《云上大型赛事保障白皮书》——第五章 安全设计与安全防护——5.2 云上大型赛事安全防护——5.2.2 安全防护体系（上）：https://developer.aliyun.com/article/1226222?groupCode=supportservice
5.2.2.2 云上安全防护框架
5.2.2.2.1 身份认证体系
云上身份认证体系包括面向云资源管理的RAM体系和面向客户自身的IDaaS身份认证体系，当企业存在多用户协同操作资源时，按需为用户分配最小权限，实行三权分立策略，管理更加方便，权限更加明确，信息更加安全。
在冬奥实践中，对用户分配不同的子账号权限，并创建不同的用户组进行分组管理。其中AK和RAM采用单独权限划分，同一个用户单独的AK或RAM子账号，具备不同的调用权限，这里就使用了最小权限分配原则。
5.2.2.2.1 云上安全防护体系
云上安全防护体系框架分为以下四部分:
淡蓝色：安全产品为用户提供的安全防护能力。例如，DDOS/DCDN、WAF、云安全中心、RAM等。
绿色：云产品为用户提供的安全防护能力(含红色的数据安全)。例如，VPC隔离、传输和存储加密等。
蓝色：用户利用云产品能力进行的安全管理和安全监控活动。例如，日志透明化、云主机安全管理等。
橘色：作为用户云上安全防护体系的主要体现。
图：云上安全防护体系
5.2.3.2.3 安全监控体系
安全监控体系是云计算基础架构最重要的组成部分之一。面向租户的阿里云安全监控体系主要由阿里云监控产品提供，如进行安全监控的云安全中心，进行资源监控的Cloud1Monitor，进行日志审计的SLS，进行云上运维风控的PAM(特权账户管理系统)以及进行操作和配置审计监控的Action1Trail等。有效的安全监控能及时发现安全隐患和攻击行为，及早降低损失。
安全监测体系主要由云安全中心(态势感知)、日志服务、操作和配置审计、云监控以及SQL洞察组成。其中云安全中心主要关注安全攻击和漏洞相关信息，日志服务汇聚所有云上日志审计信息，可以作为合规和审计使用，操作和配置审计是日志服务主要日志来源，云监控主要关注云资源的使用、释放等，SQL洞察主要是数据库相关的增删改查审计。
5.2.3.2.4 应急响应恢复体系
通过高防、WAF和云安全中心能自动响应、告警并阻断攻击行为。云基础设施提供快照、备份和容灾技术，当出现误操作或攻击异常时，安全工程师及时进行安全恢复和应急响应。
5.2.3.2.5 安全运营体系
基于系统总会被攻破的假设，强保护、强监控、强运营是云上安全之道。根据业务需求，对业务系统以及业务数据进行分类分级，圈定需要重点保障的业务系统，根据分类分级结果执行有区分的安全防护措施。从以下维度思考安全保障体系：
PDR模型：保护、监测、响应，三种安全措施分别能覆盖的面和能达到的深度。
安全分层模型：ECS、容器、网络、中间件、应用、数据层。
等保2.0：云上通信网络、云上区域边界、云上计算环境、云上安全管理中心。
业务分层：核心业务、重点业务、边缘业务。
身份管理：特权账户和权限、运维账户和权限、关键业务账户和权限。
风险和合规：业务风险、合规风险、安全风险。
高级风险管理：已知风险和威胁、未知风险和威胁，重点关注未知风险和威胁。
风险收益：投入产出比，风险和最终收益，成本、风险和收益是云上风险考虑的重要因素和安全工作的出发点。
通过不同矩阵的分析，交汇查找安全体系的弱点。在冬奥安全建设与安全保障实践工作中定期检查账户和特权账户权限、定期变更密码、云安全中心配置变动规则检查、红蓝对抗等方式去发现安全体系具体风险点进行安全加固。
通过合规(例如隐私保护、等保)以及行业监管要求为冬奥提供安全保障。
5.2.2.3 常态化安全护航
在冬奥安全护航实践中，除了基于本文提到的云上安全原则、云上安全建设防护体系框架的基础之外，在实践中还对整个冬奥赛事进行了常态化的安全护航工作。这些安全护航工作包括多个安全监控系统的部署(例如安全监控CTAS系统)、多次开展渗透测试和红蓝对抗等具攻防性质的安全活动以及多家安全团队(IOC威胁情报、邮件安全、终端安全、云安全等)提供的专业领域类的安全保障工作。其中在冬奥赛事期间，安全保障工作为7x24小时不间断，安全告警事件在实践中得到了分钟级闭环。
纵观从安全建设到赛事闭幕的整个过程，云产品自身的可靠性为阿里云用户提供了更多云上安全保障，让用户以更低成本拥有更强的安全能力。但是，用户仍需要对自身云上数据的安全性承担责任，定期执行安全测试、合规检查，以及开展攻防类安全活动等，这样才能更好地提升自身安全能力。
