化平台建立起来,把安全能力资源池化、可调度化、微服务化平台。容器化的、微服务化、可调度化的平台,叫云安全PaaS平台,不同的安全场景,就像云上租户,甚至在传统计算环境当中,可以选择不同的合规化和个性化的安全场景,也可以重新定义。不同的安全能力厂商可以通过网络与通信、设备与计算、应用与数据、信息安全管理与运维,重新去登陆。我刚才说已经有落地的东西,把这个网络安全变成一个现实。你的OA、功能交换、网站等等,分别处于公有云、私有云、行业云等不同的场景。它的场景有的是需要合规、有的是需要个性化的场景,在整个安全服务市场和安全服务能力当中,现在的平台上已经聚合了国内较为优秀的三十多家公司,还有安全的服务厂商等等,他们把每一个基础设施对应我们国内以合规为基线的对应场景,一一落在保护对象当中。我们把安全能力、软件化、弹性化、资源池化,调动起来就可以把所有安全能力放在一个平台上。    

这就是我们整个运营体系当中,不同节点的安全能力的使用情况。

第二块,在每一个数字中国,数字政务、交通、警务,在每个云上场景,需要用新一代的安全管理工具进行管理。我们调研了国内很多云资源的场景,发现一个巨大的问题,就是云管厂商可以做到资源池的管理、性能管理、包括其他的管理,但是安全管理在国内云平台,几乎安全是很微弱的。我们用了很多关键的安全工具和能力,把全网的流量收集上来,然后进行协议的分析,对我们抓境外组织对我国的攻击非常有效果。青藤云是唯一入选Gartner在主机管理层面的公司,我们做成了企业级的信息安全管理的态势感知、行业级的态势感知、城市级的态势感知,只有这三个做完以后才有可能形成国家级的态势感知。大家说这个态势感知是怎么来的?是习大大在4.19会议上对于网络空间设备上提出得,所以大家就一窝蜂的去做态势感知了,但是国内的态势感知是没有标准的,没有结合数字化的场景。

我们自己把安全态势感知做完以后,在研究得时候发现一个最大的问题,没有人对自己的保护对象清楚,所以我们做了对于业务的分类和数据的分类,其实真正核心的东西,如网络流量、主机系统安全态势、策略行为和用户行为是最基础的,可这些安全扩展做完以后才有可能把我们的安全技术、运维合二为一,能做到的高级安全分析是在网络设备当中的ID和IP,这两个要做到绝对的关联和分析。所以,业务加数据经营,整个安全管理是核心,因为被保护对象要说明白。

我们非常清晰的知道类似于以官网为核心的业务和以ERP为核心的业务生产,还有以业务支撑为核心的人力资源系统和OA系统,它都是业务,把每一个业务都进行了画像,我们在互联网上做人物的画像,其实每一个软件系统和数据系统就是一个应用,在应用过程中把数据资产做画像以后,把业务资产做画像以后,就可以对业务的权属,包括保护对象、资产、业务风险和业务策略、业务攻击,包括支撑业务的流量,都可以很清晰的显示出来。

对于所有的数据,我们曾经做了一个试验,一万台机,能告诉我有多少是跟数据有关的?我们找到了1000台跟数据有关的资产,又找到哪个是最重要的,哪个是一般的,我们做了流量热度的测试。做完之后,在1000台主机中只有不到20台机是最核心的资产,我们叫它金条,剩下的数据资产其中有80%以上叫一般资产,类似于你的自行车,你的一本书,把数据也进行了画像,做完画像以后可以非常清晰的看到这个数据隶属于谁,谁来运行,非常清晰的把每一个数据流量,数据的访问路径都给列出来,把全网的流量抓到。现在好多人做安全管理平台,要从IDC上去取流量,现在不用了,现在的技术可以从一种设备取到所有的流量,从不同的维度取流量是非常辛苦的,而且是没有效果的工作,我们做了一个200万的审计项目,流量全收上来了吗?收上来了,有用吗?没用,那就是垃圾信息,这些是我们在安全运行和管理当中碰到的问题。

我们看到了支撑业务的主机系统,在主机系统中所有的资产,都是装在六点几的系统中,在管理一万台主机的时候,我在10分钟之内把一万台主机的资产可以清理完毕,知道所有补丁和版本号的对比,现在有很多创新的年轻人,青藤原来就是做游戏的公司,在互联网服务器的时候发现这些问题,自己做了一个产品,我们今天的论坛叫智能运维安全,如果连基础都没有做成就做智能运维?那是扯。

这些是我们国外拿回来的,大概有六家公司在做这些产品,就是策略可视化,就是我能访问你和他能访问你之间的关联关系。很简单,三句话,A到B点,B到C点,D到E点,是有访问关系和访问路径的,在这种过程中我能到你们家串门吗,或者我到他们家串门能路过你们家吗?这种访问关系要说清楚。我们在美国看到的一些产品,把一个网络在安全域当中,越大的网越有价值,能看到所有防火墙和网关级产品的策略,我们在辽宁移动,包括在工商银行,都在做测试和智能运维的时候,这个东西是相当有用的。

最后一块,我们认为最关键的是用户的总量和特权用户,有多少人可以在场景当中去活动,特权用户是有多少人具有账号。我也曾经做过黑客,当年的黑客很简单,说句实话,我们跟美国当时基本上都是用很微弱的工具进行沟通,我发一个指令过去,要很快的回过来,不像现在,当时做中美攻击基本上是不可能的,因为很慢。现在不一样了,在这种情况下,如果在整个空间当中,在无边界的互联网疆域中没有圈定一个范围,有多少人在你管辖的网络空间范围内去做,包括特权用户,如果要去做黑客第一件事情是把特权用户账户拿到,如果拿不到这个账户,其他所有工作都是围绕这一件事情,这个工具是高可持续性的。

未来PCSA联盟,我们将把这两套平台分别部署在企业分中心,行业分中心和城市级分中心,服务对象是关键信息基础设施,运营场景是私有云、两地三中心、混合云、云租户等场景。2016年到2018年,联盟做了很多生态化的事情,有很多人投入进来,也做了解决方案,还有很多案例,超过了2亿以上的合资金额的案例。其实最核心的东西要有创新的模式,可以做生态化,变成一种服务,有很多人购买。我们希望今天跟IDC圈很多云平台做对接,PCSA联盟聚合中国安全能力的平台,会跟每个云都有对接的机会,光做云没有安全,这个云不是安全的。

谢谢大家!PCSA愿意与各界生态伙伴携手共御数字时代安全威胁,谢谢大家!

全威胁,谢谢大家!    

关注中国IDC圈官方微信:idc-quan 我们将定期推送IDC产业最新资讯

查看心情排行你看到此篇文章的感受是:


  • 支持

  • 高兴

  • 震惊

  • 愤怒

  • 无聊

  • 无奈

  • 谎言

  • 枪稿

  • 不解

  • 标题党
2019-04-25 13:51:00
云技术 糖库商城上线,分期消费行业前景继续走高
在互联网快速发展的今天,基于数据而形成的大数据风险控制模式已是风控核心的发展方向,同时也是衡量业务决策的最佳手段,而数据资产也成为在金融商业模式下可变现的重要资 <详情>
2019-04-22 13:53:41
互联网 华为网络安全官:美国,直面竞争吧
外媒称,近日,华为高级副总裁兼全球网络安全和隐私官约翰·萨福克举行媒体见面会,强调“华为是全世界接受最严格检查的公司”,并呼吁美国直面竞争。 <详情>
2019-04-04 08:37:18
大数据技术 在大数据中“裸奔”太尴尬?国家有望立法保障大众信息安全
如今,有关个人信息泄露的事件屡见不鲜,从日常生活的出行、娱乐、办公、旅行,到智能手机中应用程序,处处都在透露我们个人的信息,也有人风趣评论道,信息时代,也许每个 <详情>
2019-04-03 17:49:00
大数据资讯 边缘计算,是否意味着新一重网络安全风险?
边缘数据中心对于安全性来说是一个积极的网络,如果做得好,边缘计算不会成为网络安全风险的另一个来源。 <详情>
2019-03-29 15:45:47
互联网 360齐向东:工业互联网安全隐患巨大,安全现状令人担忧
2月20日,在2017工业互联网峰会召开的同时,360 推出了国内首个工业互联网安全态势感知系统。在与媒体交流时,360企业安全集团董事长齐向东表示,在消费互联网安全领域有深 <详情>