云安全的讨论范围包括：云计算（本文涉及）、云存储、云数据中心、云原生、大数据等
云计算
一个老概念
问：云计算是什么？
答：一组资源通过虚拟化形成资源池，消费者可按需自动配置获取池中资源。云能将资源分配给客户端，客户端通过网络使用资源。云能在客户端不再需要资源时，回收资源到池中，再给其他人使用。云提供可测量的服务，确认各用户的资源分配情况，可支持对用户进行服务收费。
问：计算资源是什么？
答：计算（如处理器和内存）到网络、存储以及更高级别资源（如数据库和应用程序）都算。
问：怎么创建云？
答：关键技术是抽象（从底层的物理基础设施中抽象出资源）和自动化调配。
支撑的底层技术是虚拟化，利用硬件虚拟化技术实现在操作系统之上的资源隔离。
问：云计算和传统计算的区别？
答：
|对比|云计算|传统计算|
|-------|-------|-------|
|关注点|服务|实体|
|扩展性|构建对象广 资源启动快|更新操作繁琐|
|弹性|动态扩缩容 DDoS场景下是否存在资源浪费|预置资源 强依赖硬件条件|
|成本|按需付费 资源分配优化|固定投资 租用数据中心 购买专用物理服务器 人力投入 运营成本 物理位置放置 国内ICP备案 网线 专网 网络连接 闲置 低使用率场景下存在浪费|
|部署效率 敏捷|全局部署 减少停机时间 组件快读调配 置备 部署 回收|异常 延迟 服务中断|
|漏洞应对|提供安全评估 虚拟化层修复漏洞 自动迁移|手动打补丁 升级|
问：云计算相较于传统计算的优势是必然吗？
答：不是。仅在理解并相应调整架构和控制以适应云平台特性和功能的基础上才会出现云计算的收益。若使用现有的应用或资产，并在不进行任何更改的情况下将其移动到云服务提供商，往往会降低敏捷性、弹性，甚至是安全性，同时还增加了成本。
问：云计算有哪些类型、服务模型？ 举例说明
IaaS-基础设施即服务
PaaP-平台即服务
SaaS-软件即服务
问：云计算有哪些部署模型？
答：公有云；私有云；社区云、行业云；混合云；边缘云；
问：为什么需要多云？多云环境下特有的安全风险有哪些？
答：
- 多云环境场景
分担负载
数据备份
容灾
跨国
数据安全分类
开发、测试、线上环境搭建
异构融合（容器、微服务、组件）
用户体验 - 多云安全风险
不同云厂商的安全差异性
非标准化的资源模型、API
学习成本
不统一的账号管理、不集中的安全运维
多云中间件管理
责任划分
攻击面扩大
迁移
配置
问：云计算面临的威胁？
答：面对的威胁（案例、措施、影响）
- 身份、凭据，访问和密钥管理、特权账号管理的不足
(2021年10月) 世嘉（SEGA）欧洲云服务器事件中有两个重要的云配置管理错误——AWS S3存储桶设为公共访问权限、硬编码凭证存储在云中。 - 不安全的接口和API
- 配置不当和变更控制的不足——安全基线、访问控制、网络配置、组件配置等
- 缺乏云安全架构和战略 ——全周期各个环节的安全、恶意利用场景考虑
- 不安全的软件开发
- 不安全的第三方资源
- 系统漏洞
- 云计算数据的意外泄露
- 无服务器和容器化工作负载的配置不当和利用——抗DDoS
- 有组织的犯罪、黑客和APT攻击
- 云存储数据泄漏
问：云计算安全的范围
答：保障云自身及云上各种应用的安全——云系统、云数据、存储与隔离、用户接入认真、信息传输安全、网络攻击防护、云合规审计、隐私保护。
云安全
安全基础设施的云化
- 采集安全基础设施资源以优化安全防护机制
- 安全事件、信息采集与处理平台
- 采集与关联分析
例子：sook、seem 安全运营平台、态势感知
云安全服务（为用户提供安的安全服务）：防病毒、云防火墙、云WAF等
云安全基本理念
- 自动化安全措施，减少人工干预（人工干预=最大的安全风险）
- 松耦合 （增加安全措施服务 不新增新风险新破坏；去除安全措施服务 不对原有系统有负面影响）
- 微服务 （把安全限定在最小的边界范围内 ——安全区域、网络边界）
云安全基本原则——责任共担
- 客户拥有和控制自己的系统和数据
- 云基础设施“谁使用，谁控制，谁负责”
云计算类型 IaaS-基础设施即服务
云服务提供商安全责任
- 虚拟化：虚拟机入侵检测、完整性保护、提供管理工具
- 网络：网络安全
- 基础设施：可靠性；存储安全、系统安全、服务器安全
- 物理环境：机房监管、物理门禁
用户安全责任
- 虚拟机安装杀毒软件
- Linux EDR
云计算类型 PaaP-平台即服务
云服务提供商安全责任
- +操作系统：提供分布式开发测试部署简化环境
用户安全责任
- 应用环境之上的应用服务的安全。开发、中间逻辑、输入检查
云计算类型 SaaS-软件即服务
云服务提供商安全责任
- +应用接口安全、数据与计算可用性。应用层整体安全
用户安全责任
- 维护与自身相关的信息安全
- 身份证、账号、密码防泄漏
云安全产品
- 服务商直供安全产品=云原生安全产品
- 第三方安全公司提供的=是非云原生服务的安全产品
云原生安全
- 云原生基础设施安全：k8s 和容器
- DevSecOps：流程化的安全工具链
- CI/CD：持续集成和持续交付 在交付过程、软件周期进行漏洞修复上线
- 微服务安全：API、微服务的发现与隔离
云安全优势 - 全局、无差别、合规、经过大量企业用户长期验证
- 可见、可控、可审计
- 深度集成自动化
观点
云计算= 虚拟化、虚拟机？ ❌
云计算=服务 ☑️
“上云更安全”
“多租户比传统计算更不安全”
“云本身也有安全问题” ——光纤、物理控制权、机房管理员
“不上云很危险”——旧版本系统 未维护 n day 病毒；安全团队规模 漏洞修复、POC验证 响应速度
“大多数云安全事故都是用户的错”——公有云凭证乱放、使用通用密码已泄漏
“上云让安全的边界变模糊”——物理边界变虚拟边界
参考资料
云安全联盟CSA-研究成果-云安全 https://c-csa.cn/research/results/i-4/
https://www.bilibili.com/video/BV1zA411t766 《绿盟2020- 深入浅出 云安全》
扩展
云渗透测试、云原生、云存储、大数据安全
云服务商-云安全白皮书 云社区 https://developer.aliyun.com/profile/v6ez4xoupkzwk 阿里云安全动态
安全厂商 绿盟科技云安全 - https://cloud.tencent.com/developer/article/2161446
云原生服务风险测绘分析
（一）：Docker和Kubernetes - https://cloud.tencent.com/developer/article/1981065
（二）： Harbor https://cloud.tencent.com/developer/article/1981079
（三）： Kong和Apache APISIX https://cloud.tencent.com/developer/article/1981098
（四）：Prometheus https://cloud.tencent.com/developer/article/2016440
（五）：Etcd https://cloud.tencent.com/developer/article/2161333
《构建云原生护栏：让安全贯穿整个工程实践》 王阳 亚马逊云科技云架师
《利用开源工具构建安全的云原生持续交付系统》 马景贺｜极狐(GitLab) DevOps技术布道师
云原生应用安全应该从哪几个方向切入 马景贺 2022.9
业务上云安全防护规划与云上安全产品介绍 202203
docker https://websec.readthedocs.io/zh/latest/cloud/docker/index.html
https://www.bilibili.com/video/BV1uR4y1S7LP 《云安全相关靶场和资源 2023》
云安全资源总结：github.com/teamssix/awesome-cloud-security 云靶场：github.com/HXSecurity/TerraformGoat/blob/main/README_CN.md aws在线靶场：attackdefense.pentesteracademy.com/listingnoauth?labtype=cloud-services&subtype=cloud-services-amazon-iam
书
《云存储安全：大数据分析与计算的基石／陈兰香著．—北京：清华大学出版社，2019》
《云原生安全与DevOps保障 /（美）朱利安·威汉特（Julien Vehent）译-覃宇 -电子工业出版社，2020.5》
《云原生安全：攻防实践与体系架构-机械工业出版社 -2021.10》
《云原生安全-机械工业出版社-2022.8》
《云原生安全技术实践指南-电子工业出版社-2022.7》
《云安全：安全即服务-机械工业出版社-2020.7》
《云安全CCSP认证官方指南》
评论区