在“2013中关村大数据日”的“大数据 @数据智慧城市”论坛上，山石网络的首席技术官杨庆华带来“智慧城市的网络安全”主题演讲。以下是演讲全文：
杨庆华：谢谢首席，今天我们的主题是智慧城市，所以我先从智慧城市开始讲起。智慧城市我们要提到一个词，这个词是2010年上海世博会的宣传语，城市让生活更美好。城市融合了各种各样的人，还有城镇化的建设。
所谓的智慧城市，是将人的世界，也就是说我们现在的物理世界，现在虚拟世界越来越不确切，过去我们把信息化叫虚拟世界，现在应该叫数字城市。
在这个智慧城市里面我们看到的首先是物和物之间的连接，人和人之间的连接，事件和事件，信息和信息之间的连接，这些连接出来就选择了完美的智慧世界。在这个智慧世界当中，我们看到城镇化建设成为未来很多年中国的一个重要的发展。
为什么会发展这么多的城镇化？城镇化会给人们的生活带来很大的该，智慧城市是可以引领整个的城镇化的建设。我们在整个的城镇化建设之中，我们会看到现在有很多的系统，比如说数字城管、数字工商，包括平安城市、平安交通，数字物流、电子政务等，我列了很多这样的东西。
你会发现所有的这些内容，都需要一个东西来保障。其实所有的这一切要做的是什么？智慧城市要做的就是融合，把所有的系统融合到一起，之后把所有的信息共享给大家。我本人从1998年开始做安全，做所有的事情首先想到安全性。所以我经常会被大家定义成你是任何事情的反对者，一个新的东西出来，我们首先想到的是它存在哪些安全性的问题。我们看到智慧城市带来的第一是融合，第二是共享。
融合的角度来看，首先看到的矛盾，是融合和分离之间的矛盾，他会把越来越多的系统，融合在一起。但是从安全的角度来说，每一个里面的部分，都是相对封闭的。因为它的内容，是要给有限的人看到。所以一旦融合之后的系统，出现一点的故障，都会给整个的城市带来灾难性的影响。
前面我们提到各种各样的数字问题，它只会产生一点业务的影响，智慧城市会带来的是灾难性城市的影响。
第二、共享的隐私。除了当年四川绵阳开车动作之外，又除了一个新的一个庭长在酒店开房的视频。我们发现智慧城市里面有很大的问题是视频云，有平安城市，平安交通，数字、工商、城管、治安，有很多的视频，包括交通。把这些视频集中在一起，这些视频怎么用，怎么保护隐私权，这里面就有一个问题，共享的隐私。
我们需要用二维码，或者是无线定位各种各样的技术实现全面透彻的感知。希望通过无线网、移动的网络，社交的网络，智能终端实现我们的宽带广泛的这种互联。人和人的互联，物和物的互联。我们需要大数据挖掘智慧的应用，智能的分析，包括云计算各种各样的技术，实现智能融合的应用。需要通过各种各样的创新，不管是web2.0电子政务，实现以人为本的创新。智慧城市很大程度是一种创新，我们需要通过智能灵活的应用，用户创新，开放创新，大众创新，协同的创新，等实现所有的创新。
这些创新之后，你会发现归根到底在IT上。智慧城市最终需要靠IT解决。它完全符合IT的大的发展趋势，云计算的发展趋势，社交网络、大数据挖掘，智能终端或者是移动的发展趋势。这几个发展趋势都对传统的IT管理，和传统的安全，带来的是颠覆性的挑战。这是我们做安全的人觉得很恐怖的事情，就是现在IT建设的技术发展或者是技术创新，对传统的管理，传统的安全带来的是颠覆性的挑战。
云计算带来什么样的挑战？第一、所有的数据拥有者失去了控制权，现在云化以后我们失去了控制权。
第二、大二层扁平网络重新定义安全技术的形态和位置。
第三、海量的非结构化的数据，使整个数据的可用性、安全性带来很大的挑战。包括各种行为的记录，增大了整个信息泄露的危险。
第四、移动终端化，提到BYOD，BYOD对所有人的生活带来非常大的好处，但是给所有的管理者带来的是巨大的挑战。原因是什么？我们做很多的终端管理的，都是管理桌面的计算机，笔记本，但是现在我们的管理者改成了平板电脑、智能手机。这些设备位置、使用人、应用软件、进程的不确定性，给黑客的攻击产生了非常大的变革。
再就是社交网络，过去讲黑客，有一门黑客学叫《社交工程》，都是通过社交密码获取你的帐号，现在基于社交工程，人和人交互的即时聊天，微信、邮件，都给黑客，给我们的安全防范有很大的障碍。
我们前几天在单位内部做了实验，发了一个邮件，我们的VP假冒他的邮件，发给他的员工，里面带了一张照片，大家只要打开这个照片你的电脑不受控。打开照片的人不知道，但是你的操作都可以在我的屏幕上显示出来，他本人不会有任何的感觉。我们想这只是我做的一个实验，如果我真的干一件事情，是多少的危险。我可以知道你们每个人的帐号，你们输入帐号和密码的时候，我都可以看到，这是非常危险的事情。
回到这点，因为今天时间的关系，我们只谈其中的一个挑战，就是云计算。云计算我们不得不谈的是云计算中心的发展趋势。过去的计算中心，就是从核心到汇聚，到底层接入的网络。从网络布局来说，接入层是一比一的配比。接入层到汇聚层是1：8。汇聚到核心大概是1：8。过去的数据中心绝大部分做计算，第二是做存储。现在把计算机熔化之后，你会发现有大量的数据，南北向数据的流量基本上不会发生变化，发生和你的业务量相当，但是东西向流量会发生巨大的变化。这是第一个发展的趋势。
第二是服务器的平台，服务器平台单机的处理量在加大，同时带来了体积的影响，能耗现在减少。今天首席上面提到很多的系统里面能耗要求是1.5，但是过去我们看到，昨天我在跟广州的信息中心他们在做超算中心，他们一期三分之一用到总功耗的70%。现在能耗是非常头疼的一件事情，对所有的服务器能耗是最大的难题。
再就是对带宽的要求，从基础架构来看，从过去的实体化的建设，已经变成了全虚拟化，虚拟存储，虚拟网络，虚拟计算，等已经全部的虚拟化。山石也在提出虚拟的安全系统，安全池这样的概念。
包括运营，过去我是实体管理数据中心，现在全是托管，整个的运营中心他的复杂性在变化，它可以按照你的需要，按照你的实验进行灵活的调整，都已经把运营变得很复杂。它会给安全带来哪些挑战？
第一、云化的数据中心，他已经非常模糊的去模糊了网络的边界。我们过去做任何的网络规范的时候。首先是划分安全域，划分安全域的前提是首先区分业务，之后划分边界，在边界处做很多安全措施。但是云化之后，安全域不见了，网络的边界不见了，他的边界深入到了服务器的内部。安全设备你找不到被保护的目标在什么地方。
第二、效能和性能。如果说传统的数据中心，只是保护南北向的流量，它非常容易计算我的能力。我要求的防护系统，只要高于我南北向总流量就够了。流量的混合在不同的时期，租户的用处不一样，流量是不一样的。怎么样保证你在设计的时候，保证东西向流量符合要求，这几乎是不可能的。
第三、动态化。你地虚拟机之后，这个虚拟机如果没有使用的时候功耗就可以降低，安全系统怎么办？我们知道传统的安全设备，只要一开起来，这个设备使用起来就在里面。即使流量很少，也是全负荷的在工作。能不能做到我的需求量起来，你的处理能力才起来。我当时我的处理能力要求低，你的处理能力同时低下来，这也是一个挑战。
第四、管理的复杂性。
现在市面上能见到的，云计算中心，云化的数据中心，会带来哪些方案？第一、高性能的硬件安全设备。高性能的硬件网关可以适用对南北向 流量控制非常严的云计算中心。也可以用在东西向流量不大，可以达到硬件处理能够的数据中心。
这样的数据中心往往第一部署的时候，可能部署在南北上网关，如果管理东西向的流量，严格的都会采取单臂的部署，这样的部署，我们会将每一个租户的流量，牵引到安全的设备上，处理之后再牵引回来。带来的问题出现了？它已经将东西向的数据流加到了一倍，加大了东西向的流量，硬件处理能力会受到限制。
第二、虚拟化软件安全设备。装一个虚拟的安全机，可以跑防病毒等。好处是不会产生东西向的流量，因为存在整个硬件里面本地的处理，不会太多的产生东西向的流量，但是问题出来了，因为它是部署在你的硬件中，所以他要占用你要租给用户的计算资源。
动态处理的性能一定会低，随着你对安全虚拟机的性能要求提高，它一定会占用更多资源，你最给用户的性能在下降。
处理的实时性和深度有影响，因为它的性能受到了影响。
第三、操作系统当中，固化了安全系统。固化的安全系统实现起来很容易，只要需要虚拟的操作系统厂商提供就可以了。但是因为他在这里面做稳定性，就是虚拟操作系统最重要的一点。
总结一下，其实我们看到，云数据中心现在的解决方案，都有两个大的问题。第一、怎么样很好的解决东西向流量的友好性，使你的安全系统，更加贴近到VM身边，这是第一个要解决的问题。
第二、服务所需的资源需要可预测，我们服务所需的资源，随着用户需求量的变化动态的收缩。有没有一种方案能把两个东西融合，或者是平衡的状态下，提供这样的系统。
看一下山石怎么做？我们提出了一个架构，叫弹性安全网络架构。我们把它叫做EFF，在这个系统里面我们把整个的安全分三个部分。第一部分叫安全触角，第二是资源池，第三是管理中心。安全触角分布到每一个套上，根据你的的需要去装，需要看到你这个套里面，你需要的性能。如果我的一个VM叫VIOM，当我租户的需求下降，我就可以退租两个，那两个可以租给用户使用。
同时云计算里面带来更大的一个问题就是虚拟机迁移。我们知道过去在南北向流量控制的时候，虚拟机迁移了之后，南北向的防火墙一定要跟着变化。所以不管是南北流向还是东西流向，VM的感知和动态迁移的跟踪，是非常重要的内容。
怎么做？后面我们会讲，安全的管理中心里面，我们有一个VM的感知，还有一个虚拟机的管理中心，有一个动态的联动。联动之后我们不会随着虚拟机迁移，比如说虚拟机从左边的机柜跳到右边的机柜里面去，我们的安全触角不会变。而是它走了之后，迁移到那个套的安全触角，已经感知这个虚拟机过来就会起作用。
包括VM之间的转化速度非常快，第二就是安全资源池，套里面的数据怎么做分析，怎么做深度的分析，都在安全资源池里。安全资源池可以部署在三个物理的虚拟中心组成的大的云中心，我们可以部署在任何的一个或者是N个硬件服务器上，也是由完全虚拟化的系统组成，可以为多租户提供服务。每一个多租户之间在系统里是隔离的。
第三、就是安全集成，我们叫安全管理中心。在安全管理中心里，它可以和虚拟机的管理中心进行联动。
这是分布式架构，叫vDSA。由安全管理中心和虚拟管理中心进行联动和感知。
最后总结一下，首先第一个vDSA，我们要把它做到可以和分布式的，可以扩展到各个角落，同时可以把安全的触角贴近VM中间。它的资源可以做弹性的收缩，随着对性能、功能的要求大和小，可以自由的伸缩。用大的时候可以用多个VM，用小的时候可以收缩到很小。
最后介绍一下山石，2007年成立的公司，现在已经从2010年开始，稳居在中国安全网关的前两名。大概拥有140多项专利，在北京、苏州、美国硅谷都有我们的研发中心。从2008年开始，到现在不断的发布我们全球的首款产品。今年我们发布了下一代智能防火墙，360G的数据中心的防火墙。
山石成立6年，为超过五千以上的用户，提供了安全系统，包括政府、金融、高校，互联网，以及ISP等。
最后，在加一句，智慧让城市更美好！谢谢大家。