安全防护需要与企业云IT基础设施深度结合，这是云原生安全的基本思想。
想要在云时代保持竞争力，企业在专注于构建云原生业务应用的同时，需要在快节奏更迭的网络环境中快速理解并使用能够动态扩展、灵活保护的云原生安全体系。
云安全体验馆·重磅上线
体验式设计思路，以更加符合当代用户浏览习惯和需求的3D可视化、互动场景、沉浸体验方法，将原生安全的产品能力、架构和解决方案以多层次、全方位的形式呈现给用户。
，时长00:57
点击下方“阅读原文”，即刻体验。
6大安全层级，26组场景模型，100+交互体验点，帮助云上用户与数字化转型中的企业IT人员快速理解“原生安全理念”，全景视角还原阿里云最佳安全实践架构。
自规划设计之初即内置于不同云基础设施层级中的安全和控制措施，接受云平台安全监控和运行系统的对接与管理，对于系统自身欠缺的某些特定安全机制，通过与云原生不可变基础设施适配的安全工具进行补充和加固，进而帮助形成内置于云网络业务与信息系统的，“免疫基因”式的原生安全体系。
原生安全：向内认知，向外行走
原生安全体系的形成，本质上是一个逐步生长并自洽的过程。
//
在云基础设施采用和数字化转型的过程中，很多企业会尝试将现有的本地安全控制软件移植到云中，这些软件和工具大多数是在云计算作为一级托管平台普及之前设计的，导致企业内部使用的安全模型与动态可变、弹性伸缩的云架构及其应用服务脱节，从而无法体会到云原生所带来的安全优势。
从阿里云的原生安全实践来看，根植于云架构，利用云计算的资源和服务来提供保护，正是云原生安全架构最突出的优势。
从飞天平台基础设施诞生之初，即如影随形的阿里云原生安全保护，随着计算、存储、网络技术产品的成型逐步发展而来，将安全功能作为基本要素耦合到云上网络信息系统的体系结构中，犹如在飞天内核中埋藏下一组具备自我复制与携带安全属性的“可遗传DNA”，在不借助外力的情况下，安全DNA与云网络信息系统中的其他“遗传要素”（处理速度、运行效率、传输完整性、可用性、可靠性等），共同形成一个自洽的生命系统，确保整个网信系统安全。
阿里云原生安全产品体系
这样的一套原生安全体系具备什么样的特性呢？
高度一体化：从架构、流程、形态等方面统筹设计系统与安全，安全功能作为系统的原生能力，而非在系统建成后反复打补丁，一体化运维提升系统保障效率；
相互适应：安全与系统之间是有机整体而非从属关系，安全功能无须大量人工操作作为保障，安全与云系统彼此之间能够适配工作，相互调节控制；
自我进化：原生安全类似人体的免疫机制，对未知、不断变化的安全威胁具有一定程度的应对能力，支持防护体系从静态被动向动态主动防御演进。
技术演进趋势：谋全局而非谋一域
紧耦合的架构优势下，原生安全的技术演进趋势更为明朗。
从基础设施本身的特性上来说，依赖于云计算虚拟化技术的不可变基础设施天然具有部署简单、可靠性与一致性高的特点，有助于DevSecOps的落地实践；同时，随着安全使用场景和安全边界的扩展，在工具层面，逐渐从彼此孤立、分散的安全工具向集约化、高度链条状甚至平台化发展。
在安全能力维度上，规则进化、AI技术加持促进威胁对抗和安全管理的智能化发展，催生出诸如：攻防对抗自动化，主动威胁分析、攻击面管理等主动式安全能力。能力的提升客观上直接帮助云基础设施平台完成了向更高安全等级的自我进化。
趋势一
DevSecOps持续降低不可变基础设施风险等级
云原生和开源的采用让安全从“幕后”到了“台前”，从只有特定人群关注发展为更多的人关注，甚至是人人为安全负责。 这种安全防护思路的变化实际上是云原生架构普及后“不可变的基础设施”自身的特性决定的。
与传统服务器不同，不可变基础设施总是从零开始构建，几乎不需要手动维护，易于使用自动化工具复制或扩展，并且很容易通过自动化过程重新创建和替换。这与DevSecOps 落地的技术前提，“实现可验证的、可复现的构建和部署流程，保障在测试、预发、生产等不同环境对架构安全性进行持续验证和改进”不谋而合。
Gartner 预测，到 2025年 60% 的企业会采纳 DevSecOps 和不可变基础设施实践，与 2020 年相比降低 70% 安全事件。
举例来说，当应用开发者提交代码后，可以通过扫描引擎在发布之前就进行风险扫描、签名和验签等，如果发现相关的安全风险可以终止并告警；同理，当应用部署到生产环境之后，任何变更都需通过上述自动化安全流程。不可变设施的部署具有原子性：要么成功完成，要么没有任何改变，这样的方式最小化了人为的错误配置引发的安全风险。
在改善防御能力，降低安全风险的同时，安全左移的另一个显著优势是可以降低修复成本。IBM 的研究人员发现，解决设计中的安全问题比代码开发期间能节省 6 倍左右的成本，比测试期间能节省 15 倍左右的成本。
趋势二
安全能力原子化与工具链整合
DevSecOps实践使得一种覆盖应用全生命周期和全流程安全状态的、持续的应用安全解决方案成为可能，而全球软件供应链的风险现状也对安全工具检测与响应的“连续性”状态提出了新要求。
传统安全工具的单点能力提升，在体系化防护思想中呈现边际效益递减，并不能直接为行业用户带来成正比的安全收益。相对而言，云原生安全能力以原子化的形态提供给用户，则可以有效地通过自动化工具链，而非人治的方式，实现风险预防、持续监测和及时响应。
据Gartner数据显示，75%的组织已经开启了安全工具链整合的过程。在阿里云上，这种离散式制造、集中式交付、统一化管理的安全工具链打造已经进入快车道。
IAST、API 安全测试、DAST、IaC扫描和威胁建模等10多种安全工具通过DevSecOps 缝合在一起，每个工具都有独立的责任和应用程序风险视图，用于在开发阶段保护云原生应用；
云安全中心承担CNAPP的职责，整合HIDS、容器安全、CSPM、CIEM、态势感知、蜜罐和RASP等不同的工具，将安全性、合规性、配置管理和主动威胁情报等安全功能视为跨越开发和运维的连续集合体，实现横跨云原生应用整个生命周期的安全统一可视；
，时长00:05
云安全中心CNAPP安全理念
在生产运维阶段，WAF、API保护、Bot管理、DDoS高防和云防火墙等流量型产品将安全能力以原子化的形式提供，根据不同场景、用户群体或特殊要求，共享安全数据并且持续、动态编排安全原子能力，组合成匹配业务逻辑和管理流程的安全功能。
，时长00:27
阿里云流量安全家族
从碎片化安全工具到链条式工具架构的转变，将为构建企业云原生安全工作流程提供更有利的环境。原子化安全调用满足了未来数字业务场景和需求的多样性，以及安全能力的有效性，而具备可观察性的工具链甚至安全平台方案，则能够使云上企业更全面了解哪些工具导致了阻塞，实现真正符合业务特性的安全能力落地。
趋势三
身份属性进一步融入云上动态信任架构
云上动态信任架构融合了以SD-WAN 为代表的网络技术和以零信任为代表的安全技术。随着近年来零信任在国内头部政企用户中的落地，网络安全架构正在从过去的“网络中心化”逐步走向“身份中心化”。
当前零信任理念的的三大技术路径中，SDP是落地场景最多的，尽管其中使用到了基于身份的访问控制和权限验证，但是与“身份中心化”这一理念还有不小的距离。一方面，远程办公场景需求的爆发加速了SDP 的采用，另一方面，相比于其他零信任技术，SDP在落地过程中对现有的IT架构的改动相对较小，企业在现行架构下引入这样一个解决方案，风险更可控。
然而，在可预见的未来，随着企业网络架构的不断演进与升级迭代，在愈发动态和细分的网络环境下，围绕身份、环境、权限、活动等关键数据的管理将是一个持续的动态认证和动态授权的过程。
以身份为核心执行动态安全防护，理想状况是：
统一数据身份视图与人、设备、程序等主体数字身份、资源属性、环境属性、安全属性等数据充分结合；
身份验证和权限判定发生在任意粒度、任意位置的访问主体与资源间，企业内部资源也绝无例外；
细化安全策略至资源层面，身份验证通过后仅提供满足需要的最小粒度的资源；
利用端口隐藏等技术在验证通过前隐藏资源的“身份”，减少不可见威胁；
多因素身份认证（MFA）与用户行为分析（UEBA）技术持续纳入身份防护体系，支撑高强度身份认证与异常行为的发现和处置。
通过身份信息与多源数据对每一个访问行为（人员、设备、环境等）进行信任评估，动态授予相应权限，最大程度避免凭据盗用、误操作等安全威胁。
趋势四
自动威胁应对与智能自我进化
云上整体安全能力的提升，始于工具，终于数据。云上高算力、一体化的特点，使得云安全产品通过持续的数据采集、高质量数据分析，形成有价值的图谱关联及威胁情报，有效提升产品在实战应用中的威胁检测速度及准确性的优势更为凸显。
阿里云基于大数据和AI技术协同驱动的新一代云上网络安全能力中枢体系，通过全流程、全链路、全量安全数据的归集、处理与分析，将数据中发现的安全价值模型赋能云上主流安全产品，这种基石级别的能力融入，让所有使用云安全产品的客户，均可体验数据流通共享所带来的显著安全能效提升。
- WAF：AI检测闭环，流量攻击识别率99.99%，误报率百万分之一
- 抗Bot：风险自主对抗，覆盖96%以上攻击流量，客户运营成本降低80%+
- 云安全中心：威胁事件自动生成，告警分析效率提升75%
- 业务风控：每周识别黑灰产团伙7.9万，有效降低资损
在应对未知威胁的安全演进方面，基于云平台深度威胁发现能力，阿里云平台默认免疫防护机制从整个云平台防护视角出发，可以将有可能大范围爆发的单点威胁快速制作防御“疫苗”，分钟级全平台下发，协同处置，帮助云上用户即使在安全产品配置有薄弱点的情况下，仍能无感应对大规模攻击爆发，保障云上数字经济的平稳运行。
以下视频来源于
阿里云设计中心
，时长01:11
阿里云平台默认免疫防护机制
“平均每年，阿里云的入侵行为默认免疫机制静默发现公共云上的100多种入侵行为，并为部署在阿里公共云上的用户提供超过600万的自动化威胁处置。”
安全的未来是体系化机制而非各自为战，安全与系统是有机整体而非彼此割裂；
安全工具需要链条式架构而非单点作战，安全服务强调紧密合作与情报共享；
阿里云，与400万云上用户一起，共筑原生、智能、弹性、透明的安全未来。
