騰訊云安全架構(gòu)設(shè)計與實踐

1、騰訊云安全架構(gòu)設(shè)計與實踐大綱騰訊云網(wǎng)絡(luò)架構(gòu)演進騰訊云安全系統(tǒng)架構(gòu)演進云安全建設(shè)方向關(guān)于騰訊騰訊的傳統(tǒng)安全系統(tǒng)公共組件SOC有害信息多媒體識別安全漏洞黑客攻擊虛擬財產(chǎn)垃圾消息應(yīng)用運維安全業(yè)務(wù) 安全信息公共安全平臺騰訊云的架構(gòu)騰訊的網(wǎng)絡(luò)架構(gòu)演變long long ago單IDC、同地模式多IDC、異地分布模式支持騰訊云的網(wǎng)絡(luò)架構(gòu)云時代的基礎(chǔ)網(wǎng)絡(luò)騰訊云網(wǎng)絡(luò)架構(gòu)騰訊云運營中的安全需求培訓(xùn)安全技術(shù)安全意識安全規(guī)范網(wǎng)絡(luò)設(shè) 計分區(qū)規(guī)劃組件開 發(fā)安全開發(fā) 工具滲透測試安全API發(fā)布應(yīng)急響應(yīng) 規(guī)范集成環(huán)境 安全檢測運營安全運維 規(guī)范審計代碼審計行為審計數(shù)據(jù)審計問題發(fā) 現(xiàn)掃描系統(tǒng)人工巡查安全情報 系統(tǒng)可選服務(wù)異常

2、推送修復(fù)Double check安全系統(tǒng)的要求：有效隔離安全防御安全服務(wù)內(nèi)部審計騰訊云的網(wǎng)絡(luò)分區(qū)登陸端口遠程桌面其它端口私有端口數(shù)據(jù)庫端口 登陸端口服務(wù)器辦公OA辦公網(wǎng)TOOLSNET隔離帶MNETOSSNET運營網(wǎng)財付通專區(qū)DEVNET普通區(qū)安全域管理區(qū)核心數(shù)據(jù)區(qū)域X-SVR專區(qū)運營訪問業(yè)務(wù)專區(qū)常規(guī)策略 禁止策略默認策略登陸端口ANYANY私有端口 ANYNTPserver網(wǎng)管server網(wǎng)管/NTP端口網(wǎng)管/NTP端口WEB私有端口WEB端口私有端口WEB端口登陸端口其它端口網(wǎng)管/NTP端口WEB端口其它端口CITRIX訪問登陸端口ANY騰訊云安全系統(tǒng)架構(gòu)防火墻第三方 DB外網(wǎng)安 全檢測公

3、網(wǎng)漏洞掃描 內(nèi)容檢測 DNS檢測內(nèi)部安 全檢測基線檢測 入侵檢測 掛馬檢測安全 審計Log分析Shell審計DB審計 外訪檢測DDoS防護 云waf網(wǎng)絡(luò)阻斷防火墻業(yè)務(wù)流量Oauth漏洞API安全API 驗證碼軟token防火墻主勱外訪主勱外訪用戶服務(wù)器暴破檢測 證書登錄騰訊云安全DDoS防御系統(tǒng)大禹OC點：負責用戶業(yè)務(wù)接入、數(shù)據(jù)轉(zhuǎn)發(fā)，以及DDoS攻擊流量的過濾宙斯盾：負責攻擊流量攔截，和IP 封堵功能大禹系統(tǒng)：負責用戶接入，流量調(diào) 度，秒級IP封堵策略下發(fā)，DDoS攻 擊運維等功能騰訊云安全DDoS防御系統(tǒng)大禹2014年累計防御攻擊 2w+次，防御攻擊時長 12w+分鐘， 最大單次攻擊108G

4、，清洗流量5T+WAF騰訊云的發(fā)布和運營安全規(guī)范代碼規(guī)范發(fā)布前安全檢測應(yīng)急安全準備發(fā)布規(guī)范統(tǒng)一發(fā)布平臺灰度發(fā)布現(xiàn)網(wǎng)觀測線上運營運維規(guī)范&連續(xù)性管理安全檢測重點：安全意識騰訊云的審計物理安全代碼審計敏感數(shù)據(jù) 審計行為審計外網(wǎng)監(jiān)測騰訊云的安全問題發(fā)現(xiàn)&修復(fù)機制TSRC騰訊云安全功能框架宙斯盾網(wǎng)絡(luò)層DDoS攻擊防范流量清洗TGW空連接攻擊防御標志位DDoS攻擊外網(wǎng)入口安全主機網(wǎng)絡(luò)安全APP隔離出入流量白名單主機安全登錄安全LDAP證書入侵防護洋蔥白名單CMEM白名單CDB密碼COSAccess IDSecurity KeyOpenApi白名單服務(wù)安全Access IDSecurityKeyIP和MA

5、C欺騙防sniffer異常事件檢測流光敏感數(shù)據(jù)保護業(yè)務(wù)安全哈勃掃描中心安全基線掃描違規(guī)掃描數(shù)據(jù)透明化登錄審計運維操作審計服務(wù)和支撐系 統(tǒng)日志審計業(yè)務(wù)流程審計服務(wù)中心WAFDNS劫持檢測消息安全驗證碼反作弊IDC入流量主勱外聯(lián)OpenApi漏洞掃描用戶服務(wù)暴力破解檢測安全組件騰訊云安全產(chǎn)品介紹DNS劫持檢測1）Local DNS劫持監(jiān)測覆蓋全國各主要城市Local DNS2）權(quán)威DNS篡改 權(quán)威DNS監(jiān)測騰訊云安全API驗證碼服務(wù)騰訊云安全防御效果用戶量騰訊云安全服務(wù)開發(fā)者1w+DDoS防護2014年累計防護2w+次，最大攻擊流量108G，平均防護生效時延10s漏洞防護對使用了云安全漏洞掃描的業(yè)務(wù)，自勱掃描，日均發(fā)現(xiàn)漏洞上千個提供云waf功能，對惡意攻擊進行透明過濾，時延毫秒級違規(guī)發(fā)現(xiàn)分鐘級的違規(guī)發(fā)現(xiàn)能力入侵檢測多渠道及時發(fā)現(xiàn)客戶云服務(wù)器被入侵情況，日均發(fā)現(xiàn)數(shù)十起