我今天講的是云工作負載安全的保護。因為云工作負載我也理解了很久，是這樣子的，以前我在研究生期間是在航天五院實習過一段時間，有一位老師就告訴我，衛星和火箭還有這一些東西沒有區別，底下的東西都是一樣，只有上面的東西不一樣。就是可以理解下面的東西就是火箭的工作負載，上面的就是載荷，它上面可以換成衛星、可以換成核彈頭、可以換成導彈都可以。不管是飛向月球的也好，底下的推進系統都是一樣，它就相當于工作負載。

大家可以看一下上面負載的各種類型，就相當于在工程領域這說法已經非常成熟了，這上面就叫工作載荷，這是有中國、有蘇聯，還有美國的這一些東西。其實打著最常見的一個例子，負載什么東西呢？相當于一個卡車它可以拉貨的東西。在說到工作云工作負載，新加坡云主機 香港云主機，在國外我看了很多文章，因為我看的國外文章比較多。大家都說上云，中國人說話比較簡約。什么叫上云其實一部分描述就叫MoCloud就相當于把你之前的業務工作負載上面，它這工作負載準確了一個英文解釋在后面，就是相當于是支撐你業務的技術，因為這之前來說就是服務器，不可能把服務器搬到云上面，其實另外一個說法就是超融合所謂的。但實際上你不可能把服務器直接搬到云上，只能支撐你業務的技術這東西搬上云。再舉一個例子做IT都知道，比如說電商的小網站，它怎么把以前電商的小網站在工作，它就有可能負載均衡，它有它的連接層、DB，它這每一塊支撐電商的工作負載，它要把這一些東西搬到云上這就是所謂的工作負載。

因為這東西每一次跟所有人解釋都是費力氣，為什么云上的東西很重要，因為上云之后大家對安全的形態是有很大的變化，所以說扣上云的帽子，但是實際上云安全的本質沒有變化，除了形態有變化，所以說云的形態發生變化一個最大的是什么呢？就是它的資源可控性非常大，而且它的邊界變的非常模糊，就很多特點決定讓它之前的安全做法是不適應現在云的環境，但是它的理念是一樣的。

這就是云工作負載的模型這是IBM的東西，因為沒有翻譯。中間我畫了一個圈地方就是核心的地方，1576這一些都是周邊，你可以保護它工作負載正常運載的保護措施，它里面保護了三大塊，第一塊就是展現層，這個東西核心層，再下面就是Deploy，就是剛才我舉的電商的網站小例子有點像。DE就引出來了這是翻譯的，是一個獨立的服務或者能力，運行在云計算的實例上。包括Docker、大數據Hadoop Role的就是每一個都是工作負載。

現在就說到怎么做工作負載的安全，現在云安全我覺得最核心的一個出發點就是認知到，要分清責任和角色。就是在可信云的時候，我跟工程師我們一塊在做表的時候有發現一個問題，就是說這責任得劃清楚，就是云廠商用公有云、私有云之后，這安全責任分的還是比較清楚的。就是云的公有云的運營商它會承擔很大的一塊安全的責任。還有另外一部分是你的使用者承擔了這樣一個角色，這個圖就是這樣一個意思。它這圖是之前Laas、Paas、還有Ssas的，還有Delivery、Lisers的代碼。就不需要什么Docker，就傳上一個代碼就運出來一個結構，你告訴我里面有幾個人就立馬高了，提供了一個計算能力，讓你看不到實際的實體這樣的一個東西。

就是說它這劃分的意思是什么的？你看紅的就是說CSP，就是它應該承擔的角色是什么，它給你服務的越底層你的責任就越高，如果提供的服務越上層，你承擔的安全責任就越低于比如說你自己技術比較強，你就會說我就買它的一個云儲機上面的業務中間鍵什么的東西，我都自己。它從Iaas往下的問題全是自己承攬，包括供電、制冷的。但是再往上的一直到業務上所有的東西全部都是你應該負責的。

再一個上面最極端的比如說中國有一些廠商做CIM這標準，因為Saas標桿性比較強，它就相當于直接提供到點，這樣的話你就不需要對服務做任何的安全需求，但是保證接入就行了，它里面的所有安全都是自己負責，中間的過程都是隨著提供服務的不同，承擔的安全責任是劃開，你應該承擔什么安全責任，它應該承擔什么責任，這是考慮安全一個出發點。我不知道為什么在標準領域會提到，但是在廠商是不會提，應該對于客戶來說它應該慶祝這東西，一定要劃清楚是廠商提供到責任提到什么位置。說到底就是要對工作負載負責。因為不管怎么樣都是相當于是你自己的對你自己的工作負載負責。我現在就是講幾個工作負載，第一個就是，你不能保護你看不到的東西，因為我遇到很多自己的客戶，就是他不知道他現在多少服務器，他自己預估都不準，比如說比較落后的文檔，他不知道他有多少服務器，裝了多少軟件他完全不清楚，如果不清楚的情況下你如何保護它，我覺得最核心的一點就是不能保護看不見的東西，首先第一點就是資產清點和資產發現。你有哪一些window服務器。第二點就是做好IAM機制，最好的就是最小權限原則，大家說的都挺好，有個叫權限爬升的問題，或者說其他地方都是要處理，它不會有剝奪的過程，大部分人都是這么做，所以都是要把做的更嚴格一些，不管是離職還是轉崗，很多時候Iaas權限離職很就還可以操作這就很危險，需要帳號管理、權限管理還有OTP二次認證這種東西。