2016 CSS ｜腾讯云：保护了别人之后，怎么保障自己的安全？

说起来，“保护别人的云怎么保障自己？”这个话题好像有点小尴尬。

就好像下面这个比方：我有一车钱，停在家里肯定不安全，那我放到银行吧？然后你问银行：“你保护我的钱，那你能抵抗住劫匪吗？”

如果你要问这个问题，银行肯定要对你翻白眼。

但是，云不一样。在这个不建云、不用云好像企业就没脸出去见人的时代，云面对的“劫匪”也不是一般多。云也不是银行，它遇到“劫匪”和“小偷”，简直不要太多。

11月10日，在2016中国互联网安全领袖峰会（CSS）云安全分论坛上，腾讯云安全总监周斌就直面了这个“尴尬”但又十分紧急的问题——怎么保障腾讯云自己？以下为周斌的发言整理，小标题为编者所加，在不改变原文原意的基础上略有修订。

1.“劫匪”和“小偷”到底有多少？

中国整个黑产从业人员已经超过百万人规模，遍布全国各大省市，最主要的是华东和华北各大片区，他们在线上和线下结合的方式在业务层面上不断制造风险。

他们最常用的入侵途径是“三板斧”：暴力、手工、社工（社会工程学）。整个黑产产业链条发展到今天是非常成熟的链条，也有很多现成的工具化的产品，在最开始时，大家直接下载网上的工具，直接跑就行了。高级时，用手工解决问题，再高级一点就是社工。

什么是社工？入侵者会模拟你生活中某一个场景，比如，扮演你的同学、同事、亲戚朋友，套取你的各种资料。传统意义上会走破解，但实际这个人找到目标公司楼下的Wi-Fi，侵入Wi-Fi，通过Wi-Fi收集网上所有员工帐号，拿着员工帐号做了一次批量扫描，获取了很多数据，根本不需要入侵云端的数据库，也不需要进行多次远程操作就可以通过“社工+手工”的模拟方式获取。

2.如何自卫？

关于腾讯的业务安全框架，我们做了四项工作，会把所有的数据放在云端场景里进行远程加固，同时在客户端层和网络通信链路层面上，也做了两层加密。

在客户端保证客户端应用程序不会被反编译或逆向。从Windows、Android到其他平台，我们提供了各种不一样的工具，在QQ、微信平台上对通信过程保证了通信协议的有效性。

在云端，我们也做了下面四项工作。

第一步，防数据爬取。腾讯内部提出一个方案：安全是体验和安全性之间的平衡，我们把数据分为生产者、托管者、使用者。

我们会拷问自己数据是否安全。首先，数据是不是核心数据？如果是周边数据，这个数据有没有重大影响？其次，需不需要进行后台托管？再者，如何安全地传输和提供数据服务，包括身份认证、传输等？通过数据“三问”，合理划分以后定义数据安全规则。腾讯云会把所有的数据集中在一个地方进行存储、统一加密管理。

我们定义数据的标准是，首先要拦住入侵，二是让你进不来，三是即使万一你进来拿到数据也没用，我们会对数据做高强度加密，保证数据通讯过程中的有效性，保证这些数据不会得到泄露。

第二步，我们会搭建一套安全系统，解决业务系统当中 UGC 的安全问题。腾讯内部搭建的大型分布式及大功率系统能够支持腾讯在大量实时流式计算和离线分布式计算的集群，支撑业务发展。

通过这些集群，我们可以应对每天千亿级流水数据进入，进行数据的准实时的数据计算，通过这些数据汇总到安全系统，登录和保护的安全策略层和数据层，进行实时和离线数据计算。我们会把离线数据结果和中间数据输出到安全系统里实时对抗系统里，然后进入主动和被动机器深度模型来进行深度学习，然后来进行反应。

第三步，在业务层解决社工诈骗的问题，包括后台和产品侧的体验，对前、中、后三个维度会做实施检测，前——端的检测，中——使用时的检测，后——解脱检测环节，避免社工诈骗问题发生。

第四步，防范内部风险。在这些问题都得到解决的情况下，我们会防范内部风险。所有系统的内部都实行完善风险审计原则，包括通过跳板机进行登录的操作审计、内部 DB 审计以及所有数据的审计，现在所有的审计都可以做到准时，数据异常的情况可以在 5 分钟之内全部发现。