安全构建下一代云

董志强腾讯安全副总裁、腾讯云鼎实验室负责人主讲人： 一起日常安全运营中的“小事件” 3.应急响应 2.初步研判 1.情报捕获 4.1范围评估 17:34（耗时6分钟） 17:35（耗时1分钟） 18:50（耗时1小时15分） 2024年7月21日，17:28 腾讯云“流云”SOAP自动化运营平台，拉起云平台安全、研发安全、租户安全等多团队发起应急响应 腾讯云安全蓝军团队评估漏洞等级为“严重”评估利用难度为“容易” 云鼎实验室“听风”漏洞情报监控系统，捕获“**软****Report全版本0day指令注入漏洞” 云平台安全团队，完成全集团受漏洞影响资产和业务评估，发起漏洞修复动作至各业务，锁定受影响主机**台 6.修复复查 7.持续监控 5.漏洞修复 捕获在野攻击 4.2修复方案 21:21（耗时31分钟） 2023年7月28日（7天后） 23:30（耗时2小时9分） 20:50（耗时2小时） 2024年7月22日起 腾讯云平台运营SOC，检测到来自Internet的本漏洞在野攻击，各系统成功预警并阻断 各业务团队完成漏洞修复及验证 云产品安全、云平台安全团队，完成全网资产再次扫描和漏洞修复复查，保证0遗漏 腾讯云HIDS、WAF、SOC等产品加入热修复补丁和攻击指纹检测等保护能力，持续保护云资产 云产品安全团队，完成应急修复方案编写和验证，包括代码修复、热补丁修复、补偿修复方案等多方案 新技术与业务架构 云计算AI和大数据DevSecOpsIOT 安全的变化与发展 现代安全基本原则 今天的安全环境变化 ◼安全与组织战略一致◼与业务建立伙伴关系◼可量化的安全ROI和KPI◼“全员安全责任制”◼轻量框架、动态流程，伴随业务发展而迭代◼数据驱动，指标驱动◼“零信任”原则，最小权限，特权分离◼“假设损失”原则◼进行实效性验证，持续验证、多层验证◼默认安全、自动化、智能化 现代云安全的十条基本原则 数据驱动，指标驱动06 安全与组织战略一致01 “零信任”原则，最小权限，特权分离07 02 与业务建立伙伴关系 08 03 可量化的安全ROI和KPI “全员安全责任制”04 09 进行实效性验证，持续验证、多层验证 默认安全、自动化、智能化10 05 轻量框架、动态流程，伴随业务发展而迭代 现代云安全的十条基本原则 数据驱动，指标驱动06 安全与组织战略一致01 “零信任”原则，最小权限，特权分离07 02 与业务建立伙伴关系 08 03 可量化的安全ROI和KPI “全员安全责任制”04 09 进行实效性验证，持续验证、多层验证 默认安全、自动化、智能化10 05 轻量框架、动态流程，伴随业务发展而迭代 腾讯云安全合规建设 到今天，腾讯云在全球范围内获得了400+合规资质的认可，覆盖了中国、东南亚、东北亚、欧洲等主流区域，为腾讯云客户业务的全球发展提供了强有力的支持。同时，也发布了多篇白皮书，使市场及客户可以更加透明的了解腾讯云的合规管控，从而达到合作共赢的目的，与客户一同创造更加合规和安全的云环境。 腾讯云平台防护总体架构 高等级云安全架构实践：安全操作系统及虚拟化逃逸防护，构建牢固云底座 对云底座操作系统和虚拟化平台进行安全加固，通过硬件虚拟化隔离和安全操作系统确保底层安全可靠。 虚拟化逃逸防护 •针对虚拟化逃逸潜在风险点提前加固，分析环境基线构建白名单，按需部署及灰度运营•灵活的观察和拦截能力，具备多种安全模式•已在腾讯云全量运行，稳定性、性能和安全性得到充分验证 •Qemu-Guard部署在Host Linux Kernel层，对虚拟化平台各个组件进行监控，阻止非常规行为以及高危敏感操作；及时阻断虚拟化逃逸行为。 Host 高等级云安全架构实践：多重机制互补保障研发安全，左移尽早处置风险 安全左移，通过安全组件嵌入、软件成分管理、自动化代码检查和安全有效性测试，层层卡口尽早发现和处置风险，实现“出厂即安全”。 1.传统静态分析工具基于代码模式匹配，难以回答补丁是否包含的问题2.结合SAST和SCA的技术，解决开源生态里补丁分析难题；同时泛化效果有助于发现同类别漏洞3.发现微信开源代码供应链安全问题 1.针对云平台主流开发语言golang进行强化，创新性解决协程调用链跟踪问题2.代码覆盖率和Race问题检测，成为golang研发生态最有价值工具3.腾讯会议等关键云服务部署应用 “默认安全”实践：根密钥安全增强设计，提升租户身份安全基础水位 从云的身份根上进行根密钥的安全设计，有效提升租户身份安全水位。 •业界风险：某国外云厂商根密钥泄露，攻击者伪造Outlook Web Access (OWA)和Outlook.com的访问令牌，攻击大约25个组织的用户电子邮件，包括美商务部、美国务院等敏感机构核心人员邮件信息，造成国家安全风险。 现状风险&业务价值 •默认安全设计思考：围绕根密钥制定安全方案，防止腾讯云根密钥泄露风险； 有状态令牌：通过全局唯一标识符算法生成的随机数作为密钥，用以加密用户的标识信息生成skey。 •有状态令牌根密钥：全局唯一标识符算法生成的随机数作为根密钥； 方案技术细则 •全局唯一标识符算法保证根密钥不易破解，且根密钥不落盘; 最终方案实现：一个腾讯云客户、一次登录态、一次随机根密钥，并实现有状态令牌防止密钥泄露生成SKEY； “默认安全”实践：多重身份验证（MFA），纵深防御保障租户账号安全 通过开启MFA多重身份验证，提高身份的对抗成本，针对身份攻击开启有效拦截。 MFA多因子认证是一种简单有效的安全认证方法。它能够在用户名和密码之外，再增加一层保护。 •登录保护：在正确输入账号和密码的前提下，还需要额外输入一种能证明身份的凭证。 云产品内部账号安全 云产品默认内部账号安全：内部云产品账号默认强制开启MFA多因子认证，保护内部账号安全。 “纵深防御”实践：构建多重“数据边界”，纵深防御保护租户安全 多种安全机制互补，构建云上多层“数据边界”，有效保护租户数据的CIA（机密性、完整性和可靠性） 数据边界控制 身份边界控制 资源边界控制 网络边界控制 •只有受信任的身份才能访问客户的资源•只有受信任的身份才能访问客户的网络 控制目标 •客户的身份只能使用预期的网络•仅可使用预期网络访问客户的资源控制目标 •客户的身份只能访问受信任的资源•仅可从客户的网络访问受信任的资源控制目标 可缓解威胁•组织外部身份的未经授权的访问 可缓解威胁•在公司环境之外使用凭证 可缓解威胁•意外的数据移动到组织外部的资源 安全能力 基于资源的访问策略 VPC访问管理 CAM权限边界 可控制目标•仅可从客户的网络访问受信任的资源•只有受信任的身份才能访问客户的网络 可控制目标•客户的身份只能访问受信任的资源•客户的身份只能使用预期的网络 •只有受信任的身份才能访问客户的资源•仅可使用预期网络访问客户的资源 智能化安全治理实践：构建全局数据安全地图，端到端管控数据风险 通过对敏感数据流动路径的全过程管控，快速识别敏感业务数据分布，实时掌握数据流转链路，全局监控数据安全风险，有效联动分析和应急响应。