我今天講的是云工作負(fù)載安全的保護(hù)。因?yàn)樵乒ぷ髫?fù)載我也理解了很久，是這樣子的，以前我在研究生期間是在航天五院實(shí)習(xí)過一段時(shí)間，有一位老師就告訴我，衛(wèi)星和火箭還有這一些東西沒有區(qū)別，底下的東西都是一樣，只有上面的東西不一樣。就是可以理解下面的東西就是火箭的工作負(fù)載，上面的就是載荷，它上面可以換成衛(wèi)星、可以換成核彈頭、可以換成導(dǎo)彈都可以。不管是飛向月球的也好，底下的推進(jìn)系統(tǒng)都是一樣，它就相當(dāng)于工作負(fù)載。

大家可以看一下上面負(fù)載的各種類型，就相當(dāng)于在工程領(lǐng)域這說法已經(jīng)非常成熟了，這上面就叫工作載荷，這是有中國、有蘇聯(lián)，還有美國的這一些東西。其實(shí)打著最常見的一個(gè)例子，負(fù)載什么東西呢？相當(dāng)于一個(gè)卡車它可以拉貨的東西。在說到工作云工作負(fù)載，新加坡云主機(jī) 香港云主機(jī)，在國外我看了很多文章，因?yàn)槲铱吹膰馕恼卤容^多。大家都說上云，中國人說話比較簡約。什么叫上云其實(shí)一部分描述就叫MoCloud就相當(dāng)于把你之前的業(yè)務(wù)工作負(fù)載上面，它這工作負(fù)載準(zhǔn)確了一個(gè)英文解釋在后面，就是相當(dāng)于是支撐你業(yè)務(wù)的技術(shù)，因?yàn)檫@之前來說就是服務(wù)器，不可能把服務(wù)器搬到云上面，其實(shí)另外一個(gè)說法就是超融合所謂的。但實(shí)際上你不可能把服務(wù)器直接搬到云上，只能支撐你業(yè)務(wù)的技術(shù)這東西搬上云。再舉一個(gè)例子做IT都知道，比如說電商的小網(wǎng)站，它怎么把以前電商的小網(wǎng)站在工作，它就有可能負(fù)載均衡，它有它的連接層、DB，它這每一塊支撐電商的工作負(fù)載，它要把這一些東西搬到云上這就是所謂的工作負(fù)載。

因?yàn)檫@東西每一次跟所有人解釋都是費(fèi)力氣，為什么云上的東西很重要，因?yàn)樯显浦蟠蠹覍?duì)安全的形態(tài)是有很大的變化，所以說扣上云的帽子，但是實(shí)際上云安全的本質(zhì)沒有變化，除了形態(tài)有變化，所以說云的形態(tài)發(fā)生變化一個(gè)最大的是什么呢？就是它的資源可控性非常大，而且它的邊界變的非常模糊，就很多特點(diǎn)決定讓它之前的安全做法是不適應(yīng)現(xiàn)在云的環(huán)境，但是它的理念是一樣的。

這就是云工作負(fù)載的模型這是IBM的東西，因?yàn)闆]有翻譯。中間我畫了一個(gè)圈地方就是核心的地方，1576這一些都是周邊，你可以保護(hù)它工作負(fù)載正常運(yùn)載的保護(hù)措施，它里面保護(hù)了三大塊，第一塊就是展現(xiàn)層，這個(gè)東西核心層，再下面就是Deploy，就是剛才我舉的電商的網(wǎng)站小例子有點(diǎn)像。DE就引出來了這是翻譯的，是一個(gè)獨(dú)立的服務(wù)或者能力，運(yùn)行在云計(jì)算的實(shí)例上。包括Docker、大數(shù)據(jù)Hadoop Role的就是每一個(gè)都是工作負(fù)載。

現(xiàn)在就說到怎么做工作負(fù)載的安全，現(xiàn)在云安全我覺得最核心的一個(gè)出發(fā)點(diǎn)就是認(rèn)知到，要分清責(zé)任和角色。就是在可信云的時(shí)候，我跟工程師我們一塊在做表的時(shí)候有發(fā)現(xiàn)一個(gè)問題，就是說這責(zé)任得劃清楚，就是云廠商用公有云、私有云之后，這安全責(zé)任分的還是比較清楚的。就是云的公有云的運(yùn)營商它會(huì)承擔(dān)很大的一塊安全的責(zé)任。還有另外一部分是你的使用者承擔(dān)了這樣一個(gè)角色，這個(gè)圖就是這樣一個(gè)意思。它這圖是之前Laas、Paas、還有Ssas的，還有Delivery、Lisers的代碼。就不需要什么Docker，就傳上一個(gè)代碼就運(yùn)出來一個(gè)結(jié)構(gòu)，你告訴我里面有幾個(gè)人就立馬高了，提供了一個(gè)計(jì)算能力，讓你看不到實(shí)際的實(shí)體這樣的一個(gè)東西。

就是說它這劃分的意思是什么的？你看紅的就是說CSP，就是它應(yīng)該承擔(dān)的角色是什么，它給你服務(wù)的越底層你的責(zé)任就越高，如果提供的服務(wù)越上層，你承擔(dān)的安全責(zé)任就越低于比如說你自己技術(shù)比較強(qiáng)，你就會(huì)說我就買它的一個(gè)云儲(chǔ)機(jī)上面的業(yè)務(wù)中間鍵什么的東西，我都自己。它從Iaas往下的問題全是自己承攬，包括供電、制冷的。但是再往上的一直到業(yè)務(wù)上所有的東西全部都是你應(yīng)該負(fù)責(zé)的。

再一個(gè)上面最極端的比如說中國有一些廠商做CIM這標(biāo)準(zhǔn)，因?yàn)镾aas標(biāo)桿性比較強(qiáng)，它就相當(dāng)于直接提供到點(diǎn)，這樣的話你就不需要對(duì)服務(wù)做任何的安全需求，但是保證接入就行了，它里面的所有安全都是自己負(fù)責(zé)，中間的過程都是隨著提供服務(wù)的不同，承擔(dān)的安全責(zé)任是劃開，你應(yīng)該承擔(dān)什么安全責(zé)任，它應(yīng)該承擔(dān)什么責(zé)任，這是考慮安全一個(gè)出發(fā)點(diǎn)。我不知道為什么在標(biāo)準(zhǔn)領(lǐng)域會(huì)提到，但是在廠商是不會(huì)提，應(yīng)該對(duì)于客戶來說它應(yīng)該慶祝這東西，一定要?jiǎng)澢宄菑S商提供到責(zé)任提到什么位置。說到底就是要對(duì)工作負(fù)載負(fù)責(zé)。因?yàn)椴还茉趺礃佣际窍喈?dāng)于是你自己的對(duì)你自己的工作負(fù)載負(fù)責(zé)。我現(xiàn)在就是講幾個(gè)工作負(fù)載，第一個(gè)就是，你不能保護(hù)你看不到的東西，因?yàn)槲矣龅胶芏嘧约旱目蛻簦褪撬恢浪F(xiàn)在多少服務(wù)器，他自己預(yù)估都不準(zhǔn)，比如說比較落后的文檔，他不知道他有多少服務(wù)器，裝了多少軟件他完全不清楚，如果不清楚的情況下你如何保護(hù)它，我覺得最核心的一點(diǎn)就是不能保護(hù)看不見的東西，首先第一點(diǎn)就是資產(chǎn)清點(diǎn)和資產(chǎn)發(fā)現(xiàn)。你有哪一些window服務(wù)器。第二點(diǎn)就是做好IAM機(jī)制，最好的就是最小權(quán)限原則，大家說的都挺好，有個(gè)叫權(quán)限爬升的問題，或者說其他地方都是要處理，它不會(huì)有剝奪的過程，大部分人都是這么做，所以都是要把做的更嚴(yán)格一些，不管是離職還是轉(zhuǎn)崗，很多時(shí)候Iaas權(quán)限離職很就還可以操作這就很危險(xiǎn)，需要帳號(hào)管理、權(quán)限管理還有OTP二次認(rèn)證這種東西。