“安全未来的发展不只是企业发展的底线问题，更将成为制约企业发展的天花板。”11月20日，在腾讯全球数字生态大会·上海峰会，腾讯副总裁丁珂表示。
在现场，丁珂带来了题为《云数据时代的信息安全对抗》的专题分享。
以下为丁珂现场演讲全文：
大家上午好！非常荣幸能够有机会在上海杨浦区给大家做一个“安全”主题的分享，因为这是一个长期以来国家非常关注的问题、也是腾讯产业互联网“云”发展方向上的一个重点投入领域。
大家知道在过去的30年计算机发展过程中，数据的规模和计算速度已经提升了超过200多万倍。同时，在发展的过程中也不断的接触到很多新的名词，例如：云，云上的安全问题有什么、5G，5G会带来哪些安全问题？我会接下来跟大家分享腾讯“云”和“安全”在技术领域的一些突破跟研究。
这幅图在不多的场合下面分享过，今年可能是第二次。上一次，还是在一个专业的论坛里面。主要是讲了现在我们面临到的安全威胁形势。最右边“保护轮廓”，国家、政府层面，都有对应的立法先行和搂底的措施在。比较多的内容我会分享右边的部分，中间是一些网络攻击手段。大家通常会碰到比较多的是“黑客”，其实每一个层面，仅仅是邮件钓鱼、勒索软件等等，还有“挖矿”、会把病毒注入到你的计算机里面。你的计算机还在活着，但是可能80%算力在帮它赚钱。还有“员工无意识”的规范不够，导致泄露的一些机密，但是其实上面三层里面日常生活很少有人感知到：
1.商业间谍和有组织犯罪“黑灰产”。他们用到的攻击方式有“僵尸网络、DDoS”，会调集大规模攻击，你的服务器就down掉了相信大家时不时会碰到这样的消息。
2.恐怖分子/无政府主义黑客。几乎普通人都碰不到的，我在里面提一点，跟云的未来的架构安全有关系，开机的时候，操作系统和bios就已经受到威胁。硬件攻击、操作系统已经注入到你的最高权限，而且有非常强的“顶级漏洞”可以在你的信息目标里面长期潜伏。
最新的态势，回到企业中，攻击主体多种多样。除了黑灰产之外，具备信息国战能力的国家超过40个。技术发展里面有固件类的硬件类的无线类的等等。面对最新的安全挑战，我们会在多个行业里面有对应的技术研究和发展。其实日常工作中，腾讯有七大实验室，我们在日常里面都会对前沿的技术会做一个覆盖和分析。
接下来的一点时间，我分享一下腾讯“云”和“安全”在做的一些工作。有过计算机背景的人可能了解，计算机最初的架构是冯诺依曼架构。但是日常摆放环境是五层架构的数据中心，在IDC、SDN这样一个大环境里面，我们几乎都很少去接触的界面。会有网络面、硬件面，硬件面就是你会接触到的算力到底是落在什么地方。然后你的GPU、CPU自己能调用多少，效率是多少。主机面就是操作系统，然后用户自己还有一个租户面。我作为一个用户，我的资源控制范围之内大概有多少。中间的细节技术我就不讲了，但是右手边三个地方带出来的安全要求层面是完全不一样的层面。
首先我们看到在最面对数据中心的层面，从启动到层层调用和数据的转入转出，有一个“可信计算”的基础。所以其实“云”的发展带来安全上面最大的机会和进步是在哪块？是从你最初的机器建设网络智能网卡这一级，沿途的密钥跟算法权限是对应的，从一开始就是做一个安全规划的。这是一个进步。
第二个层面，我们叫平台soc层面，综合性管理的层面。以前我们的防火墙是一个个单点，一个个指令的配合，如果你在一个机房里面有几十万甚至近百万的大规模，而且布局是跨机房的时候，安全策略应该怎么样制定呢？配置是每一个点、每一个点能够配出来的吗？显然是不现实的。所以从底层切入式的直连的配置管理，变成需要中心化统筹、分布式处理的策略管理变化。我们在租户管理的时候，数据生命周期到底安不安全？我把数据交给你，你是以什么样的方式确保我的安全呢？我先分享腾讯在可信计算与供应链安全保障体系做的。我们讲到异构处理，其实CPU跟GPU和BIOS都权限不一致，如何确保在微指令中策略是连通，而且整体的配置是可靠安全的呢？这是腾讯在可信计算与供应链安全保障体系里面，硬件方面的进展。
还有就是端到端的数据全生命周期安全体系。数据不仅仅是存储，是要使用的，是动态的。所以在使用动态的过程中是要申请权限的。权限申请管理跟你使用周期是相关的，而且跟使用人、你这个人是什么样的权限，你接下去的人是什么样的权限，我们的解决方案基本上是做到了端对端云数据生命周期安全体系。
在未来的计算跟生产过程中，安全不是静态的问题。你不断的要生成代码、你的业务是动态快速迭代的，被代码驱动甚至是被代码承载的业务形态。在这样的业务形态下，我们的安全如何动态发展？这就带来了一个新的话题：到底给租户在“云”平台上、公有云平台上或者私有云的租户，他在做生产管理的时候，主要是重点指代码的生产管理的时候，从代码的生命周期里面如何一步步开始开发的时候引入安全，然后在发布前有安全的管控。在发布之后、运营中间，发现问题是如何去控制问题的范围，然后提前预测，再让它回归到下一轮的迭代开发中。所以简单的讲，就是我们三个基础支撑、一个中心、两个门户支撑整个用户在使用云的计算、云的服务，发布自己的业务、做自己的代码生成的时候确保全生命周期的安全。
讲了很多基础设施的，我知道这一部分专业的门槛还是蛮高的，因为可能跟学校里面学的计算机的体系，跟外面媒体报道的很多不太一致。而且这些技术是一个爆发式的，在最近三年、五年里面，从“云”的开放发展，从大数据跟AI的结合，包括：量子对抗，然后到5G的发展，层层会带来挑战跟应用。
简单讲一下，我们针对我们的大企业，还有产业行业的话，有扎扎实实，虽然是一个基础、不得不讲，我们的一些专业人员必须要去应对的，但是在我们的客户层面，我们会非常直接的一些基于大数据的安全态势感知，给大家带来直接解决问题。
其中单提了一个基于数字化行为的金融或者风控和监管的能力。我们知道很多的产业现在聚焦金融：
支付行为都已经数字化了，我们的监管是怎么样做的呢？能跟得上吗？它是基于什么样的把控点来做监管？
现在很多的行为，比如：电商的行为。哪些行为合理，哪些过分？怎么监管？
广告，几乎都是在线上的，比如：很多直播类的，你在页面之间跳这样的广告、跳那样的广告，甚至跳一些不太合适的广告到底怎么样监管？
腾讯在这方面，也是几乎给我们合作伙伴，国家政府的很多金融办都借助腾讯安全的技术能力做数字监管。我们同时做了一些反欺诈的监管，互联网公司反“薅羊毛”的一些反欺诈的行为，我们做到金融数字化监管。包括：广告有效性、合规性上面的一些解决方案，所以这是数字化发展后腾讯在上面做到的工作。最近两年看到的趋势非常的迅速。
另外再讲一个，主要是国资大企业、政府机构，还有金融，像这样的大企业，其实我们也有合作。每年有一些攻防类的实战，腾讯现在已经把专家的力量服务化，整体提炼出来能够给大家各种级别的响应。最后一个总结：安全未来的发展不只是企业发展的底线问题，更将成为制约企业发展的天花板。腾讯的理念：“I、D、E、A模型”从数据到攻防到管理和规划，全方位的能力。
谢谢大家，希望大家的企业都安全健康高速的发展。谢谢！
声明：本文来自腾讯云，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
