阿里云-產(chǎn)品安全基線白皮書

〔-〕阿里云阿里云產(chǎn)品安全基線SecurityBaselineSecurityBaseline101前言構(gòu)建安全的云環(huán)境需要云廠商和客戶共同努力。安全的云產(chǎn)品既能幫助用戶最大程度地減少風(fēng)險(xiǎn)，也是打造透明可信云的第一步。基于DevSecOps理念，打破安全與研發(fā)流程間的壁壘，通過安全左移，實(shí)現(xiàn)產(chǎn)品研發(fā)質(zhì)量與安全質(zhì)量的一致性，拉齊產(chǎn)品安全基線，讓客戶上云后自動(dòng)具備高安全等級(jí)，降低手動(dòng)維護(hù)其安全性的難度和工作量，從而有更多的精力聚焦在高級(jí)安全威脅發(fā)現(xiàn)與自身業(yè)務(wù)發(fā)展。阿里云作為平臺(tái)提供方，始終將確保自身產(chǎn)品安全視為重要使命之一。通過產(chǎn)品、研發(fā)、安全、運(yùn)維一體化管理，自研豐富的安全工具，建立完善的運(yùn)營機(jī)制，以標(biāo)準(zhǔn)化、線上化、自動(dòng)化、數(shù)字可視化、智能化的方式，實(shí)現(xiàn)產(chǎn)品安全研發(fā)生命周期的全方位演進(jìn)，讓產(chǎn)品的安全性在客戶無感知的情況下實(shí)現(xiàn)自我進(jìn)化。阿里云產(chǎn)品安全基線白皮書2客戶安全是第一優(yōu)先級(jí)監(jiān)管合規(guī)為基本準(zhǔn)則原生防御為基本能力3產(chǎn)品生命周期管控為核心理念云產(chǎn)品的服務(wù)模式天然具備云的屬性，如SaaS化交付、多租戶共享等。因此，阿里云在制定產(chǎn)品安全基線時(shí)，首先會(huì)從云平臺(tái)整體視角，將租戶隔離、訪問控制、身份認(rèn)證與權(quán)限管理、數(shù)據(jù)安全、運(yùn)維審計(jì)等云上特定問題放在首位。同時(shí)，攻防對(duì)抗不是單一環(huán)節(jié)的對(duì)抗，阿里云基于產(chǎn)品全生命周期的“飽和式救援”理念，落地DevSecOps,將豐富的安全工具和安全管控流程與產(chǎn)品研發(fā)全生命周期無縫集成，使最終安全效果不單純依賴于任意單一環(huán)節(jié)，而是多環(huán)節(jié)協(xié)同，共同為風(fēng)險(xiǎn)發(fā)現(xiàn)負(fù)責(zé)。部署今安安全極致左移最大化控制實(shí)施成本三方機(jī)構(gòu)調(diào)查顯示，安全漏洞在發(fā)布上線后的治理成本是設(shè)計(jì)階段治理的30倍。阿里云產(chǎn)品安全基線白皮書4安全成本安全成本D將租戶隔離、應(yīng)用鑒權(quán)等風(fēng)險(xiǎn)通過威脅建模前置到設(shè)計(jì)環(huán)節(jié)。印尼0JK,BI]物4團(tuán)司阿里云(公共云和專有云)于2019年成為全國首批通過工信部云計(jì)算服務(wù)能力評(píng)估一級(jí)(最高級(jí))的云服務(wù)商，質(zhì)量管理體系|信息技術(shù)服務(wù)管理體系|業(yè)務(wù)連續(xù)性管理體系云基準(zhǔn)測評(píng)全滿貫中央網(wǎng)信辦電子政務(wù)云(增強(qiáng)型)金融云(增強(qiáng)型)公安部網(wǎng)絡(luò)安全等級(jí)保護(hù)等保三級(jí)：公共云(laaS、Paas、SaaS)電子政務(wù)云安全產(chǎn)品銷售許可證(全國首批，雙一級(jí))國家市場監(jiān)督管理總局中國網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心：國家密碼管理局首批獲得CNAS云產(chǎn)品國家實(shí)驗(yàn)室認(rèn)證，多款產(chǎn)品達(dá)到業(yè)界最成員、國家信息安全通報(bào)技術(shù)支撐單位、國家重大活動(dòng)網(wǎng)絡(luò)安國內(nèi)首家通過等保2.0四級(jí)測評(píng)的金融云，高彈性、高穩(wěn)定、高安全的成熟基礎(chǔ)設(shè)施，無需重復(fù)測評(píng)，大大降低企業(yè)等保合規(guī)復(fù)阿里云電子政務(wù)云防護(hù)，符合國家標(biāo)準(zhǔn)《信息安全技術(shù)云計(jì)算服務(wù)安網(wǎng)絡(luò)風(fēng)險(xiǎn)狀況評(píng)估電子商務(wù)隱私信息管理公有云個(gè)人身份信息歐洲遵守GDPR的評(píng)估GDPRValidationbyTru德國電子安全指引NESA美國〔-〕阿里云503產(chǎn)品安全研發(fā)生命周期基線概況阿里云通過將安全管控卡點(diǎn)植入產(chǎn)品研發(fā)流程，實(shí)現(xiàn)安全管控與產(chǎn)品研發(fā)同步啟動(dòng)、同步實(shí)施、同步完成。產(chǎn)品研發(fā)安全生命周期共有6個(gè)環(huán)節(jié)，包括：立項(xiàng)、設(shè)計(jì)、編碼、測試、發(fā)布、運(yùn)維&監(jiān)控。阿里云在各個(gè)環(huán)節(jié)內(nèi)置標(biāo)準(zhǔn)化審核流程和自動(dòng)化安全工具，旨在將產(chǎn)品研發(fā)過程中的潛在風(fēng)險(xiǎn)扼殺在上線前，上線后及時(shí)發(fā)現(xiàn)與響應(yīng)新的安全風(fēng)險(xiǎn)。安全團(tuán)隊(duì)職責(zé)●編寫、更新、推送項(xiàng)目成員所需要的安全培訓(xùn)材料●根據(jù)業(yè)務(wù)形態(tài)設(shè)計(jì)威脅建模問卷·針對(duì)安全風(fēng)險(xiǎn)協(xié)助設(shè)計(jì)解決方案●評(píng)估整改方案合理性●提供安全編碼方面的專家建議及規(guī)范●提供輔助安全編碼的工具(安全SDK、安全I(xiàn)DE插件)●監(jiān)督編譯、發(fā)布流程接入SPLC安全流程●提供黑盒、白盒、灰盒、鏡像安全、供應(yīng)鏈安全掃描工具●核查過程中的ChecList是否完成●針對(duì)重點(diǎn)隱患進(jìn)行人工審核·基于審核結(jié)果拒絕發(fā)布或允許發(fā)布●通過基線巡檢、黑盒掃描、供應(yīng)鏈安全監(jiān)控周期性發(fā)現(xiàn)線上風(fēng)險(xiǎn)●推送安全漏洞給研發(fā)側(cè)·基于人工滲透、ASRC、紅藍(lán)對(duì)抗機(jī)制發(fā)現(xiàn)線上系統(tǒng)的深層風(fēng)險(xiǎn)●對(duì)刻意的入侵情報(bào)進(jìn)行排查跟進(jìn)產(chǎn)品立項(xiàng)安全架構(gòu)設(shè)計(jì)安全開發(fā)安全掃描安全評(píng)估卡點(diǎn)安全監(jiān)控與應(yīng)急響應(yīng)產(chǎn)研團(tuán)隊(duì)職責(zé)完成培訓(xùn)任務(wù)并通過考試完成威脅建模問卷填寫遵守安全編碼規(guī)范接入安全SDK使用安全I(xiàn)DE插件修復(fù)審查過程中發(fā)現(xiàn)的安全漏洞遵守安全運(yùn)維規(guī)范響應(yīng)工作修復(fù)安全側(cè)推送的漏洞，配合應(yīng)急6覆蓋人群覆蓋內(nèi)容目覆蓋人群覆蓋內(nèi)容目標(biāo)可接受的風(fēng)險(xiǎn)程度，明確安全責(zé)任邊界。在開始產(chǎn)品研發(fā)工作前，產(chǎn)品線一號(hào)位、產(chǎn)品經(jīng)安全培訓(xùn)管理者安全培訓(xùn)技術(shù)安全紅線培訓(xùn)云賬號(hào)/資源安全使用掌握安全技能及知識(shí)，承擔(dān)所屬崗位的安全職責(zé)7設(shè)計(jì)環(huán)節(jié)阿里云產(chǎn)品的架構(gòu)評(píng)審?fù)瓿陕示_(dá)100%,威脅建模標(biāo)準(zhǔn)庫中累積數(shù)百條風(fēng)險(xiǎn)判斷規(guī)1)租戶隔離風(fēng)險(xiǎn)治理在網(wǎng)絡(luò)層，阿里云在不同類型業(yè)務(wù)間、不同產(chǎn)品間嚴(yán)格使用VPC進(jìn)行默認(rèn)隔離架構(gòu)設(shè)源共享及調(diào)度帶來的租戶隔離影響，并在容器集群內(nèi)統(tǒng)一配置嚴(yán)格的NetworkPolicy、8云原生安云原生安全下一代云原生可信架構(gòu)客戶信任風(fēng)險(xiǎn)控制漏洞誤操作防止2)全鏈路可信身份傳遞安全可信：全鏈路可信身份傳遞，多層縱深防御，持續(xù)監(jiān)控與響應(yīng)阿里云全員阿里云全員獨(dú)立憑證供應(yīng)鏈可信驗(yàn)證應(yīng)用可信啟動(dòng)流量網(wǎng)關(guān)固件啟動(dòng)可信運(yùn)行時(shí)可信覆蓋人群應(yīng)用層網(wǎng)絡(luò)層主機(jī)層運(yùn)行時(shí)防御切面應(yīng)用間調(diào)用可信操作審計(jì)行為分析風(fēng)控引擎機(jī)密容器機(jī)密計(jì)算可信計(jì)算存儲(chǔ)加密數(shù)據(jù)傳輸加密微隔離可信調(diào)用態(tài)控動(dòng)管中主機(jī)層可記錄和傳遞硬件身份信息(哪臺(tái)機(jī)器),網(wǎng)絡(luò)層可記錄和傳遞網(wǎng)絡(luò)IP、端口等四9D防止內(nèi)部誤操作：持續(xù)校驗(yàn)請(qǐng)求流量是否可信，對(duì)內(nèi)部操作進(jìn)行充分審計(jì)，最大化增加誤操作的成本，并及時(shí)發(fā)現(xiàn)和處置。編碼環(huán)節(jié)所有產(chǎn)品研發(fā)人員在編碼時(shí)，必須嚴(yán)格遵守安全編碼規(guī)范，主動(dòng)接入安全團(tuán)隊(duì)設(shè)計(jì)并封裝的安全SDK,使用統(tǒng)一、標(biāo)準(zhǔn)化的安全修復(fù)方案，安裝安全I(xiàn)DE插件，預(yù)發(fā)環(huán)境安裝IAST灰盒插樁程序，確保業(yè)務(wù)經(jīng)過安全掃描，等等。在編碼環(huán)節(jié)，阿里云希望將多種風(fēng)險(xiǎn)扼殺在搖籃，核心措施包括：D對(duì)于編碼過程中極易出現(xiàn)的憑證泄漏風(fēng)險(xiǎn)，通過阿里云自研的零信任憑據(jù)輪轉(zhuǎn)技術(shù)，動(dòng)測試環(huán)節(jié)阿里云自研了黑、白、灰盒安全掃描工具，并通過SPLC安全運(yùn)營平臺(tái)嵌入整個(gè)研發(fā)流發(fā)布環(huán)節(jié)運(yùn)維&監(jiān)控阿里云產(chǎn)品安全誕生之旅8云產(chǎn)品N安全SDK/基線巡檢可厭人工審核人工審核硬件安金硬件安金04產(chǎn)品內(nèi)置安全基因，原生免疫自防御通過產(chǎn)品安全研發(fā)生命周期的全流程管控，阿里云將安全基因內(nèi)置，讓產(chǎn)品具備面向已知風(fēng)險(xiǎn)的原生免疫能力；同時(shí)針對(duì)不同產(chǎn)品上線后面臨的不同風(fēng)險(xiǎn)特性，內(nèi)置不同安全功能，讓產(chǎn)品具備自防御能力，讓客戶可以基于自身需求配置不同級(jí)別安全防護(hù)，便捷地完成自身安全建設(shè)與合規(guī)建設(shè)。“原生免疫”是一個(gè)不斷進(jìn)化的過程?；诓粩嗤晟频谋O(jiān)管合規(guī)要求與客戶使用過程中的真實(shí)訴求，阿里云一直在推動(dòng)這套免疫系統(tǒng)的不斷“成長”。目前，阿里云十余條產(chǎn)品線已內(nèi)置522項(xiàng)安全功能。遍布各個(gè)產(chǎn)品的安全能力節(jié)點(diǎn)，為客戶提供全流程、全產(chǎn)品品類的安全能力，面對(duì)風(fēng)險(xiǎn)如同開啟了“上帝視角”,單點(diǎn)威脅實(shí)現(xiàn)全網(wǎng)秒級(jí)協(xié)同，提升了全I(xiàn)T環(huán)境的風(fēng)險(xiǎn)反應(yīng)和處理速度。為了推動(dòng)這套免疫系統(tǒng)的不斷成熟，阿里云要求產(chǎn)品主要具備以下基本能力：D數(shù)據(jù)安全：產(chǎn)品具備全鏈路的數(shù)據(jù)保護(hù)方案，如數(shù)據(jù)加密、數(shù)據(jù)脫敏、數(shù)據(jù)備份。D身份認(rèn)證與權(quán)限控制：產(chǎn)品具備標(biāo)準(zhǔn)、靈活、可擴(kuò)展、細(xì)粒度的身份權(quán)限體系，滿足客戶不同場景的身份與權(quán)限分配需求。安全分的計(jì)算基于平臺(tái)自動(dòng)機(jī)制完成，在云資源安全配置、安全防御接入等領(lǐng)域可以100%通過自動(dòng)化巡檢能力發(fā)現(xiàn)和清洗需要進(jìn)行治理的數(shù)據(jù)表，配置完成后，自動(dòng)刷新數(shù)據(jù)；無法進(jìn)行自動(dòng)計(jì)算的，如產(chǎn)品架構(gòu)設(shè)計(jì)，在產(chǎn)品安全接口人上報(bào)并通過安全團(tuán)隊(duì)審核率，降低安全研發(fā)工程師的使用難度。同時(shí)構(gòu)建了十多個(gè)管控平臺(tái)，核心包括5個(gè)：資產(chǎn)平了阿里云的安全管理組織體系，共包含5個(gè)機(jī)構(gòu)，包括風(fēng)險(xiǎn)管理委員會(huì)、安全管理體系領(lǐng)導(dǎo)評(píng)估和提高公司風(fēng)險(xiǎn)管理、內(nèi)部控制和治理流程的有效性事業(yè)部或部門內(nèi)員工兼任安全接口事業(yè)部安全接口人+部門安全接口人阿里云產(chǎn)品安全相關(guān)術(shù)語表B、RDS,云存儲(chǔ)OSS,云網(wǎng)絡(luò)SLB、CDN,