1.3 云安全演进与威胁格局

1.3 云安全演进与威胁格局

本节摘要：今天云上的每一条防御原则，都是被某一代威胁逼出来的。本节沿"机房时代—虚拟化时代—云原生时代"三段演化，讲清边界防御为什么失效、零信任为什么登场、攻击者为什么从砸门改成了钓鱼与凭据窃取，最后给出全册推演要用的威胁底图。

三段演化史：防线是怎么一步步后撤的

理解现状最快的路，是看它如何变成这样。云安全的演化可以切成三段，每一段都是"新形态出现，旧防线失效，新原则补位"。

第一段是机房时代。安全围绕物理边界组织：大门、机房、防火墙，内网默认可信。这时的攻击者要突破边界，成本高、动静大，防御者的假设是"坏人在外面"。这套假设支撑了整个传统安全产业，也留下了最深的思维定势。

第二段是虚拟化与早期公有云时代。服务器变成软件镜像，一台物理机住进几十个租户；企业开始把内网延伸到云端机房，专线与 VPN 让"内外之分"越来越含糊。标志性事件是一批互联网公司的凭据泄露：攻击者不再硬闯边界，而是拿一把合法钥匙从正门进来。防御侧的回应是虚拟化层加固与租户隔离审计，安全责任第一次被正式写进合同条款——共享责任模型的雏形就在这一段。

第三段是云原生时代。容器、微服务、基础设施即代码、无服务器函数把环境变成"每小时都在重建的临时建筑"。API 成为一切操作的入口，也成为攻击的头号目标；供应链攻击让"信任上游镜像"变成风险；一次配置错误可以在几分钟内被自动化扫描工具发现并利用。边界消失了，防御原则被迫重写——零信任登场：不再假设任何位置可信，每次访问都要验证身份与授权。

图 1-3：云安全三段演化与威胁迁移时间线

威胁格局：今天的对手怎么打

演化的另一面是威胁的迁移。今天的云上攻击很少再是单点突破，更常见的是一条链：先钓一份员工凭据或翻一个泄露的密钥（入口），再用这把合法身份在控制面里探查资源清单（侦察），接着找一个配置过宽的存储位置或一个过权的服务账号横向挪动（横移），最后落向数据导出或加密勒索（变现）。链条的每一环对应一个域：入口在平台与基础设施域，侦察与横移考验身份治理，变现撞上数据安全与运营监测。

防御的对应思路是"拆链"而非"堵点"：凭据防护让入口难得手，最小权限让拿到的钥匙开不了几扇门，监控与日志让横移动作留下痕迹，备份与加密让变现环节不成立。第六章的事件复盘会完整走一遍这条链怎么被逐环拆掉。

还有一个格局性变化值得单独说：攻击的自动化程度已经反超人工。扫描全网配置错误的电影脚本几分钟扫完一个区域，防御侧若还靠人工巡检，节奏上就先输一局——这正是后续章节把配置基线、策略即代码、自动响应放在如此高位置的原因。

给全册推演立底图

把三段演化和威胁链条合起来，得到全册使用的威胁底图：入口以凭据与配置为主，路径沿控制面与数据面横向铺开，目标集中在数据与可用性，节奏以分钟计。后面每一章开推演时，都会先在这张底图上标出本章的交战区。

威胁底图的四条使用规则

把演化史与威胁链合成的那张底图，要变成日常工具还需要四条使用规则，先立在这。

规则一，入口优先级：底图上入口环的威胁（凭据钓鱼、配置暴露）发生频率远高于技术环（逃逸、内核漏洞），防御预算的分配要跟频率走。现实里组织常把预算花在炫技的深度防御上，而最便宜的一封钓鱼邮件就能绕过全部——不是深度防御不重要，是它排在高频入口之后。

规则二，横移靠身份不靠网络：老直觉里横移靠内网连通性，云上横移主要靠身份与权限——攻击者拿到的每把钥匙决定他还能开哪扇门。这解释了为什么本册把 IAM 放在平台域的中心位置，也是"横向移动"在考试场景题里的标准思考起点。

规则三，变现环节决定防御优先级：攻击者的变现方式（拖库、勒索、挖矿、转卖凭据）分布因行业而异，你的监控与备份策略要对着自家行业的高频变现方式设计——电商防拖库、制造业防勒索、SaaS 防租户数据滥用。威胁建模从来不是抽象的，落到变现环节就必须具体。

规则四，节奏以分钟计：自动化攻击把攻防节奏压缩到分钟级，人肉流程跟不上，能自动化的防御动作（配置巡检、告警分诊、凭据吊销）尽量自动化。这条规则是第六章运营域一切自动化的正当性来源。

一个反例：钱花错地方的年度安全预算

给演化视角配一个反例，看"用旧地图打新战争"长什么样。某公司年度安全预算的大头给了两样东西：一台新一代边界防火墙，和一年两次的渗透测试。而它的云环境里，三百个存储位置没有账户级公开封禁、运维账号共享使用、日志只留七天。渗透测试每年模拟的是"外部黑客攻边界"——而它真正的暴露面是"合法凭据加配置错误"。

这个反例的每一步都是演化史的注脚：边界防火墙防的是第一段时代的威胁形态；两次渗透测试测的是单点技术突破；而它真正的风险全在第三段时代的入口环与配置面。演化史的教学价值就在这里——它不是编年史知识，是预算与精力的分配依据。三段演化对应三种防御预算结构，今天的组织至少要按第二段半的结构花钱：身份与凭据防护为主，边界防御为辅，配置治理全天候。

三段演化的防御重心对照

把三段史压缩成一张对照表，备考与立项都能直接用。读法提醒：防御重心不是替换关系而是叠加关系——第三段的组织仍需要第一段的物理门禁，只是预算与注意力的重心逐段后移。

这张表还有考试之外的用法：拿它审你所在组织的安全立项清单，每一项支出标注所属列——如果第三段以后的列几乎没有对应投入，说明预算结构还停在上一个时代，1.3 开头的反例就是这种错位的完整标本。

两个思考练习

练习一，给自己的环境断代：按三段演化的标准给你的组织画像——防御预算的大头花在哪一段的威胁形态上？威胁情报与事故复盘指向的真实攻击又是哪一段？两问的答案错位，就是预算重排的依据。这道练习在考试里的变体是"某公司采用的防御措施是否匹配其威胁模型"类判断题，思路完全同源。

练习二，给一条新闻定位：每次读到云安全事件报道，用底图三问拆它——入口是哪一环（凭据、配置、漏洞）、路径走了控制面还是数据面、变现方式是什么。拆过十条新闻，你会发现事件形态的重复度极高，高到可以用一张检查清单去预防大多数——这份"从新闻到清单"的翻译能力，是威胁建模的个人版训练，也是本册希望你带走的核心习惯之一。

一个行话的辨析：零信任不是不信任

零信任这个词常被误读成"谁都不信、一切重来"。它的准确含义要窄得多也更工程化：信任不再附着在网络位置上，改为附着在"每次请求的身份、设备与上下文"上。老模型里进内网等于过了安检，零信任模型里每次推门都要出示证件——门还是那扇门，检票从大门口挪到了每一扇门前。答题时见到"零信任意味着取消内网"或"零信任是一种产品"的表述都要警惕：它是一种架构原则，产品只是实现载体，内网作为物理概念仍存在，只是不再作为信任依据。这个辨析在第一章出现，全册后面每一章的零信任表述都以它为准。

有一个容易被考题利用的认知陷阱要提前拆掉：演进到云原生，不意味着前两段的原则作废。物理与虚拟化层的安全如今由厂商承接，考试里它们仍以"厂商责任"的身份出现；你答错的方式通常不是不懂，而是把"厂商已负责"误推成"客户不用管"。责任可以委托，验证不能省——这句是本章三节的合龙点。

下一章正式进推演室：拿着这份底图与这套语言，去审一份云上架构设计，看安全怎么在图纸阶段就长进去。