9月6日，2024騰訊全球數(shù)字生態(tài)大會數(shù)字安全專場在深圳國際會展中心舉行。騰訊安全副總裁、騰訊云鼎實(shí)驗(yàn)室負(fù)責(zé)人董志強(qiáng)出席專場，首次公開騰訊云平臺自身安全建設(shè)框架。

董志強(qiáng)介紹道，騰訊云在全球維護(hù)超過150萬臺服務(wù)器、各類云服務(wù)云資產(chǎn)總量超過1.4億，多年的云安全治理實(shí)踐下來，多年以來已經(jīng)建立了一套行之有效的云安全治理框架。

“目前，很多地方政府單位、央國企都在建設(shè)自己的私有云，預(yù)計國內(nèi)規(guī)模億以上的大型私有云會在1000朵以上，但是對于如何保障云平臺的安全性，業(yè)內(nèi)還缺乏參考標(biāo)準(zhǔn)。我們也致力于把自身高安全等級架構(gòu)的實(shí)踐分享給行業(yè)用戶，促進(jìn)安全水位的提升�！倍�志強(qiáng)表示。

攻防升級，無限戰(zhàn)爭下的“假設(shè)損失”原則

云平臺長期以來都面臨外部攻擊和內(nèi)部缺乏有效治理的威脅，不斷的涌現(xiàn)了各種新技術(shù)，大數(shù)據(jù)、大模型、IoT等等新技術(shù)一方面帶來新的生產(chǎn)動力，另一方面也導(dǎo)入了新的威脅面和安全問題；DevSecOps這類新研發(fā)模式的廣泛應(yīng)用也讓傳統(tǒng)的安全規(guī)范流程失效。此外，云計算按需使用的訂閱模式和責(zé)任共擔(dān)模型，也使很多組織中的成本模型、責(zé)任矩陣和合規(guī)流程發(fā)生了變化。

當(dāng)下，人工智能和大模型是新一代的生產(chǎn)力熱點(diǎn)，在這項(xiàng)技術(shù)普及的過程中，作為燃料的數(shù)據(jù)呈現(xiàn)井噴態(tài)勢，在量級、成本和復(fù)雜度上又對安全管理帶來了新挑戰(zhàn)。

“在有限的成本之下，面對不斷變化的業(yè)務(wù)環(huán)境，我們必須建立一種新的安全思維，即持續(xù)性對抗的安全思維、‘假設(shè)被攻擊’‘假設(shè)受損失’的安全思維。”董志強(qiáng)表示。

在這種“假設(shè)損失”的安全思維下，騰訊在內(nèi)部提出高安全等級的云安全架構(gòu)，通過這個目標(biāo)來牽引全局安全工作，高安全等級架構(gòu)遵循幾個治理準(zhǔn)則：

一、對資產(chǎn)進(jìn)行分類分級，允許有限損失，保障核心業(yè)務(wù)零事故；

二、戰(zhàn)略對齊和價值呈現(xiàn)，改變過去安全和業(yè)務(wù)分離甚至對立的理念，建立安全工作和業(yè)務(wù)發(fā)展協(xié)同的流程體系，建立全員為安全負(fù)責(zé)對組織治理和協(xié)同文化；

三、“假設(shè)損失”條件下遵循必要的安全技術(shù)原則，盡可能對系統(tǒng)和業(yè)務(wù)嵌入“默認(rèn)安全”的配置；采取”零信任“的思維，對于權(quán)限和特權(quán)進(jìn)行更合理的分配和管控，降低人為風(fēng)險；對于配置的各類安全機(jī)制，進(jìn)行實(shí)效性驗(yàn)證，通過多種技術(shù)來多層驗(yàn)證我們的安全策略是否在真實(shí)發(fā)生保護(hù)左右；另外在合適的場景下，通過智能化和自動化技術(shù)，也可以輔助使安全運(yùn)營的效率和效能得到大幅度提升。

經(jīng)過長期實(shí)踐，騰訊云已經(jīng)形成了一套行之有效的安全治理框架，保障了騰訊云平臺的安全穩(wěn)定運(yùn)轉(zhuǎn)。目前，騰訊云在全球維護(hù)超過150萬臺服務(wù)器，各類云服務(wù)云資產(chǎn)總量超過1.4億，獲得了400+合規(guī)資質(zhì)的認(rèn)可。

高安全等級架構(gòu)構(gòu)建“看得見”的云上安全

近年來，云計算已逐漸成為賦能數(shù)字經(jīng)濟(jì)的底座和基石，云平臺上承載了大量關(guān)系國計民生的業(yè)務(wù)系統(tǒng)和數(shù)據(jù)，其安全性、穩(wěn)定性關(guān)系到國家安全和社會生產(chǎn)生活有序開展。為了構(gòu)建“看得見的安全”，騰訊云自下而上為云業(yè)務(wù)自身和租戶安全構(gòu)建了縱深防御的體系，形成了一套具備可復(fù)制性的高安全等級架構(gòu)。董志強(qiáng)結(jié)合實(shí)踐案例，重點(diǎn)分享了高安全等級架構(gòu)的三個核心理念：默認(rèn)安全、縱深防御和智能提效。

在默認(rèn)安全上，騰訊云從云底座操作系統(tǒng)和虛擬化平臺進(jìn)行安全加固、權(quán)限管理、密鑰管理升級、配置核查、網(wǎng)絡(luò)和應(yīng)用隔離等角度入手，來保障云產(chǎn)品的默認(rèn)安全和云平臺的默認(rèn)安全，包括不限于對云底座操作系統(tǒng)和虛擬化平臺進(jìn)行安全加固，通過硬件虛擬化隔離和安全操作系統(tǒng)確保底層安全可靠；在根秘鑰防護(hù)上做了安全改造，最終實(shí)現(xiàn)一個騰訊云客戶一次登錄態(tài)一次隨機(jī)根秘鑰，并實(shí)現(xiàn)有狀態(tài)令牌防止秘鑰泄露生成SKEY等；通過XSPM來檢測賬號是否開啟MFA，通過開啟MFA多重身份驗(yàn)證，提高身份的對抗成本，針對身份攻擊開啟有效攔截等。

此外，騰訊云很早就開始踐行“安全左移”理念，通過安全組件嵌入、軟件成分管理、自動化代碼檢查和安全有效性測試，層層卡口盡早發(fā)現(xiàn)和處置風(fēng)險，實(shí)現(xiàn)“出廠即安全”。

在縱深防御上，騰訊云從網(wǎng)絡(luò)邊界、身份邊界、資源邊界等維度全方位構(gòu)建了數(shù)據(jù)安全邊界，多種安全機(jī)制互補(bǔ)，有效保護(hù)租戶數(shù)據(jù)的機(jī)密性、完整性和可靠性，有效降低客戶數(shù)據(jù)泄露事件的發(fā)生。

在智能化安全治理實(shí)踐上，騰訊云通過對敏感數(shù)據(jù)流動路徑的全過程管控，能快速識別敏感業(yè)務(wù)數(shù)據(jù)分布，建立“數(shù)據(jù)安全地圖”，實(shí)時掌握數(shù)據(jù)流轉(zhuǎn)鏈路，全局監(jiān)控數(shù)據(jù)安全風(fēng)險，有效聯(lián)動分析和應(yīng)急響應(yīng)，實(shí)現(xiàn)端到端的數(shù)據(jù)安全風(fēng)險控制。

騰訊安全云鼎實(shí)驗(yàn)室長期專注于云領(lǐng)域前沿安全技術(shù)研究與創(chuàng)新，并持續(xù)向行業(yè)輸送經(jīng)驗(yàn)和方法。2021年，云鼎實(shí)驗(yàn)室發(fā)布業(yè)內(nèi)首個云安全攻防矩陣以及云原生安全全景圖；2022年，云鼎實(shí)驗(yàn)室將云上攻防實(shí)戰(zhàn)經(jīng)驗(yàn)集結(jié)成《云上安全攻防實(shí)戰(zhàn)手冊》并公開發(fā)布；2023年，云鼎實(shí)驗(yàn)室牽頭編制了全球首個云滲透測試認(rèn)證專家課程。

云平臺的安全性需要持續(xù)投入建設(shè)和多方協(xié)作，騰訊安全也呼吁生態(tài)共建，監(jiān)管部門、云廠商、安全廠商、租戶等多方協(xié)作，共同提升云上安全水位。