騰訊聯合GeekPwn發布《2019雲安全威脅報告》，聚焦打造更安全的雲

　　當前，“上雲”已成為企業尋求數字化轉型升級的“基本路徑”。而雲環境的邊界廣、技術環境複雜，使傳統安全邊界被打破。産業互聯網時代，能否上一朵安全的雲，不僅是企業發展的底線，更是制約企業發展的天花闆，安全也成為企業遴選合作雲服務商的首要考量。

　　作為國内最值得信賴的雲服務提供商之一，騰訊雲在助力企業實現數字化升級的同時，基于對雲安全情報數據的統計分析和雲安全攻防趨勢的研究，聯合GeekPwn發布了《 2019 雲安全威脅報告》(以下簡稱《報告》)。該報告基于對雲環境下的安全威脅形勢的全面梳理與剖析，提出了相應的應對策略。

　　通過對過去的數據及未來的技術發展趨勢和産業方向的分析，騰訊雲認為雲安全的建設需要從雲平台、系統生命周期及安全建設的參與方等多個方面來考慮。目前，騰訊集結内部七大安全實驗室和安全平台部超過 300 人的研究力量成立雲全棧安全研究團隊，對雲平台的合規管理、基礎設施、系統安全、數據安全、應用安全、網絡訪問固件自身的安全展開全面、前瞻性的研究。并投入超過 3500 名的安全專家和技術人員，圍繞“一個基礎底座、兩個中台、一個中心”打造更安全的雲。

　　披露雲上攻防新挑戰，實戰演練拓展攻防新思路

　　《報告》公開披露了騰訊安全雲鼎實驗室基于真實雲環境攻防研究的 “八橫八縱”雲上攻擊路徑全景模型，全方位展示了雲生态下惡意攻擊者發起安全攻擊的八條外部縱向和八條内部橫向拓展路徑。在防護不到位的情況下，攻擊者既能在無任何授權的情況下自雲外縱向進入雲平台展開攻擊，也能在進入雲平台後通過橫向遷移獲取更多租戶資源和數據。“傳統與新問題雜糅”成為當下雲安全挑戰的重要特征，對雲平台進行全方位的加固和防禦，是助力企業上雲、護航産業發展的核心之一。

　　(攻擊方式模型全景圖)

　　為了協助上雲企業更好應對當前的核心安全問題和未來雲上安全風險的挑戰，騰訊安全雲鼎實驗室在 2019 年 10 月聯合GeekPwn舉辦了全球基于真實雲環境的雲安全攻防挑戰賽;希望借助真實雲環境下的安全攻防預演，為雲安全積累、拓展更多攻防研究經驗和人才，助力産業互聯網安全發展。

　　聚焦當前上雲安全“通病”，助力築就雲數據全周期安全防線

　　伴随着企業上雲趨勢的加速，數據作為企業核心資産之一，其安全也成為所有企業上雲後的關注焦點。《報告》指出，包括數據洩露、數據丢失以及隐私數據利用和洩露等三大威脅在内的數據安全問題已成為上雲企業在産業互聯網時代必須直面的挑戰。據Risk Based Security 統計，僅 2019 年上半年世界範圍内已經發生了 3813 起數據洩露事件，被公開數據高達 41 億條。騰訊安全情報數據顯示，“數據”、“身份證”、“密碼”等關于數據洩露的詞彙在暗網的熱詞分析中占比極大。

　　針對數據安全這一雲服務商和租戶共同關注的焦點問題，《報告》指出雲服務商應當為客戶構建貫穿數據産生、流動、存儲、使用及銷毀等數據全生命周期的加密保護和身份認證及訪問控制體系。

　　基于騰訊雲在業務實踐中沉澱的超 500 個業務場景所積累的黑灰産大數據樣本和每天數百P的數據運算能力，推出了具體的解決方案——“雲數據安全中台”，打造端到端的雲數據全生命周期安全體系，助力企業低成本、高效率地應對雲上數據安全的挑戰。

　　(數據中台架構全景圖)

　　立足微服務/Serverless等安全探索，持續延伸前沿安全觸角

　　除聚焦解決當前企業上雲面臨的安全挑戰外，對于前沿安全趨勢的觸達與研究也是騰訊雲構築更安全的産業雲的重要發力點。而《報告》中對微服務/Serverless等雲計算新服務架構安全性的探讨與分析正是拓展騰訊雲前沿安全觸角的又一實踐。

　　為滿足用戶對雲計算便捷部署、靈活拓展、數據中心統一等需求，微服務和無服務器計算(serverless)應勢而生。“輕裝上陣”的背後也衍生出了微服務可利用攻擊面擴大、Serverless特殊架構層面風險等新的安全威脅。

　　鑒于此，騰訊雲基于對兩大新型雲服務架構的探索與研究，在《報告》中指出，雲服務提供商需要透過業務功能分析底層細節、總結安全場景，及時發現安全脆弱點并部署相應防護策略。就微服務來說，雲服務廠商應在服務架構之初就建立更具有前瞻性安全設計架構和優良穩定的安全策略，确保其安全的原生性;而在Serverless架構中，雲服務提供商要更多地注重底層基礎設施和操作系統層面的安全，限度降低安全風險。

　　在“牽一發而動全身”産業安全背景下，騰訊雲立足微服務/Serverless等雲計算應用新秀安全策略的探索，是适應未來雲上服務發展趨勢的有益實踐，對打造更安全的雲環境有巨大推動作用。

　　搭建雲全棧基礎設施，打造更安全的雲

　　安全體系建設一直以來都是騰訊雲服務發展戰略的核心之一。結合在雲安全防護和建設方面的具體實踐，騰訊雲安全團隊憑借自身深入産業互聯網實踐所積累的技術、人才與生态優勢，構建出了一套覆蓋基礎設施、系統安全、數據安全、應用安全、網絡訪問固件等五大層面的“全棧雲安全基礎架構體系”，圍繞“一個基礎底座、兩個中台、一個中心”打造更安全是雲平台。

　　其中，“一個基礎底座”是指騰訊雲的全棧基礎設施，未來會把騰訊雲全球超過 100 萬台主機逐步從底層疊代全新的安全體系，從物理環境和基礎架構、可信雲網絡、可信硬件、操作系統直到租戶安全，從合規治理、運維管理到供應鍊安全，全方位的給雲用戶提供一個安全的計算基礎。而兩個中台則是指“雲數據安全中台”和“租戶安全運營中台”。“雲數據安全中台”着重解決數據安全問題，應用高安全性硬件加密技術、多方安全計算、前沿的高性能國産化密碼技術，給用戶提供全生命周期數據安全服務，有效保障用戶數據安全; “租戶安全運營中台” 通過先進的威脅情報、漏洞感知和安全大數據能力，實時的分析全雲安全态勢，為雲用戶提供主動地安全響應服務。能夠在分鐘級發現全網新增的高危端口，小時級定位新出現的零日漏洞影響範圍，在日級以内實現全網的安全漏洞處置。 “一個中心”是指雲安全運營管理中心，能通過儀表盤、大屏、安全報表等，讓雲上安全态勢可視可感知，以降低安全運營管理難度，提升安全運營效率。

　　未來，騰訊雲将繼續依托 “全網服務器總量超過 100 萬台，帶寬峰值突破100T”雙百的規模裡程碑的實踐經驗，并聯合P17 國内安全上市企業俱樂部、FP50 安全新銳力量俱樂部等生态夥伴力量，為雲安全發展輸送更多技術和研究成果，護航産業互聯網高速發展。