自适应安全(Adaptive Security)是Gartner于2014年提出的面向下一代的安全体系，该理念认为云时代的安全服务应该以持续监控和行为识别为核心引擎，覆盖预测、防御、监控、回溯四个周期，可自适应于不同基础架构和业务变化并形成统一安全策略，才能应对未来更加隐秘、专业的高级攻击。
美国的illumio就是一家专门做“自适应安全”平台的安全创业公司，并于去年4月第三轮融资1亿美元。illumio是国外的企业，国内目前可以与之对标的只有青藤云安全，是国内首家将自适应安全理念产品化的安全团队。为此，始终在关注前沿安全领域和发展趋势的安全牛联系到并采访了青藤云安全的创始人兼CEO张福，得以较为深入地了解这家创业公司的技术实现和发展理念。
青藤云安全创始人兼CEO 张福
张福属于国内较早的黑客技术研究者，在安全攻防领域有超过15年的实践经验，曾先后在九城、51.com、盛大、昆仑万维等多家知名互联网公司担任技术和业务安全负责人，主导设计开发了九城游戏代码漏洞挖掘平台、51.com互动压力测试系统、盛大旁路式游戏反外挂系统等多款创新性产品，结合互联网一线业务积累了大量安全实践，对企业安全需求和安全产品都有深刻而前瞻性的理解，国内少有的打通互联网业务研发和安全体系两个领域的专家性人才。
青藤云安全于2014年8月正式成立，获得650万元天使轮融资，2015年年底对外宣布，公司获得了来自宽带资本、红点创投的6000万元人民币A轮融资。
为什么要创业？
张福一直在互联网企业负责安全，之后还负责过运维、开发，以及偏业务的技术支撑，再之后就越来越偏向研发管理。在张福十几年的职业生涯中，逐渐发现在任何一家公司，做安全都是一件极其不容易的事情，而安全最大的困难在于落地，比如流程、制度、人员等。尤其是在业务变化非常快，IT管理水平很低、对安全的要求非常务实的互联网企业。张福发现公司购买的安全设备没有好用的，许多企业要么干脆不做安全，要么就招一些安全人自己开发。传统安全的从设备到服务，非常难卖到互联网企业。在2013年快结束的时候，他意识到整个中国的安全行业会有一个比较大的改变。
一是觉得这个行业的风口就要来了，这一点可以从近几年比较频繁的并购看出。市面上比较新的安全公司几乎被投资并购一空。二是预计之后几年的时间里，政府会要求企业去履行他们的社会责任，比如妥善保护好用户的隐私数据。个人信息泄露已经变成很大的社会问题，而责任方主要在企业。三是他感觉中国的安全行业还很落后，客户比较固定，比如说金融、政府、央企等。传统安全公司在这个行业里耕耘了很多年，使得这个行业是一种关系导向型的销售模式。产品做的好不好不重要，国家的合规要求又保底了企业的销售，缺乏较强的竞争关系。因此，更大的空间存在于企业真正对安全的需求。最后则是逐渐体会到大家对安全意识有了普遍的提升。过去的企业需要解释为什么需要安全，但现在的企业基本都对安全有需要，无非就是现在是否购买，你的东西做的到底怎样，价格合不合理的问题。
安全本质上是一种管理问题，尤其是资产和组织架构越来越复杂之后，管理难度就越来越高。在青藤实际的调研中发现，很多互联网企业由于业务发展迅速，变更频繁，企业内部极少有人能及时了解本身的核心资产，如服务器规模、域名、网段的清晰情况。
某些大型运营商甚至连自己有多少台服务器都数不清楚。
为什么做自适应安全？
最早出来创业的时候，张福对安全有很多的想法，并自认为对这个行业的理解比许多人要深。为了证明自己，就根据自己的理解做了产品设计，然后用了四个月的时间去开发写代码。这时看到了Gartner关于自适应安全的报告，结果发现他们与报告的想法几乎完全一致，但Gartner的归纳和总结要更加完整，并且已经提炼的很好。于是张福决定以后就依此作为整个产品和技术的指导框架去做，但具体的实现又有些不同之处。因为同样的一个架构，在美国和在中国具体实施出来是完全不一样的。
一个框架出来之后，美国的安全公司都会把自己往这个体系架构里面放。美国每个细分领域都有很多的公司去做，联合协手构成安全体系的完整架构，但是在中国，并不具备这样做的基础条件。具体到青藤云安全本身，在做自适应体系的时候，里面大部分的关键能力和组件都很难找到足够好的厂商连接在一起，因此青藤就自己设计了一个基础框架，用来覆盖这个体系的所有方面。同时，这个框架是一种插件式的结构，以便把多种安全能力引入结合到一起。下面我们就来看一看它的基本技术架构。
三种Agent:青藤自适应安全的技术架构
青藤自适应安全产品的架构体系是一种“三维探针 + 插件式安全能力 + 统一管理平台”的架构。这种架构有三种类型部署，第一种探针(Agent)需部署在每台服务器上；第二种Agent的作用本质上来讲就是把物理机或虚拟机变成一个流量分析的设备；第三种则是一种从外部进行检查的检测器(Checker)。这三种Agent并非简单的应用，每种都可以搭载很多的模块，以扩充和实现不同的能力。这种模块的搭载和部署是软件虚拟化的，可以随时随地的搭载，而且这些模块之间，也有很强的相互协同能力。
这三种Agent Server架构其实代表了青藤看待企业安全的三种角度，第一种角度就是站在内部的角度，所以对内部的状况掌握的非常详细；第二种代表网络和边界的角度；第三种代表一个第三方的角度。把这三种角度放在云端相互关联分析，就会把安全问题看得准确和清楚。仅从一种角度去分析问题是不够的。
此外，系统还可接入各种威胁情报，比如现在就已经接上了微步在线的API。微步主要是利用杀毒程序对系统进行鉴定，以发现是否有进程不在白名单里。还可以通过监测反向连接、DNS请求、登陆系统等，把IP信息与黑名单来做比对，来确定是否有问题，这个就是对外部威胁情报的引用。
技术架构
本质上来讲，这套系统可称之为Hub或者Core，因为它占据的是整个系统最核心的这一层，所有外部的安全能力都可以被引用，很好的融合到系统里。举个例子，现在网站如果被DDoS攻击，大都会用加速乐、安全宝或者云盾这样的产品来解决，但很少有人把网站全时间的挂在这些抗D服务上面，因为抗D服务无法取代传统的CDN，如果把云盾的之类的服务一直放在前面，全国各个结点的访问速度会很差。所以对用户来讲，他的需求就是在被攻击的时候，用抗D服务来扛一扛，平时则不用，避免影响访问质量。在青藤自适应安全的整套体系里，比如刚才所说的第一种Agent，可以清点企业的网站资产，当某个网站受到DDoS攻击的时候系统可以通知用户，然后一键把这个站点给切到抗D服务上去。甚至如果用户觉得某服务效果不好，还可以一键切换到其他安全保障服务上去。这种能力就是一种核心的管理能力，通过打通用户的DNS和连接各种API，可以把用户的安全能力在全企业范围内做跨系统的调度。
再有，自适应系统还可与云计算平台连接在一起。比如用户在阿里云或者腾讯云上去开云主机的时候，系统就能自动感知到这个设备的产生。自适应安全的能力是插件式的，所以可以引用整个安全行业的各种能力来服务一家客户，这就是自适应安全的一个重要特性。
了解了基本体系架构之后，我们再来看一看它的详细组成。
三个产品模块：青藤自适应安全系统的组成
第一个叫做Analyzer，即分析模块。它的作用是自动化的进行资产清点。Analyzer对资产的清点是非常细粒度的，首先可以知道企业到底部署了多少Agent服务器和没部署的服务器。然后，对于部署了Agent的服务器能够分析其上面正在运行的进程、软件包、帐号、功能组件，配置什么样的数据库、有无中间件，以及系统信息等等。除此之外，还能够自动化的清点所有的站点，站点下又部署了哪些外部的应用，比如说wordpress之类的内容管理系统，整个公司到底有哪些URL的接口，这些接口哪些是对外暴露的，哪些又是对内的，哪些接口是用来上传文件的，哪些又是可以用来登陆的等等。建立在这些细致的信息基础上所做的资产风险分析，用户就能够非常清晰的了解自己的风险所在。
这里的关键词就是自适应，它能自动跟随资产的变化，不管是新配制的网站还是新安装的web应用、软件包，系统可以自动感知这个变化并自动分析变化带来风险。自适应系统甚至能够做到把一个新上线的URL从流量中实时把它清点出来，是自动跟随变化的，这个就叫做“自适应安全分析器”。
第二个部分叫做Builder，即构建模块。当分析出资产拥有哪些风险之后，下一步要做的就是控制风险。比如彻底改掉有风险的入口，无法改的话就进行一些防御性的加固和保护。Builder的作用就是给用户构建一套安全体系，建立并补全相应的安全角色，生成相应的安全策略，以及设置一些机制来预防这个问题的再次产生。Builder是可视化的，它可以在线快速搭建一个安全的体系。
第三个部分是Monitor，即监控模块。当体系搭建完成之后，就需要持续的监控分析。它的实现就是设置许多监控点，以精确发现恶意行为或黑客活动。传统的检测系统在前端会报很多警，企业每天收到几万条都有可能，这是无法落地执行的。自适应安全监控器是后置检测,报警很少，而且很精准。这个检测系统就是整个自适应安全体系的核心，它通过三种方法确保检测出恶意行为:
一是锚点。我们在黑客可能的活动路径上设置一系列感应器，触碰即报警。比如黑客想删掉登陆日志时，监控器就会将这个行为报出，安全人员再及时跟进做确认。通过感应报警再加上人工确认，就能够做到精准，而且每天的报警量会很小。这个就是锚点。
二是行为模型。现在整个安全行业都在讲行为模型，其实许多用大数据方式提炼的行为模型非常不准确，误报率高，以致无法正常使用，因为即便你的机器学习能做到99.99%的准确性，对于几十亿条的事件信息来说，也至少还有10万条以上的误报。所以一定要结合这个安全行业非常专业的经验才能做到，即在我们多年对黑客活动了解的基础上总结出一些行为模型，用这些模型来判断一个进程是否有问题。比如，这个进程诞生了什么样的子进程、有没有读改写系统敏感文件、有没有创建反向连接、是否监听端口，以及有没有代写子进程等。用这些维度去描述一个进程的时候，并通过长期观测形生成一个稳定态的模型，一旦稳定态被破坏就很可能有问题。哪怕你再是0day，比如“破壳”(shellshock)，我也根本不需要知道有这样的漏洞存在，也可以通过进程的反常行为发现入侵行为。
三是关系模型。它是指在一个比较稳定的业务结构下，其中每台服务器之间的关系，以及服务器上的业务进程跟其他服务器业务进程之间的访问关系，它是一个比较恒定的关系，类似于人之间的关系。尤其是在线上业务系统里，这种结构则更加恒定，而且是可以被观测出来的。生成这样的结构之后，我们给每一种业务角色定义一个关系熵，即描述一种业务他业务之间的关联关系，不管是何种角色关系最终都会得到一个稳定的熵值。而黑客进入系统，要做的第一件事情就是探索和了解整个系统的内部结构，就会跟一些机器或者进程产生关联。这时之前定义的关系商就会产生变化，最终把黑客暴露出来。
锚点、行为模型和关系模型结合在一起就是Monitor,正如上面提到的，这个检测系统也是整个自适应安全体系的核心。而Monitor、Analyzer和Builder则构成了整个青藤自适应安全系统。
了解整个自适应安全系统的组成之后，我们来看看这套系统能够给用户带来什么样的价值。
三个价值点：给用户带来的价值
一为安全清晰可衡量。Analyzer在计算分析各种资产和风险之后，会得到一个分数，告诉用户企业的安全状况。而不是有几个高水平的白帽子，一大堆昂贵的这样的对安全能力的表现方式。这种方式是没法评估和衡量的。
当有了一个明确的分数的时候，也就有了同比和环比，同比是与别人比，环比就是自己在不同时间上的比，有了这样的衡量之后，用户就知道对安全的投入带来了什么样的效果。
二为持续风控。自适应系统会为客户画一条安全线，并帮助客户把风险持续的控制到这个水平线下。做到这一点，最重要的事情就是缩减攻击面，比如根据安全策略收缩端口、权限等，包括策略规范化等。但不管怎么收缩攻击面，风险也不可能完全避免。不过，持续控制的意思就是当风险超出安全线时要立刻再把它拉回来。而这一根安全线如果做得好，将来会形成行业标准。当然，不同的行业所处的安全层次不一样，所以标准也是不一样的。
三为及时响应。尽管把攻击面缩小之后出问题的概率很低，但不代表一定不会出问题。因此，第三点的价值就在于，也要做到，如果真出问题能够在很短的时间内发现并且立刻采取响应。
最后是青藤自适应的两个特点：
第一是稳定。前面说到的三种Agent，第一种是装在内部服务器上的，但它却不会往服务器上装任何的内核驱动，因此能够确保服务器的稳定性。青藤开发人员复用了系统很多底层的机制，以保证在不装内核模块的情况下，还能够拥有非常强大的能力。举个例子，Linux有个内核的安全框架– LSM，许多搞内核的人都以为这个框架只能通过内核模块的方式去控制它。但其实它在应用层是有接口的，可以通过应用层来控制，操作这个框架就可以实现非常强大的底层能力。比如监控函数调用、感知进程反向连接、谁在读写敏感文件等。所以不管Agent是死还是活，都不会对系统的稳定性造成任何的影响。
第二是平衡。Agent真正困难的地方，在于如何把安全的能力做到很高的同时又不会耗用太多资源。比如起分析作用的Agent是需要流量的，包括传统交换机层级的流量、SDN和纯应用层的分流，青藤标配的是最后一种——应用层分流。这是因为系统要实现统一覆盖和管理，甚至是在全球范围内的管理。在这种情况下，是不可能跑到机房里去给交换机做端口镜像之类的，而SDN目前支持的厂商还比较少，所以现在最方便的方式就是第三种。大致的实现过程就是，系统把Nginx、Apache、Tomcat等一系列Web应用提供了插件，可以把流量在进程内部分流成两部分。一部分遵循原有路径，另一部分用UDP的方式封装，再通过内网投递给Agent。不仅能够对这些流量做实时的分析、支持HTTPS（因为在进程内部已经还原成明文），而且还不需要证书。在全世界范围内任意一台虚拟机，都可以部署成第二种Agent。
安全牛评
自适应安全从设计理念到技术架构到功能应用，都可以较好的解决互联网企业的大量资产、复杂业务和变化频繁带来的安全问题，属于安全领域比较前沿的技术解决方案。
但国内安全生态圈的不完整性，使得青藤自行设计开发了整体的应用框架，对于一个初创企业来说，无论是资源调配或是业务关系联合都是考验。
不过挑战在很多时候也是机会，与其他企业安全能力是否能很好的结合，也许是青藤云安全这家初创企业良好发展的关键。
