YDclub的博客

聚焦云上攻防，推动生态建设

云原生容器网络策略管理方案~

腾讯云数据安全中台保护方案获“首届全国商用密码应用优秀案例”

云IAM服务作为云平台中进行身份验证与访问管理的一个重要功能，通过了解云IAM服务的工作原理、功能特征以及如何正确使用IAM进行配置，对保障云上安全尤为重要。通过上文分析可见，虽然IAM服务自身拥有如上的众多优势，可以很好支持云上身份与访问管理，但是由于没有遵循安全规范，错误的使用IAM功能，依然会为云上资产带来风险。未来我们将持续关注云IAM安全问题，并给出对应的安全建议与解决方案。...

2022云原生产业大会上，腾讯安全云原生安全托管服务（MSS）获得了由云原生产业联盟颁发的“2022年度云原生安全守护先锋--云原生安全技术创新”奖。

共同推进云原生安全生态建设～

腾讯云聚焦云原生安全研究，打造安全的产业云

企业如何建构自身云原生安全防护能力？

随着产业数字化发展进入深水区,网络的边界变得难以界定，数据分析如何应用于网络安全？随着云原生应用普及并开始承载企业核心生产系统，企业如何建构自身云原生安全防护能力？网络安全行业的机遇与挑战潜藏何处？未来发展将去往何方？腾讯安全云鼎实验室「安全大讲堂」邀请到北京派网软件CEO孙朝晖、中国信息通信研究院云大所云计算部副主任陈屹力、数世咨询创始人兼总经理李少鹏、北京赛博英杰科技有限公司董事长谭晓生（按分享顺序排序）四位资深安全专家，分别从网络大数据分析、云原生安全、网络安全产业发展和网络安全行业的商业化四

唯一同时拿下国家级信息安全服务资质“双认证”的云厂商~

前言云服务器（Cloud Virtual Machine，CVM）是一种较为常见的云服务，为用户提供安全可靠以及高效的计算服务。用户可以灵活的扩展以及缩减计算资源，以适应变化的业务需求。使用云服务器可以极大降低用户的软硬件采购成本以及IT 运维成本。由于云服务器中承载着用户的业务以及数据，其安全性尤为重要而云服务器的风险往往来自于两方面：云厂商平台侧的风险与用户在使用云服务器时的风险。与用户侧风险相比，平台侧的漏洞往往带来更广泛的影响，例如于2018 披露的AWS Launching EC2s di

12月28日，由中国信息通信研究院（以下简称“中国信通院”）主办，云计算开源产业联盟承办，中国通信标准化协会云计算标准和开源推进委员会支持的“2021可信云安全论坛”在北京顺利举办。腾讯云作为国内最早进行云原生安全技术研究与应用实践的单位之一受邀参加本次论坛。为了引导云安全领域产品的发展方向，中国信通院于2021年10月至12月开展了“云安全守卫者计划”优秀案例征集活动，选拔出一批成熟度高、具有示范作用的优秀云安全案例。经过严格的选拔评审，“腾讯云容器安全防护技术”成功获得云安全守卫者计划优秀案例，

腾讯云容器安全防护技术再获认可~

11月4日， 2021腾讯数字生态大会·云安全专场于武汉光谷科技会展中心召开，大会以“数实融合，安全共赢”为主题，探索讨论在产业数字化信息高速发展下，腾讯安全如何为企业提供全栈式安全防护。会上，腾讯云安全总经理李滨做了题为“云数据安全和隐私保护体系建设实践”的演讲，对如何做到数据安全保障和隐私保护方面进行了精彩的解读与分享。（腾讯云安全总经理李滨）关于数据安全领域的形势，李滨分享道：当今世界处于百年未有之大变局，技术、产业都处于变革和更新时代，全球范围内的政治经济形势也处于急剧变化之中，数字领域

云原生充分利用云计算的弹性、敏捷、资源池化和服务化等特性，解决业务在开发、集成、分发和运行等整个生命周期中遇到的问题，以其高效稳定、快速响应等特点极大的释放了云计算效能，成为企业数字业务应用创新的原动力，有效推动了国民经济的高质量发展。当前，腾讯云原生产品体系和架构已非常完善，涵盖了软件研发流程、计算资源、架构框架、数据存储和处理、安全等五大领域的多个场景。依托这些云原生产品，正在为不同行业、不同规模和不同发展阶段的数十万家客户提供云原生服务。（图1 腾讯云原生产品矩阵）一次次安全事件的曝光

11月4日，为期2天的腾讯数字生态大会在湖北武汉落下帷幕。40+行业专场深度解读，100+前沿科技成果亮相，150+创新服务全景呈现，300+大咖嘉宾思维碰撞……腾讯数字生态大会汇聚了全球智慧洞察产业新机遇，描绘云、AI、大数据等关键技术发展蓝图，展示腾讯最新研究成果及战略规划。大会上，腾讯安全云鼎实验室提出的云安全相关议题成为行业共同关注的焦点。随着云计算的发展，云上安全成为各行业绕不开的重要议题。企业在当下数字经济环境中想获得高质量发展、提高效能，数字化是必经之路，而“上云”是其中的关键步骤和大

日前，第四届中国金融科技产业峰会在苏州国际博览中心开幕。本届大会由中国信息通信研究院与苏州市金融科技协会联合举办，大会致力于汇聚金融科技最新成果，展示科技赋能金融业数字化升级的前沿风貌，搭建金融与科技跨领域交流平台。会上，腾讯安全云鼎实验室数据安全总监姬生利就金融领域的密码安全问题进行了主题报告。众所周知，金融是产生和积累数据量最大、数据类型最丰富的领域之一。当前数据作为一种生产要素，作用不断凸显，但与此同时金融领域的数据安全与个人信息保护也面临新的挑战。根据《中国银行保险报》与亚信网络安全产业技术

俗话说“法网恢恢疏而不漏”，但法网似乎与如今的线上犯罪网络难以交织。作为密码学技术无心插柳的果实，勒索软件近年横扫互联网，使得下至小白网民上至各国政府无不闻风丧胆。在对受害者系统和主机入侵之后，勒索软件全盘扫描并加密特定类型的文件，对勒索受害者的筹码，也从给这些文件“解密”，发展为不给钱就“泄密”，倒是很符合昨天万圣节“不给糖就捣乱”的主题。原本只能通过写破坏性病毒“炫技”的黑客们，在这种浪潮下找到了变现的途径，一个必要的契机，是加密货币的流通。以比特币为代表，加密货币原生具备匿名性，通俗说就是即便交易

背景随着云计算时代的快速发展，数据爆炸式增长的同时也让数据安全和隐私保护问题变得更加复杂以及困难，数据安全问题日益凸显，并成为企业上云发展的最大威胁。企业数据安全通常面临数据治理困难，数据安全实施复杂、成本高等问题。再者，国家连续出台一系列关于数据安全的法律法规，包括《网络安全法》、《密码法》、《数据安全法》和《个人信息保护法》，在法律层面为数据安全和个人隐私保护提供法律保障。基于此，个人信息保护和个人隐私保护已成为广大人民群众最关心的利益问题。2021年11月1日起《中华人民共和国个人信息保护法》

国密解决方案专场推介会由腾讯云DNSPod牵头，联合腾讯安全云鼎实验室的筹办的「国密解决方案专场推介会」四城联动之成都站，于10月22日在成都成功举办。本系列专场推介会，在华南、华东、华北、华西各区域设点定向推介：深圳站（5月13日）、上海站（5月27日）、北京站（7月29日）、成都站（10月22日）圆满落幕。腾讯云DNSPod总经理吴洪声、腾讯云DNSPod产品总监赵九州、腾讯云DNSPod高级产品经理赵晶、腾讯安全云鼎实验室数据安全产品专家刘海洋、亚洲诚信项目总监袁国成、炼石网络产品总监刘晓光等

一、背景C/C++开发的应用程序，长久以来存在内存破坏类的安全问题。当攻击者掌握了目标程序的漏洞后，就可以开发漏洞利用程序劫持目标程序的控制流。早期的漏洞利用是采用代码注入的方式，通过在缓冲区置入一段代码（shellcode），然后控制pc寄存器跳入到缓冲执行这段代码。为了阻止此类攻击，后来计算机系统部署了DEP(Data Execution Prevention)机制，通过配置内存页属性，将缓冲区设置成不可执行，起到了很好的防御效果。为了绕过DEP，攻击者探索出了代码重用技术，在目标程序中搜索出一些攻

为了应对更为复杂环境下的网络安全需求，2021年10月22日，腾讯安全发布了安全托管服务MSS，依托腾讯20多年的攻防实战经验和行业领先的情报感知能力，通过自研服务工作流编排系统，实现了服务过程的标准化、自动化和可视化，借助这些能力，可为用户提供7*24小时全天候监控分析服务和即时的应急响应能力。腾讯安全副总裁、腾讯安全云鼎实验室负责人 董志强发布会上，腾讯安全云鼎实验室负责人董志强带来了《网络安全建设需要从产品驱动向服务驱动转变》主题分享。以下为分享内容实录：大家好，我是腾讯的董志强，非常

前言对象存储是云厂商提供的一种用来存储海量文件的分布式存储服务，可用于大规模存储非结构化数据。因为其具有高扩展性、低成本、可靠安全等优点，所以成为许多IT产业向云原生的开发和部署模式转变过程中不可或缺的一部分。随着云上业务的蓬勃发展，作为云原生的一项重要能力，对象存储服务同样也面临着一系列的安全挑战。纵观近些年来的云安全漏洞，与对象存储服务相关的数据泄露事件比比皆是，以2017美国国防部承包商数据泄露为例：“Booz Allen Hamilton公司（提供情报与防御顾问服务）在使用亚马逊S3服务

9月26日，由腾讯安全、腾讯安全云鼎实验室、陕西省计算机学会联合主办的2021首届-西部云安全峰会在西安顺利召开。本次峰会以“聚焦云上安全，共育产业人才”为主题，汇聚了来自产学研200多位行业领袖、专家学者、新锐精英，围绕云安全领域的趋势洞察、前沿技术、实践应用、产业生态发展等议题展开深入探讨，为云安全稳健发展把脉，打造网络安全生态发展西部新标杆。产学研论道西部云安全发展，发布“西部云安全优才计划”当前，以大数据、物联网、5G、云计算等为代表的新一代信息技术推动着新一轮科技革命和产业变革，也在改

倒计时1天，万众期待的2021首届-西部云安全峰会即将隆重开幕。在预告了首个西部云安全人才培养计划和首次亮相的云安全攻防矩阵之后，数十位专家大咖集结完毕，专题议程已为你提前锁定！在本届峰会上，除了带来备受行业关注的技术成果展示外，来自高校、产业协会、企业等专家学者代表将展开巅峰对话，从安全标准、前沿技术、开发实践等不同维度拆解云安全最新趋势，全方位、多角度分享云安全前沿洞察，为所有安全从业者和网络安全新生势力带来一场云安全盛宴。峰会还设置了腾讯安全、绿盟科技、四叶草等企业的主题分享：云原生安全体

步履不停的数字时代，推动着各行各业加快拥抱数字化转型，越来越多的企业利用上云的形式部署以新一代信息技术为核心的基础设施建设。据Gartner数据预测，到2025 年，全球企业云技术使用率将达100%，企业传统数据中心将关闭90%。云技术的全面应用，对云安全建设提出了更高要求。在此背景下，由西安市委网信办指导，腾讯安全、腾讯安全云鼎实验室、陕西省计算机学会联合主办的2021首届-西部云安全峰会将于9月26日在西安召开，本次峰会将以“聚焦云上安全、共育产业人才”为主题，与来自政府、高校、企业、产业协会的行业

上云千万条，安全第一条。在企业上云这一不可阻挡的数字化转型趋势下，把数据这一关键生产要素放在云上，让传统企业管理者心怀忐忑，包括数据泄露、数据丢失以及隐私数据利用和泄露等在内的数据安全威胁，已成为当前上云企业必须不容忽视的攻防挑战。企业上云不仅要应对传统网络架构中存有的DDoS、入侵、病毒等常态问题，还要高度重视技术架构中虚拟机逃逸、资源滥用、横向穿透等新安全问题。但随着这几年企业应用上云的试水，以及安全厂商防攻技术的“打怪”升级，逐渐让更多的企业管理者相信安全前置、知攻知防，数据会更安全。腾讯安全

还有三天，首届西部云安全峰会就要在西安和大家见面了！作为西安地区首个聚焦云安全技术交流的平台，本次大会不仅汇聚了西安电子科技大学、西安交大等多所高校加入，还将重磅发布融合产学研各方力量的人才培养计划，为西安及西部地区积蓄云安全人才池，为西部数字经济发展保驾护航。一直以来，巨大的人才供需缺口都是安全行业面临的痛点问题。据相关专业机构统计，目前我国网络安全人才缺口巨大，达150万之多，预计2027年缺口将进一步扩大至300万。而对于新兴的云安全领域而言，人才稀缺问题更加严重。如何培养适应当下产业需求和安

背景西北重镇、十三朝古都、古丝绸之路发源地……关于西安的文化标签数不胜数，而当神秘的文化古都遇上前沿的云上技术，会碰撞出怎样的火花？9月26日，腾讯安全云鼎实验室将联合西安本地六所高校带来一场云上安全的观点论道。届时，将汇聚高校学者、CXO、安全专家共同解读云上安全最新趋势，揭秘备受行业关注的云原生攻防成果，分享集云原生安全、云上黑产攻防、云端加密、云端数据防护等众多前沿干货实战案例，并发布西部云安全人才培养计划。无论你是网络安全从业者，还是即将投身网络安全领域的高校大学生，都能在这次峰会中码住

2019年，据美联社报道，一名间谍利用AI生成的个人资料和图片，在全球知名的职场社交平台LinkedIn上欺骗联系人，包括政治专家和政府内部人员[1][2]。这位30多岁的女性名叫凯蒂•琼斯，拥有一份顶级智库的工作，虽然她的关系网规模不大，只有52个联系人，但却都有着举足轻重的影响力，比如：一位副助理国务卿、一位参议员的高级助理、以及正在考虑谋求美联储一席之地的经济学家保罗•温弗里。然而，经过许多相关人员和专家的调查采访，美联社证实了凯蒂•琼斯其实并不存在，她的人脸照片似乎是由一种典型的GA

9月8号，由中新广州知识城管理委员会主办的“中新广州知识城落实国务院总规批复一周年重大项目集中动工签约活动”在广州市黄埔区举行，会上进行了商用密码系列项目签约仪式，腾讯云鼎实验室作为主要参与单位出席活动并参与签约。这次签约是黄埔区揭牌“广东省密码应用和创新示范基地”以来的又一重大进展。图为腾讯安全云鼎实验室负责人董志强（左四）出席签约仪式去年，国家重点扶持的密码应用创新项目“广东省密码应用和创新示范基地”在黄埔区、广州开发区揭牌，并推出全国首个行政区级密码产业政策，旨在推动密码产业集聚、密码产业

据多家研究机构判断，未来3-5年内，中国企业服务市场规模有望达到25-100万亿。属于中国企业服务玩家的春天，已经开始。9月2日，“WISE2021企业服务生态峰会”在上海召开，本次峰会以“企服新浪潮”为主题，与企服从业者和它们的合作伙伴们一起，见证企服市场的崛起与爆发。会上，腾讯云安全总经理李滨做了题为“腾讯云数据安全与隐私保护探索与实践”的演讲，对新时代下如何做到数据安全保障和隐私保护方面进行了精彩的解读与分享。（腾讯云安全总经理李滨)以下为李滨演讲实录：大家好！我是来自腾讯云安全的

1997年，埃及哈特谢普苏特神庙前，一张恐怖组织持枪扫射游客后的新闻图片被爆造假；2006年，以色列空袭黎巴嫩首都贝鲁特，一张浓烟笼罩城市的照片被证实是伪造的；2008年，一张伊朗试射多枚远程导弹的新闻照片被怀疑是人工PS产物；2019年，诺奖得主格雷格•塞门扎的29篇论文被质疑多张图片有篡改痕迹；2020年，海外社交媒体上的一张《被火烧焦的澳大利亚》图片被指存在伪造嫌疑；……近年来频发的图片造假事件，使数字影像的真实性和完整性不断受到挑战，所谓的“眼见为实”变得越来越不可信，严重影

2021年6月29日，深圳市通过了《深圳经济特区数据条例》，自2022年1月1日起施行；2021年7月10日，国家互联网信息办公室发布关于《网络安全审查办法（修订草案征求意见稿）》的通知，数据安全纳入网络安全审查；2021年8月12日，工信部发布《关于加强智能网联汽车生产企业及产品准入管理的意见》；2021年8月20日，《个人信息保护法》正式颁布，并于2021年11月1日开始正式实施。如此密集的法规发布，可见数据安全已经成为所有企业和机构需要直面的问题。今日起，《数据安全法》将正式实施，《数

现如今，影像篡改伪造已经越来越常见，一些恶意的行为所带来的安全问题也越来越严重，如何有效地鉴别影像真伪成为了一个迫切需要解决的问题。鉴于此，云鼎实验室近年来一直持续在该领域上投入，协助腾讯慧眼产品提升了伪造图像识别的能力。现企划了影像篡改识别系列文章，为大家解惑其中的技术盲点。2018 年，一段川普鼓励比利时退出巴黎气候协议的视频[1][2]在互联网上炸开了锅。视频中，他直视摄像机说到：“亲爱的比利时人民，这是一件大事。如你所知，我有勇气退出巴黎气候协议，你也应该这么做。”此言论一出，立刻在国际

本文翻译整理自：https://rhinosecuritylabs.com/cloud-security/kubelet-tls-bootstrap-privilege-escalation/背景近些年针对kubernetes的攻击呈现愈演愈烈之势，一旦攻击者在kubernetes集群中站稳脚跟就会尝试渗透集群涉及的所有容器，尤其是针对访问控制和隔离做的不够好的集群受到的损害也会越大。例如由unit 42研究人员检测到的TeamTNT组织的恶意软件Siloscape就是利用了泄露的AWS凭证或错误配

前言近些年来，越来越多的IT产业正在向云原生的开发和部署模式转变，这些模式的转变也带来了一些全新的安全挑战。对象存储作为云原生的一项重要功能，同样面临着一些列安全挑战。但在对象存储所导致的安全问题中，绝大部分是由于用户使用此功能时错误的配置导致的。据统计，由于缺乏经验或人为错误导致的存储桶错误配置所造成的安全问题占所有云安全漏洞的16%。以2017美国国防部承包商数据泄露为例：此次数据泄露事件是由于Booz Allen Hamilton公司（提供情报与防御顾问服务）在使用亚马逊S3服务器存储政府

7月27日，由中国信通院、中国通信标准化协会联合主办的2021年可信云大会在京召开。作为云计算领域最具权威性的行业会议，本年度的可信云大会发布了数十项云计算领域的评估结果以及一系列行业标准。其中，围绕研发运营安全主题，中国信通院联合十余家云计算、安全厂商制定了《面向云计算的研发运营安全工具能力要求 第2部分：静态应用程序安全测试工具》、《面向云计算的研发运营安全工具能力要求 第3部分：交互式应用程序安全测试工具》系列行业标准，在本次大会上正式发布。腾讯安全是标准起草单位之一。01聚焦软件安全

继摘得数博会领先科技成果大奖，多项产品、解决方案入选《2021网信自主创新成果推荐手册》之后，腾讯安全凭借在安全领域领先的技术积累和丰富的行业实践再次获得权威认可！7月15日，由中国信息通信研究院主办的“2021中国互联网大会数字化治理论坛”在国家会议中心举办。大会公布了“2021企业数字化治理先锋案例”奖项入围结果，腾讯云数据安全中台凭借领先的数据治理技术、完整的云数据安全治理解决方案以及丰富的行业落地案例成功入选。“2021企业数字化治理先锋实践案例”评选是中国互联网协会信息技术(IT)风险治理

随着企业上云步伐的加快，以容器、微服务及动态编排为代表的云原生技术为企业的业务创新带来了强大的推动力。然而，在容器应用环境中，由于共享操作系统内核，容器仅为运行在宿主机上的若干进程，其安全性特别是隔离性与传统虚拟机相比存在一定的差距。在应用容器和K8S过程中，近几年陆续爆出大量的基于容器平台的安全隐患，如何保障容器安全，已成为企业最关心的问题。7月9日，腾讯安全正式发布腾讯云容器安全服务产品TCSS（Tencent Container Security Service），腾讯云容器安全服务为企业提供容器