产业安全专家谈丨如何建立云上网络安全的“第一道防线”？
现如今，上云已成为很多企业应对复杂数据流量和追求便捷性、低成本、高性能服务的不二诉求。然而，其在助推企业发展的同时却也不可避免地带来了更加猛烈的安全威胁，网络安全成为了企业上云绕不过的必选项。
云服务商和云用户作为网络安全的主要参与者，前者需要提供基础性的网络安全防护措施，加强网络安全事件的监测和处置能力；后者则需要对部署在云平台上的系统负责，让系统的网络安全防护达到要求。一旦云平台安全措施不到位，云服务商乃至云用户都极有可能成为网络崩坏的“帮凶”。随着数字生态的不断发展，协同防御和集中化管控也就自然成为了企业安全管理的必由之路。
那么对于身处网络安全治理一线的企业和用户来说，网络安全防护究竟有何意义？如何以较低的成本，建立云上网络安全的“第一道防线”？在AI、车联网、区块链等热门技术的不断应用下，又会否有更深度的融合迭代？腾讯安全联合云+社区打造的「产业安全专家谈」今天迎来第八期，腾讯安全平台部应用运维安全专家甘祥将会为开发者们带来最一线的操作指引。
甘祥，腾讯安全平台部应用运维安全专家，18年黑客攻防对战经验。2005年加入腾讯TEG安全平台部，曾参与腾讯公司历次重大安全应急响应和国家级项目重保工作。现负责网络安全基础设施平台建设、安全AI研究应用、安全大数据等。
Q：近年来灾难性网络攻击频发，仅今年以来就发生了Big game hunting勒索软件、CapitalOne数据泄露等事件。对于开发者和企业来说，云安全防护的重要性体现在哪里？
甘祥：灾难性网络攻击包括数据泄露，也包括一些新型攻击技术的使用，其本质上就是数据的安全问题，例如勒索软件、硬盘加密等，但它们在技术上并不新鲜。从数据安全层面来讲，云作为企业级的应用，本身就有很强的安全性，不会那么轻易地被一个病毒、一个链接搞定。即使能够进来，也不可能把所有的备份都干掉。所以云先天就具备对抗数据勒索、解决数据完整和可靠性问题的能力与优势。我觉得对于开发者来说，云的存储服务相当于上了个强保险，远远胜于传统的单机存储环境。
Q：在安全治理上，企业在招募安全团队、采购安全产品、建立安全防御体系之后，是不是就真的足够安全了？
甘祥：企业安全设备的叠加与堆砌，在这样一个环境下，如果企业购入的多个硬件设备之间没能有效联动利用起来，可能造成企业成本的大量浪费，但安全还是没有得到有效保障。针对这一普遍问题，我认为有两个关键点：一个是动态思维，所谓的动态就是要运营，要不断的运营，以新的知识不断去了解对手、了解黑产，不断去迭代对抗的方式，掌握新的技术。更重要的一点是协同防御，在实践中我们把核心安全能力通过高度API化，在企业网络安全架构中与企业已有安全产品无缝衔接，帮助客户全面融合盘活安全力量，并通过AI算法深度协助各产品在细分场景中充分发挥能力，协同联动最大化安全防御实力。
腾讯可以说是世界上最大的互联网攻击“靶场”，作为腾讯的“护城河”，腾讯安全平台部在过去10多年里守护了十亿级用户的网络安全，其中遇到的很多挑战是让人觉得很兴奋的一件事情，我们也一直保持着跟先进技术的结合，与时俱进，做到比黑产、比攻击更快一步。
（腾讯网络入侵防护系统3+2+N协同防御平台级产品）
Q：对于开发者来说，责任边界是一个很重要的问题。上云之后，一旦本地服务器的数据和存储出现问题，那么责任该归谁？云服务商在其中又该承担怎样的责任？
甘祥：云服务商和云上开发者/租户应该在相应的权责条件下承担有限责任，而不是承担无限责任。
对于云服务商来说，一般会面临数据的存储可靠性和数据保密性两种情况。以后者为例，如果是因为公线导致的数据泄露，那肯定是由云服务商来解决，毕竟用户付出了相应的费用就该享受到相应的服务；但还有一种情况，如果是个人自己的账号和密码没有得到很好的保障，且云平台方有相应的证据来证明己方没有过失，那么这时就应该承担相对应的有限责任。此外还有一种极端的情况，在强大的自然灾害下就需要商业模式的介入，用保险的方式来承担这个问题。也就是说，云上面不单单只有一个云服务商，还有相应的保险机构来提供定心丸，提供双保险。
这样一个责任边界的问题，在业界已经比较明确了。
Q：腾讯以庞大的体量和多年的人力、物力、资金投入才实现了这么强大的安全能力，那么中小企业该如何平衡自建安全能力和安全服务商能力的抉择？
甘祥：中小企业需要考虑自身安全应该做什么、哪一些安全交给服务商性价比最高等问题。安全意识，包括安全习惯、编码习惯、口令和账号的保密、复杂度等等安全意识，是每个初创公司都应该具备的。然后还要考虑哪些东西更具性价比，这时候就应该去找云服务商——为什么呢？因为它会有一套完善的诊疗体系。另外，只有大厂商的云才具备这样一个条件。腾讯20多年来各种各样的攻击，各种各样类型的业务都见识过，都有清晰的案例摆在那儿，所以可以比较快的实现经验复制、能力提炼与复用。
腾讯网络入侵防护系统是腾讯公司网络安全的第一道防线，承担了腾讯和腾讯云平台安全治理、全局流量网络入侵实时防护的重任，与此同时，我们把腾讯的网络安全解决方案也毫无保留提供给行业客户，帮助腾讯云客户无一例外的出色完成国际级、省市级重要时期网络安全保障工作。
在安全的重要性日益突出的背景下，几乎所有企业都要面临着攻防的压力。在一些特殊场景、时间点，面临重保的诉求。这不但是企业内生的需要，也是法律法规、国家政策、行业等外生的客观要求。对于腾讯来说，我们的经验就是“重保常态化”，而不是将问题积压到重保的临界点去解决。不仅腾讯如此，我们服务的产业客户也同样面临着重保压力，我们非常愿意一如既往的为他们提供腾讯久经考验的产品和专家支持，持续加深合作，帮助客户打赢重保战役。
（腾讯网络入侵防护系统重保支持图示）
Q：在技术层面上，腾讯安全与当下热门的AI、车联网、区块链等会否有更深的融合？
甘祥：我们一直关注新的技术，主要是从两个方面考虑。一是该项技术本身是否有些安全问题被坏人利用来攻击，我们如何应对；二是这项新技术是否能应用到安全领域，提升安全工作的效率。
以AI技术为例，AI技术本身的安全问题安全平台部很早就开始关注和研究，在算法攻击上我们2017年就参与了NIPS的Non-Targeted Adversarial Attack比赛，在全球近百支队伍中拿到gold；在AI工具漏洞方面，tensorflow的前7个漏洞都是安全平台部Blade Team贡献的；在安全工作中使用AI技术我们也做得比较早，比如DDoS的检测，利用算法可以做到1-2秒内检测出来；再比如在重保中我们就用过AI发现秒拨IP绕过IP阈值封禁的情况，并快速提取出攻击特征下发对抗策略。
目前腾讯安全平台部天幕团队已将AI安全能力深度应用在网络入侵防护系统中，切实帮客户增效并加固企业安全防线。区块链技术本身就是一种应用于完整性，可靠性场景的技术，在安全场景上我们也在考虑如何应用，比如说针对供应链攻击。车联网也是如此，我们会持续学习，保持跟进。
【产业安全专家谈】往期精彩内容推荐：
- END -
腾讯安全正在护航产业安全
↓↓↓