【IT168 评论】如今，互联网发展已经成为拉动中国经济的新引擎，而云计算作为互联网发展的最新技术，已经成为中国经济发展新的风口。对于公有云市场而言，无论是政企客户还是企业客户都十分关心云安全问题，为此，绿盟科技绿盟云联合IT168网络安全主编闫志坤独家专访了京东云安全总监海洋先生，分享了京东云在安全方面的思路，京东云采用分布式架构，重后端轻前端，自研安全与安全厂商合作并举，以下是采访实录：
▲京东云安全总监海洋先生
1、海洋您好!很荣幸有机会采访到您，请您先介绍下自己工作经历，以及目前在京东云负责的内容。
海洋：我从2000年开始从事信息安全工作，从最早的三大件到态势感知，扫描过程都亲历过，曾就职于IBM和阿里，2015年正式加入京东。目前我主要负责包括安全运营运维、云平台安全生态建设、云平台安全合规工作、云平台安全产品体系架构设计开发;京东云不仅实现了安全能力的建设，同时也完成了从研发到市场端到端的业务闭环，帮助公有云业务部门具备安全竞争力。
2、请介绍一下目前京东云的机房规模，主要保障哪些业务，目标客户是哪些?
海洋：目前，京东云在华南、华北、华东都有机房，在香港还有节点，分布广泛;整体架构采取了分布式架构。京东云业务包括两块，对内为京东集团提供云计算基础架构，并为京东商城的第三方商家和外部客户提供公有云服务。
对外业务指的是对公有云有需求的用户，包括跟业务相关的商家以及其他用户(金融、央企等)。
3、相比阿里云、AWS,京东云可以说是后起之秀，那么在京东云整体安全架构是怎样的?采用了哪些创新技术?
海洋：现阶段公有云其实各家技术大抵相同，但实现技术的目的各有差异。构建基于云平台的安全体系建设采用分布式，重后台(基于数据分析的原理)轻前端(单个的过滤的规则，无论IDS、IPS、流量深度分析、WAF)，差异体现在于后台大数据分析能力，互联网企业做云计算天生是具有优势的，对数据分析能力比较强。
后续如何满足客户个性化多样化需求呢?我们希望和安全厂商合作，我们只做擅长的、云平台有必要的部分。比如抗DDos、全局WAF、全局流量分析等等都会去做，但是对于客户20%的个性化需求，我们希望与安全厂商构建安全生态，安全产品方面以自研+第三方厂商合作的方式来满足客户个性化安全需求，针对客户个性化需求如安全审计、数据库审计、防篡改、数字证书等让第三方合作伙伴去做，双方合力把优势发挥出来，共同护航用户安全。
4、您认为目前国内市场，云安全面临的发展困境是什么?
海洋：不开放、不透明!我们是从以下两个方面着手解决的：
第一，对安全合作伙伴要开放。云安全的发展离不开整个信息安全产业的支持，这不是单个企业的问题。封闭的云平台，不能真正实现安全大数据的共享，就不能有效发挥信息安全产业各厂商的整体能力，京东云以开放的姿态欢迎各信息安全厂商合作共建云安全。
第二，对客户要透明。客户对于云安全的疑虑，一个重要的原因是客户不信任云服务供应商，未来我们的重点就是对客户透明，让客户了解京东云的安全风险控制技术措施，运维流程和管理方式，并针对重点客户开放安全数据接口，提供用户审计API，让客户真正了解我们，信任我们的安全运营保障能力。
5、今年RSA主推强调联合一词，那么您认为未来安全应该如何联合?
海洋：我之前参加某信息安全测评中心在讨论某直辖市政务云建设的时候，发现安全厂商很难接入到云服务厂商构建的VPC网络中去。我们都知道，云服务是计算、存储、网络资源紧耦合的，安全厂商希望能进到云平台VPC核心网络内，深入解决VPC内网安全，但是各家云平台服务厂商VPC接入并不统一，安全联合的基石是VPC网络应该像传统网络一样对安全厂商开放，只有开放才有竞争，只有竞争才能不断升级改进。所以安全联合的前提是云平台服务商和安全厂商在技术架构上真正对接，否则没有数据交互一定联合不起来。
6、您如何看待未来安全发展趋势?
海洋：从业务场景来考虑问题，用户最关心的不是你的安全能力有多强，而是到底你能为我解决多少问题。比如CDN服务，很多数据、图片加载在CDN上面，可能会存储一些敏感数据，特别是有些动态传输加速数据可能会涉及到用户敏感数据，那么缓存在CDN节点上面的数据如何保护，这就是一个新的挑战。所以安全发展趋势是怎样保护新技术，新产品的安全，这取决于支持新业务的新技术和新产品的推广。
7、针对公有云平台与第三方IaaS安全厂商合作模式?您认为应该会怎样发展?
海洋：我们对第三方IaaS安全厂商的合作模式有三个：1、集市模式，产品放在云平台上，安全厂商自己去销售，云服务厂商并不深入了解用户使用感受和痛点;2、自营模式，进行深入合作，对产品的用户体验、产品使用效果负责，双方共同努力，并逐步通过运营手段，实现免费用户到收费用户转变;3、自营2.0模式，将安全产品拆解为一个个API模块，与平台进行对接，这是基于API做能力的输出。
总结：随着云计算市场的不断成熟，网络安全法的落地实施，云安全也将越来越受到重视。正所谓独行虽然走得快，众行才能走得远。网络安全联合不仅仅是口号，数据对接的践行才能算真正走到联合。
