ISC2017大会访途隆云:要成为云计算守护者

  在这喧闹的咖啡厅，途隆云CEO 张晓兵接受了雷竞技须安全稳定 的专访。今年是ISC 2017大会的第二天，虽然比第一天的人少了些，但参会者依然不少。

  昨天—9月12日，2017中国互联网安全大会在北京国家会议中心召开。作为亚太地区规格最高、影响力最大的国际顶级安全盛会，今年的ISC大会盛况空前，不仅有众多的国内外安全专家、研究员，而且还有上万名参会者。

  作为国内非常专业的安全厂商之一，途隆云自然没有错过本次盛会，甚至在展览区搭建了专门的展台。

  从做游戏运营开始 变成一家云安全厂商

  据张晓兵介绍，途隆云最早是做游戏运营出身的。“十几年前，做游戏运营时，总是遭到攻击，而且攻击情况还比较严重，然后转向游戏防护，做抗DDoS攻击，”他说，“我们在游戏领域做抗DDoS攻击，做了十几年时间，积累了丰富的经验”。这为他们后来转型奠定了一定的基础。

  不过，张晓兵也对笔者表示，从今年开始做几个改变。“第一，我们希望把这种抗DDoS攻击从游戏客户延伸至更广的企业客户，向更多的企业客户提供这种抗DDoS攻击能力。因为我们发现，这种攻击流量越来越大，而国内的整体防御能力和水平还处在一个低水平，所以希望为更多的客户提供我们优质的抗DDoS能力。”他说。

  其次，途隆云在做抗DDoS攻击时，很多用户直接用其物理机或托管到其机房，但是客户系统还会出现其他的安全问题，比如漏洞。张晓兵表示，“除了抗DDoS攻击，我们也提供漏洞防护、态势感知、数据安全等。我们希望把安全做出一个闭环。”

  他同时也介绍了途隆云的业务发展演进，先做抗DDoS攻击，然后转向做安全数据中心，现在变成云安全。

  物联网时代—“万物皆可破”

  作为互联网安全大会，当问到对今年的网络攻击有何看法时，他表示，“最早，网络攻击是利用PC端打出的一些模拟流量，后来变成PC端上的‘肉鸡’打出的真实流量，还有一些小型IDC运营商，会产生‘黑带宽’或IDC流量攻击。”

  不过，这还不是一切的重点。移动互联起来后，针对手机端的攻击增多，另外就是IOT攻击。如果说PC时代，有数十亿台设备，那么移动互联网则有百亿级设备，而在IOT时代，则是千亿级设备。此时“攻大于防，因为每个设备都可以发起攻击，有一个说法叫‘万物皆可破’”。

  对张晓兵个人来说，他已经是安全领域的老兵了。据他介绍，最开始是在瑞星杀毒做终端安全，后来也去了微软、安天实验室，做了近10年的安全。接着，他又去了360，做企业杀毒。从传统安全厂商到互联网安全公司，这也让他从终端安全转向云安全。

  云安全2.0时代 传统的云防护系统已经不再有效

  在云计算日益兴盛的今天，他认为，“无论是公有云，还是私有云，最终所有的云都要落在服务器上，因此数据中心的安全是目前云计算安全中最薄弱的一环。比如国内一公司有200个数据中心，真正具备安全能力的数据中心只有20个。在全国数万个数据中心里，安全的数据中心连百分之一都不到。”

  事实上，本次的互联网安全大会，还有一个名为“云安全2.0时代的分论坛”，笔者特意去旁听了一下。途隆云声称，自己率先迈入了云安全2.0时代。

  对此，张晓兵回应道，“在我们的理解中，无论是360网站卫士、百度安全宝，还是腾讯大禹、阿里云盾，它们都叫云防护系统。它们前端有个调度集群，后端有一套CDN网络，通过各个数据中心形成庞大的云防护系统。”

  如何具体的理解它？他举了一个生动的例子：比如，我有40个数据中心，每个能扛200G攻击流量，一共是8T的流量防护。当攻击来临时，都可以用本地的数据中心清洗掉。但是这种方式有一个问题：云防护系统对域名攻击、DNS攻击等是有效的，但却无法抵御针对单个ip的流量攻击。如果一个云防护系统下有10个ip，先对单个ip发起攻击，打出800G的流量，但ip只能承受400G的流量，这样你的ip瞬间就能被打垮。然后，轮番攻击你的ip，这样你的云防护就失灵了。

  对于这种变化，张晓兵表示，“面对这种攻击态势，你需要发展自己的单点抗DDoS能力——即单ip上面能扛多大流量，往往决定了你在整个战争中的胜负。所以我们在青岛建立了一个单点1.3T的抗DDoS能力，马上会有2.3T。”

  谈云计算和安全之间的关系

  实际上，由于安全产业本身的这种属性，国内安全产值整体不大，周鸿祎在大会上说是400亿。云计算的出现给传统的安全带来的新的机遇和挑战，如何理解二者的关系？

  张晓兵说，“我觉得安全就像保健品，他不能百分之百的解决问题，但没有它也不行。这就造成，越有钱的企业才能能力投入，所以安全更多是卖给有钱的企业。那些300人以下的企业，很难在安全上投入一分钱。”

  同时，云计算专门给“没钱的企业”提供的，“没钱的企业，你卖给它们安全，它们也买不起，所以我们推出一个主动安全的概念：相当于把安全集成到云平台的底层。此外，我们也希望把安全的这种发现能力，比如漏洞发现、DDoS发现等，全变成一种免费和主动的能力。用户进入云平台，就会免费帮你做体检。总之，把一些基础的安全能力免费提供给客户。”他强调。

  如果这样做，怎么来赚钱呢？在基础的安全能力之上，如果业务受到上百G攻击，那么你可以去购买更好的安全防御产品。“原来是想所有的安全产品都挣钱，现在不行了，把一些基本的安全能力释放出来，让客户为高端服务付费。”