文 腾讯云安全总经理 李滨
云计算的出现彻底改变了 IT 产业和传统企业的 IT 结构，但大部分企业的理念和技术方法还停留在传统的 IT 时代，很多企业只是把云当成更大的服务器集群来使用，并没有认识到云所带来的底层技术上的本质性变革。这种理念的差异造成的最直接后果就是安全管理水平的滞后，云安全需要用新的安全管理思路和技术手段来应对。
一、云计算带来的新安全变化
云计算的广泛应用，给 IT 产业带来了本质性的改变，传统的信息安全也随之出现了新的挑战。
（一）安全管理模型的变化
传统安全领域，IT 资产的所有权和设备的控制权基本是一致的，谁使用谁购买、谁拥有谁管理。例如，企业的 IT 系统往往包含多个子系统，有归属于财务部门的企业资源计划（ERP），有归属于人力资源部门的人力资源管理（HRM）等，这些权责分明的子系统共同构建形成企业内部的 IT网络。子系统的所有权和使用权都有明确的归属，物理边界非常清晰，相应的安全解决方案也容易部署。但在云计算里，IT 资产大部分是“租用的”，资产的所有权、控制权以及企业选择服务、产品和技术模型的方式产生了根本性的变化，这对企业安全体系建设造成了巨大的影响。
（二）计算内容和技术的变化
云计算还带来了算力的变化和数据量的变化，这两个变化导致传统的安全机制在云上不再适用。算力方面以数据加密技术为例，20 年前一台标准的服务器破解信息摘要加密算法（MD5）的次数基本是每秒几千次到万次左右，所以 MD5在 20 年前是比较安全的算法，但是今天一台普通的台式机通过图形处理器（GPU）加速技术，破解 MD5 加密的速度已经达到每秒钟 55 亿次以上，算力比过去提高了上千万倍，这会导致传统安全的机制由于算力的大幅提升而失效。另外数据量的增大也对安全机制会产生影响，仍然以数据加密技术为例，如果是对一个较少的数据加密，加密的时间、成本和性能的影响可以忽略不计，如果到了 T 级、P 级，加密时长要达到几分钟、几个小时甚至几天，在实际的业务运行环境中是无法接受的。
（三）基础设施和应用架构的变化
云时代各种新技术不断涌现，例如扁平化的架构、虚拟化技术的应用，以及普遍存在的分布式机构、异构计算、服务的抽象化等，这些技术都会导致不管是攻击面还是攻击路径，云安全都会呈现更复杂的状态。
传统的 IT 系统建设周期很长，从半年甚至长达几年时间，系统的整个生命周期可能有几年到几十年的时间。面对生命周期很长的 IT 系统，安全建设可能是按一年的周期来做整个系统的风险评估，按月为单位做漏洞扫描，按月或者季度进行系统的补丁管理。安全工作有着严格的流程，可以按部就班进行滚动周期的管理。但在云计算里，我们面临的是一个高速、持续变化的环境。例如，无服务器（Serverless）技术的应用带来的结果是，在云上搭建一个 Serverless 应用的时间只要 3 毫秒，而一个 Serverless 实例最短生命周期是100 毫秒。如果是一个 Serverless 应用实例存在漏洞，导致被攻陷、被入侵，整个攻击事件的生命周期可能只有百毫秒的时间。当前的云上有大量类似的技术在应用，每秒都有大量的实例被拉起、消亡，恶意代码攻击可能就在其中流转消除。在云上，我们面临的是动态以及迅速变化的生命周期模型，面临着持续性对抗的环境，没有新的技术进行监控和防范，可以说传统的静态或者长周期的安全机制是完全失效的。
