QConShanghai魏兴国弹性计算云安全现状反思以及展望

QCon北京2014大会4月25—27日@InfoQinfoqchina

特别感谢QCon上海合作伙伴弹性计算云安全

阿里巴巴魏兴国（云舒）2013年10月——现状、反思以及展望关于我04年离校国贸专业05年绿盟渗透测试06年雅虎IDC、Office安全08年阿里2008-2010集团系统、网络安全策略2010-现在云计算安全目录弹性计算的新风险阿里的解决方案现状的反思未来云安全的展望弹性计算的新风险传统安全域被打破不同用户混杂不同业务混杂来自内部的攻击弹性计算的新风险传统手段失效ACL无法控制VM间的流量无法统一监控全网的攻击行为弹性计算的新风险大规模带来的问题交换机CAM表容量不足ARP广播、NBNS广播风暴全局性的ARP欺骗、以太网端口欺骗攻击更频繁的外部攻击、入侵尝试弹性环计算变的新巨风险虚拟脊层穿俯透入侵本宿主互机等际同于煎入侵邻了传辅统的疑交换胸机宿主子机功膏能更舒复杂暗，更浴容易急被入香侵厂商抢的解剃决方肯案网络错虚拟矩化标劫准80辅2.剩1世Qb盘g（VE倡B、VE工PA、Mu刚lt最i-斯Ch肥an郊ne葛l）80激2.甩1印Qb因h/雨80拒2.旅1B若R（VN困-T村ag、VN折-L饼in弱k）阿里僻的解怖决方奇案为什奴么自尾己做谋？厂商碑方案宣本质是个网踏络模揉拟器定制蝴化更杠灵活读、高划效、熔强大阿里轰的解闯决方始案网络扯层架陡构基于业务临的分芝布式均虚拟洪交换奇机基于清用户ID来分奇组虚目拟机控制恢策略斧下发维到宿首主机劣，随VM迁移蓬而迁移完备理的安笨全功丢能阿里跟的解绑决方产案访问披控制润策略固化障不可营修改皇的全拘局策南略不同组默踪蝶认隔四离动态律绑定勺过滤IP、AR浪P、Et尤he杰rn民et头部净欺骗带宽法控制乖、广至播风凉暴抑性制用户描通过WE堡B搜AP拿I自定既义策呈略远程跃控制虹端口烂访问龄源列钻表其它彩自定桶义策佣略阿里繁的解怖决方额案云盾—服务疑器安悉全DD去oS防御系统主机入侵江防御子系统网站粱安全反防御跃系统服务码器健认康扫糟描系饲统WE下B应用网页耐挂马端口哨与服务阿里抛的解盯决方享案云盾释的效农果每天10老0起DD陷oS攻击想，最馆大流扰量80堡Gb遣ps，10煌%的攻狼击超升过5G属bp扶s，99坛.9配9%自动软处理每天20覆0亿次缴密码绩猜解爬，99全.9斤9%防御赤成功每天10订00万次WE蜘B攻击汇，10罢0%防御平均彩每周促捕获处一个0D主ay（未往公开在漏洞沿）！阿里钥的解简决方造案业务释安全云服喘务器锄对外何攻击锐检测过滤像伪造就报文BP贫S、PP壳S、QP脸S、Co刚nn染ec洲ti溪on检测恶意矮行为君检测对外芬扫描WE涛B漏洞密码渐破解垃圾邮件援发送黄赌毒应它用的土检查阿里颂的解惹决方焰案用户允隐私撞问题没有姑云服烤务器埋系统耻权限不分筐析应首用数异据，晨只做门宏观择的统期计测谜量云安优全现皆状的帜反思关于量用户循区域炮划分三层包隔离乐是最须好的购选择鼓么？多条澡防欺笼骗策污略是弓否有彼损性猜能？云安乳全现净状的多反思关于分布倡式虚闲拟交湾换机能够押支撑丸多少姿条自秋定义咽策略模？宿主骆机规模建达到10万的征时候愤是否伍还可趣维护狂？云安框全现宣状的语反思用户砌群体身继续法扩大我们队是否溉可以腿满足者多样捆化的疲安全湖需求筑？能否酿方便课的接存入第通三方典安全削提供迹商？云安丽全的嘉未来用设想VP思C虚拟菠专用袖云不同绵用户近网络绒在二层隔离广播包在小贡范围惰内终霞结无需沿大量浊防欺践骗策蔽略云安耳全的竭未来暗设想VP材C虚拟善专用爬云基于im窝ag赶e的自劫定义VM网关IP怜S？FW？WA芽F？UT剩M？再进川一步沈？云安谈全的里未来快设想安全君产品撕虚拟齐化、懂资源衡化将不犁同硬批件抽据象成妹统一婆的容牢器，政安全船功能悔剥离酿出来互，开孟放接吩口给件第三卧方安厅全厂畅商非模色拟器侨的方亩式来节集中垒部署步控制砌策略所有爷安全防产品漂服务葵都透宜明接湾入、恋透明变更云安平全的诵未来惊设想两个戴条件按需可造得的粉计算令资源按需胖变更谋的网起络结油构云安搏全的伍未来旱设想安全软件硬件盒子物理布线弹性VMSDN网络云安景全的问未来慰设想云安尚全市者场用户皂绘制颈包含顷安全缎产品莲的网肯络拓错扑图用户栽选择颗各安定全产州品的拨提供妄商云计占算控陕制系乡丰统加怎载对孕应Im血ag舟e，基叶于SD占N生成扯网络云安师全的桃未来洒设想IA草AS（基眨础架矿构即陪服务巾）云提供商Fi安re唐wa辨ll生I眯ma品geIP亿S肌Im记ag昆eWA害F胞Im捕ag鄙e众多妄安全削厂商业务VM业务VM业务VM云用柴户业务VM业务VM云安债全的责未来冰设想困难SD倡N迟迟岭不能掀得到痕应用厂商朗对im贴ag占e中的革代码董、策腿略安悬全性酿存疑这种煮模式裳是否括可以瞧发展徒起来庄？云安共全的夫未来岸设想从透口明接辈入WA查F开始伶探索集中打部署WA现F，宿水主机拖上DN丘AT宿主慢机上句分布无部署WA鞠F，宿酬主机骑上DN崭ATBG塘P引流OS谋PF回注伙，WA阵F上DN袖AT和路歇由转今发VM网关卧，自走己掌述控软路由更多舰其它若方案……云安僚全未蝴来的极设想CS墓RCS远Wsw兄it春chWA五FTr辆af盛fi牲c映Se劲rv