阿里巴巴安全第一人肖力：网络安全的五个洞见 | RSA 2017

我们按：肖力，阿里巴巴第一个安全工程师，阿里云安全团队创始人。

阿里云，这个国内最大的云计算平台，服务着万亿企业的数据和业务。它所代表的云计算能力已经像水、电一样成为了互联网国度的基础设施。

难以想象如果一个城市的水源干涸、电力枯竭，将引发怎样的灾难。对阿里云来说，安全是巨大的云城邦脚下的基石。而肖力，作为2005年就加入阿里巴巴的第一个安全工程师、阿里云安全团队的缔造者，正承担着这份守土之责。

肖力是为数不多站在技术和战略十字路口的人，他无时无刻不在寻找世界上最先进的武器和部队来守卫阿里云计算。于是，他对于未来一年、五年、十年网络安全趋势的洞见，也许会深切地影响中国互联网安全的发展脉络。

每年，肖力都会出现在各大世界顶级安全会议的现场，感受最新安全技术形势的变化。RSA 大会，是全球安全厂商一年一度的聚会，被视为全球安全行业的风向标。每年全球 Top 500 的安全厂商都会积极参与 RSA 的技术分享，并借此机会为自己的最新技术找到“用武之地”。

客观地说，全球安全技术仍然以美国为中心，RSA 上的无数公司拼凑出了一幅安全界的清明上河图，这番图景，对于安全产业发展较美国有“代沟”的中国，有着极强的借鉴意义。

刚刚从旧金山 RSA 现场归来的肖力，带回了从互联网安全高地绘制的最新趋势图。我们在第一时间采访到肖力，让他展示了这份最新的“作战地图”。

【肖力】

在描述今年 RSA 所有的具体技术趋势之前，我最愿意分享一个今年的总关键词，那就是“合作”。这个词听上去不性感，却是安全行业发展到现在，一个必然到来的总趋势。

安全有点不一样。

在互联网的其他领域，通常会出现巨头一家独大，能占领70%-80%的市场。

但我感受到安全这片土地，一定不是巨头霸占的领域。为什么这样说呢？因为安全并不垂直，恰恰相反它涉及到互联网和商业世界的所有领域，可谓安全无处不在。这些领域太广泛了，所以不可能有一个巨头说：我的产品在所有领域都是最好的。

就算是我们耳熟能详的安全大咖：McAfee、赛门铁克，他们的收入在整个安全市场的占比还是很少的。我看到的是，安全的每个细分领域都有“头牌公司”。

对于一个企业来说，它的安全需求是“碎片化”的，这意味着企业要搞定各个方向可能存在的安全问题，就一定会选用多个领域的安全产品。根据我的观察，每个公司都需要5-10个领域的安全产品。例如：

内网安全：企业员工的PC、移动端设备安全；

数据中心安全：企业的核心业务数据可靠性安全；

系统安全：企业各大 OA、CRM 等办公系统的安全；

Web 安全：企业对外服务的网络安全；

等等。。。

千里之堤溃于蚁穴。对于企业来说，所有的维度一旦出现任何一个短板，它的安全性都会破碎。这个特性就要求各个方向的安全产品之间的联动合作，它们只有拼成一个整体，才能为企业提供最安全的服务。

今年的 RSA，我感受到了一个关键词：合作。这说明安全行业也已经意识到了，合作是至关重要的。

但实际上目前安全厂商的合作现状并不好。

以数据日志为例，网络、系统、主机都会产生数据日志，把这些日志汇总分析，才能得到整体的安全态势。但是，目前诸多安全厂商的日志格式、标准都不同。甚至在安全领域专门出现了一个领域：安全日志的横向管理分析。产生了安全大数据产品——SIEM，SIEM 第一个核心竞争力就是翻译各个安全产品的日志。

由于日志的碎片化和不统一，翻译的做法，一定不如原生的统一格式日志。云是一个非常好的机会,消除不同日志之间隔阂的机会。在这种统一的 API 接口基础上，安全产品的联合才能变得更容易。

作为云计算的服务商，我们最希望看到各大安全产品能够在我们的平台上实现数据、日志、接口的联合。这样才能让我们平台上的用户更加坚不可摧。

在 RSA 上观察各大厂商主推的产品，就可以清晰地看出安全产业的发展趋势。

以前，全球的安全厂商都在卖“盒子”；

从去年开始，有一些厂商推出了基于 API借口提供的云化服务；

今年，大部分安全厂商都在提供基于公共云（即一些人理解的公有云）的云安全 SaaS 服务。

这说明 SaaS 安全服务已经成为了一个不可逆的主流趋势。举两个例子：

Fastly 是一家 CDN 厂商，在今年他们开始提供云安全产品；

QUANTIL 也是一家 CDN 厂商，今年同样推出了云安全产品。

从这一点上看，可以看出美国和中国安全发展的最大不同：

根据我的观察，美国云计算发展要领先中国两年。之所以得出这样的判断，是参考了 SaaS服务的成熟度。在美国，基于公共云的 SaaS 服务已经成为了企业服务的主要形式；而在中国 SaaS 服务本身都还没起来，所以 SaaS 安全服务也同样不成熟。

但是，我坚信公共云计算服务是未来互联网的趋势。我可以举一个例子：

前两年我曾经和 Gartner 的分析师交流，我询问他怎么看未来云计算市场上“公共云”和“私有云”的比例。他的判断是50%-50%，也就是公共云和基于 Spark 或 Hadoop 的私有云各占一半。

今年我又去询问了安全界的同行，所有人都给出了公共云超过80%，20%私有云的判断。从厂商展示的云解决方案来看也印证了这样的说法。之前有的厂商把“支持私有云部署”作为卖点，但是今年，已经很少有人讲这一点了。

虽然一些厂商还在私有云方面发力，但是我认为在美国这个趋势已经很明显了。

波音公司，全球顶尖的大飞机制造公司，所有的核心系统都跑在微软的云计算上。

当高等级安全需求的大型企业、银行、政府系统都上了公共云，他们经过严格的评估，认可在公共云上划出的“逻辑隔离区”的安全性。良好的示范效应会使得其他行业迅速跟进，拥抱公共云。

从我的角度来看，公共云至少有三点优势：

1）弹性扩展。公共云可以提供无限的算力和存储空间。

2）快速迭代。公共云可以做到每天更新，快速迭代。如果大企业选择私有云，就没有办法享受到最新的技术红利，有“被干掉”的风险。

（编辑：ASP站长网）