CIS2019-主論壇-新形勢下的企業安全體系建設實踐-final版本（26頁）.pdf

1、新形勢下的企業安全體系建設實踐（藍軍篇）胡珀 騰訊 技術工程事業群 安全平臺部 騰訊 技術工程事業群-安全平臺部 總監/T4安全與家 2007年加入騰訊，一直在安全平臺部從事基礎安全體系建設工作 胡珀 lakehu 數據保護與項 主機入侵檢測平臺 DDoS攻擊防護平臺 云安全 騰訊安全應急響應中心（TSRC）Tencent Blade Team 騰訊藍軍 漏洞檢測平臺、WAF 逾十五年網絡安全經驗，技術派，網名“lake2”個人簡介 概況介紹 概況介紹 概況介紹 騰訊用戶總量 突 破 概況介紹 概況介紹 安全戰略 及時迅速應急響應 促進業務核心競爭力 全面保障業務發展 應急響應中心-全面保障業

2、務發展-業務的核心競爭力 安全相關部門架構 安全平臺 各業務部門 業務安全 安全平臺 基礎設施安全 信息安全 安全管理 內容安全 產品安全 騰訊電腦管家 騰訊手機管家 騰訊安全、騰訊云安全 安全實驗室（玄武、科恩等）法務、政務、合規 安全生命周期 安全技術培訓 安全意識培訓 安全規范 安全技術培訓 安全意識培訓 安全規范 代碼審計 滲透測試 應急響應執行 人工巡查 漏洞掃描系統 安全情報系統 安全需求建立 質量標準建立 風險識別 提供安全開發工具 安全開發模范和最佳實踐 安全API 應急響應方案 上線前集成環境安全檢查 安全運維規范 培訓/training 設計/design 驗證/verif

3、ication 響應/response 要求/requirements 實施/implementation 發布/release 安全體系不安全產品構成 1 2 3 4 5 網絡安全 宙斯盾 DNS劫持監控 應用安全 洞犀 金剛 門神 主機安全 安全架構 洋蔥 鐵將軍 數據安全 安全合規 安全質量 多維提升 前沿研究 威脅情報 藍軍演練 一個問題 建立了安全團隊，建設了安全規范、安全系統、安全流程 那么，現在足夠 了嗎？如何檢驗防護能力 實戰是檢驗防護能力的唯一標準“Talk is Cheap，Show me the Shell”滲透測試&紅藍對抗 完全仿真模擬黑客攻擊 紅藍對抗是滲透測試的升

4、級版本 實戰：關注安全風險 也關注防御體系的缺陷 紅藍對抗實戰：紅藍對抗實戰 藍軍建設之路 丌局限于傳統的系統藍軍，騰訊藍軍的大藍軍建設之路：獨立團隊 關注安全風險及防護能力 整合多個領域（系統、網絡、業務）攻防能力 依托TSRC引入外部安全與家的視角和手法 提前布局新領域研究輸出能力 騰訊藍軍 系統 滲透測試 漏洞挖掘 APT 業務 薅羊毛 刷量 物聯網 AIoT 竊聽/劫持 網絡 DDoS 鏈路劫持 TSRC 白帽子 眾測 支援 情報 技術復盤 漏洞研究 武器庫研發 系統安全藍軍 傳統的 紅藍軍 網絡攻防對抗 網絡攻擊藍軍 模擬各類流量型、資源消耗型DDoS攻擊 檢驗DDoS防護能力 業務

5、安全藍軍 業務安全藍軍 物聯網&硬件設備藍軍 基于白帽子眾測的泛藍軍：以局外人的視角幫劣發現實際安全風險 新技術預研：Tencent Blade Team 藍軍行勱一例：智能樓宇安全測試 夜半十二點 藍軍出動無人機掛載無線信號發射器 直飛36樓 漏洞研究團隊發現智能設備協議漏洞，制作攻擊測試工具 攻擊分隊制定攻擊計劃 攻擊分隊實施攻擊計劃 復盤&優化策略 藍軍成果 1 1 2 2 3 3 4 4 內部安全防護能力檢驗不產品風險收斂 能力輸出/產品輸出 支持騰訊云金融大客戶HW行勱 支持騰訊云政企大客戶紅藍對抗 支持騰訊云電商大客戶DDoS攻防演練 區塊鏈安全標準 相關傳播和報道 相關傳播 和報道 推勱生態，合作共贏 推勱國內企業自建SRC 重視安全研究者*來源：0 xsafe.org 推勱生態，合作共贏 xSRC：SaaS版本/開源版本 推勱生態，合作共贏 未來可能的合作機會