安全构建下一代云

安全构建下一代云 主讲人： 董志强腾讯安全副总裁、腾讯云鼎实验室负责人 一起日常安全运营中的“小事件” 1.情报捕获 2024年7月21日，17:28 云鼎实验室“听风”漏洞情报监控系统，捕获“**软****Report全版本0day指令注入漏洞” 2.初步研判 17:34（耗时6分钟） 腾讯云安全蓝军团队评估漏洞等级为“严重”评估利用难度为“容易” 3.应急响应 17:35（耗时1分钟） 腾讯云“流云”SOAP自动化运营平台，拉起云平台安全、研发安全、租户安全等多团队发起应急响应 捕获在野攻击 2023年7月28日（7天后） 腾讯云平台运营SOC，检测到来自Internet的本漏洞在野攻击，各系统成功预警并阻断 7.持续监控 2024年7月22日起 腾讯云HIDS、WAF、SOC等产品加入热修复补丁和攻击指纹检测等保护能力，持续保护云资产 6.修复复查 23:30（耗时2小时9分） 云产品安全、云平台安全团队，完成全网资产再次扫描和漏洞修复复查，保证0遗漏 5.漏洞修复 4.1范围评估 18:50（耗时1小时15分）云平台安全团队，完成全集 团受漏洞影响资产和业务评估，发起漏洞修复动作至各业务，锁定受影响主机**台 4.2修复方案 20:50（耗时2小时） 云产品安全团队，完成应急修复方案编写和验证，包括代码修复、热补丁修复、补偿修复方案等多方案 21:21（耗时31分钟） 各业务团队完成漏洞修复及验证 我们每天的工作 腾讯云全球服务器 150万 腾讯各类云资产总量 1.4亿 日均检测攻击信号 50亿+次 外部情报监控 监控外部情报源800+年处理外部情报信息24万+ 每日自动拦截网络攻击 1.2亿次 每日检测阻断入侵尝试 800+起 平均检测时间MTTD 4.02分钟 平均遏制时间MTTC 44.84分钟 今天面临的问题与挑战 资产与数据 大量资产海量数据新技术存量资产 Redis MYSQLBI API 新技术与业务架构 云计算AI和大数据DevSecOps IOT 管理机制与业务关系 资产所有权控制权 成本模型合规要求 MongoDB FaaS CVM CBS COS VPN 网络空间态势 持续攻击和对抗大量0day漏洞 持续变化的资产环境 “安全工作影响业务发展” 安全伴随业务共同成长，创造价值 “运维是业务的子集，安全是运维的子集” 所有人都可能被攻击，安全影响全局业务 静态安全模型，长周期建设方法 快速变化的业务和组织环境 “安全建设就是要尽善尽美，万无一失” 复杂的内外部环境，海量资产，有限的成本投入 外挂安全建设方法，安全与业务脱节 有限成本和业务发展要求安全必须价值最大化 “合规驱动的安全” 合规驱动、价值驱动、风险驱动 以流程框架为导向，“做了就完了” 以风险影响为导向，以结果度量 “内部都是安全/可信的” 复杂的业务和人员结构，各层都可能被攻击 基于理想方法论，单向的流程建设 人总会犯错，系统总会有bug，风险不可预知 安全的变化与发展 一些过去的理念和误区 “网络安全是技术层面的事情” 今天的安全环境变化 网络安全是业务成长和组织发展的命脉 ‘万无一失的安全’ 基于理论假设的安全设计和建设思想 ‘假设一定被攻击’ 假设攻击一定发生，如何把最优资源保护最有价值资产 现代安全基本原则 安全与组织战略一致 与业务建立伙伴关系 可量化的安全ROI和KPI “全员安全责任制” 轻量框架、动态流程，伴随业务发展而迭代 数据驱动，指标驱动 “零信任”原则，最小权限，特权分离 “假设损失”原则 进行实效性验证，持续验证、多层验证 默认安全、自动化、智能化 现代云安全的十条基本原则 01安全与组织战略一致 02与业务建立伙伴关系 03可量化的安全ROI和KPI 04“全员安全责任制” 05轻量框架、动态流程，伴随业务发展而迭代 06数据驱动，指标驱动 07“零信任”原则，最小权限，特权分离 08“假设损失”原则 09进行实效性验证，持续验证、多层验证 10默认安全、自动化、智能化 现代云安全的十条基本原则 01安全与组织战略一致 02与业务建立伙伴关系 03可量化的安全ROI和KPI 04“全员安全责任制” 05轻量框架、动态流程，伴随业务发展而迭代 06数据驱动，指标驱动 07“零信任”原则，最小权限，特权分离 08“假设损失”原则 09进行实效性验证，持续验证、多层验证 10默认安全、自动化、智能化 云服务获取与开发安全 云平台基础设施安全与运营 应用生态与供应链安全 跨云安全协同 身份与访问风险治理 数据风险治理 业务风险治理 租户风险治理 腾讯云安全治理框架 安全治理驱动力 合规监管 客户责任 社会责任 内部控制风险管理 CEO 治理组织与流程 评价 指导监督 安全规划 合规管理流程风险管理流程责任共担模型安全整体架构 CSO 安全管理层 战略指导指标度量 安全管理与技术域 安全运营团队 腾讯云安全治理架构 CEO 利益相关方共识 安全与战略对齐 合规监管 内部控制 客户合约 风险管理 社会责任 C-Level领导层 CIOCSO 各业务负责人/安全负责人 安全与业务的集成 安全策略、流程与文化 合规与安全管理流程 合规管理 治理组织与沟通 安全战略风险管理 核心度量指标 安全架构和保护框架 组织协同责任共担安全文化 与其他管理部门与业务部门全员安全氛围 解解行决决业方方场案案景 整体安全架构 架构师与技术Leader 模块化治理结构 云平台防护总体架构 (向客户展示云平台整体的多层防御) 云安全治理实践（分模块） 云租户防护参考架构 (给客户建议的防护参考架构及安全能力) 支撑性度量指标 行行业业场场景景解决方案 研发与运营团队 技术控制 与持续运营流程 云产品开发安全基础设施保护与安全运营应用生态与供应链安全跨云安全协同身份与访问安全数据风险治理业务风险治理租户风险治理 腾讯云安全合规建设 到今天，腾讯云在全球范围内获得了400+合规资质的认可，覆盖了中国、东南亚、东北亚、欧洲等主流区域，为腾讯云客户业务的全球发展提供了强有力的支持。同时，也发布了多篇白皮书，使市场及客户可以更加透明的了解腾讯云的合规管控，从而达到合作共赢的目的，与客户一同创造更加合规和安全的云环境。 信息安全管理体系认证 云服务信息安全控制实施指引 公有云个人信息保护认证 个人信息管理体系认证 云安全管理体系金牌认证 系统及组织控制体系鉴证 支付卡行业数据安全标准认证 网络安全等级保护-四级 用户数据保护能力-增强级 网信办云计算服务安全评估 ITSS认证 能力成熟度模型集成 新加坡多层云安全标准-Level3 新加坡数据保护信任标记认证 新加坡银行协会OSPAR审计 韩国信息安全保护管理体系 欧洲数据保护行为准则自评估 德国云计算合规性控制目录 腾讯云平台防护总体架构 网络边界安全 身份与特权管控 天幕批量漏洞防御防DDOS云防火墙 VPC Subnet 安全管理与运营 应用 载 负BH堡垒机 账号安全 与数据安全 CAM访问管理 细粒度权限 SSO 联合身份 多因素认证 特权管控 高危阻断 操作审计 审批授权 HSM 国密加密 行为管控 账号风控 CAM集成 凭据加密 凭据轮换 白盒加密 SSM凭据托管 应用负载运行安全 CIEM 身份与配置安全 CSNS 容器网络安全 CSPM 云安全态势管理 里约网关 WAF CLB EdgeOne 应用交付与访问安全应用运行环境安全 CWPP 云工作负载保护 数据安全 细粒度访问控制 细粒度国密加密 数据脱敏 数据访问审计 国密SSL 双向证书 SSL卸载 默认加密 安全传输 应用数据安全数据安全治理 数据安全态势 数据分类分级数据风险评估 容器虚拟化隔离 镜像安全 情报联动 安全计算 安全存储 KMSCloudHSM 存储默认加密 主动风险检测 高危端口服务 外部暴露面 应用漏洞扫描 BAS持续验证 错误云配置 40+项 账号异常 访问异常 日志审计 外部威胁情报 攻击告警 网络异常 组件和代码安全 软件供应链安全 60+类 持续风险监控 TEE安全计算 国密SDK 抗量子加密 CodingDevSecOps集成平台 智能安全分析 应需求设计 用 开敏捷威胁建模 发•建模工具库 安•安全设计基线 全•半自动化评估 •安全设计评审 •安全培训和考试 代码编写 代码安全检查 •安全编码规范 •SAST •SCA •敏感信息检测 代码准入 代码安全检查 •SAST •SCA •敏感信息检测 •人工代码审计 集成打包 制品安全检查 •容器镜像扫描 •APK包扫描 •织云包检查 自动化测试 应用安全扫描 •DAST测试 •IAST测试 •MAST测试 •安全漏洞扫描 预发布 环境安全检查 •安全配置基线 •安全基线评估 •系统组件评估 •安全漏洞扫描 •渗透测试 发布 服务风险检查 •高危服务监控 •通用漏洞检查 •应用组件风险 •WAF安全策略 •证书及加密管理 运营 安全监控和应急 •入侵监测 •安全巡检 •情报监控 •漏洞管理 •红蓝对抗 云平台SOC 安全大模型 策略引擎 安全数据湖 情报研判 一剑封堵 漏洞扫描 应急响应 数据分类分级 100+工作流 自动化运营工作流 基可信计算机密计算 设 础 虚拟化与安全操作系统 高性能云网络 高可用基础设施 安全指标看板 高可靠基础设施 施 •安全加固的自研星星海服务器硬件 •可信启动，加固的安全系统层 安•持续度量，端到端的可信基础设施 全 •硬件隔离的机密计算 •抽象TEE架构，支持多种硬件 •信创支持的机密计算 •硬件隔离虚拟化 •安全加固的虚拟化层 •EAL4+安全操作系统 •100Gbps+实时传输 •千万级高并发 •500G+流量清洗 •50+可用区 安全运营大盘 平台风控指标 平台安全指标 应用安全指标 数据安全指标 •T3+数据中心，三副本存储 •单实例服务可用性99.975%，数据可靠性99.9999999% 高等级云安全架构实践：安全操作系统及虚拟化逃逸防护，构建牢固云底座 对云底座操作系统和虚拟化平台进行安全加固，通过硬件虚拟化隔离和安全操作系统确保底层安全可靠。 3reGenIntelXeonScalableProcessorBasedHardwarePlatform CPUDRAMDevice 虚拟化逃逸防护 •针对虚拟化逃逸潜在风险点提前加固，分析环境基线构建白名单，按需部署及灰度运营 •灵活的观察和拦截能力，具备多种安全模式 •已在腾讯云全量运行，稳定性、性能和安全性得到充分验证 Qemu Qemu Host •Qemu-Guard部署在HostLinuxKernel层，对虚拟化平台各个组件进行监控，阻止非常规行为以及高危敏感操作；及时阻断虚拟化逃逸行为。 Qemu Qemu Qemu Qemu GuestApp GuestApp GuestApp GuestKernet GuestApp GuestApp GuestKernet SpaceApp GuestKernet vm vm vm HostUser vm vm vm GuestKernet GuestKernet GuestKernet GuestApp HostLinuxKernel KVMModules Qemu-Guard X 创建可疑进程，即时阻断！！！！！ 正常行为，放行 正常行为，放行 Qemu-Guard 高等级云安全架构实践：多重机制互补保障研发安全，左移尽早处置风险 安全左移，通过安全组件嵌入、软件成分管理、自动化代码检查和安全有效性测试，层层卡口尽早发现和处置风险，实现“出厂即安全”。 Patch2QL静态代码补丁分析工具 1.传统静态分析工具基于代码模式匹配，难