QConShanghai魏兴国弹性计算云安全现状、反思以及展望.pptx

,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,12/19/2019,#,InfoQ,infoqchina,特别感谢,QCon,上海合作伙伴,弹性计算云安全,阿里巴巴 魏兴国（云舒）,2013,年,10,月,现状、反思以及展望,关于我,04,年离校 国贸专业,05,年绿盟 渗透测试,06,年雅虎,IDC,、,Office,安全,08,年阿里,2008-2010,集团系统、网络安全策略,2010-,现在 云计算安全,目 录,弹性计算的新风险,阿,里的解决方案,现状的反思,未来云安全的展望,弹性计算的新风险,传统安全域被打破,不同用户混杂,不同业务混杂,来自内部的攻击,弹性计算的新风险,传统手段失效,ACL,无法控制,VM,间的流量,无法统一监控全网的攻击行为,弹性计算的新风险,大规模带来的问题,交换机,CAM,表容量不足,ARP,广播、,NBNS,广播风暴,全局性的,ARP,欺骗、以太网端口欺骗攻击,更,频繁的外部攻击、入侵尝试,弹性计算的新风险,虚拟层穿透,入侵宿主机等同于入侵了传统的交换机,宿主机功能更复杂，更容易被入侵,厂商的解决方案,网络虚拟化标准,802.1 Qbg,（,VEB,、,VEPA,、,Multi-Channel,）,802.1 Qbh/802.1BR,（,VN-Tag,、,VN-Link,）,阿里的解决方案,为什么自己做？,厂商方案本质,是,个网络模拟器,定制化更灵活、高效、强大,阿里的解决方案,网络层架构,基于,业务的分布式虚拟交换机,基于用户,ID,来分组虚拟机,控制策略下发到宿主机，随,VM,迁移而,迁移,完备的安全功能,阿里的解决方案,访问控制策略,固化不可修改的全局策略,不同,组默认隔离,动态绑定过滤,IP,、,ARP,、,Ethernet,头部欺骗,带宽控制、广播风暴抑制,用户通过,WEB API,自定义策略,远程控制端口访问源列表,其它自定义策略,阿里的解决方案,云盾,服务器安全,DDoS,防御,系统,主机,入侵防御系统,网站安全防御系统,服务器健康扫描系统,WEB,应用,网页挂马,端口与,服务,阿里的解决方案,云盾的效果,每天,100,起,DDoS,攻击，最大流量,80Gbps,，,10%,的攻击超过,5Gbps,，,99.99%,自动处理,每天,200,亿次密码猜解，,99.99%,防御成功,每天,1000,万次,WEB,攻击，,100%,防御,平均每周捕获一个,0Day,（未公开漏洞）！,阿里的解决方案,业务安全,云服务器对外攻击检测,过滤伪造报文,BPS,、,PPS,、,QPS,、,Connection,检测,恶意行为检测,对外扫描,WEB,漏洞,密码破解,垃圾,邮件发送,黄,赌,毒应用的检查,阿里的解决方案,用户隐私问题,没有云服务器系统权限,不分析应用数据，只做宏观的统计测量,云安全现状的反思,关于用户区域划分,三层隔离是最好的选择么？,多条防欺骗策略是否有损性能？,云安全现状的反思,关于,分布式虚拟交换机,能够支撑多少条自定义策略？,宿主机,规模达到,10,万的时候是否还可维护？,云安全现状的反思,用户群体继续扩大,我们是否可以满足多样化的安全需求？,能否方便的接入第三方安全提供商？,云安全的未来设想,VPC,虚拟专用云,不同用户网络在二,层,隔离,广播,包,在小范围内终结,无需大量防欺骗策略,云安全的未来设想,VPC,虚拟专用云,基于,image,的自定义,VM,网关,IPS,？,FW,？,WAF,？,UTM,？,再进一步？,云安全的未来设想,安全产品虚拟化、资源化,将不同硬件抽象成统一的容器，安全功能剥离出来，开放接口给第三方安全厂商,非模拟器的方式来集中部署控制策略,所有安全产品服务都透明接入、透明,变更,云安全的未来设想,两个条件,按,需可得的计算资源,按需变更的网络结构,云安全的未来设想,安全软件,硬件盒子,物理布线,弹性,VM,SDN,网络,云安全的未来设想,云安全市场,用户绘制包含安全产品的网络拓扑图,用户选择各安全产品的提供商,云计算控制系统加载对应,Image,，基于,SDN,生成网络,云安全的未来设想,IAAS,（基础架构即服务）,云提,供商,Firewall Image,IPS Image,WAF Image,众多安全厂商,业务,VM,业务,VM,业务,VM,云用户,业务,VM,业务,VM,云安全的未来设想,困难,SDN,迟迟不能得到应用,厂商对,image,中的代码、策略安全性存疑,这种模式是否可以发展起来？,云安全的未来设想,从透明接入,WAF,开始探索,集中部署,WAF,，宿主机上,DNAT,宿主机上分布部署,WAF,，宿主机上,DNAT,BGP,引流,OSPF,回注，,WAF,上,DNAT,和路由转发,VM,网关，自己掌控软,路由,更多其它方案,云安全未来的设想,CSR,CSW,switch,WAF,Traffic Server,BGP,OSPF,Ip_forward,DNAT,VM,VM,VM,OSPF,总结,我们做的不仅仅是这些，欢迎加入,有问题请联系,我,yunshu,