开发者学堂课程【高校精品课-华东师范大学 - Python 数据科学基础与实践：【视频】阿里云云计算 ACP 认证（5）】学习笔记，与课程紧密联系，让用户快速学习知识。
课程地址：https://developer.aliyun.com/learning/course/1006/detail/15121
【视频】阿里云云计算 ACP 认证（5）
云上安全责任共担
这其实是刚刚所讲的在阿里云上主要负责的东西：基础设施、物理设备、飞天、各种云服务产品的安全。客户这边主要是利用这些安全的能力去构建安全的业务系统，并且保证用户数据的安全。
阿里云安全核心能力
阿里云安全的核心能力包括这么几个维度，首先阿里云获得了各种安全的资质，这里林林总总的共有20多将近30个安全资质，有国内的，有国际的。也有比较丰富的各个行业的安全解决方案、核心的安全的产品。
物理层面上，系统自己会有一些物理安全。从架构图来看，属于底层的安全，中间提供了一些核心的安全产品的能力，所谓的能力是指安全的能力可能是附着在某一些产品本身自己会去设计的，比如ECS可能有云盘加密，有VPC的租户隔离等等这些属于基础的安全能力。
安全的产品可以独立攻击、可以独立选择。比如有的有免费的版本提供，有的是有独立的、付费的一个需要提供给你，根据需求可以进行选择。这里面大概可以分成几个部分，一个是像账户相关的一些安全、一些基础安全啊，网络存储相关的，与业务有关的安全，与数据有关的安全、与应用有关的安全还有与安全服务运营管控相关的一些安全，这是整个核心能力的构成。
基于这些核心能力来看一下云上的安全架构。
阿里云安全架构
阿里云所提供安全架构是叫做五横两纵的安全体系架构。从两个横向维度跟纵向维度来全方位的保障在云上的资产的安全。两个纵向维度就是左侧用户的账户安全，主要是身份跟访问控制相关的；右侧属于用户的安全监控跟运营管理。两个纵向除了给用户自己还包括云平台内部租户的安全，内部的监控跟运营，是由平台自己来保障的。平台之上的产品级别的用户，是用户来保障，分层、责任共担的模型。
五个横向维度，从最底层的云平台的安全，到对外的租户的基础安全、数据安全、应用安全、业务安全。这是整体的安全架构。下面一层一层来看一下。
云平台的安全
在这个架构图里是属于五横七纵里面五行最下面的部分，是作为阿里云云平
在物理安全、硬件安全，虚拟化安全的部分，客户也不需做任何的设置，就可以享受到阿里云本身的安全能力，云产品级别的安全包含在了云平台的各个产品之间。其中有部分的能力，比如租户隔离，这是默认提供的一个基础的能力；数据加密是产品提供的能力的同时需要正确的开启跟设置，比如云盘支持加密，默认是不开的，要选择去开启。比如NDS有TDE透明数据加密、磁盘做自动快照、数据库自动备份这些都需要正确的开启和正确的设置。
云平台安全主要涉及了几个层次：物理安全，硬件安全，虚拟化安全，还有身份和访问控制安全和监控跟运营。
基础安全的部分主要的作用就像地基，为上层的业务安全来提供坚实的基础。基础安全的能力和要求主要体现在三个方面：主机安全，容器安全，网络安全方面。
这方面代表了用户使用的最主要的计算资源以及联通计算资源的网络这方面的安全防护和隔离，对于云上的用户来讲，云上的应用和业务都是直接或间接的构建，或者运行在计算和网络的服务之上的。也就是需要计算的资源，也需要网络的资源。基础的安全是计算和网络，容器加主机合起来就是计算能力，网络就是网络能力。
除了计算跟网络资源以外，存储资源对于用户来讲，也是非常的重要的，尤其是数据保护方面。但这些应该放在用户数据安全这个层次专门阐述。另外，可以看到在两侧用户的账号安全和用户的安全监控和运营方面，对于基础安全也有一些涉及。比如安全监控里面，需要对主机的配置进行安全检测，用安全中心对账户安全云上的资源做一些权限管理，比如用him资源控制系统等等这些都是属于基础安全的一部分。
用户数据安全
数据安全，数据可以说是生命线，也是云上整体安全能力的非常重要的基础。2015年，阿里云发起了中国云计算服务商首个数据保护倡议。在公开倡议书上明确运行在云计算平台上的开发者、公司、政府、社会机构的数据，它的所有权绝对属于客户，云平台不得将这些数据移作他用，平台方有责任和义务来保护用户的数据，保证它的数据的机密性、完整性、可用性，防止数据的泄露，来满足个人信息的保护，满足一些等保的要求等等。
这些数据安全相关的机制跟能力基本上是按照信息安全的三要素提供的。什么是信息安全三要素？就是所谓的机密性，完整性和可用性。机密性是数据只能被合法的用户或是授权过的用户来访问，比如说访问控制、数据加密、kms密钥管理服务等等，都属于数据的访问控制的能力。以上是信息安全三要素里面的C机密性的能力。
完整性主要是在信息的传输过程当中，只有校验算法通过了才能访问这些数据，并且通过校验加密的计算来保护数据的完整性。
可用性主要是体现在云上的系统或云上的各个产品具有的安全能力和容灾能力，以及云上可以在产品和产品之间，系统和系统之间做一些联动安全的设置，比如存储系统，网络系统；比如身份验证的机制，权限校验机制等等，像这些联动去使用，共同保证云上的数据安全。
用户应用安全
应用层面上的安全主要体现在三个维度，应用环境的安全，应用配置的安全、应用保护自身这三个维度。业务的安全主要体现在在云上构建自己的一些业务以后，从业务层面上能够提供主要身份认证，内容检测，业务风控这三个维度的安全功能。身份认证里面主要是实人认证的能力；内容检测像是安全的阿里绿网风控，主要是风险识别，爬虫的风险管理，游戏盾等能力。
用户账户安全
用户的账户安全分成五个维度，也就是a要素。包括身份认证，访问授权，账号管理，操作审计，应用管理。云上的服务基本一个云产品或一个云服务就可以提供上面所述的5a当中的多个维度的能力。
用户安全监控和运营
用户的安全监控和运营是指在云上的资源、应用、业务、账户得到了保护以后，在后续的使用当中可能需要云平台来为我们提供相应的安全监控跟运营的能力，使我们可以做到感知安全态势，监控资源的配置的正确性、对云上的日志进行完整的监控等等。并且在适宜的环境下，对整体业务环境进行安全测试响应和咨询的服务，让阿里云的安全的监控能力和运营的能力切实的输出到业务层面来，主要体现在这几个维度：威胁的检测和响应、配置检查、日志审计、安全测试、安全咨询。
以上就是从安全架构的角度讨论的几个关于安全的横向维度，在这里面不涉及到对具体的云产品的解读。从架构维度快速的翻译一下云产品，可能涉及到了一些云产品，比如基础安全可能涉及到的一些安全的产品包括主机安全产品，主要是通过云安全中心的高级版的原来的安骑士来提供服务。它提供了入侵检测，入侵检测就是检查异常登录、有没有后门、主机、异常行为或主机系统的关键文件有没有被篡改、有没有异常的进程等等，都是在安骑士的管理范围之内。像一些恶意代码检测或病毒检测，对勒索挖矿的d dos、木马等等这些进行检测和拦截也是主机安全所能提供的能力。漏洞管理也是云安全中心提供的，可以扫描系统的一些漏洞并且及时修复，比如Windows、Linux、Webcms、或其他应用的漏洞。同时，如果发生了林带漏洞，检测到官方还没有及时提供补丁的漏洞，还可以提供应急的漏洞补丁。
os镜像的加固，运行在云上的操作系统盘都是通过了安全加固的，包括阿里自研的阿里linux或是在云市场上的三方厂商所提供的镜像，阿里在上架之前都会去做镜像的加固和检测的工作，宕机迁移主要是指，比如ecs所在的宿主机可能因为性能异常或者硬件故障导致宕机，这时就检测到ecs所在的宿主机发生故障的时候会启动保护性迁移，把ecs迁移到正常的宿主机之上，这个过程用户也是无感知的。
容器安全主要包含安全沙箱容器。主要是基于神龙服务器的安全容器版本所提供的安全沙箱，可以让每一个安全容器里面都有，了解docker的都知道，它是一种轻量级的虚拟化，它之所以会快是因为它共用了系统内核的架构，所以在安全沙箱容器是在那个之上做了一些拓展，让每一个安全容器都有独享的内核，它的隔离性会比标准的容器更强，但是又摒弃了原来完全独立的性能跟开销上的总耗。
入侵检测是在云安全中心里，关于容器的服务也提供了一些常见的漏扫、修复、查杀等入侵检测的功能。容器安全的镜像扫描指的是容器里面的容器镜像，容器镜像服务ACR提供了镜像的安全扫描功能，可以发现镜像的一些最新的安全漏洞信息，及时的收到这些信息然后进行修复。
镜像签名是指容器镜像需要进行签名和校验通过签名的一个认证才能够去分发，这样就更安全。
基础安全里面还有一个层次叫做网络安全，主要涉及到的产品或功能，第一个是VPC基于隧道的技术来实现的、等效于二层的数据链路层的隔离，为用户提供一个独立的隔离的网络安全环境。
安全组是提供的实例级别的虚拟的防火墙，在云端给各个ecs划分不同的安全域。
安全组主要针对南北向流量，云防火墙可以统一纳管南北向流量和东西向流量，在云上的网络安全管理里面，不仅是要管南北向流量，可能还要管东西向流量。这是云防火墙。
d dos主要是针对d dos攻击，d dos分成了基础的dos和d dos高防ip。基础的d dos是每一个机房都部署，很多产品会自带基础d dos的攻击、防御的能力主要是因为基础d dos的防御能力是部署在整个机房的边界。只要是部署在机房里面的云服务，默认就会含有d dos的基础防御的能力。防御的流量是有上限的，一般是5个g到100个g之间，根据不同的产品设计门槛、在云上的资源的多少、安全信誉的等级来划分。如果被恶意攻击了，流量很大，基础d dos肯定是不够的，这时就可以通过购置d dos高防IP，进行一个更高等级的移动的防御的工作。
数据安全相关的产品和能力有三个维度，一个是数据保护，比如数据分类主要指的是可以对实例库、表、列或是各种数据进行识别。数据分类属于SDDP，敏感数据保护产品里面的一个功能
数据脱敏还有数据的防泄漏也是SDDP里面的功能。数据脱敏是敏感数据保护里面的一部分功能。
完整性还有高可用都不属于SDDP。整体的角度不一样不一定就是完全只说一个产品，比如数据的完整性。比如盘古的三副本怎么来保证数据完整性？这个是有内部的机制去校验的；比如oss里面上传数据对象，怎么去保证数据分块以后它的完整性？
高可用，在飞天盘古里最多可以达到12个和99.995%的超高可用性。这些都是由于使用了分布式架构带来的一些好处。
全链路加密这个部分是一种比如说加密传输，存储加密。加密传输主要是产品级别的内部可能会提供一些加密传输的功能。存储加密主要是指比如洛盘坐加密啊，或者是OSS洛盘去做serval端的加密。加密的计算主要是一些可信计算环境里面，可以购置一些支持加密计算的ecs主机来构建可信计算环境，神龙的机型支持这样的功能。加密服务(KMS)主要使用了国密标准这样的秘籍，去管理密钥，这样就能够满足数据安全方面的各种监管合规的一些要求。
证书也是比较常见的可以在云上直接去签发一些三方知名的机构所颁发的一些证书，来实现群战的HTTPS化，使网站防劫持，防篡改，防监听。并且云上管理证书很方便，可以一键分发到CDN或SLB这样的一些产品底下，非常的方便。密钥主要包括自选密钥和密钥轮转等等。
应用安全最重要的应用层面上应该是Waf应用防火墙，waf提供了比如一些通用的Owasp、搜狗输入、跨站脚本等常见的ios的攻击，还有一些应用层面上、业务层面上的数据可能被薅羊毛，waf可能也能做一些比较好的防御，它本身是基于深度学习算法的。
应用环境的安全主要是提供一些服务，比如漏扫服务，是发现网站里面的一些资产，如果有漏洞的话会及时的漏扫，形成风险扫描报告。这样就能够帮助我们比较好的管理资产。
代码托管主要是云校上面提供的一些git，可以在云校里面做一些权限管理，可以去管理云上的git代码。
代码审计是阿里云自己做开发的时候，它本身代码是审计的，然后也提供了代码审计的功能。这时就可以通过一些工具去发现代码的一些不合规的地方，有没有所谓的代码异味，有没有代码的风险、漏洞等。
安全加固是提供一些人肉的服务。主要是三方的厂商来提供的，在获得用户许可的情况下，帮助用户去登录到主机上去做一些安全加固的服务。
应用的配置安全有一个产品叫acm，微服务场景底下可能涉及到大量的配置，在切服务器，切环境里面有大量的配置要去进行管理，这时候通过ACM会比较轻松去管理，极大地去降低配置管理的工作量， acm本身里面的配置信息也提供了一些加密的能力的支持。
