行穩(wěn)才能致遠(yuǎn)——AMD第三代EPYC處理器，以安全的計(jì)算構(gòu)建業(yè)務(wù)的安全
[導(dǎo)讀]沒(méi)有安全的業(yè)務(wù)，比沒(méi)有業(yè)務(wù)更可怕！
Digital Security安全生產(chǎn)，人人有責(zé)！
對(duì)于這句口號(hào)，絕大多數(shù)國(guó)人都不會(huì)感到陌生。在持續(xù)數(shù)十年的基建狂潮之中，這句標(biāo)語(yǔ)曾經(jīng)無(wú)數(shù)次的出現(xiàn)在各類施工現(xiàn)場(chǎng)最顯眼的位置。而當(dāng)數(shù)字時(shí)代轟然到來(lái)，傳統(tǒng)基建變?yōu)樾禄ǎ絹?lái)越多企業(yè)也開始以更積極的姿態(tài)擁抱數(shù)字化轉(zhuǎn)型。
而在如火如荼的數(shù)字化轉(zhuǎn)型當(dāng)中，施工現(xiàn)場(chǎng)都從物理空間遷入了看不見(jiàn)、摸不著的數(shù)字空間，我們應(yīng)該在哪里懸掛“安全生產(chǎn)，人人有責(zé)”的標(biāo)語(yǔ)呢？
同樣是5月，北美最大的石油管道公司Colonia也遭受了勒索軟件的襲擊，事件造成大量加油站的汽油供應(yīng)中斷；而這也引起了消費(fèi)者的緊張情緒，越來(lái)越多人開始受影響在加油站門前排隊(duì)加油，以防出行受到影響。與新西蘭醫(yī)院系統(tǒng)的抉擇不同，為了盡快恢復(fù)石油供應(yīng)，Colonia公司迅速做出向黑客支付贖金的決定，這一決策這也將事件的影響周期縮短至兩周以內(nèi)。
而最新的情況則是，美國(guó)政府出手，通過(guò)在全球范圍內(nèi)的服務(wù)器中追查贖金（比特幣）流動(dòng)情況，幫助Colonia公司追回了大部分損失。
接連不斷發(fā)生的信息安全威脅事件讓所有企業(yè)都意識(shí)到，不安全的業(yè)務(wù)甚至比沒(méi)有業(yè)務(wù)更糟糕。而且，并非所有政府都有能力或精力，出手幫助遭遇黑客侵害的企業(yè)。
在看不見(jiàn)的虛擬空間中，企業(yè)應(yīng)該如何保護(hù)自己的業(yè)務(wù)和數(shù)據(jù)？面對(duì)層出不窮的新型威脅，企業(yè)如何做到防患于未然？
02追根溯源，安全的計(jì)算是關(guān)鍵信息安全是ICT系統(tǒng)建設(shè)過(guò)程中一個(gè)老生常談的問(wèn)題，也是一個(gè)始終處在“道高一尺、魔高一丈”狀態(tài)下的棘手問(wèn)題。為了保障業(yè)務(wù)和數(shù)據(jù)的安全，企業(yè)需要不斷升級(jí)自身的防御能力，不斷更新防火墻和殺毒軟件的信息庫(kù)，不斷投入資金和人力。顯然，從任何角度來(lái)看，這種“無(wú)底洞”似的安全模式既不經(jīng)濟(jì)，也不高效。
難道，即便在數(shù)字時(shí)代，企業(yè)也只能對(duì)威脅聽(tīng)之任之；用猶未晚矣來(lái)安慰自己的亡羊補(bǔ)牢？
計(jì)算是企業(yè)從數(shù)據(jù)中獲取價(jià)值的關(guān)鍵一步。同樣的，計(jì)算也是黑客和任何攻擊手段發(fā)揮作用的關(guān)鍵。在IT系統(tǒng)中植入有漏洞的應(yīng)用或各類木馬病毒只是打破了企業(yè)的城墻，真正的攻擊行為仍需受害者的服務(wù)器去執(zhí)行這些威脅程序或?qū)θ肭中袨樽龀觥罢_”響應(yīng)。
因此，從計(jì)算入手阻斷安全威脅或?qū)⒊蔀槠平獍踩跃值娜滤悸贰?br /> 在這一思路中，AMD已經(jīng)走在了行業(yè)的前列；其方法正是從硬件入手，構(gòu)建安全的計(jì)算，進(jìn)而實(shí)現(xiàn)數(shù)據(jù)安全和業(yè)務(wù)安全。
03第三代EPYC中增強(qiáng)的Secure Processor憑借改進(jìn)的三級(jí)緩存調(diào)用機(jī)制和架構(gòu)層面的一系列優(yōu)化，AMD第三代EPYC（霄龍）處理器能夠?qū)崿F(xiàn)19%的IPC性能提升。同時(shí)，7nm先進(jìn)制程所帶來(lái)的高能效表現(xiàn)、64核心的強(qiáng)大并行計(jì)算虛擬化性能以及對(duì)PCI-E 4.0接口的支持也都讓第三代EPYC處理器成為了云服務(wù)提供商和企業(yè)的在構(gòu)建新一代基礎(chǔ)架構(gòu)時(shí)的優(yōu)勢(shì)之選。
不過(guò)，在數(shù)量繁多的創(chuàng)新點(diǎn)之中，集成在第三代EPYC處理器中的Secure Processor和眾多安全功能則是AMD針對(duì)企業(yè)數(shù)字安全所做出的重大創(chuàng)新。當(dāng)然，Secure Processor（安全處理器）在第一、二代EPYC處理器中就已經(jīng)采用，但在第三代中進(jìn)一步增強(qiáng)。
內(nèi)存加密，讓竊密者無(wú)法獲取有效信息
針對(duì)黑客最看重的系統(tǒng)內(nèi)存，第三代EPYC處理器內(nèi)置了SME功能；用戶可以通過(guò)相當(dāng)?shù)偷男阅軗p失來(lái)對(duì)系統(tǒng)內(nèi)存中的數(shù)據(jù)進(jìn)行全面加密，讓黑客即便得手也無(wú)法從加密數(shù)據(jù)中獲取有效信息。
三重保護(hù)，讓虛擬機(jī)無(wú)比穩(wěn)固
針對(duì)以虛擬化形態(tài)部署的各類應(yīng)用，第三代EPYC處理器提供了SEV、SEV-ES和SEV-SNP等三種保護(hù)措施。其中SEV能夠使用特殊秘鑰對(duì)所有運(yùn)行中的虛擬機(jī)進(jìn)行加密；SEV-ES則能夠通過(guò)對(duì)CPU寄存器的全面保護(hù)來(lái)進(jìn)一步確保加密虛擬機(jī)的完整性不受破壞；而SEV-SNP則能夠通過(guò)對(duì)嵌套的分頁(yè)行為進(jìn)行保護(hù)，進(jìn)而防止惡意管理程序獲取虛擬機(jī)和權(quán)限。
三重技術(shù)層層遞進(jìn)，從多個(gè)層面對(duì)運(yùn)行在CPU核心上的虛擬機(jī)進(jìn)行全方位的加密和保護(hù)。而通過(guò)CPU內(nèi)部的硬件模塊來(lái)實(shí)現(xiàn)這些功能，則有助于降低企業(yè)在構(gòu)建安全計(jì)算時(shí)所付出的性能開銷。
控制權(quán)，始終在正確的人手中
針對(duì)近幾年非常流行的控制流劫持攻擊，AMD也在處理器中集成了全新的Shadow Stack功能。通過(guò)防止處理器緩沖區(qū)溢出，黑客便無(wú)法借助這一漏洞獲取目標(biāo)機(jī)器的控制權(quán)或?qū)ν{操作進(jìn)行提權(quán)。
保證代碼完整性，不給黑客可乘之機(jī)
通過(guò)將原本正確的代碼替換為惡意或包含漏洞的代碼，黑客可以發(fā)起種類繁多的竊密或攻擊行為。而第三代EPYC處理器內(nèi)置的GMET功能則可以在CPU執(zhí)行代碼之前，確保代碼完整性未受損害。由此，黑客處心積慮替換代碼所換來(lái)的也只能是一場(chǎng)空。
更進(jìn)一步的，通過(guò)硬件級(jí)別的啟動(dòng)過(guò)程防護(hù)，第三代EPYC平臺(tái)可以確保芯片內(nèi)置的ROM、硬盤中的Boot Loader、BIOS以及UEFI系統(tǒng)不被篡改，從而在基于OS的安全措施生效之前，為系統(tǒng)提供全面防護(hù)。
多種層面不同針對(duì)性的硬件安全模塊共同組成了第三代EPYC中增強(qiáng)的Secure Processor，讓企業(yè)能夠更輕松的構(gòu)建安全的計(jì)算環(huán)境，不給黑客可乘之機(jī)。
04數(shù)字時(shí)代，安全生產(chǎn)不靠口號(hào)伴隨數(shù)字化轉(zhuǎn)型的進(jìn)行，企業(yè)的生產(chǎn)行為已經(jīng)越來(lái)越離不開數(shù)字空間中的各類應(yīng)用。雖然企業(yè)無(wú)法通過(guò)懸掛標(biāo)語(yǔ)和口號(hào)的形式來(lái)保證數(shù)字化生產(chǎn)安全，但處理器安全技術(shù)的進(jìn)步卻給了企業(yè)另一個(gè)更簡(jiǎn)單、更直接的安全選項(xiàng)。而現(xiàn)在，AMD所引領(lǐng)的處理器安全風(fēng)潮正在積極影響行業(yè)，越來(lái)越多的芯片企業(yè)也開始在處理器中內(nèi)置各類安全模塊和功能。
行穩(wěn)，才能致遠(yuǎn)；AMD所倡導(dǎo)的計(jì)算安全之道正在將企業(yè)從被動(dòng)安全的桎梏中解放出來(lái)，讓企業(yè)能夠更主動(dòng)、更高效的實(shí)現(xiàn)安全，進(jìn)而更快、更好的完成數(shù)字化轉(zhuǎn)型。
對(duì)于這句口號(hào)，絕大多數(shù)國(guó)人都不會(huì)感到陌生。在持續(xù)數(shù)十年的基建狂潮之中，這句標(biāo)語(yǔ)曾經(jīng)無(wú)數(shù)次的出現(xiàn)在各類施工現(xiàn)場(chǎng)最顯眼的位置。而當(dāng)數(shù)字時(shí)代轟然到來(lái)，傳統(tǒng)基建變?yōu)樾禄ǎ絹?lái)越多企業(yè)也開始以更積極的姿態(tài)擁抱數(shù)字化轉(zhuǎn)型。
而在如火如荼的數(shù)字化轉(zhuǎn)型當(dāng)中，施工現(xiàn)場(chǎng)都從物理空間遷入了看不見(jiàn)、摸不著的數(shù)字空間，我們應(yīng)該在哪里懸掛“安全生產(chǎn)，人人有責(zé)”的標(biāo)語(yǔ)呢？
01不安全的業(yè)務(wù)，比沒(méi)有業(yè)務(wù)更可怕
在剛剛過(guò)去的5月，新西蘭一家醫(yī)院遭遇勒索病毒攻擊，為了恢復(fù)受影響的軟硬件系統(tǒng)，該醫(yī)院不得不取消了當(dāng)周20%的選擇性手術(shù)和門診預(yù)約。面對(duì)黑客的勒索行為，當(dāng)?shù)匦l(wèi)生部門官員表示并不打算支付贖金。
同樣是5月，北美最大的石油管道公司Colonia也遭受了勒索軟件的襲擊，事件造成大量加油站的汽油供應(yīng)中斷；而這也引起了消費(fèi)者的緊張情緒，越來(lái)越多人開始受影響在加油站門前排隊(duì)加油，以防出行受到影響。與新西蘭醫(yī)院系統(tǒng)的抉擇不同，為了盡快恢復(fù)石油供應(yīng)，Colonia公司迅速做出向黑客支付贖金的決定，這一決策這也將事件的影響周期縮短至兩周以內(nèi)。
而最新的情況則是，美國(guó)政府出手，通過(guò)在全球范圍內(nèi)的服務(wù)器中追查贖金（比特幣）流動(dòng)情況，幫助Colonia公司追回了大部分損失。
接連不斷發(fā)生的信息安全威脅事件讓所有企業(yè)都意識(shí)到，不安全的業(yè)務(wù)甚至比沒(méi)有業(yè)務(wù)更糟糕。而且，并非所有政府都有能力或精力，出手幫助遭遇黑客侵害的企業(yè)。
在看不見(jiàn)的虛擬空間中，企業(yè)應(yīng)該如何保護(hù)自己的業(yè)務(wù)和數(shù)據(jù)？面對(duì)層出不窮的新型威脅，企業(yè)如何做到防患于未然？
02追根溯源，安全的計(jì)算是關(guān)鍵信息安全是ICT系統(tǒng)建設(shè)過(guò)程中一個(gè)老生常談的問(wèn)題，也是一個(gè)始終處在“道高一尺、魔高一丈”狀態(tài)下的棘手問(wèn)題。為了保障業(yè)務(wù)和數(shù)據(jù)的安全，企業(yè)需要不斷升級(jí)自身的防御能力，不斷更新防火墻和殺毒軟件的信息庫(kù)，不斷投入資金和人力。顯然，從任何角度來(lái)看，這種“無(wú)底洞”似的安全模式既不經(jīng)濟(jì)，也不高效。
難道，即便在數(shù)字時(shí)代，企業(yè)也只能對(duì)威脅聽(tīng)之任之；用猶未晚矣來(lái)安慰自己的亡羊補(bǔ)牢？
計(jì)算是企業(yè)從數(shù)據(jù)中獲取價(jià)值的關(guān)鍵一步。同樣的，計(jì)算也是黑客和任何攻擊手段發(fā)揮作用的關(guān)鍵。在IT系統(tǒng)中植入有漏洞的應(yīng)用或各類木馬病毒只是打破了企業(yè)的城墻，真正的攻擊行為仍需受害者的服務(wù)器去執(zhí)行這些威脅程序或?qū)θ肭中袨樽龀觥罢_”響應(yīng)。
因此，從計(jì)算入手阻斷安全威脅或?qū)⒊蔀槠平獍踩跃值娜滤悸贰?br /> 在這一思路中，AMD已經(jīng)走在了行業(yè)的前列；其方法正是從硬件入手，構(gòu)建安全的計(jì)算，進(jìn)而實(shí)現(xiàn)數(shù)據(jù)安全和業(yè)務(wù)安全。
03第三代EPYC中增強(qiáng)的Secure Processor憑借改進(jìn)的三級(jí)緩存調(diào)用機(jī)制和架構(gòu)層面的一系列優(yōu)化，AMD第三代EPYC（霄龍）處理器能夠?qū)崿F(xiàn)19%的IPC性能提升。同時(shí)，7nm先進(jìn)制程所帶來(lái)的高能效表現(xiàn)、64核心的強(qiáng)大并行計(jì)算虛擬化性能以及對(duì)PCI-E 4.0接口的支持也都讓第三代EPYC處理器成為了云服務(wù)提供商和企業(yè)的在構(gòu)建新一代基礎(chǔ)架構(gòu)時(shí)的優(yōu)勢(shì)之選。
不過(guò)，在數(shù)量繁多的創(chuàng)新點(diǎn)之中，集成在第三代EPYC處理器中的Secure Processor和眾多安全功能則是AMD針對(duì)企業(yè)數(shù)字安全所做出的重大創(chuàng)新。當(dāng)然，Secure Processor（安全處理器）在第一、二代EPYC處理器中就已經(jīng)采用，但在第三代中進(jìn)一步增強(qiáng)。
內(nèi)存加密，讓竊密者無(wú)法獲取有效信息
針對(duì)黑客最看重的系統(tǒng)內(nèi)存，第三代EPYC處理器內(nèi)置了SME功能；用戶可以通過(guò)相當(dāng)?shù)偷男阅軗p失來(lái)對(duì)系統(tǒng)內(nèi)存中的數(shù)據(jù)進(jìn)行全面加密，讓黑客即便得手也無(wú)法從加密數(shù)據(jù)中獲取有效信息。
三重保護(hù)，讓虛擬機(jī)無(wú)比穩(wěn)固
針對(duì)以虛擬化形態(tài)部署的各類應(yīng)用，第三代EPYC處理器提供了SEV、SEV-ES和SEV-SNP等三種保護(hù)措施。其中SEV能夠使用特殊秘鑰對(duì)所有運(yùn)行中的虛擬機(jī)進(jìn)行加密；SEV-ES則能夠通過(guò)對(duì)CPU寄存器的全面保護(hù)來(lái)進(jìn)一步確保加密虛擬機(jī)的完整性不受破壞；而SEV-SNP則能夠通過(guò)對(duì)嵌套的分頁(yè)行為進(jìn)行保護(hù)，進(jìn)而防止惡意管理程序獲取虛擬機(jī)和權(quán)限。
三重技術(shù)層層遞進(jìn)，從多個(gè)層面對(duì)運(yùn)行在CPU核心上的虛擬機(jī)進(jìn)行全方位的加密和保護(hù)。而通過(guò)CPU內(nèi)部的硬件模塊來(lái)實(shí)現(xiàn)這些功能，則有助于降低企業(yè)在構(gòu)建安全計(jì)算時(shí)所付出的性能開銷。
控制權(quán)，始終在正確的人手中
針對(duì)近幾年非常流行的控制流劫持攻擊，AMD也在處理器中集成了全新的Shadow Stack功能。通過(guò)防止處理器緩沖區(qū)溢出，黑客便無(wú)法借助這一漏洞獲取目標(biāo)機(jī)器的控制權(quán)或?qū)ν{操作進(jìn)行提權(quán)。
保證代碼完整性，不給黑客可乘之機(jī)
通過(guò)將原本正確的代碼替換為惡意或包含漏洞的代碼，黑客可以發(fā)起種類繁多的竊密或攻擊行為。而第三代EPYC處理器內(nèi)置的GMET功能則可以在CPU執(zhí)行代碼之前，確保代碼完整性未受損害。由此，黑客處心積慮替換代碼所換來(lái)的也只能是一場(chǎng)空。
更進(jìn)一步的，通過(guò)硬件級(jí)別的啟動(dòng)過(guò)程防護(hù)，第三代EPYC平臺(tái)可以確保芯片內(nèi)置的ROM、硬盤中的Boot Loader、BIOS以及UEFI系統(tǒng)不被篡改，從而在基于OS的安全措施生效之前，為系統(tǒng)提供全面防護(hù)。
多種層面不同針對(duì)性的硬件安全模塊共同組成了第三代EPYC中增強(qiáng)的Secure Processor，讓企業(yè)能夠更輕松的構(gòu)建安全的計(jì)算環(huán)境，不給黑客可乘之機(jī)。
04數(shù)字時(shí)代，安全生產(chǎn)不靠口號(hào)伴隨數(shù)字化轉(zhuǎn)型的進(jìn)行，企業(yè)的生產(chǎn)行為已經(jīng)越來(lái)越離不開數(shù)字空間中的各類應(yīng)用。雖然企業(yè)無(wú)法通過(guò)懸掛標(biāo)語(yǔ)和口號(hào)的形式來(lái)保證數(shù)字化生產(chǎn)安全，但處理器安全技術(shù)的進(jìn)步卻給了企業(yè)另一個(gè)更簡(jiǎn)單、更直接的安全選項(xiàng)。而現(xiàn)在，AMD所引領(lǐng)的處理器安全風(fēng)潮正在積極影響行業(yè)，越來(lái)越多的芯片企業(yè)也開始在處理器中內(nèi)置各類安全模塊和功能。
行穩(wěn)，才能致遠(yuǎn)；AMD所倡導(dǎo)的計(jì)算安全之道正在將企業(yè)從被動(dòng)安全的桎梏中解放出來(lái)，讓企業(yè)能夠更主動(dòng)、更高效的實(shí)現(xiàn)安全，進(jìn)而更快、更好的完成數(shù)字化轉(zhuǎn)型。
下載文檔
