腾讯云发布安全白皮书：聚焦“互联网+”时代云生态

＂鹅厂网事＂由深圳市腾讯计算机系统有限公司技术工程事业群网络平台部运营，我们希望与业界各位志同道合的伙伴交流切磋最新的网络、服务器行业动态信息，同时分享腾讯在网络与服务器领域，规划、运营、研发、服务等层面的实战干货，期待与您的共同成长。网络平台部以构建敏捷、弹性、低成本的业界领先海量互联网云计算服务平台，为支撑腾讯公司业务持续发展，为业务建立竞争优势、构建行业健康生态而持续贡献价值！

日前，腾讯云首次发布了《腾讯云安全白皮书》（以下简称“白皮书”），白皮书阐述了当下的云安全环境，并展望了未来云安全的发展趋势，其中，互联网+、云生态是高频词。

进入互联网+时代，网络安全、信息安全已经上升为国家战略的重要组成部分，而近年来数据泄密等安全事件频发，保证客户信息安全变得越来越重要。腾讯云认为，作为互联网+的重要一环，云计算可以提供高于本地数据中心的高可用性、数据安全、隐私保护以及异地数据灾备服务，确保互联网服务的运营和数据安全。

四大措施构筑腾讯云安全生态体系

白皮书指出，安全的是腾讯云的基因，腾讯云非常关注客户对安全性的保障要求，这也是腾讯云技术及运营团队投入精力最多的地方，其中依靠安全总体策略、云计算行业安全认证与合规、安全构架与安全服务，以及安全审计与管理四项措施，腾讯云已经形成了完整的安全保障生态体系。其中，安全性起到关键作用，腾讯云平台架构与安全服务成为整个体系的内核。

图：腾讯云安全保障生态体系，4种颜色代表4大措施

在平台架构方面，腾讯云安全基于雄厚的技术底层支撑，已经建立“两层三面”的体系化架构，即用户层、平台层，以及用户、产品和支撑界面，实现多地调度、分权运维、高性能、高可用、高防御能力。腾讯云在处理各种互联网安全问题过程中积累的技术和经验，充分融入到云安全服务产品，为客户提供安全服务保障网站、业务安全。

图：腾讯云安全“两层三面”架构

全方位开放腾讯集团安全能力

白皮书还详细介绍了腾讯云的安全产品和服务。腾讯各项业务承受风险之高属于行业之最，却鲜有重大安全事件发生，这足以证明腾讯的安全防护能力已经达到行业领先水平。而腾讯云作为腾讯技术和能力开放的重要窗口，正在逐步将这些能力和经验开放给业界。目前，腾讯云安全可以提供包括DDoS防护、漏洞扫描、网站安全防护（WAF）、后门木马检测、DNS劫持、暴力破解告警、异地登陆提醒等服务。

图：腾讯云的基础安全防护

针对目前最受关注的大流量DDoS攻击，腾讯云安全可以提供包括默认DDoS防护、DDoS高防服务、大禹分布式防护三种解决方案。默认的DDoS防护主要采取“集中检测+多集防护”的解决方案，通过在云机房的出口部署自研的检测设备群——宙斯盾防护系统，通过这一腾讯公司级别的DDoS攻击解决方案，位业务安全、稳定、健康运营保驾护航；DDoS高防服务则是默认的DDoS防护方案的升级版，腾讯云将机房带宽和宙斯盾的防护能力提供到数百G；在业界享受广泛声誉的大禹系统是腾讯云自研的一整套分布式DDoS防护方案，可以为HTTP类业务和移动端业务客户提供T级DDoS防护服务。

图：腾讯云安全运营数据报告（2015年上半年）

白皮书首次披露了腾讯云2015年上半年安全运营数据报告，报告显示，腾讯云在今年上半年经受住了最严峻的DDoS攻击考验，有数千台主机遭受外部黑客超过1万次DDoS攻击，攻击在5月份达到一个峰值，次数多达2600余次。报告同时指出，腾讯云大禹系统成功防御外部攻击流量近300G。

针对黑客利用网站和服务器漏洞，通过窃取账号、暴力破解等方式绕过访问控制飞叉获得服务器权限、执行命令、查看文件甚至盗取数据的恶意行为，腾讯云提供专业的入侵防护服务——腾讯云安全Web漏洞防御系统-WAF。此外，腾讯云业务安全防御方案——天御系统也已经开放，可以为客户提供活动防刷、防恶意注册、防恶意登陆、验证码、消息过滤、关键词检测、文件检测功能和服务。 显示，自开放以来，腾讯云创造了近两千日稳定运维的记录。为互联网、大型网游、游戏、高校、初创公司等诸多客户，提供了坚实的安全防护保障。其中，服务器的可用性达到了99.9%，数据库的可用性达到了99.999%。

可以说，腾讯云全面继承了腾讯的安全能力，在技术、安全、防护、管理等方面获得全方位支撑，为客户提供业界领先的安全服务，帮助客户免受各种攻击行为的干扰和影响，专注于自身业务的创新和发展，极大地降低了在基础环境安全和业务安全上的投入和成本。

可信的行业云认证和安全合规

行业安全认证及资质是白皮书主要提到的另一部分内容。云计算行业安全认证和行业合规是任何一家云服务提供商正式运营的必备条件，也是提供云服务的资质保障。腾讯云希望建立一套完善的云服务市场可信体系，助力云计算产业在国内健康、持续的发展，加速云服务第三方市场的规范进程，有效提升云服务品质，促使腾讯云生态链朝着更健康的方向发展。

第一，腾讯云自身的行业安全认证。据白皮书披露，腾讯云是国内首家获得ISO27001:2013认证的云服务提供商，通过了工信部可信云认证，获得资质建立云服务提供商的评估体系，为客户选择安全、可信的云服务提供商提供支持。此外，腾讯云还拿到公安部颁发的安全等保三级认证。这表明，腾讯云在计算技术网络系统、云数据库系统及云主机服务系统三套核心系统上，从技术实力、安全性能、信息及业务影响力三个层面均达到企业范围的最高认证。

第二，腾讯云作为认证方，如何为客户提供安全认证。白皮书称，腾讯云通过审核客户安全状况，从云安全服务开通审计、Web内容安全审计、Web漏洞检测、主机基线检测和APP刷量审计六个功能分别进行检测，符合腾讯云安全要求之后对客户颁发权威的腾讯云认证，并提供腾讯云安全认证展示的服务，让客户的业务能够获得腾讯平台亿万用户的认可。

在合规性层面，腾讯云按照国家有关信息安全法律、法规规定，搭建了健全的内部安全保障制度，同时遵守第三方合法权益，有力地保障了腾讯云自身及第三方的合法权益。

此外，腾讯云还创建了一套完善的业务保障流程、可靠的物理环境、全面的人员和供应商管理，从内部、从源头保证了腾讯云架构和腾讯云产品、服务的安全运营。在云服务生命周期每个阶段均实施了安全风险控制程序，从需求设计、到系统上线、再到系统运营每一个环节都融入了“安全是基石”的理念。

推动“互联网+”时代安全云生态建设

白皮书阐述了云计算在“互联网+”时代的价值，并展现了腾讯云在“互联网+”时代构建云安全生态圈的决心。

作为互联网+时代的领跑者，腾讯通过全面开放其基础服务，以云的方式给产业界和企业带来资源、服务和硬件三方面的连接能力，包括计算、存储、网络、CDN以及安全防护能力。目前，腾讯云安全防护服务已经渗透到游戏、金融、电商、O2O、旅游等行业，为包括京东、土巴兔、聚美、艺龙、锤子科技在内的一大批企业提供安全保障。

以近期安全防护服务为例，分布式DDoS防御系统大禹为锤子科技解决了燃眉之急。8月25日，锤子科技坚果手机发布会之前网站遭遇DDoS攻击，受数十G流量持续攻击影响，致使发布会延迟近一个小时。接入大禹系统后，大禹CDN、宙斯盾和大禹分布式流量清洗服务保障了坚果手机发布会及第一轮在线下单的顺利进行。9分钟之内，锤子科技官网首批开放购买的坚果手机全部售罄。

业务安全防护层面，天御系统同样展现了不俗价值。8月，聚美优品发起“免费送”零元购活动回馈粉丝。丰厚的奖励吸引大批量刷单黑产人员关注，一度导致真实用户无法正常参与活动。聚美优品接入了腾讯云专门为其定制的天御系统实时防刷服务，在注册及活动中及时识别并清理恶意账号，最大程度保护真实用户和粉丝的利益，打造了电商网站对抗“羊毛党”全新的安全解决方案。

图：搭建开放的腾讯云生态

腾讯云在白皮书中提到，实现云服务的价值，搭建完整开放的生态圈意义重大。可预见的未来，腾讯云将通过技术耦合更多的互联网开发者，构建一个涉及用户引入、商业模式、营销渠道等有利因素于一体的完整开放的生态圈，打造中国第一大云生态圈，全方位服务于“互联网+”战略，连接上百万的企业和创业者，推动全社会的升级转型。

如欲了解更多白皮书内容，可以扫描下文二维码或点击“阅读全文”

注1：凡注明来自“鹅厂网事”的文字和图片等作品，版权均属于“深圳市腾讯计算机系统有限公司”所有，未经官方授权，不得使用，如有违反，一经查实，将保留追究权利；

注2：本文图片部分来至互联网，如涉及相关版权问题，请联系judithliu@tencent.com。