隨著中小企業上云進程的加速，安全問題如影隨形，成為懸在企業頭頂的“達摩克利斯之劍”。數據泄露、網絡攻擊、系統故障等安全威脅不斷沖擊著企業的運營根基，給企業帶來巨大的經濟損失和聲譽損害。如何保障中小企業用云的安全性與穩定性，保障用戶在云端的數據主權、增強數據連續性和構建完善的災備體系顯得尤為關鍵。

在此背景下，阿里云策劃了一場關于云上安全的深度訪談欄目，匯聚阿里云內部眾多產品技術專家，攜手安全領域從業者，旨在通過全方位、多角度交流碰撞，揭示用云過程中的安全隱患與應對之道，幫助中小企業和云服務使用者安全“靠岸”。

首期節目邀請到的是阿里云彈性計算高級技術專家聶百川、阿里云彈性計算產品專家蘇忠煌，圍繞阿里云彈性計算團隊如何保障ECS用戶上云用云安全性、如何有效落地云上安全建設、ECS如何保障AI業務安全等維度展開。

• 云上用戶安全與ECS緊密相連

2024年7月12日，美國電信巨頭AT&T披露，其托管在Snowflake云服務公司的數據發生泄漏，涉及幾乎所有客戶，數量高達1.1億人。據悉，攻擊者主要是利用惡意軟件竊取設備上的憑據和敏感信息，再用獲得憑據對用戶的數據進行攻擊。

目前，采用公有云服務是很多企業數字化發展的“必經之路”。據國際研究機構Gartner發布最新預測，到2025年，全球終端用戶在公有云服務上的支出將從2024年的5957億美元增長至7234億美元，實現21.5%的增長。

隨著企業對云的需求越來越高，對云安全的要求也就越來越高。保障云上安全的關鍵在于云服務器。具體來看，目前云上用戶面臨著三個主要的關鍵問題和挑戰：數據安全、網絡安全和身份認證與權限管理。

在數據安全方面，云計算環境中，用戶的數據存儲在云端服務器上，這意味著數據的安全性完全依賴于云服務提供商的安全措施及保障，一旦云服務提供商的安全措施被突破，用戶的敏感信息就可能遭到泄露。

在網絡安全方面，常見的云安全攻擊類型包括DDoS、云儲存桶惡意攻擊、APT攻擊等。攻擊者通過攻擊，不僅可以阻礙云上用戶業務的正常運轉，還會對企業的網絡、系統及供應鏈造成破壞，帶來損失。

在身份認證與權限管理方面，云上用戶往往從一開始就沒有制定適當的身份戰略，而云的性質導致一方面用戶可以在安全邊界外訪問，另一方面還會向合作伙伴等提供訪問權限。一旦在身份認證與權限管理中存在疏忽，就會導致安全事件的發生。

可以看出，云上用戶安全與云服務器的各環節息息相關。對此，阿里云結合自身實踐和服務經驗，針對上述安全問題提出了解決方案。

• 圍繞ECS，阿里云提供了三道防線

阿里云始終強調，客戶在云上的業務安全，是ECS和客戶一起來承擔和共建的。從阿里云提出的責任共擔模型來看，云服務商提供云本身的安全，包括建設和保障云服務平臺、虛擬化系統、物理基礎設施及數據中心的安全；云上用戶負責云上的安全，包括數據安全、身份及權限管理、操作系統、網絡和防火墻以及數據加密和網絡流量保護。

在與用戶達成責任共擔的基礎上，阿里云也會將自身在安全領域上的沉淀，盡可能從產品功能或工具給到用戶。例如，把基于安全指導原則（安全左移、最小權限等）的最佳實踐給到用戶；在ECS的安全組和購買頁，提供可能的安全風險預警以及提供盡可能多的安全威脅檢測和通知能力，并提醒用戶進行風險治理。

目前，阿里云的ECS安全體系包括操作系統安全、網絡安全、數據安全、身份與訪問控制、應用安全等。針對數據安全，阿里云提供了云盤加密、鏡像加密以及VPC網絡默認加密等，這些功能可以滿足用戶在云上數據保護和數據規格方面的需求。此外，阿里云還提供了支持可信計算、機密計算實例和虛擬Enclave功能，可以滿足數據敏感、某些敏感行業合規、對應用和數據高水平保護的業務場景的需求，如數字錢包、區塊鏈、數據庫、憑據服務等。

針對網絡安全，阿里云提供了多類型的、經過安全加固的公共基礎鏡像，滿足用戶安全快速部署的需求。阿里云為用戶提供了可選地安裝云安全中心Agent和云助手，提供云主機防護和安全訪問、運維能力。此外，阿里云的接口還提供很多一鍵生效的安全特性控制開關（如自動快照等），提供了企業級分組分權管理的特性（資源組、TAG）等。并通過權限控制、配置合規控制和檢查能力，包括RAM Policy、ECS Insight、資源目錄、Control Policy等，這些能力幫助企業用戶正確、安全地使用和配置云資源的目的。

針對身份訪問和權限管理，阿里云通過Metadata實例身份證明、ECS角色扮演、基于vTPM的身份憑據保護，很好地緩解了相關風險。此外，阿里云對身份憑據泄露和使用泄露的憑據訪問云也做了監控和攔截能力。

通過卓越的安全技術架構、全面的安全體系、與用戶一同共建安全模型、提供易用的產品功能和工具、安全威脅檢測和通知能力，阿里云為用戶全方面提供了全面的安全保障。為了進一步服務用戶，提升用戶在云上的使用體驗和安全，阿里云還推出了“ECS 99套餐”，即便是安全小白，也可以通過“ECS 99套餐”提高上云用云期間的安全水平。

• 聚焦技術能力和安全保障，
• 阿里云的“ECS 99套餐”

2023年10月，阿里云推出了“ECS 99套餐”。據悉，“ECS 99套餐”以99元的價格為開發者提供1年的高性價比、高穩定的云端算力，并可續費3年，不到以往用云成本的四分之一。

對于“ECS 99套餐”，阿里云表示，云計算最大的優勢，是基于大規模實踐的公共云服務，任何客戶，不論大小，即使用戶購買的是最基礎的“ECS 99套餐”，都可以平等地享受昔日銀行、電信等大客戶才能花費巨量投資才可能享受到的技術能力和安全保障。

為了保障99實例的安全性，阿里云特地選擇了最小規格的設計，即從2核開始，避免因為CPU共享可能導致的數據泄漏問題。此外，無論是ECS側提供的安全能力、安全風險提示共擔以及自動化安全風險治理，默認都不收費。

除此之外，阿里云還以賦能的形式幫助用戶解決安全問題最大的痛點：可視化及自動化。其中，可視化指的是缺少安全相關的知識和經驗，對此，阿里云通過對賬戶的安全Quota管理，從而實現可視化。自動化指的是降低安全問題的治理難度，對此，阿里云采用了鏡像EOL到期以推動鏡像升級，提高了用戶的自動化能力。

• 圍繞新技術，ECS保障模型和數據泄露

目前，AI的發展快速驅動了企業對云的需求，因為AI本身需要大量的算力資源，企業需要大量部署或租用云服務，來為企業使用AI提供底層環境。然而，云上AI用戶最擔心模型和數據泄露的問題，在訓練（微調）階段需要企業私域數據，推理時需要檢索用戶數據，用戶提示詞也可能攜帶用戶的敏感信息。因此，保護這些流程中的數據安全就特別關鍵。

彈性計算承載了AI應用的基礎設施，因此，在計算、存儲、網絡的安全增強能力就很適用于AI的模型和數據保護場景。例如，阿里云通過加密CPU上模型計算期的數據，可以有效阻止越權訪問、側信道攻擊等攻擊方式。值得一提的是，阿里云表示基于GPU的機密計算已經在開發中。

對于基于容器的AI服務，阿里云提出可以使用安全容器runD來實現容器間更好地隔離，防止容器逃逸等攻擊，保護AI應用。此外，云上AI依賴的存儲服務如云盤、OSS、NAS、CPFS也都具有存儲加密的能力，可以保護存儲態的模型和數據安全。

在網絡方面，如果用戶選擇存儲加密，阿里云提供了從存儲機尾到計算機頭區間的網絡加密能力，用戶如果使用mTLS等應用層加密方案來保護內部服務間和對外的服務通信，就可以很完整地保護數據傳輸態的安全。

綜上所述，以上安全能力可以支撐上層AI服務，給用戶提供更安全的AI訓練和推理服務。即便部分機構要求數據不出私域，那么還有用戶專屬服務的方案，如靈駿、百煉一體機都可以部署到用戶自身的機房中。

• 結語：阿里云將繼續推動最小原則設計

由于ECS自身為多租環境，因此，供應商勢必要比云上用戶承擔更多的安全責任。對此，阿里云提出，會進一步保障用戶在云上數據存儲，計算、傳輸的安全性，避免任何可能的數據泄漏問題。

同時，阿里云還會推動最小原則設計，對各個資源的Quota進行管控以及對各個管控API的權限進行收斂。最后，阿里云還會持續和安全團隊進一步共建，提升最小原則設計權限管理、推動零信任架構的實踐。

• 下期預告

隨著企業對容器化應用依賴的加深，容器安全成為軟件供應鏈安全的薄弱環節。下期將為大家帶來容器安全專場，分享容器化帶來的開發與交付效率提升的同時，如何更好應對容器鏡像安全、運行時安全、配置安全、主機安全和供應鏈安全等方面的安全挑戰。