誕生兩年，這個産品便成為騰訊安全的“秘密武器”

　　Made in Tencent

　　騰訊既是企業服務産品的服務商又是使用者，很多産品最原始的出發點最早隻是為了解決騰訊自身某一個需求，經過不斷地發展完善和業務場景錘煉，最終從進化成一個成熟的企服産品。本系列文章講述的是這樣一組Made in Tencent故事，這是系列的第二篇。

　　由于攻防實力盛名在外，騰訊安全專家服務團隊經常需要扮演處理疑難雜症“老中醫”的角色，為企業用戶解決各種棘手安全問題。

　　各類面向企業的攻擊事件層出不窮，勒索病毒、供應鍊攻擊、數據竊取、挖礦木馬……救客戶之所急是騰訊安全職責所在，但是如果僅靠專家“人肉”處理，長期以往會面臨幾個問題，一是攻擊事件隻會持續增加，而專家精力有限;二是專家攻防經驗無法複刻和傳承。兩者加起來，造成的結果就是專家服務能力的瓶頸，如果再發生一次WannaCry這樣的全球性網絡安全事件，很多企業可能會束手無策。而且在供應鍊攻擊大行其道的今天，WannaCry的重演是極有可能發生的。

　　如何解決這個問題?騰訊安全的答案是MSS——安全托管服務。

　　通常，一個典型的安全廠商研發一個新産品是這樣的流程：先做市場調研和客戶痛點分析，尋找到若幹機會點，再基于對自身優勢能力的判斷，匹配适合自己企業的産品切入。但在騰訊情況稍有不同，某種意義上騰訊本身就是騰訊安全的客戶，所以很多情況下，騰訊安全産品的誕生是基于解決騰訊自身的訴求而萌生并逐漸成熟——騰訊安全MSS就是典型的這樣的情況。這要從騰訊雲平台本身的安全建設說起。

　　從2016年成立以來，騰訊安全雲鼎實驗室一直負責騰訊雲的平台安全保障，2019年，随着數字化進程加快，企業的核心資産上雲，針對雲上的攻擊量顯著增加，雲鼎又增加了一項新職責：承擔雲上租戶的安全治理與應急響應工作。“雖然國際上的慣例是雲平台和雲租戶‘責任共擔’，但一是在國内這個理念尚沒有形成共識，二是很多客戶信息化起步比較晚，也缺乏應對雲上風險的能力，所以那個階段需要雲平台去承擔一些租戶風險和漏洞收斂的工作。”騰訊雲安全總經理李濱介紹。

　　剛接手的時候，由于缺乏經驗和工具，雲鼎實驗室陷入了漏洞戰争的汪洋大海中，每個人都滿負荷運轉，即便如此依然很吃力。“騰訊雲在全球20多個國家和地區有八九十個數據中心分布，付費用戶規模超過了100萬，要響應這麼龐大體量的雲平台和租戶的安全問題，每天面臨的安全事件數以億計。”李濱說。

　　但是，硬币都有兩面，如果換一個視角看這些海量的攻擊事件，它也可以是一個“安全金礦”。“基于騰訊雲在全球的節點，我們可以看到全球安全态勢。今天很多攻擊是組織化、規模化的，它也同樣會在全球範圍進行嘗試，通過大數據分析和長時間的人工智能的跟蹤，最終我們會知曉有什麼攻擊源頭、控制了哪些惡意節點、對誰發生了怎樣的攻擊。”

　　在護航騰訊雲平台的經驗中，雲鼎實驗室發現，雖然雲上有海量的攻擊事件，但是它們其實是有限種類的攻擊事件的無限重複，比如其中有大部分安全問題是由初級的配置錯誤、密鑰洩露和已知漏洞等事件觸發的——其中密鑰洩露就占了22%，僅僅在騰訊雲上，每年會發生數千起因開發人員把密鑰寫在代碼裡分享到開源平台上造成的信息洩露事件。

　　雲鼎團隊粗略算了一下，發現隻需要通過一些技術手段——例如提取每一種事件的抽象特征，并把相對應的專家處理流程用一種自動化工作流的方法固定下來，通過機器的自動化批量處理——把這些共性問題消除掉，就能将安全事件的處置效率提升80%。

　　基于這個觀察，雲鼎實驗室做了一系列工具構建，整合集團内部、國内外各類資産測繪、漏洞掃描、配置分析、洩漏監測以及工單管理等模塊能力，同時也聯動Gitbub做了密鑰洩露響應的自動化機制，從發現到通知用戶處置，整個周期能縮減到分鐘級别——而傳統的處理周期可能短辄以天為計，并且前提是已經發現了密鑰洩露。

　　對于那些重複性很高的的攻擊事件，雲鼎采取的則是一種“拼積木”的方法來消減：

　　第一步：幾名工程師将事件處置所需的通用模塊能力進行了提取和封裝，它們包含了常見安全掃描、工單、企業IM通知、開放API等在内的幾十個模塊;

　　第二步：如何搭這些“積木”?雖然市面上已經有SOAR，但是SOAR引擎一方面不透明，不利于調試流程，對業務的影響未知，另一方面開放性及靈活性不足，支撐場景有限，雲鼎于是自己從0到1開發了一套流程編排引擎，把這幾十個“積木”按照不同的事件處置流程進行編排，來實現一勞永逸。

　　這項工作讓團隊的效率極大提升，專家也得以從重複勞動中解放出來，去做更重要的工作。“通過自動化工作流，在業務上線、重保值守期間事件的MTTD/MTTR(平均檢測時間/平均響應時間)大大降低。”騰訊雲鼎實驗室安全專家劉志高提到，“有了這項能力，我們會有更多精力聚焦問題解決本身，想清楚用什麼樣的能力和流程可以更好地解決或閉環某類事件，剩下要做的，就是借助工作流引擎對解決方案進行快速落地和實踐運營。”

　　這個時間段，網絡安全産業也在發生一些顯著的變化。2020年前後，在上一輪IT和信息化建設的高峰過去後，企業對于網絡安全已經主要不再是買買買的需求，而是如何讓采購的若幹種網絡安全産品和工具真正産生效用、規則生效起來，很多研究機構都不約而同地認為，未來網絡安全産品服務化是一個發展趨勢。騰訊安全服務總監曾勇江判斷，平台交付、安全運營托管化将是企業應對未來安全挑戰的主流方向。

　　這意味着，雲鼎構建的這些工具不僅僅可以為騰訊集團内部各安全運營團隊所用，也有機會成為一個企業服務産品，被更多企業客戶使用。

　　但如果要作為一種企業服務級的産品，僅僅做到這些還不足夠。在很多次重保、客戶應急響應的交流中，騰訊安全專家服務團隊發現很多客戶對于安全管理有一個切膚之痛——不僅僅是系統被攻陷了，而且是在很多情況下，安全部門對于系統是如何被攻陷的、處置進度到了哪裡無從知曉，他們面前是一個黑盒。“一個人處理攻擊事件，一群人圍觀”是客戶應急現場的常态，因為在沒有工具可以讓他們洞悉處置進度的情況下，客戶隻能通過“在場”的方式緩解焦慮。

　　雲鼎實驗室決定要把這個工具進一步完善。首先是在平台上引入更多安全能力，比如業務基線行為檢測、漏洞情報、ASM(資産測繪)——其中不乏一些騰訊安全研究團隊專家自研的獨門工具;此外是不得不提的BAS(入侵與攻擊模拟)，騰訊安全聯合實驗室集結了業内的安全攻防專家，對于各種攻擊手法了如指掌，為了達到“以攻促防”的目的，他們将實戰中的攻擊方式寫成“攻擊劇本”，用自動化工作流編排之後，去驗證客戶的WAF能不能被繞過、防火牆的策略是不是嚴謹、主機安全Agent功能有效性——以從安全有效性驗證的角度幫用戶發現更深層次的安全問題。

　　騰訊安全服務團隊每年要做100多場重保、打十幾次攻防演練，在這個過程中積累了一整套完整的流程。“一場重保項目開始之前，什麼時間安全團隊需要入場，了解和分析整個系統架構，什麼時候做系統安全檢測、代碼檢測，什麼時候要進行紅藍對抗的演練、應急演練，要進行幾輪，需要留多長的事件進行漏洞整改，什麼時候進行最終的複測、系統的封閉，開始轉入持續的監控的階段。監控階段我們可能有一系列表和流程，什麼事件觸發什麼樣的信号、應該怎麼樣處置，哪些是聯動到情報中心，情報中心區分哪些信号要及時應急，等等。”李濱說。

　　而這些寶貴的專家經驗也以工作流的方式沉澱在騰訊安全MSS中，企業隻需要根據自己的實際IT情況配置參數，就可以開展安全運營工作。 在MSS平台上，企業可以“看見”自己安全狀況，以及處置進度。

　　網絡安全的本質是對抗，對抗形式是一直在變化的。對于一個好的MSS服務來說，在一系列的自動化工具之外，還需要有一個“專家智囊團”實時去維護攻擊劇本、漏洞庫、情報，這也正是騰訊安全的長處。在自身的海量業務體量下，騰訊天然需要保持對于各種攻擊态勢的感知。

　　網絡安全攻和守之間永遠都存在不公平的較量，對于攻擊者來說，攻擊就是往芝麻裡撒一把沙子，輕而易舉;而防守方則需要把沙子從芝麻裡找出來。數字化以摧枯拉朽的方式席卷了每一個行業，所有企業必然都要走向數字化，但是否每一個企業都做好了準備?對于那些沒有專業安全團隊的企業來說，他們如何才能抵擋這樣的不公平較量?

　　MSS，也許是一個答案。對于大企業來說，它可以用MSS補齊安全體系建設中薄弱的地方，或通過MSS團隊的平台工具能力提升自身運營能力，在自己的安全團隊之外獲得一個強援;對于業務托管在公有雲上的小企業來說，則可以以很低的成本獲取到和大企業一樣的安全服務。

　　MSS(托管安全服務)最早起源于上世紀90年代，北美的運營商、雲廠商和安全廠商率先推行，近幾年在中國網絡安全市場也呈現顯著的增長趨勢。IDC數據顯示，2020年安全托管服務市場成為全球網絡安全産品與服務市場中的子市場，占比超過20%;2021年至2025年，中國安全托管服務市場将保持39%的複合增長率。

　　百川入海。對于雲鼎實驗室來說，也許它最早并沒有預期要做一個next big thing，它隻是從簡單地解決自己和客戶的痛點需求出發，但最後也走向了一個冉冉升起的大藍海市場。

　　“目前，騰訊安全MSS已經服務于數字廣東、廣交會、中海地産、一汽大衆、暢遊、中旅集團等多個企業中，保障了第七次全國人口普查、央視頻春晚重保等重大時刻的0事故、0風險。”曾勇江說。