2025年了，云上中小企業(yè)資產(chǎn)安全有更優(yōu)解了嗎？
摘要： 做云上資產(chǎn)安全體檢，將風險發(fā)現(xiàn)前置，以小投入降低事故概率。
云上中小企業(yè)數(shù)量已經(jīng)達到一個龐大的量級，他們是全球公共云最早的一批用戶。
云計算的普及為創(chuàng)新和業(yè)務發(fā)展提供了便捷的IT基礎設施。云上安全，面臨了和傳統(tǒng)數(shù)據(jù)中心并不一樣的考題。更高的開放性、業(yè)務峰值的彈性、數(shù)據(jù)吞吐的量級，都和線下不可同日而語。享受云便利的同時，如何做好自身安全，來維護云上綠洲整體的安全性，是上云企業(yè)需要一起思考和面對的問題。
這其中，尤其中小企業(yè)，在衡量業(yè)務投入和安全成本之間，總是義無反顧做出取舍，而留下更多隱患給自己，也給公共的云打打上了“風險補丁”。Gartner認為，主流云服務商出現(xiàn)重大安全事件的概率將非常低，99%以上的云安全問題往往由用戶錯誤配置等原因引起。在云計算已經(jīng)普及，甚至已經(jīng)大邁步進入AI基礎設施的時代，回歸討論能否安全正確地使用云，竟是2025年還會出現(xiàn)的安全命題。
回顧安全行業(yè)，也是首次提出這個命題。
拋開老生常談的流量檢測、漏洞掃描……有多少中小企業(yè)上云后，還在慣性延續(xù)弱密碼習慣，保管不好云上的超級鑰匙-AK……自己采購的云上三大件計算、存儲、網(wǎng)絡產(chǎn)品中，自帶了免費的安全能力，甚至不知道開關在哪里。
作為國際領先的云服務商，阿里云意識到了這個問題，并在全球一眾云廠商以責任共擔模型為責任邊界的情況下，主動提出向前走一步，解決云安全最后一公里的問題。
2024云棲大會期間，阿里云首次提出“安全共同體”理念，從保障云平臺安全的盡責，到與企業(yè)一起保護用戶云上安全的超盡責。2025年1月6日，春節(jié)前夕，新春伊始，行業(yè)內(nèi)首個云上用戶安全體檢活動正式上線。
用人的體檢思路，做云上資產(chǎn)的安全體檢，將風險的發(fā)現(xiàn)前置，以日常小投入降低事故大投入的概率。
阿里云安全檢測工具能力豐富，結(jié)合云上百萬級用戶最佳實踐總結(jié)出的安全方案，每年一度安全體檢，云上所有用戶可以免費參加，一鍵授權(quán)，覆蓋云上資產(chǎn)從風險檢出到修復建議。
汽車出廠時配備了安全帶，而讓司機和副駕駛有意識上車第一個動作是系安全帶，經(jīng)歷了漫長的教育周期，這中間甚至配套了懲罰措施。
而云廠商，作為提供這個公共服務的主體，在企業(yè)上云時，配備了剎車、安全氣囊等等安全設置，它們就部分隱藏在各類云產(chǎn)品中。這個讓用戶建立安全感，到實現(xiàn)安全性的過程，也勢必是一個長期的過程。這個過程被阿里云設計成一場接力賽。
解決安全問題的第一步，永遠是看見風險的能力。
不斷強調(diào)云上安全的復雜性，不如體系化梳理解決云上安全的具體方法。據(jù)了解，此次體檢針對性解決公共云安全問題，包括賬號安全、云資源安全、網(wǎng)絡安全、數(shù)據(jù)安全、備份恢復、日志審計、安全運營等7個維度內(nèi)的68個檢測項。
用戶授權(quán)后的安全和隱私保護前提下，半小時檢測后即可收到安全體檢報告。通過體檢報告，用戶可以各維度了解目前企業(yè)自身在云上的資產(chǎn)存在哪些安全風險。風險維度主要包括待處理狀態(tài)下的各類攻擊告警、系統(tǒng)漏洞以及風險配置三類。
●攻擊告警，屬于企業(yè)已經(jīng)遭受到的入侵和破壞，類似于人體檢后檢測到的已經(jīng)發(fā)生的疾病，最需要關注；
●漏洞，尤其是應急漏洞，屬于高危的應用漏洞，也是勒索等病毒高頻利用的入侵方式。在勒索攻擊猖獗的今天，需要重點關注并及時修復；
●配置風險，是導致云上企業(yè)99%安全事件發(fā)生的源頭原因，比如賬號權(quán)限配置不當、數(shù)據(jù)庫開放到公網(wǎng)、數(shù)據(jù)備份沒有開啟等。提前發(fā)現(xiàn)并糾正配置錯誤可以從事前避免攻擊的發(fā)生。
云平臺的安全和用戶在云上的安全并非獨立互不打擾，而是唇齒相依。安全共同體是一榮俱榮、一損俱損的戰(zhàn)友關系。
舉個栗子。如果云平臺是一棟大樓，云廠商就是大樓的物業(yè)管理者，云用戶就是租客。大樓有道大門，裝有一把密碼鎖，物業(yè)會給每個租戶提供一個密鑰，用以進出大樓。
因為租10個房間的租客，放置在房內(nèi)東西更多，對安全也投入更多，自然能將自身安全做好，故而會妥善保管密鑰。
而租一個房間的小租戶，更容易疏于安全管理。攻擊者通過進入租戶的房間，尋找突破口獲得大樓其他權(quán)限，對大樓整體安全也會構(gòu)成威脅。
因此，阿里云希望做的，不僅是要把大樓守好，保障云平臺的安全，還希望幫助每個租戶安全的使用云。安全體檢就屬于后者，通過“免費和易用的工具”呼吁用戶守護自家安全，從而提升阿里云用戶的整體安全水平。
俗話說“沒有金鋼鉆，攬不了瓷器活”。
阿里云的“金剛鉆”主要有兩點：技術(shù)實力與實戰(zhàn)經(jīng)驗。
15年的技術(shù)積累讓阿里云擁有了攻防的超強戰(zhàn)斗力。保護阿里云自身業(yè)務版圖練就的安全本領，持續(xù)沉淀到安全工具當中，并將能力外溢給客戶。公開信息顯示，在IDC發(fā)布的中國公有云云工作負載安全市場份額報告中，阿里云云安全中心連續(xù)三年穩(wěn)居市場份額第一。這次體檢主要能力即調(diào)用自這款云安全中心。
保護數(shù)百萬用戶云上安全的實戰(zhàn)經(jīng)驗，讓阿里云非常清楚，哪些風險最容易受到黑客“青睞”，把這些最易受到黑客“青睞”的風險項檢測給到用戶免費使用，就有了這次的體檢活動。
云，為千行百業(yè)的創(chuàng)新提速。阿里云上有著數(shù)百萬企業(yè)用戶，并以普惠算力和豐富的技術(shù)產(chǎn)品，服務上千萬開發(fā)者。
但云的發(fā)展速度也帶來認知、資源等各方面的錯配，比如關于安全性的一種普遍誤解：認為云環(huán)境天然的開放性等特征，增加了安全管理的難度，而非簡化了它。
阿里云推出免費體檢，也是希望破除這個誤解的第一步。
相關負責人表示，對于中小企業(yè)用戶來說，正確的使用和配置云產(chǎn)品，并利用好產(chǎn)品自帶的安全能力，便可預防大部分的安全風險。
云計算的發(fā)展已進入深水區(qū)，用戶需要以更經(jīng)濟、安全的思路使用云，云廠商在其中主動認領了這一責任。此次阿里云面向所有用戶開放的免費安全體檢活動，也是希望讓更多的企業(yè)關注到自身在云上數(shù)字空間的安全建設問題，群策群力而非單兵作戰(zhàn)，讓云上安全建設和運營成為投入產(chǎn)出比最高的標準動作。
阿里云表示，未來會持續(xù)增加免費安全防護能力，幫助中小企業(yè)以極低的投入完成基礎的云上安全風險治理。