淺友們好~我是史中，我的日常生活是開撩五湖四海的科技大牛，我會(huì)嘗試用各種姿勢(shì)，把他們的無邊腦洞和溫情故事講給你聽。如果你想和我做朋友，不妨加微信（shizhongmax）。

“凡人”生死阿里云

文｜史中

（零）“平凡人”的世界

2024 年 4 月的一個(gè)晚上，鐵柱躺在床上刷手機(jī)，突然看到羅永浩在直播間帶貨“阿里云”。

他彈起來了，99 塊租一年云主機(jī)，這便宜不占白不占！

鐵柱是一個(gè)平凡的人，生在平凡的小城，上了一個(gè)平凡的破班。但他不甘平凡，業(yè)余時(shí)間學(xué)了點(diǎn)兒編程，最近正準(zhǔn)備開發(fā)個(gè)小游戲試試。

鐵柱摸著石頭上云，沒幾天，就把游戲鼓搗上線了。他像上帝造完人間一樣，心滿意足地睡覺，夢(mèng)見了獅子。

可是，世界卻對(duì)這個(gè)平凡人張開了獠牙。

第二天一早，他打開電腦，看到了一條提醒——他剛在阿里云預(yù)存的幾千塊錢都被扣光了！

仔細(xì)看，自己的賬戶名下開出了好多虛擬機(jī)，里面跑著亂七八糟的程序，就像一堆蟲子蠶食著自己的云資源。

鐵柱的世界瞬間靜音了。

他被黑客攻擊了?。?/p>

鐵柱趕緊清理云主機(jī)的系統(tǒng)。上網(wǎng)一查，才知道很多小白開發(fā)者都有和他一樣的遭遇：

原來，調(diào)用云主機(jī)需要用到密鑰，叫做 AccessKey，簡(jiǎn)稱 AK——它好比進(jìn)入云上房間的鑰匙。

鐵柱是個(gè)自學(xué)的小白開發(fā)者，沒啥安全意識(shí)，為了方便就把 AK 直接給寫在代碼里了。

更要命的是，他還把代碼傳上了 GitHub。這就像是把鑰匙直接插在門鎖上睡覺，妥妥的夜不閉戶呀。。。

鐵柱坐在原地，慢慢消化著眼前的事實(shí)：未來幾個(gè)月的豬腳飯長(zhǎng)出翅膀越飛越遠(yuǎn)。

云像一座天空之城。

鐵柱剛剛滿懷憧憬搬到這座城池，有了自己的一間房半頃田，卻因?yàn)橐粋€(gè)低級(jí)失誤，被劫匪趁夜洗劫一空。

他委屈?？沙浅睾泼欤h(yuǎn)到深宅大院，近至鄉(xiāng)鄰小宅，重重暮靄之后，誰愿駐足聽他的呼喊呢？

歡迎來到平凡人的世界。

（一）平凡人助平凡人

鐵柱的故事，是鄭雅敏講給我的。

作為阿里云業(yè)務(wù)安全團(tuán)隊(duì)的隊(duì)長(zhǎng)，他每天目睹這些疾苦，反而長(zhǎng)嘆“天涼好個(gè)秋”。

故事還得從 2023 年說起。

那年，為了讓中小開發(fā)者體驗(yàn)云上開發(fā)的便利，阿里云豪橫地補(bǔ)貼了很多優(yōu)惠劵。

幾十萬開發(fā)者像超市大媽搶雞蛋一樣慕名而來，因?yàn)榕渲酶?，甚至有人租下服?wù)器在上面玩《幻獸帕魯》。

玩游戲當(dāng)然不是云計(jì)算的標(biāo)準(zhǔn)打開方式，但它難掩一個(gè)洶涌的事實(shí)：云計(jì)算作為人類繼水電之后的新一項(xiàng)基礎(chǔ)設(shè)施已經(jīng)瓜熟蒂落，正離別廟堂，飛入尋常百姓家。

小開發(fā)者通常就像鐵柱一樣，日常跑一兩臺(tái)主機(jī)，在上面維護(hù)些代碼或存儲(chǔ)企業(yè)數(shù)據(jù)；他們也像鐵柱一樣，沒什么保護(hù)自己云上家園的安全意識(shí)。

雖然，他們?nèi)司彝剿谋凇@些代碼和數(shù)據(jù)的價(jià)值不大，就像咱們出去旅游拍的照片，小偷偷走也賣不掉嘛。。。

但是，別小瞧壞人的智商，他們有一萬種方法犯壞。

剛才說過，用戶管理自己的云計(jì)算賬戶的密鑰，叫做AK（AccessKey），這串字符在黑客眼里可是“財(cái)富密碼”。

他把 AK 偷去，就能偽裝成用戶來對(duì)云上資源進(jìn)行利用。

比如，他可以把你的數(shù)據(jù)加密，然后跟你要錢，畢竟這些數(shù)據(jù)對(duì)他沒用，對(duì)你來說可能是很珍貴的。

比如，他可以在你的機(jī)器里植入虛擬幣挖礦程序，用你的機(jī)器幫他走上財(cái)富自由之路。

比如，如果你的云主機(jī)太少，他嫌財(cái)務(wù)自由的速度太慢，還會(huì)“幫”你多開幾臺(tái)云主機(jī)。

沒錯(cuò)，都是些 LowB 的利用方法。

但這種下流的招式造成的損失是很大的。黑客利用程序批量開設(shè)主機(jī)，一天花出去幾萬塊錢很正常。

那。。。沒辦法把黑客捆在樹上打么？

其實(shí)這么多年，阿里云練就了一套完善的云上安全體系，機(jī)槍火炮一應(yīng)俱全，可以擊退魑魅魍魎。

但問題是，作為一個(gè)云上的“平凡人”，一生不識(shí)干戈，又怎么會(huì)用這些武器保護(hù)自己呢？

莫說用武器還擊了，很多人就像鐵柱那樣直接把主密鑰寫死在代碼里，上傳 GitHub。

直接送人頭，黑客不取吧。。。都對(duì)不起自己的職業(yè)操守。

鄭雅敏告訴我，現(xiàn)在的黑客組織已經(jīng)不是我想的那種手持鐮刀割韭菜，而是開上了“聯(lián)合收割機(jī)”：

他們創(chuàng)造了自動(dòng)化工具，每時(shí)每刻都在對(duì) GitHub 進(jìn)行掃描。只要有人不小心把 AK 傳到 Github 上，黑客分分鐘就能拿到。

轉(zhuǎn)眼間，黑客已經(jīng)用自動(dòng)化工具進(jìn)入了你的云賬戶，幫你開好云主機(jī)，架設(shè)挖礦程序，賬戶里已經(jīng)開始進(jìn)賬了。。。

平凡人從“犯錯(cuò)”到被“收割”，從歲月靜好到墮入谷底，只是眨眼間的事情。

這是怎樣一種兇險(xiǎn)。

提問：在這些悲劇里，阿里云有什么責(zé)任呢？

最簡(jiǎn)單的回答是：沒責(zé)任。云上責(zé)任有一個(gè)成熟的劃分標(biāo)準(zhǔn)，用戶買了云主機(jī)，阿里云把 AK 交付給用戶，這個(gè)時(shí)候保護(hù) AK 的責(zé)任就 100% 轉(zhuǎn)移到了用戶身上。

其實(shí)打個(gè)比方就容易理解了。

你買了一張手機(jī)卡，被騙子詐騙了，電信運(yùn)營(yíng)商有責(zé)任嗎？

房東租給你房子，你把鑰匙插在鎖眼上，小偷把東西偷走了，房東有責(zé)任嗎？

問題是，人生活在世界上，不是為了分清責(zé)任，而是為了更好地活著！

你想想看，租戶和房東作為兩個(gè)守法的好人，在正常運(yùn)轉(zhuǎn)的商業(yè)陣線中本是戰(zhàn)友。一旦壞人得逞，侵犯了租戶的權(quán)利，好人這一方的“共同體”就已經(jīng)潰敗。此時(shí)是不是房東的責(zé)任，又能怎樣呢？

換句話說：如果租客出現(xiàn)被盜的事件，即便不是阿里云的責(zé)任，大家也會(huì)對(duì)云計(jì)算的模式產(chǎn)生動(dòng)搖，阿里云的“讓云計(jì)算成為水電一樣的基礎(chǔ)設(shè)施”的夢(mèng)想，難道不是最終、最大的受害者嗎？

鄭雅敏和團(tuán)隊(duì)伙伴，哪個(gè)不是現(xiàn)實(shí)世界里的平凡人呢？人同此心，不能坐視不管！

平凡人助平凡人。

也正是從 2023 年開始，阿里云安全團(tuán)隊(duì)的同學(xué)們絞盡腦汁，為無解的問題找姐：

在普通用戶連 AK 是啥都不知道的情況下，怎么才能保護(hù)他們的安全？

阿里云業(yè)務(wù)安全負(fù)責(zé)人鄭雅敏（左）和親密戰(zhàn)友阿里云高級(jí)安全專家黃昱愷（右）

（二）天空之城戍衛(wèi)隊(duì)

黑客利用自動(dòng)化工具，幾秒內(nèi)就能從 Github 上掃描到泄露的 AK，難道老師傅有什么辦法比他們丫的更快嗎？

估計(jì)有人猜到了——直接找 GitHub 合作，行不行？

AK 上傳代碼庫，第一個(gè)看到的人是誰？肯定是 GitHub 啊，理論上他們可以瞬間掃描出敏感信息泄露。只要是阿里云的，就對(duì)接過來，阿里云這邊馬上對(duì)這個(gè) AK 實(shí)行限制！

整個(gè)過程也是幾秒搞定！

你看，高手過招根本不給你看清楚的機(jī)會(huì)，都是電光火石分勝負(fù)。老師傅只需要比黑客快一點(diǎn)點(diǎn)，阿里云城池中的黎民百姓就被金鐘罩給保住了呀！

就像醬↓↓↓

是的，老師傅先從 GitHub 得到消息，先出招兩秒，就相當(dāng)于“開掛”。但你黑客還別說我是掛逼，你跟 GitHub 合作一個(gè)試試？

好人壞人都可以是聰明人。但善良的人，永遠(yuǎn)有機(jī)會(huì)比惡人獲得更多的幫助。

這難道不是善惡天平最重要的那顆砝碼么？！

鄭雅敏告訴我，這種情況下的限制，不是封禁所有權(quán)限，主要是限制它做“大動(dòng)作”，例如開好多云主機(jī)，或者刪改代碼。

畢竟不能百分百確定它已經(jīng)被壞人利用，直接封禁就“極限一換一”了，影響太大。

但即使是這樣，這位客戶正常的操作也會(huì)受到影響，不能就這么不管了——老師傅還得“善后”：

限制之后，第一時(shí)間要通知用戶，讓他趕緊換鎖芯（換 AK）！

通知是個(gè)常規(guī)操作，主要是以站內(nèi)信和短信的形式發(fā)出的。

但在 2024 年以前，這個(gè)通知默認(rèn)用戶是有專業(yè)背景的管理員，大概就是：你的 AK 泄露了，請(qǐng)盡快處理！

就像這樣↓↓↓

（點(diǎn)擊可以看大圖）

但對(duì)于本來就不知道 AK 是啥的非專業(yè)客戶，這個(gè)提醒等于——沒提醒。

那咋辦？

老師傅索性放下技術(shù)人的架子，把通知改成小白也能看懂的白話文。大概是：兄弟你危了！黑客可能要坑你錢刪你數(shù)據(jù)，我們暫時(shí)幫你頂住，你快去看看吧！

就像這樣↓↓↓

（點(diǎn)擊可以看大圖）

如果用戶收到信息還是沒采取行動(dòng)，并且這個(gè) AK 已經(jīng)在做一些敏感動(dòng)作，那就真危險(xiǎn)了，可能是黑客動(dòng)手了。

遇到這種情況，老師傅的操作是：直接干電話過去，強(qiáng)行喊醒客戶！

只是這里有個(gè)小小小問題，黑客一般會(huì)選在后半夜動(dòng)手，這時(shí)用戶都睡得著著的，真是被“喊醒”的，難免會(huì)有起床氣。

迷迷糊糊沒聽明白的用戶，甚至?xí)对V客服。。。

阿里云云安全的老師傅們?cè)?2024 年 8 月上線了電話提醒，結(jié)果安全事件少了，可投訴量上去了。。。

投訴可是 KPI 毒藥啊，老師傅那可憐的績(jī)效岌岌可危，也是壓力山大。

有同學(xué)建議，要不咱們先暫停了電話提醒，別跟獎(jiǎng)金過不去啊。鄭雅敏腦海里出現(xiàn)了各種英雄人物，還是讓大家剛?。骸耙乾F(xiàn)在退縮，就他娘的前功盡棄了！”

當(dāng)然，只這么硬剛也不是長(zhǎng)久之計(jì)。

老師傅們知道，客戶感覺不好，肯定還有自己的責(zé)任：

一來，事發(fā)之前他們沒有受過系統(tǒng)的安全教育，不知道 AK 泄露意味著什么，事發(fā)時(shí)也就不理解老師傅的苦心嘛。 二來，整套云產(chǎn)品的設(shè)計(jì)不夠傻瓜，沒有一個(gè)好工具來幫他們保護(hù)自己的 AK。泄露了再補(bǔ)救，哪個(gè)能開心？

老師傅決定再往前走兩步。

他們先上線了一個(gè)“安全用云”專區(qū)，給大家科普 AK 是啥，還給大家講怎么設(shè)置子賬號(hào)，給子賬號(hào)分配“最小權(quán)限”，這樣哪怕泄露了，風(fēng)險(xiǎn)也是收斂的。

做好學(xué)習(xí)專區(qū)，馬上給大家發(fā)站內(nèi)信，招呼大家都過來看。

為了讓大伙兒有動(dòng)力學(xué)習(xí)，他們還把這些核心信息設(shè)計(jì)成了海報(bào)，用抽獎(jiǎng)的方法鼓勵(lì)公司的 IT 管理員打印出來，貼在辦公室墻上。

這樣一個(gè)人知道了，大家就都知道了。

也是相當(dāng)苦口婆心了。。。

這是大家貼在自己辦公室里的亞子。。。

至于工具，那是老師傅的專長(zhǎng)了。他們使用了一個(gè)叫做 KMS 的密碼輪盤。

你見過大學(xué)男生宿舍，四年都不換床單的狀態(tài)么？這個(gè)“密碼輪盤”就相當(dāng)于自動(dòng)幫男生換床單的意思。

簡(jiǎn)單來說就是，輪盤里存了一堆 AK，你懶你的，它自動(dòng)幫你輪換。

這樣的話，萬一哪個(gè) AK “天機(jī)泄露”了，沒關(guān)系，黑客利用的時(shí)候，天機(jī)已經(jīng)不是天機(jī)了。

你看到了沒，作為云計(jì)算的底座，要想保護(hù)小白租戶的安全，其實(shí)有很多事情可以做。說白了就是：

把小白用戶當(dāng)做自己的小老弟認(rèn)真對(duì)待。

鄭雅敏告訴我，他們給這種關(guān)系起了個(gè)高級(jí)名字，叫“安全共同體”。

大庇天下寒士，小白不會(huì)永遠(yuǎn)是小白。時(shí)光流逝，鐵柱也許會(huì)成為大佬，把云上的一畝地變成唐頓莊園。

如果那一天真的到來，他也需要自己拿起武器，守衛(wèi)家園。

有人要為他鑄劍。

（三）鑄劍師

我見到歐陽欣的時(shí)候，他剛剛從巴黎奧運(yùn)會(huì)回來。

他是中國(guó)隊(duì)的一員悍將，但獎(jiǎng)牌榜上沒他。因?yàn)樗辉凇爸袊?guó)運(yùn)動(dòng)員隊(duì)”，而在“中國(guó)老師傅隊(duì)”。

說起來，他所在的阿里云也是奧運(yùn)會(huì)的“老選手”了，從 2018 年起，已經(jīng)給兩屆冬奧會(huì)和兩屆夏奧會(huì)輸出了數(shù)字基礎(chǔ)設(shè)施，全世界觀眾看到的畫面，很多都是由中國(guó)云計(jì)算底座轉(zhuǎn)播出去的。

但今年事情有些變化。。。

第一、姿勢(shì)變穩(wěn)了：云計(jì)算轉(zhuǎn)播量達(dá)到三分之二，一舉超越衛(wèi)星轉(zhuǎn)播，成為全世界觀眾觀看奧運(yùn)會(huì)的主流方式，真真賽博基建。 第二、壞人變狠了：全世界的黑客、黑產(chǎn)、黑惡勢(shì)力們，也不知道從哪兒齊齊地冒出來，用最新的手法瘋狂攻擊奧組委的云計(jì)算設(shè)施。

魍魎作祟，大圣西征。

阿里云的“戍衛(wèi)隊(duì)”在埃菲爾鐵塔下面擺開陣勢(shì)跟全世界黑客殺了個(gè)痛快。

這恐怕是最喧囂的戰(zhàn)爭(zhēng)地圖：

在賽博世界，阿里云產(chǎn)品線的每一個(gè)組件都能成為攻擊目標(biāo)； 在物理世界，阿里云全世界的每一個(gè)機(jī)房也都能成為攻擊目標(biāo)。

不過接下來的故事可能會(huì)讓愛看熱鬧的你失望：

阿里云的諸多技術(shù)大牛都去巴黎坐鎮(zhèn)，但后來發(fā)現(xiàn)，他們真就是“坐”鎮(zhèn)。

告警雖如彈雨一樣襲來，但云上戍衛(wèi)隊(duì)用機(jī)槍火炮一頓反擊，最后沒什么黑客攻進(jìn)來，也就沒什么真正的損失產(chǎn)生。

奧運(yùn)會(huì)轉(zhuǎn)播接著奏樂接著舞。正所謂：安全團(tuán)隊(duì)最大的存在感就是——沒有存在感。

但這件事極不平凡：

短短的疫情幾年，咱們眼睛一閉一睜沒啥變化，阿里云可是比以前（2018）大了四五倍。云上客戶系統(tǒng)的復(fù)雜度也翻了好幾倍。

復(fù)雜度變了，帶來一個(gè)關(guān)鍵問題：

保衛(wèi)幾幢大樓和捍衛(wèi)一座城池，區(qū)別不是多雇 100 個(gè)保安，多安 100 個(gè)監(jiān)控的事兒。

它們用到的武器、戰(zhàn)法完全不同，甚至用來驅(qū)動(dòng)這套保衛(wèi)體系的哲學(xué)都不能相同。

正式介紹下，歐陽欣和他所在的云安全產(chǎn)品團(tuán)隊(duì)，就是為之前提到的天空之城戍衛(wèi)隊(duì)鍛造重劍的，屬于是“賽博干將莫邪”。

但這兩年他們挺犯愁的：

過去老師傅做的都是那種“獨(dú)立的劍”，也就是把“安全產(chǎn)品”和“云計(jì)算服務(wù)”分開，各管一攤兒。

這是很合理的傳統(tǒng)。就像銀行里的保安大叔和柜員姐姐，本來就是兩個(gè)工種嘛！

你不能指望柜員全是春麗，坐下辦業(yè)務(wù)，起身揍歹徒啊。。。

但隨著云計(jì)算底盤越來越大，越來越復(fù)雜，師傅們發(fā)現(xiàn)這種“傳統(tǒng)設(shè)計(jì)”。。。過于傳統(tǒng)了。。。

一來，安全產(chǎn)品要和云計(jì)算主體之間把數(shù)據(jù)傳來傳去，數(shù)據(jù)一多，浪費(fèi)成本； 二來，云上用戶得在業(yè)務(wù)控制臺(tái)和安全控制臺(tái)兩頭切換，次數(shù)一多，精神分裂； 三來，不同產(chǎn)品各自為政，“柜員姐姐”發(fā)現(xiàn)疑點(diǎn)也不通知“保安大叔”，壞蛋鉆空子！

于是這兩年阿里云安全的老師傅們決定燥起來，主打一個(gè)：把安全產(chǎn)品巧妙地嵌入云計(jì)算本身的結(jié)構(gòu)里。

了解這些背景，你就會(huì)明白今年包括奧運(yùn)會(huì)在內(nèi)的眾多客戶的云上安全戰(zhàn)役，其實(shí)都是檢驗(yàn)老師傅“鑄劍”成果的重要考試來的。

而且我盲猜他們考得不錯(cuò)，面前的歐陽欣臉上掛著一種“雖然回家要種田，但能偷浮生半日閑”的笑容。

我趕緊揪住他問：老師傅究竟搞了啥黑科技嘞？

他沉吟片刻，說起了“滾滾紅塵”。。。

阿里云安全商業(yè)化總經(jīng)理歐陽欣

（四）隱入塵煙

云計(jì)算的天空之城，其中滿是“凡塵百態(tài)”。

你可能聽說過 CDN。

簡(jiǎn)單說，如果一家網(wǎng)站是“購物中心”，那么 CDN 就是它的“社區(qū)分店”。顧客想買東西，每次都去購物中心就太遠(yuǎn)了，從社區(qū)店拿貨比較近便。

“人間百態(tài)”怎么少得了反派？

這時(shí)小偷們登場(chǎng)了，準(zhǔn)備從購物中心里偷東西。

商場(chǎng)需要安裝一套門禁裝置，里面內(nèi)置了黑名單（各類小偷的模樣和特征）。普通顧客刷臉就能進(jìn)，記錄在案的壞人一刷臉，門就不會(huì)開。

這套門禁裝置就叫 WAF（Web 應(yīng)用防火墻）。

問題來了：

過去，門禁系統(tǒng)是獨(dú)立于商場(chǎng)部署的。每次有人去買東西的時(shí)候，商場(chǎng)都得把這個(gè)客戶的信息傳到門禁系統(tǒng)那里那過一下，傳回來這個(gè)人沒問題，再開門放行。

對(duì)于購物中心（主站）來說，這種查詢還比較近便?？蓪?duì)于“偏遠(yuǎn)”的社區(qū)店（CDN）來說，數(shù)據(jù)就得來個(gè)折返跑。

顧客少的時(shí)候也湊合，顧客越多，查詢的流量就越大，越不劃算。

這張圖就是數(shù)據(jù)來回跑的尷尬。

怎么辦？

你可能會(huì)支招：讓門禁系統(tǒng)也在各個(gè)便利店里開上個(gè)“分店”——把 WAF 裝進(jìn)每一個(gè) CDN 里不就行了？

但是細(xì)節(jié)里有魔鬼。

比如新發(fā)現(xiàn)了一個(gè)犯罪團(tuán)伙，他們的信息加入了黑名單。但不止要 WAF 的中心節(jié)點(diǎn)更新，CDN 里的 WAF “分身”也要同步才行。

CDN 本身的信息刷新是有周期的，相當(dāng)于每隔半天才有一輛運(yùn)貨車。

WAF 信息更新得搭著 CDN 節(jié)點(diǎn)內(nèi)容刷新的便車一起完成。

你發(fā)現(xiàn)了沒，這里核心問題不是技術(shù)有多難，而是單獨(dú) CDN 和 WAF 誰都搞不定。

兩個(gè)團(tuán)隊(duì)得“聯(lián)名”設(shè)計(jì)才行。

原本云產(chǎn)品和云安全產(chǎn)品就像柜員姐姐和保安大叔那樣各忙各的，但事到如今，為了云上客戶安全的整體性，必須得合體。

兩支團(tuán)隊(duì)在一起做了一些測(cè)試，嚇了一跳：合體之后竟然能節(jié)省這么大的計(jì)算力，給客戶提供那么多便利，這個(gè)事兒干晚了呀！

把黑名單直接放進(jìn)“社區(qū)店”，檢查的速度就快多了。

同樣的“聯(lián)名款”，安全產(chǎn)品和數(shù)據(jù)庫團(tuán)隊(duì)也搞了起來。

那是 2023 年的一天，歐陽欣看到了一個(gè)老哥寫的公眾號(hào)文章，心驚肉跳。

寫了啥呢？

話說，很多行業(yè)都要求對(duì)數(shù)據(jù)庫進(jìn)行“安全審計(jì)”，比如敏感數(shù)據(jù)都有哪些？存在哪里？過去一段時(shí)間有誰動(dòng)數(shù)據(jù)了？

但審計(jì)本來是安全團(tuán)隊(duì)開發(fā)的獨(dú)立產(chǎn)品。數(shù)據(jù)存到數(shù)據(jù)庫的時(shí)候它管不著，客戶需要審計(jì)結(jié)果的時(shí)候，審計(jì)產(chǎn)品才能去數(shù)據(jù)庫里掃描一遍數(shù)據(jù)。

像醬↓↓↓

這哥們吐槽的就是這個(gè)問題：

你的審計(jì)本來可以在數(shù)據(jù)存儲(chǔ)的時(shí)候就做好，為啥要最后單刷一遍？

歐陽欣本來想給作者留言解釋一下這兩個(gè)產(chǎn)品分屬兩個(gè)團(tuán)隊(duì)，但寫到一半，直接全刪了。。。

反手他就把這篇文章轉(zhuǎn)給了數(shù)據(jù)庫團(tuán)隊(duì)的負(fù)責(zé)人李飛飛，問他敢不敢干票大的——把安全產(chǎn)品直接塞進(jìn)數(shù)據(jù)庫。

之所以要壯著膽子，是因?yàn)閿?shù)據(jù)庫是云計(jì)算上最精密的組件，它像人的大腦，非常柔軟脆弱，最好是放在腦殼里好好保護(hù)。（這個(gè)我在里有詳細(xì)的介紹）

可是安全團(tuán)隊(duì)現(xiàn)在卻要在腦中植入一個(gè)“芯片”，相當(dāng)于開顱手術(shù)啊！這玩意兒，數(shù)據(jù)庫團(tuán)隊(duì)不僅要相信安全團(tuán)隊(duì)的手術(shù)技術(shù)，還得對(duì)自己的“體質(zhì)”有點(diǎn)信心才行吧？

壓力給到李飛飛。

多說一句，李飛飛當(dāng)年回國(guó)加入阿里，是從學(xué)界跳進(jìn)工業(yè)界的，鑒于很多背景類似的人水土不服，大家也多少為他捏把汗。

不過回顧李飛飛接手阿里云數(shù)據(jù)庫的操作，我覺得他的信條就是：“一切技巧在絕對(duì)實(shí)力面前都不堪一擊”。

阿里云的數(shù)據(jù)庫對(duì)新技術(shù)的采用都不拖泥帶水，在全球的友商中成了一騎絕塵的六邊形戰(zhàn)士。

歐陽欣以為李飛飛多少會(huì)覺得“開顱手術(shù)”冒險(xiǎn)，沒想到李飛飛早就想好了：“做數(shù)據(jù)庫我們專業(yè)，做安全你們專業(yè)，歡迎把代碼放進(jìn)數(shù)據(jù)庫！”

就這樣，兩支團(tuán)隊(duì)開始兵合一處。

高手過招，只需君子協(xié)定。他們商量好：誰的孩子誰管。誰的代碼誰看，誰的代碼寫得垃圾，萬一造成事故，要出來扛責(zé)任！拉鉤上吊，不許耍賴！

技術(shù)挑戰(zhàn)是最好的興奮劑，兩撥師傅越戰(zhàn)越勇，甚至覺得僅僅把審計(jì)功能放進(jìn)來都不過癮了。

反正已經(jīng)把肚子劃開了，不如把能做的手術(shù)都做了。

舉個(gè)栗子，加密。

數(shù)據(jù)庫里的敏感數(shù)據(jù)幾乎都是以“列”的方式存在的，比如這一列都是身份證號(hào)或電話號(hào)?？蛻魹榱吮Ｗo(hù)他們的用戶隱私，經(jīng)常需要對(duì)數(shù)據(jù)庫某些列進(jìn)行加密操作。

原本這個(gè)功能也是外掛實(shí)現(xiàn)的：加密模塊掃描數(shù)據(jù)庫，然后統(tǒng)一加密。

就像這樣↓↓↓

現(xiàn)在，數(shù)據(jù)庫把底層架構(gòu)開放給了安全團(tuán)隊(duì)，加密模塊融合進(jìn)來，數(shù)據(jù)落盤的時(shí)候就能直接加密。

這樣不僅去掉了重復(fù)計(jì)算，而且數(shù)據(jù)完全沒有明文存儲(chǔ)的那一瞬間，理論上來說安全性大大提高。

看到這你也許會(huì)吐槽：說得這么熱鬧，不就是團(tuán)隊(duì)搞搞合作嘛！

如果你站在安全團(tuán)隊(duì)的角度思考，這個(gè)決定相當(dāng)不容易。

人都希望自己的孩子自己養(yǎng)，現(xiàn)在把安全模塊打散塞進(jìn)其他產(chǎn)品里，就像是把孩子送到別人家，心里的難受可想而知。

不過歐陽欣告訴我：“這些事兒他們糾結(jié)過，但想通了。如果總不想麻煩，不想吃虧，最后產(chǎn)品原地踏步，吃虧的只有阿里云上的普通用戶?！?/p>

說到底，云上的凡人要的是“安全”，而不僅僅是安全產(chǎn)品。

安全產(chǎn)品和 CDN、數(shù)據(jù)庫的協(xié)作，只是這場(chǎng)轟轟烈烈變革中的幾個(gè)鏡頭。

俯瞰大地，安全就這樣被打散揉碎，隱入塵煙，隱入云計(jì)算這座入恢弘的天空之城。

上帝關(guān)上一扇門，總會(huì)打開一扇窗。

很快團(tuán)隊(duì)發(fā)現(xiàn)：隱入云計(jì)算的“塵煙”雖要付代價(jià)，但驚喜也像盲盒一樣被接連開出來。

有些以前干不了的事情，突然能干了！

（五）把數(shù)據(jù)敲骨吸髓

格局與責(zé)任有關(guān)：

如果你是一個(gè)大廈的保安，那么只要看好房間和走廊的監(jiān)控； 如果你要守衛(wèi)一座城池，就得操心縱橫街道上的人流車流。

作為云計(jì)算提供商，阿里云無權(quán)也無法查看客戶傳輸?shù)募用軘?shù)據(jù)。

但作為云安全團(tuán)隊(duì)必須提供這種“城市路網(wǎng)監(jiān)控”的能力，讓客戶自己可以對(duì)網(wǎng)絡(luò)流量進(jìn)行安全審查。

這樣一套系統(tǒng)，學(xué)名叫 NDR（網(wǎng)絡(luò)檢測(cè)響應(yīng)系統(tǒng)）。

在網(wǎng)絡(luò)上布置一些“攝像頭”，聽起來好像也沒什么，就跟我們道路上的攝像頭一樣嘛。

不過在云上城池，這件事情異常復(fù)雜。因?yàn)檫^去幾年，阿里云做了一件大事——全面上云。其中重要的一步就是把所有的物理網(wǎng)絡(luò)替換成了虛擬網(wǎng)絡(luò)。

虛擬網(wǎng)絡(luò)主打一個(gè)“虛”，用戶只能看到數(shù)據(jù)的邏輯走向，實(shí)際走的哪根電纜是不一定的。這樣做的好處是，網(wǎng)絡(luò)永遠(yuǎn)可以自主選擇最好最快的路徑來調(diào)度，不會(huì)因?yàn)閱吸c(diǎn)故障而降速、斷網(wǎng)。

如果云上城池的路網(wǎng)是固定的，攝像頭就好布置。

現(xiàn)在可好，代碼一笑，生死難料，“黑客帝國(guó)”里的道路可以瞬間重構(gòu)，親媽都不認(rèn)識(shí)，你說這個(gè)攝像頭該怎么布置？

這種情況下，安全系統(tǒng)反而*不得不*深入云的基礎(chǔ)設(shè)施。

安全團(tuán)隊(duì)需要拿到那張實(shí)時(shí)更新的“云上地圖”：

不怕網(wǎng)絡(luò)變化多，只要你肯跟我說。

云安全和云網(wǎng)絡(luò)兩支團(tuán)隊(duì)把 NDR 系統(tǒng)和網(wǎng)絡(luò)負(fù)載均衡系統(tǒng)（GWLB）在數(shù)據(jù)層面對(duì)接。

最終效果是：

無論何時(shí)，用戶只要點(diǎn)一下授權(quán)， 就像對(duì)著錯(cuò)綜虛空發(fā)射了一顆照明彈，賽博空間瞬間被照亮，魑魅魍魎無所遁隱。

說到這，也許你已經(jīng)發(fā)現(xiàn)：這座云上城池雖然變幻多端，但描繪、理解、保衛(wèi)它并非不可能。

歸根結(jié)底要靠——數(shù)！據(jù)！

當(dāng)你擁有的數(shù)據(jù)維度更多，數(shù)據(jù)更豐富，真相就會(huì)如泉水一樣涌現(xiàn)。

都說數(shù)據(jù)是石油。它一直在那，不增不減，但你技術(shù)不夠，還真就沒辦法“冶煉”它。

影響數(shù)據(jù)發(fā)揮作用的大敵，其實(shí)是數(shù)據(jù)格式的不統(tǒng)一。

歐陽欣告訴我，就在幾年前，安全產(chǎn)品之間的數(shù)據(jù)也是無法打通的。因?yàn)樵谠O(shè)計(jì)之初，它們是不需要交互的，各自定義自己的數(shù)據(jù)格式就好。

這個(gè)歷史遺留特性成了后來的“技術(shù)債”。

2023 年，安全產(chǎn)品團(tuán)隊(duì)下功夫還債，已經(jīng)把安全產(chǎn)品內(nèi)部的數(shù)據(jù)全部連通。

即便這樣，還嫌數(shù)據(jù)不夠多。

哪里的數(shù)據(jù)最多？其實(shí)不是安全系統(tǒng)，而是業(yè)務(wù)系統(tǒng)。

還拿銀行打比方吧：

安全系統(tǒng)的數(shù)據(jù)就是“誰來了、誰走了、誰的行為可疑”，業(yè)務(wù)系統(tǒng)的數(shù)據(jù)是“誰存了多少錢、取了多少錢”。

業(yè)務(wù)數(shù)據(jù)本不是為了做安全而設(shè)計(jì)的，但中間隱匿著大真相，能為安全所用。

目前安全和業(yè)務(wù)的主要數(shù)據(jù)已經(jīng)打通，相當(dāng)于兩重地圖疊交曝光，斷點(diǎn)可以連成真相。

這就是阿里云安全的獨(dú)門絕技——云上態(tài)勢(shì)感知。

怎么個(gè)感知法呢？

舉個(gè)例子吧：

在中，我詳細(xì)講過，淘寶、天貓、閑魚等等阿里的服務(wù)，是黑產(chǎn)眼里的“香香礦”，每時(shí)每刻都會(huì)有無數(shù)人想盡辦法薅羊毛、賣假貨、盜信息。

而阿里巴巴當(dāng)然是阿里云的最大客戶，在和敵人交戰(zhàn)的過程中，阿里云安全每時(shí)每刻都在好幾張地圖上積累數(shù)據(jù)。

比如各種設(shè)備、各種身份、各種 IP，還有它們之間的行為關(guān)系等等。

關(guān)系復(fù)雜到了什么程度呢？靠人力已經(jīng)完全無法看懂其中的關(guān)聯(lián)。那腫么辦？還得上獨(dú)門絕技。

這就是“圖計(jì)算”。

圖計(jì)算可謂是數(shù)據(jù)分析技術(shù)皇冠上的明珠。

簡(jiǎn)單來說，它可以同時(shí)分析萬億個(gè)邊、點(diǎn)的關(guān)系，追溯出一條攻擊鏈條。

頂級(jí)黑客好似武林高手，最懂得“大隱隱于市”：

一個(gè)攻擊動(dòng)作雖然無法避免被記錄下來，但通常會(huì)隱匿在幾十萬個(gè)類似的正常動(dòng)作中。安全調(diào)查的時(shí)候，極難把那些隱匿的動(dòng)作關(guān)聯(lián)起來。

而圖計(jì)算就是這種混沌塵煙里的照妖鏡?？此撇唤?jīng)意的操作，只要實(shí)際上相互勾連，就都可以被搜索出來。

正所謂要想人不知除非己莫為。

追溯攻擊鏈條是重要的一步，但不是全部。

更重要的是，你要在鏈條上發(fā)現(xiàn)黑客使用的漏洞，以及黑客現(xiàn)在所處的位置，及時(shí)擋住他移進(jìn)一步移動(dòng)的“裂縫”。

這里就是 AI 的用武之地了。

當(dāng)企業(yè)的安全運(yùn)營(yíng)人員看到告警時(shí)，如果不明白告警的意思，就可以讓安全中心的 AI 助手來解釋一下； 發(fā)現(xiàn)了某個(gè)腳本，不知道是干嘛的，也可以讓助手幫忙解讀。

原來需要半個(gè)小時(shí)的研判，在 AI 的幫助下能干到一分鐘以內(nèi)。

這樣就能大大提高追趕和攔截黑客的速度。

你看，在圖計(jì)算和 AI 的加持下，數(shù)據(jù)被“敲骨吸髓”。

如果沒有安全產(chǎn)品和云計(jì)算本身的深度融合做基礎(chǔ)，這一切都無法發(fā)生。

歐陽欣回憶，最近幾年在重點(diǎn)網(wǎng)絡(luò)攻防演練中，阿里云作為防守方，因?yàn)椤捌齐搿焙苌伲瑢?dǎo)致攻擊隊(duì)根本不計(jì)劃攻擊阿里云了。

因?yàn)榫瓦@么短的時(shí)間，打別人更容易得分，為啥要啃硬骨頭？

正所謂：善戰(zhàn)者無赫赫之功。

嗯，多少帶點(diǎn)兒凡爾賽。

（六）重劍與溫柔

2024 年的云棲大會(huì)，阿里云安全團(tuán)隊(duì)宣布了一個(gè)重磅消息：

諸多云上武器對(duì)中小客戶免費(fèi)開放！

比如 AK 泄露的檢測(cè)、漏洞的掃描和檢測(cè)、挖礦病毒檢測(cè)、5G 以內(nèi)的 DDoS 防護(hù)，這些云上最常發(fā)生的攻擊都是“免費(fèi)低?！钡囊徊糠帧?/p>

不過免費(fèi)還是要力所能及，真正健康可持續(xù)的生態(tài)不是拒絕收費(fèi)，而是要用各種方法不斷把成本降低。

“降低成本”是云計(jì)算的看家本領(lǐng)。安全和云的深度融合，恰似騎上這匹白馬。

加持之一就是——資源的規(guī)模效應(yīng)。

阿里云安全產(chǎn)品負(fù)責(zé)人祝建躍告訴我?！霸粕鲜l(wèi)隊(duì)”有一項(xiàng)服務(wù)，就是幫助客戶來做“防勒索病毒服務(wù)”。

簡(jiǎn)單來說有這么幾步：

1、把云上的重要數(shù)據(jù)進(jìn)行備份，一旦遇險(xiǎn)能夠還原。 2、在云主機(jī)上布置反勒索軟件，一旦發(fā)現(xiàn)勒索病毒和非正常加密活動(dòng)，就采取阻斷。 3、派安全人員定期巡檢，查看最新變動(dòng)的資產(chǎn)是否被安全系統(tǒng)覆蓋。

這里的第三步是成本最高的，因?yàn)橐嫒巳パ膊椤?/p>

但是！如果在云上，大量客戶可以遠(yuǎn)程共享同一個(gè)安全人員的工作，相當(dāng)于一個(gè)宿管巡邏整個(gè)宿舍樓，人力成本就會(huì)大大攤薄。

“假設(shè)用戶需要花 10 塊錢來購買云上防勒索系統(tǒng)，現(xiàn)在只要再加十分之一的成本，也就是 1 塊錢，就可以購買安全運(yùn)營(yíng)人員幫你使用這些系統(tǒng)的服務(wù)。”

祝建躍說。

云還有另一大加持——超強(qiáng)的彈性。

當(dāng)一個(gè)應(yīng)用突然爆火，云上系統(tǒng)需要從一臺(tái)服務(wù)器到幾萬臺(tái)服務(wù)器。這就像你的飯店突然涌入很多食客，后廚從一口鍋直接增加到一萬口鍋。

云計(jì)算本身“彈”起來可能只需要幾秒鐘，但如果相應(yīng)的安全保護(hù)系統(tǒng)沒有同步彈起來，就像綠巨人變身，衣服都撐破了，這些云上負(fù)載不就被迫處于“裸奔”狀態(tài)了嗎？

和云融合后的安全系統(tǒng)，二者可以同步擴(kuò)容。

更重要的是，當(dāng)搶購結(jié)束，安全產(chǎn)品也可以和云計(jì)算同時(shí)縮容量，成本瞬間消減。

凡此種種，都在讓更多云上的眾生可以一點(diǎn)點(diǎn)理解云安全的意義，接近云原生安全的方式，并有機(jī)會(huì)得到重劍的護(hù)佑。

云上城池，煙波浩渺，那些窗口密密麻麻，彼此難辨；但走到近處，一磚一瓦對(duì)于“鐵柱”來說都意義重大。

拼力守護(hù)最多數(shù)人的生活，是一群平凡人對(duì)另一群平凡人至深的溫柔。

說到這，歐陽欣想起了一件“小事”。

一個(gè)美國(guó)著名品牌經(jīng)常發(fā)售限量版的運(yùn)動(dòng)鞋。前兩年他們剛對(duì)中國(guó)用戶開放搶購，但每次都引來大批黃牛，經(jīng)常是正常消費(fèi)者還沒點(diǎn)進(jìn)去，網(wǎng)站已經(jīng)被黃牛給擠垮了。

品牌的中國(guó)區(qū)團(tuán)隊(duì)經(jīng)過研判，建議試試用阿里云的 WAF 來攔截黃牛。

可他們卻受到了總部的質(zhì)疑：我們美國(guó)的網(wǎng)絡(luò)安全產(chǎn)品世界第一，為啥不用？

為了打破尷尬的場(chǎng)面，中國(guó)區(qū)只好組織了一場(chǎng)“比武招親”，讓中外各家網(wǎng)絡(luò)安全產(chǎn)品都來測(cè)試，看看誰攔截得最好。

在一開始，阿里云 WAF 的表現(xiàn)并不驚艷，總會(huì)漏過，該攔不攔。但老師傅很快意識(shí)到，這是因?yàn)閷?duì)這波專門買鞋的羊毛黨不夠熟悉導(dǎo)致的。

數(shù)據(jù)！此處要有數(shù)據(jù)！

老師傅和這個(gè)品牌的安全團(tuán)隊(duì)深聊幾次，把針對(duì)運(yùn)動(dòng)鞋的羊毛黨特征數(shù)據(jù)注入 WAF，強(qiáng)大的數(shù)據(jù)挖掘機(jī)器開始運(yùn)轉(zhuǎn)，攔截準(zhǔn)確率起飛。

最后，無論是對(duì)羊毛黨的攔截，還是在云上伸縮的速度，還是在性價(jià)比方面，都拿了第一。美國(guó)總部看到數(shù)據(jù)，已經(jīng)找不到不使用阿里云 WAF 的理由了。

這正是千萬中國(guó)產(chǎn)品的故事藍(lán)本，它們?cè)趪?guó)際上沒有口碑，甚至備受質(zhì)疑，要想贏得勝利，只能靠絕對(duì)的實(shí)力和削尖腦袋拼殺。

祝建躍告訴我，這幾年團(tuán)隊(duì)一直在努力補(bǔ)齊云安全產(chǎn)品的英文文檔。

阿里云安全的英文文檔

他們的愿望也樸素：

不僅讓國(guó)內(nèi)的阿里云用戶可以熟練使用阿里云安全，也讓海外的用戶也能夠嘗嘗中國(guó)的好東西，甚至其他品牌云的使用者也有機(jī)會(huì)享受阿里云安全的護(hù)佑。

站在此地回望，云計(jì)算大概穿越了三個(gè)時(shí)代：

2009-2016，云計(jì)算的成功考驗(yàn)的是對(duì)資源的管理調(diào)度。由此有了飛天和 5K。 2016-2022，云計(jì)算的成功在于對(duì)計(jì)算本質(zhì)的理解，由此有了神龍和 CIPU。 2022 年至今，云計(jì)算的成功考驗(yàn)的是對(duì)人深層需求的理解。由此云上才遷來了這么多平凡的用戶。

如此，我們可以更理解安全產(chǎn)品融入云的必然：

把安全的骨骼融化在云里，是為了把數(shù)據(jù)的價(jià)值再深榨取一滴，是為了把彈性的速度提高一級(jí)，是為了把安全產(chǎn)品的價(jià)格降低一點(diǎn)，為了云上的凡人們。

歷史時(shí)刻在提出“真問題”。但它從不明示，只是暗藏在萬千凡人的命運(yùn)走向中，等待被參悟。

“為平凡人鑄重劍”，或許是云安全的一個(gè)回答。

在云上做自己

總有人會(huì)愛你

再自我介紹一下吧。我叫史中，是一個(gè)傾心故事的科技記者。我的日常是和各路大神聊天。如果想和我做朋友，可以搜索微信：shizhongmax。

哦對(duì)了，如果喜歡文章，請(qǐng)別吝惜你的“在看”或“分享”。讓有趣的靈魂有機(jī)會(huì)相遇，會(huì)是一件很美好的事情。

Thx with in Beijing