当前，我国全面进入云和数字化时代，云是数字化转型的底座，是新一代基础设施建设的基础。云开始承担越来越多的使命，不仅云上资产越来越重要，云上攻击也愈演愈烈。同时，云计算颠覆了传统的网络安全实践，给安全防守带来了许多新的安全挑战。
对此，在“2023云安全高峰论坛暨青藤品牌升级发布会”上，来自产学研用各方的专家，就“云时代，网络攻防对抗的发展演化”主题，针对云计算带来的安全变化，云安全防护发展趋势，开源软件安全风险，云安全托管发展前景，多云安全体系建设等问题开展了圆桌讨论。主持本次讨论的专家是青藤云安全副总裁万京平，参与本次讨论的嘉宾有北京大学教授、网络与信息安全实验室主任陈钟，中国信通院云大所开源和软件安全部主任郭雪，首都在线CTO王春发，北汽福田汽车股份有限公司基础设施及信息安全部负责人张志强，浪潮云安全产品总监王禹博。
主持人：云计算，让安全保护对象、安全管理、应用架构等都发生了根本性变化，那么云计算，到底给安全带来了哪些本质变化？请陈钟主任、郭雪主任从产业的角度为我们分享；请志强总、春发总、禹博总站在攻防实战的角度为我们分享。
北京大学教授、网络与信息安全实验室主任陈钟：
现在上云已经是一个不争的事实，今天我们看到各种云化的应用。过去，为了实现云计算的集中管理，催生了软件定义网络SDN。现在，业务上云后，你的计算在哪，安全防护也在哪，改变了原来攻防不对称的形态。这既有好的一面，可以动态调度云上的各种资源对安全攻防进行支撑；这也有坏的一面，资源过度集中以后，使得自动化攻击变得更加便利。
同时，随着AI大模型、GPT等出现以后，云计算架构还在变化，特别是在计算、存储、CPU加速方面会有一个新的结构性的调整。青藤预先提出一些先进的、创新的云安全解决方案，正在适应这种变迁。未来当AI人工智能融合到更多工具服务中的时候，我们的安全也能迅速跟得上。
中国信通院云大所开源和软件安全部主任郭雪：
我说几点我自己的感受。
• 首先，云计算极大地提升了信息系统建设速度，所以安全的建设速度也要加快，以匹配信息化建设的速度。
• 其次，未来云和安全一定是深度融合发展的，需要从研发阶段就去关注安全，所以云计算给安全带来的第二点重要变化就是云原生安全。
• 然后，大家都比较关注云上安全责任的问题，因为云安全面临的是建设方、运营方、租户、安全厂商等多方责任，所以云上安全责任的界定是很重要的问题。
• 最后，云计算的发展对云安全建设提出了更高的要求。
北汽福田汽车股份有限公司基础设施及信息安全部负责人张志强：
我们目前也在做数字化转型，云是必备的数字化底座之一。我们拥有一个成熟的混合云架构，这也让网络边界越来越模糊，安全风险增加，这是很多上云企业的通病。下面我从三个方面简单说一下云时代的安全变化：
• 首先，在技术方面，随着容器和微服务架构等新技术的应用，给我们带来了新的安全风险，安全防御也需要升级。
• 其次，在管理方面，我们面临的最大问题是如何实现高效的云安全运营，这需要云技术团队和安全团队的高效融合协作。
• 最后，在人员培养方面，我们需要专业的云安全运营管理人才，实现企业数字化转型中的云安全建设。
首都在线CTO王春发：
我们是做云计算的公司，在全球有很大的一张网，我们对云安全非常重视。
• 首先,如果让我建立一套完整的安全体系,第一步会先建立资产清点能力。因为云上有很多动态资源,比如虚拟机,虚拟的网络定义,虚拟的网络存储,这让资产清点难度非常大。
• 其次，我们的客户和我们自身，都在用微服务架构和容器技术，容器的生命周期非常短，这使得网络攻击溯源非常难，这也是我现在碰到的难题。
• 最后，因为所有容器共用一个操作系统，单个系统漏洞风险会在整个集群广播，使得风险扩散速度非常快，管控难度非常高。面对这些云上安全的新变化，我们期望和青藤这样的云安全厂商深度合作。一是可以加深我们云底座安全；二是我们的客户也可以享受到多样化的云安全产品。
浪潮云安全产品总监王禹博：
刚才春发总讲的很好，我们都属于云服务商，所以云计算给安全带来的这些困难和麻烦我们感同身受，我简单再补充两点。
• 首先，大家关注的云上安全责任共担模型，这是云计算出现之后给安全带来的挺新颖的变化，它区分了云租户和云服务商各自的责任点。
• 其次，利用云计算本身高算力和一体化的特性，能够让安全产品发挥更好的价值和效果，实现统一、融合的云安全管理。
主持人：针对云安全防护，市场上有两种主流做法。一是通过虚拟化安全资源池的形式，包括虚拟防火墙、虚拟WAF等；二是基于云自身特性做安全防护，例如基于容器的DevSecOps全流程安全，这两种方式未来发展情况各位专家怎么看？
首都在线CTO王春发：
刚才提到一个概念DevSecOps，我认为它确实解决了传统安全模型解决不了的安全问题，把安全团队、安全管理引入到开发、测试、上线的整个过程，在CI/CD过程都可以看到安全的影子，比如代码的扫描、漏洞的扫描、安全管控等等。我列举两个例子：
• 首先，我们所有研发人员在提交代码的时候都会进行代码安全漏洞扫描，这个过程是完全自动化的。
• 其次，DevSecOps本身有很重的安全运维过程，这是传统的虚拟防火墙、WAF、主机安全、抗DDOS不能替代的。
北汽福田汽车股份有限公司基础设施及信息安全部负责人张志强：
我想从业务角度回答这个问题，我们现在的业务形态多种多样，有传统的，也有云原生化的，这两种形态在未来一段时间会共存。传统型业务需要防火墙和虚拟WAF等进行南北向安全防护；另外一种云原生化的业务，我们会采用云原生安全的方式去做，把现在所说的这些安全功能揉进去。比如我们引入VSOC，同时把青藤的入侵检测能力整合到我们整体的安全架构中。所以说，基于企业的业务形态，传统虚拟化资源池的安全防护方式和云原生安全的防护方式会共存发展。
主持人：2019年，中央网信办、国家发改委、工信部、财政部4部委联合发布《云计算服务安全评估办法》，旨在提高党政机关、关键信息基础设施运营者采购使用云计算服务的安全可控水平。那么针对当前开源软件的安全风险，各位专家是如何看待的？
北京大学教授、网络与信息安全实验室主任陈钟：
云计算快速发展，其中开源软件扮演了非常重要的角色。因此，开源软件安全问题就变得非常重要了。本来开源是众人之眼，大家都看着它，它的安全性应该是很强的，但是我们发现，很多开源软件会突然爆发高危漏洞。我们国家对开源软件的安全高度重视，在制度建设、标准研制、技术研发上都在全力突破，希望更好地应对开源漏洞带来的风险。
中国信通院云大所开源和软件安全部主任郭雪：
开源应用非常广，我的团队一直在运营金融开源社区、通信开源社区、汽车开源社区，我们会定期调研开源的应用率。根据最新调研数据，大概34%左右的企业开源组件数量达到上万水平，同时还有约3%的企业开源组件数量达到了十万以上。这种情况下，我们一定要关注开源软件的安全问题。当然，开源的问题非常复杂，除了漏洞之外，还有知识产权、许可证、持续性等问题。这里重点说一下，做好开源软件安全管理首先要做好资产清点，之后再做进一步的安全保护。
主持人：随着数字化进程逐步深入，网络安全压力与日俱增，企业单纯依靠自身能力管理网络安全已经分身乏术。这种情况下，托管服务成为各行业用户提升安全水位、化解安全风险的有效措施。各位专家如何看基于云的MSS、MDR安全托管服务在中国的发展前景？
北汽福田汽车股份有限公司基础设施及信息安全部负责人张志强：
为什么我会积极引入MSS服务方式。首先是因为技术沉淀不足，我们信息安全人员的技术沉淀，没有想象的那样强大。其次是我们的业态发生了很多变化，很多应用要实现移动化，意味着很多业务要发布到公网上，这使得网络攻击面增大了。
为了应对这些问题，我们打造了统一联动的安全运营体系，做成了可视化风险处置平台，管理员只需要看一个大屏，就可以处理我们集团18个地点的安全事件。当然，并不是说有了这些安全防护手段就可以高枕无忧，其实还差得远。我们需要自己去打自己一鞭子，所以我们引入攻击模拟去测试安全防御能力。在这个过程中，我们发现自己的运营团队跟不上节奏，需要借助专业的安全服务团队进行威胁分析，让我们及时发现、及时处理风险事件。以前我们认为一定要培养自己的人来做安全运营。但实际上这种思路需要改变。我们可以和安全厂商深度合作，借助专业的安全服务，效果更好。
主持人：企业数字化转型过程中，大多会选择“多云环境”的模式，这种模式带来便利的同时，也衍生出很多新的安全风险，比如复杂的配置问题、权限、策略等问题。那么，多云场景下，企业在搭建安全防护体系时，应该重点关注什么？比如安全监测及管理等方面，各位专家能否给大家一点建议？
浪潮云安全产品总监王禹博：
针对云上安全防护建设，我从三个方面来说一下。
• 首先，是资产的全面梳理，要特别关注API安全。传统的主机层、服务层以及端口层大家基本上都能覆盖，但是API安全做不好会导致更多的数据泄露。所以我觉得第一点是全面的资产梳理。
• 其次，需要重点关注身份权限管理。因为在云上部署多类应用，身份权限管理会面临更为复杂的情况。
• 最后，是要建立安全运营体系。从攻防角度来说，新的攻击手段层出不穷，防御体系也需要动态变化，这就需要一套不断优化迭代的安全运营体系。不管是基于人+工具+流程的PPP，还是基于AI+大数据的智能融合，安全运营都是云上安全建设不可避免的一个环节。
小编总结：
从各位专家的阐述总结来看，近几年我国的云计算产业一直处于高速发展时期，越来越多的企业为了实现数字化转型，纷纷选择业务上云，其业务也呈现出开放互联、高效运转、结构复杂、快速变化等特点。这些新特点给安全带来了更为艰巨的挑战。传统安全在云和全面数字化变迁过程中能力有限。新时代，需要新安全。安全需要适配云的基础设施，充分API化，能够融入到业务中去，能够高速迭代和演进。简言之，就是实现“业安融合”，具体表现为以下四个特征：
• 敏捷：能够跟上企业业务和安全威胁的快速变化，具备敏捷发布和部署的能力。
• 高效：在爆炸式海量数据和行为中实时发现并根除风险和威胁。
• 智能：能够基于AI进行智能化分析，提高安全防护效果。
• 连接：能够实现人与人、人与系统、系统与系统的连接。
我国已经全面进入了云和数字化时代，顺应云安全发展趋势，建设有效的云安全防护体系，成为数字经济发展的重要保障。
