首页
首页  >  

人在干,云在看

2013-04-17  来源:中国信息产业网  作者:

中国移动浙江公司信息技术部副总经理 汤劲松

非常感谢我们刘总对我们这块的诠释,其实在整个云计算,大数据整个应用的后端,就像刚才严总在谈的一张PPT说,运营商在做最下面的事,大多数人在做上面的事,他们关注中间这个枢纽,这个点上的事,其实非常非常重要,在之前我测试了很多,号称在这里面有千兆、万兆、十万兆能力的设备,走到了500兆之上,丢包的现象就出现了,所以我们在这儿谈概念的时候很轻松,但现实是蛮残酷的,试想在后续所有的分析当中,分析在一个残缺的体系上面的时候,我们经常会巧妇难为无米之炊,所以这事不赖我。

我看刚才刘总也挺想茶歇,但是以我的经验,下午的会最好不要安排茶歇,一茶歇人心都散了,所以我们就把这个事进行到底,最后我来给大家分享,因为我也是来自运营商,可能没有太多的技术的活来跟大家谈,所以更多的会跟大家分享一些,我们实实在在的一些应用,以及我们在这个应用上面所做的一些理念,我的题目是“人在干,云在看”。这句话是套用“人在干,天在看”这个概念,但是我们做不到,我不是上帝,不是天,但是我可以依据云来看做哪些事,315晚会的时候,大家可能感到挺恐怖,居然能够通过一个Cookie知道那么多的事,其实真能吗?这个话说白了也不靠谱,我们能从各个碎片里面,把这事聚集起来,最后把这个事找出来,这是谁干的?福尔摩斯干的,我们去看福尔摩斯他经常会把很小的碎片的事,串起来把这个案件给你设想出来。

对于我们来讲,我们也希望能够用我们的能力往那个方向靠,使得我们能够看得到,在我们这个体系里面做事的人,他们在干什么?对于我们运营商来说,我们的敏感数据非常多,涉及的面非常非常广,对于我们企业来讲,有很多很多机密的文件,我们的战略,我们的财务数据,我们的套餐资费政策,包括我们的报表,前两天我们分公司的老总来跟我讲说不好意思,我在和对方谈判的时候,对方能很明确的报出我们的收入,能很明确地报出我们下一部的套餐计划,你能告诉我是谁泄露出去的吗?因为产生这个数据的人很少,能产生这样数据的人很少,但是我告诉他,起码以我现在的能力,我可能做不到,但是将来等我把这一套布下去了,我能做这个事。

315经常会曝光的,我们的客户资料被窃取,说在我不知道的时候,把我的资料卖给了谁谁,他们都打电话,甚至于连我自己都那天接到一个电话,叫了我的名字说,你怎么不记得我了,我说你是谁,他说我是你的朋友,你连我都不记得了,他就在套我的话,然后我说我有什么事,我有那么多的朋友在你所待的那个地,你能告诉我一点我的信息吗?他说不出来了,完了,诈骗电话就现行了。我们的计费帐单,包括我们的消费清单,这也是经常被大家投诉的地方,我遇到这样的案子,有两夫妻跑到我们移动公司的分公司的总经理办公室,两夫妻的吵架就是因为我们把短信清单给对方知道了,所以要我们赔。

那我们有这么多的信息都是别人想获取的,那么80%以上的这些敏感数据的都是通过我们各种各样的前端应用去展现,而这些业务遍布,使用这些的人遍布各地,每年我们的赠费、退费开户这种业务操作,超过几万次,涉及到的金额也要达到好几亿,即使是有1%,0.01的数据变化也是很严重的安全事件。

那我们遇到的第二大问题,就是数据量非常非常大,你看我们的存储,我刚才讲的还只是内网,我们一般讲公有云、私有云,我现在讲的是私有云,在我们浙江公司的私有云上,各个系统的存储容量大概达到4000个T,而且我们的存储的利用率大于60% ,那你们想一想这么大的一个数据量,里面所蕴含的敏感数据,那就不得了了,再来看看要获取这些数据的网络流量,我们的核心会聚节点当中的平均流量是一个G每秒,在这样的一种压力下面,你想我要把所有的流量的数据,如果都能够存下来去做分析的话,几乎是不可能的事。

所以大数据的概念,在这里产生,所谓的大数据,我们经常谈的大数据是什么,经常谈的大数据是说所有的这些数据,一旦我没有把办法把它存下来,慢慢的去分析的话,我必须实时的,把其中有用的东西栽下,然后把他扔掉,然后把新的数据拿进来,再把有用的东西存下,把新的东西扔掉,在这样的一种过程当中,我们叫去芜存菁,在这样的一个过程中,逐渐把我的知识积累出来,这些东西叫大数据的应用,那么这个大数据的特征就明显的体现出来了。

接下来一个问题是,我为什么不能够在原有的系统里面涂日志呢,我们前面各个专家都在说,我们的监控,我们的分析,都是建筑在大家的网络日志的基础上面去干这的,但是写日志是谁写的?写应用的人写的,如果写应用的人他想给自己留条后路呢。这个监守自盗这个后门就很容易开出来了。所以我们会遇到我们的厂商告诉我说,这个日志我忘记写了,这个日志一个疏忽,或者写这个日志很难,会影响性能,他会跟我谈各种各样的条件。

事实上在我这些年管运营商安全的经验基础上面,有不少的问题,就是直接来源于我们厂商的人员监守自盗,上个星期,我还抓到这么一个安检,就是他突然一下把自己的权限升级为ROOT权限,然后干一些事,当然了虽然说这个事我们后来监控抓到了,但是像这种事他绝不是说我抓到一个就能今后不在犯这个事的,我们业务系统当中有400多个页面,能够显示出客户资料,如果说我全部都改用日志的话,一个系统的改造量很大,第二工期很长,风险很高。

业务一般他不会对查询的日志记录,他说你增删改我都给你记了,查就算了吧,查太多了,这个查都写一个日志的话,你这个日志就没眼看了。那么如果我实现了内容的关联分析的话,如果通过改造业务系统来实现的话,就会严重地影响业务系统本身的自身的性能,这样对于我业务的发展,会产生巨大的隐患。那么诸如此类,如果说一个系统开发一次,不能产品化,业务自身日积月累,我的日志越来越多怎么办,这个不能够解决真正的人员追述定位的这样一个问题。

还有一些事就是我们遇到的有很多的事,他是仅查询不办理,那么业务一般是没有日志,或者日志是不完整的,那即使有日志呢,你也没有办法说我查询了这个事,你就是认为我有窃取机密的行为。你看我这张图,他干了一件什么事呢,他把照相机,把这个界面直接给拍下来了,那你说我网络上能耐再大,能干这事吗?我能把人家拍照片的事给读下来,几乎不能,所以在这个环境当中,这种隐形蒸发的这种攻击,对于我们来讲非常头痛。

所以对于我们来讲,对于海量的数据来说,只能望洋兴叹,在我们原有的主机加数据库这样的一个架构下面,是明显有数据瓶颈的,那这种性能瓶颈不足的话,一查一条日志,在这么大的一个体系里面查一条日志耗几个小时,甚至半天这种情况也有,这个已经没有办法来达到我们数据审计的要求了,那么从检索来说,这个传统的审计,用内容检索的索引的这种技术,也没有办法来定位如此海量的数据,其实从我们的角度来说,日志已经是把严重衰减的这种操作性很小的一部分记下来了,大部分我是滤掉了。那就算按照这样的一种前提下面,我也要事先请人开发,而且这个系统要配合改造,但是他这样的审计速度也是没有办法跟上我的业务发展的要求的。那么如果说我们需要更周全的消息面更复杂的消息格式,说每次系统一改造,我的日志为什么没有记录呢?是因为那个系统改造了,所以他的日志我认不到,或者说我认了以后会有问题,那这种情况下面最后不能够变成真正的有效的消息。

那我们在这种情况下会干什么呢?我们通常会做的其实从国务院到地方,从政府到企业都会做这件事,一刀切,就是大炮打蚊子,就是说所有这些事你全部都给我停下来,不管是对业务有利没利的,反正不管怎么样,这就是规定,这就是因为我们分析有限,我们的管理力度有限,没有办法区分业务和违规行为,为了保证安全性的要求,我就一刀切下去了,还给他一个很好的名称说这是来自华为的最佳实践叫“先僵化后优化”,但是事实上大家想一想,我们比如说为了防止垃圾短信,我们提供的五项禁令,这些上面有多少是阻碍了我们的业务的发展,但是事实上他的的确确是鱼龙混杂,在这个过程当中,我们说其实我们的数据不怕被大家知道,被大家知道以后如果你真的用的好,我觉得真的还是帮到我们了,但是现在很多很痛苦的是暴殄天物,我这么好的数据给了他,客户资料给到他,他去干嘛,他去发垃圾短信。这个事真的让我很头痛,如果说你拿到真的好消息,你提供很好的服务,真的让人家觉得消费者也想要的服务,你很精准的推送到他那儿了,消费者不回来投诉我,他也只会认为我提供的服务,或者我和我的合作商,甚至我这条产业链所提供的服务会变得更好,但是正是因为这里面鱼龙混杂,就会造成这样的一个情况,所以这一刀切下去伤及无辜、四面树敌。你想一个企业里面做安全的人有几个,能够请你做安全的人,又能做几个,那么在这样四面树敌的情况下,你又没有办法根本的消除业务,结果成本很大,投资很大,伤及的业务很大,最后安全事件还要出现,所以一个大炮打下去,蚊子没打死,把边上的活人给打死了,这是我们典型的大炮打蚊子的事,接下来就是专业和我们的业务的制衡,谁怕谁,那对于我们业务来说,发展永远是第一位的,一个企业总要赚钱,总要向前发展,你的信息安全就因为刚才有那些一刀切的事,结果导致我的业务都慢了,所以认为安全是累赘,但对于安全的角度不是这么看,说我都是为你好,在高速公路上速度已经不是问题了,那安全才是第一位的,所以这两家一个专业很强,一个业务很牛,一强一牛一顶牛完了这个事谁都说不了。

所以说到这件事,我想跟大家分享的是说我们安全的使命到底是什么?我们以前经常说,有一句话说,安全和速度两者之间不可得兼,要速度就没有安全,要安全就没有速度,但是事想我们出台了那么多信息安全的规定,我们想干嘛,我们不就是想培养大家的意识,能够让他能够得到有效的监督执行吗,那么我们培养大家的安全意识,让他们要监督执行,要让他行之有效,又想干什么呢,又想创造一个安全的环境能够保障业务的安全,最后促使业务健康快速的发展,其实我们不矛盾。

我们的使命就是要保证业务,在他没有太大风险的前提下,在他风险可控的前提下快速地发展,所以千万记住安全和业务始终站在一起,也就是说信息安全始终是站在业务发展的同一边,信息安全的目的是促进业务的发展,仅仅是规避发展中出现的问题,这个观念在我们所有做安全的同事,起码在我做管理安全的这条线的时候,我跟我们同事强调的最多的就是这一条,他们每次来跟我讲,我可能对业务有这个影响,有那个影响的时候,我去问他,影响业务可以,但是你促进了业务什么,你有没有找到这个价值,找到这个价值你就可以和业务去谈,否则的话你就找不到那么多同盟军,你就是孤立的。

第二,我们刚才谈了望洋兴叹,那我有性能瓶颈咋办,那我必须要依靠手段去解决这样的问题,云给我提供了这样的一种能力,不管Hadoop,被大家认为仅仅是多么原始,但是起码我认为我是捡到一个宝贝,拿到这个Hadoop起码我能把这样PB级的数据恢复出来,这个出来就好办了,那日志审计其实是典型的一种分析型的计算,而这种对我们把网络数据就是远远超越日志数据的这样基础上的网络数据进行分析,他一方面能够增大我们的视野,另外一方面能够帮助我们解决适配、开发周期慢等等各种各样方面的问题。

这个东西只要一上来,我们会发现,我拿的不是你的日志,我拿的就是网络的流量,所以我避免了系统的改造,我根本不需要你系统去改造,你干你的我干我的,所以也避免了监守自盗,因为你不存在你去给我做什么,吐什么样的日志,你今天吐了没有,吐出来是不是我要的格式都没有关系。

第三,容量限制就没有了,我其实只是找了一堆爬虫,同时这对于网络数据上面,网络流量数据进行爬,爬出我要的数据把它拿回来,然后我来进行分析,所以在这样的一种前提下面,不管我是怎么样的异构数据都没有关系,所以在搜集、存储、分析这样一个体系当中,我完全可以在异构的体系,跨域的体系,甚至于是说你是文本的体系,不管你的日志是怎么样的,不管你是来自于基础层的,来自于中间件层的,来自于应用层的,来自于系统这一层面,不管你来自哪一层,我都能够纳入到我整体的分析体系当中去。

也不管你的业务是来自于前台还是后台,其实我们在有时候是前后台串起来做的事,这个没有问题,你是从前端做的事还是有人批量在后面帮忙,帮你干的某些事,统统会在我的汇聚交换机上把这些流量采得到,那么不管你有没有绕过我的业务,我们现在发现有很多问题就是这样,因为我们所有的人站岗全部站在了第一线,因为怕影响后面的效率,我们的人都站在第一线,把前面非常严格的叫严进宽出,把这些人都引进来了以后,在里面我们不做强校验了,所以他里面可以高效地办理业务,但是问题是一旦前面一绕过以后,他前面是穿着马甲进来的,到里面把马甲一拖他就成狼了,所以到里面他就可以获取他任何的数据,在我们原有的这样一套体系下面,我们会很痛苦,但是现在就不会,因为你不管你在里面干了什么事,你的数据都会在我的核心会聚交换机上面产生,所以我都能看得见,你有没有批量的去做什么事,你有没有在达到我们所谓的认知到的那些有异常行为的,异乎于我们常人行为的那种网络行为,其实很简单,我把数据分光出来,所以大家可以知道我刚才为什么上来的时候,特别关心一件事,我分光的数据有没有露马,如果没有露马的话很简单,我把数据抓进来,只要发现有异动的情况,然后我再加载回来我原来的页面上去,加载回去,我能够把当时的历史画面重现出来,说这个人当时在干嘛,其实只要看一下他在干嘛,你就很明白的知道,他这个行为是攻击性的行为还是正常的行为。

所以重现历史其实这是若干年前,我一直在追求的一个梦想,在这些年来说,他逐渐变成了现实,第二件事情就是我刚才谈的,一上来谈的那个案例,我们的老总说我的数据被人窃取了,你能不能告诉我是谁把他放出去的,我说我现在已经把这个东西布起来了,我从上个星期开始布下了钓鱼文件,这个文件他们肯定有人想要,然后我就能跟踪这个文件,从谁把这个数据取出来,然后谁进行分析了,分析以后他会不会给一些外面的人,外发的人他会找到一群人去沟通,最后汇报总结,汇报的时候他还会有一些授权读者,也会有一些决策者,不管是谁在这个链上,有人发给了一个外发者,让这个外发者开始动手,把这个事情从任何一个角度,没有经过正常的渠道离开了移动管辖的范围,这个口子我全能够看得见,当然了你把他背下来,晚上枕头边说一下,那自然没有办法,但是一般的情况下,因为他拿到的是批量的数据,他还没有这么好的记性,去把所有的事记下来,所以在这种情况下面,当然我事先也没有大张旗鼓的去告诉大家说我要抓这个贼了,只是把他偷偷的部署下去了,所以很容易,我刚刚今天他们给我的那个数据,说已经开始发现有一些异动的数据了,那我相信可能不用待一两周,这种线索是很容易被抓出来的,然后就是我们讲了有一套模型来判断,避免一刀切的问题,比如说我们查询但不办理业务,这件事在前台被认为是一件很正常的事情,而人家来查询来问我,那我总得告诉人家,你办了什么,好像还套近乎,还能帮别人出出主意,这多好的事,怎么就变成了一个违规的行为了呢。

我说这么一个事,问题在于什么呢?你在非工作时段,频繁地去查找那就有问题了,有一个客户晚上打电话来登上来看一下也就罢了,那你非工作时间,一片一片地去看那算什么事,那同一个终端,为了规避登在同一个终端上面来访问,也是可以被我看到的,那批量查询以后开始导出,要把这个数据要导出来,因为他要卖,他得把他导出来,那么或者呢,就是我刚才谈的,绕过了你的核心的防护层以后,他开始批量的用脚本开始跑后台的这个客户信息,这些东西凡是通过系统的控制的漏洞来绕行来做这些行为的,我们都可以被识别出来。

那我们现在想谈的,刚才我们说安全和业务是站在同一边的,那我们来具体的来分析一下安全和业务的相互之间唇齿相依的关系,安全本身他是保护套,他在外面保护的中间核心的业务,而中间核心业务当中那些齿轮,他是什么?他是规模发展的像我们运营商是一个规模发展的体系,这个规模发展当中有很多执行者,那执行者他不用考虑的很多,所以他们相对来说会短视,所以他会不断地触及你安全的那些边界,他要去发展他的业务,或者说他要获取他的利益,在这个过程当中他会不断地来挑战这个安全防护,所以安全防护层如果太薄了,那么对外来讲防护不够,人家来入侵的时候,你防护不住,那么对内他也防护不住,因为你想当我们这个外壁足够薄的时候,两个齿轮就会内耗。

但是如果说外部太厚,那么第一企业和客户之间的交流就会减少,这也是阻碍业务发展的一个很重要的环境,对内保护过渡,那么整个业务就会裹足不前,曾经我的一个弟兄很信誓旦旦的跟我说,我们安全的目标就是要零风险,我说完了,如果是零风险就意味着零增长,裹足不前,所以对于我们来说,我们怎么样能够让我们的安全适度,唇齿相依的这种适度和业务之间关联起来,才是我们这条线上的人,孜孜以求的事。

这里两张图左边的一张图取得是花园口决堤,其实我想说的是件什么事,我们一般来说,我们去做安全防护就是加高堤坝,加厚、加强,像什么呢?大禹治水的老大,衮,这个衮在做十年治水的时候,他就是不断地去堵,但是百密有一疏,最终溃堤是必然的。那鱼就聪明的多了,他不干这事干什么呢,在建坝的时候,也就是说如果你来攻击,我会对你进行清洗,清洗掉一部分以后让你通过,从某种角度来说,这种被清洗掉的这个事我不是纯粹的清洗掉,而是说让你去一个我让你去的地方,请君入瓮这种情况要么抓你,如果量实在太大,那就一定要让他旁路掉,这样的情况下面,对于我们的整体的防御来讲,就不会有太大的问题,因为只要有溢洪道,中间你百年一遇,千年一遇的洪水都不怕,如果你没有溢洪道,那比如说我们三峡当年说,应该建成200年不遇的这个工程,才可能防这样的洪水,但是不到20年,我们就会有遇到各种各样的环境上的问题,所以与其靠一己之力去高筑墙,不如调集大家的注意力来改变这个形式和环境,这对于我们来讲做安全的人有不能够纯粹的站在技术的角度,纯粹去追求技术来改变一切,因为技术最终是要被人所使用。

去年我在这儿谈的一个话题,叫“云在青天水在瓶”,今年我重提这个概念,也就是说云其实是无处不在的,但又看不清摸不着,但云呢,赋予可以洞悉一切的力量,也就是说它可以根据人芸芸众生当中所跑的所有的数据,我们能够把里面的规律找出来,所以像我们刚才这样的体系,不管你是登录次数的排名,操作次数的排名,操作流量的排名,一台业务终端上有多个业务登录等等各种各样的情况,对我们来说都了如指掌,所以在一个静瓶里面,中间放的是清水,水里面只要有一点杂质,其实大家都是看得见的。

所以这种风清气盛的网络环境,恰恰就是我们所追求的。我们可以看一下我们目前这个云架构的一些实际表现,这是我的一个测试数据,从我们先期布的10个节点得到的数据,从这个情况来看,各种各样的性能,我们可以看到他都比传统的业务有一个本质性的提升。所以在这里面,我们所提倡的是一种真正的能够达到一个,就是能够达到我们一种比较理想的一种状态。

其实在很多时候,我们要想调集别人的注意力,有很多很多种方法,我想在这里也跟大家,其实我们大家以前听过很多很多的故事,只不过我们只是把他当作故事走掉了,在我们真正用起来的时候,其实没有真正用起来,我们在我们的杭州,有一个地方叫灵隐,据说拜佛还挺灵验的,在这个灵隐的边上,有一座山叫飞来峰,这飞来峰的传说就是从印度飞来的一个峰,说这个峰下面压着一个村子,这个村子里的人,当天这个峰要飞过来的时候,正在娶新娘子,那么怎么样保证这一群人的安全,有一个和尚他知道这个事,但是他要想让大家按照咋办,他想了一个办法,他不能命令大家,不能一刀切,还有很多人还贪恋他的财产,不愿意走怎么办,他想了一个办法,他背起来那个新娘子就跑,疯和尚抢新娘子了,全村不管男女老少全去追,追去半里地,一下吧那个新娘子往地上一放,等大家回过头来,那个山就已经把村子,整个村子给压掉了,这当然是一个寓言,当然他告诉我们的是什么?他告诉我们的是,我们要想做一件事情,我们不能够靠强制的力量去解决很多问题,我们要能够把利益放到目标的背后。我这里有两张图撤掉了,原先我是想画这样一张图,我们去要大家射箭,射那个目标,那为什么要设那个目标,我们要把一个更重要的目标,放在那个东西的后面,大家想射那个东西了,所以箭都往那儿去了,所以这就是讲当我们发现大量的攻击的时候,我们可以采用很多的策略,而不用全部都用靠一种很强的技术力量去解决这样的问题,所以这是我希望和大家分享的,对于安全来讲,从很大的意义上,我们追求的是大家能够,因为安全的规定,就像前面郭老师讲的,就是安全的规定永远是滞后我们行业的发展。你要等什么事情都让规定来规定说这是不允许做的,才可以的话,那我们这个社会就不要发展了,所以我们需要建立的一套准则,给大家培养一种观念,培养一种理念,而这种理念是使得在你的法律法规健全之前就已经起到一定的作用。

这种事恰恰是我们现在愿意去干的,而为什么我们能定出那个东西呢。我们有云平台,我们有云的手段,我们能够分析出来,我们能够去很有理直气壮的说,当然这条路非常非常的漫长,这句话是屈原老先生说的。所以也跟大家共勉,“路漫漫其修远兮,吾将上下而求索”,这是我今天讲演的内容。

今天的下午议题非常丰富,有对国家政策的解读,能够让我们了解,行业当中资源会聚的所在,能让我们看见这个行业利润的洼地,其实刚才大家如果真的认真地去解读,郭局长前面那篇PPT的话,其实那里面有很多很多的利润在他那张片子里面,有对我们云空间攻击防护的手段,以及他的这种规模的部署,能让我们有一套端到端的解决方案,来进行我们的安全的管理,也有对移动终端的这种管理。

把对云的管控一直延伸到我们指间,其实这是很有必要的,离开了中间任何一个环节,对于我们来讲,整个管理都会面临着一种不可控,所以在我们今天这个下午的分享当中,也有运营商和合作商来畅谈生态圈,希望大家共同来建立这样一种安全秩序。

当然这里面有很可观的商业模式,来汇聚我们的焦点,但是最终我们认为安全管理的核心,还是我们是否能够左右人们对业务健康发展的认识,这句话又回到了我们最前面第一个PPT当中,说我们过去说了,现在我们大家都在关心云的发展,云的推广,但是如果云的发展,云的推广没有一套安全体系的保障的话,他带来的后果是灾难性的,所以对于我们现在的这种发展的速度来讲,很多人都在追求发展速度,最好日新月异,就像我们刚才前面片子里面所看到的,有很多说我们最近这几年数据积累的量,每隔多少年翻一番,这个是以前多少年之间的这个总和,但是我们想过没有,这样的快速发展给我们带来的代价也是巨大的。

我们中国今天为什么会回过头来去追求美丽中国,其实也是前这么多年来,快速发展带来的代价,所以有句古话叫人为财死、鸟为食亡,任何事情其实都需要有一个发生发展健全这样一个过程,如果我们一味地去追求速度,一味地去追求发展,一味地去追求利润,最终给我们带来的都是非常不可控的,对业务发展是这样的,对我们安全整个产业链来说,发展也是如此。

对于我们今天的这样一次盛会读到了非常好的分享案例,在这里面虽然我们今天的演讲嘉宾都走了,但是我想作为我们来说,我们既然今天听了那么多,好的案例,我们也鼓掌来向我们大会组织者表示感谢。

下午的议题就全部在这儿了,谢谢大家!

关键词:云计算 大数据 Cookie