5月6-8 日，QCon 全球软件开发大会（北京站）2019在北京国际会议中心举办，100+国内外资深技术大咖带来涉及 26+热门领域的重磅议题分享。针对企业及用户普遍关注的云上安全问题，QCon携手腾讯安全云鼎实验室联合策划“云安全攻与防”专题论坛，邀请业内经验丰富的安全专家解析企业用云的安全痛点。

腾讯安全云鼎实验室负责人董志强（Killer）担任本次专题的出品人，他表示，云鼎实验室一直以来都关注云安全体系建设，专注云上网络环境的攻防研究和安全运营，希望通过与QCon共同策划本次专场议题，加强安全社区联动，加快安全研究的落地实践，从而推动云上安全生态的构建。

首个议题瞄准下当下炙手可热的云上数据泄露。凌晨网络科技CEO姚威认为，云安全的“现实问题”在于要认识到“角色”的重要性，云厂商扮演什么角色？云用户扮演什么角色？云用户自身安全意识尤为重要。诸如Hadoop、MongoDB、ElasticSearch的未授权访问，未授权数据下载这些问题是因为用了云才出现的问题吗？实际“是因为谁用了云服务，而不是用了谁的云服务”。

（凌晨网络科技CEO 姚威）

那么又该如何构建云安全体系？尤其是针对数量众多的中小型互联网公司？Rokid信息安全总监白嘎力认为，企业的安全建设要遵循“1234”的理念：整体防护是中心；攻防平衡原则和自主可控原则是2个基本点；还要抢夺网络边界、内部纵深防御体系、取证溯源3个重要高地；站在攻击者一方思考4个假设——假设系统一定有未发现的漏洞、假设系统一定有已发现但未修复的漏洞、假设系统已被渗透、假设员工并不可靠。

（Rokid信息安全总监白嘎力）

腾讯高级工程师喻峰从流窜在网络世界中的恶意流量切入，揭开了这个庞大黑灰产团伙的隐秘。数据显示，2018年全球互联网中20.4%的流量是由机器恶意制造的，给各种互联网企业带来了巨额损失。喻峰表示，目前网络黑产已经形成了完善的产业链，主要分为网络攻击和业务攻击两类。安全从业人员要合理运用“公告-分析-捕获”的云安全研究三板斧，联动云安全的各方力量，不仅对已知的恶意流量进行公告和分析，更要主动捕获恶意流量，化被动防御为主动防御，才能切实保障企业的网络和业务安全。

（腾讯高级工程师 喻峰）

流量合理地加以利用，也将成为企业守护安全防线的一大利器。长亭科技产品技术总监李昌志表示，虽然面对变幻多端、错综复杂的业务没有省力的解决方案，但依靠 Web 网关集成实时流量分析框架，通过简单的分析策略就可以解决众多复杂的业务安全难题，不失为一条捷径。当然，要保证流量分析框架的接口足够通用。

（长亭科技产品技术总监李昌志）

云安全正在随着上云企业的增多而受到了而受到来越多的关注，但云安全的涉及领域庞杂，需要安全研究人员持续深入挖掘具体场景，同时需要企业管理者站在全局角度从战略角度规划，这无疑需要安全社区不断开放、合作、共享，加强安全社区的技术输出能力。腾讯安全云鼎实验室在策划本次专场议题之外，还将携手极棒发起首个云安全挑战赛，在即将到来的上海1024GeekPwn上，邀请全球安全从业者通过实战的方式，发现云计算中存在的漏洞，驱动云安全研究升级。

除此之外，腾讯安全还发起了CSS互联网安全领袖峰会，自2015年举办以来，共吸引来自互联网金融、智能汽车、物联网、智能硬件等多个热门产业领域超过500家的顶尖企业参与，致力于聚合互联网产业领域与网络安全行业的力量，更好地守护产业互联网的安全生态。