【专家视点】阿里云如何做安全？又是怎样一个安全生态？

现在越来越多的用户选择上云，这不只是对于原来自己搭建服务器或者自建IDC的思路的转变，更是对于云服务提供商的信任。而这种信任，很大程度上是基于云服务提供商对于用户数据安全性和服务稳定性的保障。而如果将这两点比较，安全性则显得更加重要，因为一旦云上的业务数据发生泄漏、篡改等安全事件，无疑会对企业的业务和声誉造成非常恶劣的影响和经济上的损失。

云服务提供商应该承担两方面安全的责任，一是用于提供云服务的硬件基础设施安全，二是云上用户的数据安全。而作为中国用户数量达百万级以上的公共云服务提供商，阿里云又是如何做的呢？

阿里云基础设施的安全

谈到阿里云安全，大家可能或多或少对阿里云的云盾有所了解，但是对于阿里云基础设施的保护，阿里云则有其专门的团队来做这件事情。不过，不是完全和云盾割离开，而是基于云盾的一部分能力去做，比如说抗DDoS攻击的能力，来保护阿里云云平台自身的安全。而且除了专门的团队之外，阿里云还会采购一些第三方安全厂商的产品，整合到阿里云的基础设施中。

阿里云安全负责人近期在演讲中提到一个观点，这也是最近Gartner的一个报告所提到的，那就是云服务提供商最终会向着“安全厂商”转变。因为鉴于客户对云服务商所能提供的安全性的刚性需求，云服务商做安全似乎已经成为了一种必然趋势。而且相比于一些安全厂商虚拟化的产品，如VPN、WAF等这些更加上层甚至偏应用的安全，阿里云则更倾向于做底层安全，比如说攻防、数据库的透明加密等。因为越是靠近基础设施的安全产品，越是会被云服务商所包装和覆盖，也就是说对用户的透明化和不可见。虽然可能其它基础设施安全厂商的产品还在用，但是对于客户的感知来讲，则更多的是阿里云提供这样一个安全的云环境。

对于云上租户的安全，阿里云又是怎么做的？

计算、存储、网络、安全和数据，是阿里云服务的五大核心能力。而这其中，用户安全这部分，则是通过云盾来提供完整的安全解决方案。

云盾，涵盖网络安全、服务器安全、数据安全、业务安全和移动安全着五个安全领域，DDoS高防IP、WAF、主机安全防护（安骑士）、专家服务（安全管家）、证书服务、加密服务（联合江南天安，由江南天安提供硬件密码机(HSM)，通过加密服务的API，对业务数据实现密文转换和解读）、内容安全（绿网）、反欺诈、移动安全以及态势感知和先知计划（众测）这十一个安全产品，并基于威胁情报（包括漏洞、恶意URL、恶意域名、IP信誉库和恶意样本库）这一核心能力，组成其整体安全解决方案。

当然，考虑到使用阿里云的资源和成本，云服务的客户也不希望“把鸡蛋都放到一个篮子里”，因此除了云盾，阿里云也需要搭建自己的云安全市场，组建安全生态圈。

"本次与阿里云的战略合作是我们双方对云计算未来的高度认可。作为一个第三方的云数据安全服务提供方，安华金和的服务有利于打消用户的上云顾虑，有利于提供数据所有权保护。本次大会的主题是计算无边界，无边界的计算给我们提供了计算的自由，数据的自由，安华与阿里的战略合作将在自由的基础上提供给我们安全，我们希望能实现从自由到安全的自由。"

——安华金和联合创始人兼副总裁 杨海峰

"在云计算时代，传统的安全产品的模式的确面临相当大的挑战，因为越来越多的企业用户开始选择云平台，而不再是IDC。这实际上是网藤风险感知产品之所以大力发展SaaS公有云版本，本次与阿里云深度合作对享受阿里云服务的用户而言是极为受益的，网藤将充分发挥自身技术和产品优势，为客户带来便利和专业的云安全服务。"

——斗象科技CEO袁劲松

阿里云安全生态圈

现在入驻阿里云云市场的安全市场并有产品正式上线的，有31家安全厂商。这些厂商有像深信服、山石网科、安全狗、云锁这样的传统安全厂商，也有如青藤云安全、思睿嘉德这样的初创企业。除此之外，还有10几家和阿里云有合作关系的安全厂商，其产品暂时还没有在云市场发布。