百度技术沙龙第85期 智能云时代，谁来守护我们的安全？

当下，人工智能（AI）、大数据（Big Data）与云计算（Cloud Computing）三者正进行深度融合，ABC 智能云的应用将让未来变得更加便捷，但在智能化和丰富的应用场景背后暴露出了越来越多的网络安全风险和问题。

 

6月15日，由百度开发者中心主主办的百度技术沙龙在京如期召开，本次沙龙围绕“智能云时代，谁来守护我们的安全”为主题，邀请了百度的技术专家分享关于如何提升云服务器安全性能、基于RASP技术的开源应用安全防护框架设计结构、AIOT和隐私安全等话题，从技术角度解读百度如何为企业和个人提供强大的安全保障能力。

 

 

本次技术沙龙异常火爆，在开场前半小时已吸引近百人到场参加，一众开发者表示，这绝对是一场干货满满、不可错过的技术沙龙。下面我们将详细解读本次沙龙的四大议题，为大家快速盘点重要内容，即使你没去现场，也能立刻马上get最全干货。

 

◆议题一 百度智能云主机安全防护系统的设计与实现

 

活动开始，来自百度智能云百度智能云的资深研发工程师为大家介绍了 HOSTEYE 百度智能云主机安全防护系统。老师从主机安全面临的问题出发，分享了百度智能云主机安全系统在设计与实现过程中遇到的技术问题及解决方案，包括如何实现对系统资源的动态控制，如何支持功能模块的弹性伸缩等。

 

 

很多企业上云的第一步是什么？是购买云主机，或者称为弹性计算资源。

 

但是，紧接而来的是不得不考虑的安全问题：密码被爆破，陌生人登陆主机怎么办？发现机器被种了挖矿软件，没收获比特币但 CPU 被利用怎么办？装了很多软件，却无法识别这些软件是否有漏洞和风险……

 

针对此类问题，给出解决方案——HOSTEYE 百度智能云主机安全防护系统。

 

主机安全防护系统（HOSTEYE ）是百度智能云面向用户推出的专业云服务器安全客户端产品，能够针对云服务器提供登录审计、异地登录报警、暴力破解攻击拦截，木马后门检查等多种安全功能，提升云服务器安全性，降低被黑客入侵的可能性。

 

与传统主机入侵检测系统（HIDS）相比，该主机安全系统多了云端的概念，将更多的任务从客户端转移到云端，同时利用云端信息做更大量的、更复杂的信息处理；功能上不局限于入侵检测，还包括风险发现、合规检查以及与 WAF/IDS 等系统的联动。

 

那么作为百度智能云安全的守卫者，主机安全防护系统在设计中又遇到了哪些困难呢？

 

老师总结道，“首先是容量的问题，大家都知道百度云正在快速成长阶段，我们希望系统能够伴随百度云的成长稳定地支撑云上的业务，以 100+w 为系统容量目标；其次是客户的运行环境，我们希望可以支持客户一些功能性伸缩的需求，能够支持多种操作系统，包括 Windows/Linux 系统等；最后，我们希望客户端Agent是一个非常轻量级的客户端，不影响客户的业务，支持客户端的保活及更新，保证系统稳定。”

 

基于以上问题，百度智能云也给出了解决方案。

 

例如，为了解决容量问题，百度智能云采用了“事件驱动的高并发网络服务器 + 消息缓存队列 + 云端处理”模型。其中，消息经过加密从客户端采集到服务端，所以在服务端需要具备解密的过程。百度智能云将处理逻辑转移到云端，在确保消息有序的情况下利用消息队列实现云端逻辑处理。

 

同时，为了成为一个可伸缩的能力载体，百度智能云将客户端做功能的分层，设置统一的功能模块接口。利用控制模块和策略配置，对功能模块进行动态管理，实时完成功能伸缩。另外，为了更好地支持不同的运行环境，HOSTEYE 客户端以跨平台的代码实现，统一各个平台功能接口，提高代码复用率，保证不同平台下统一的客户体验。

 

在演讲最后，老师强调，伴随着 ABC 百度智能云的战略，百度智能云希望能够和广大开发者一起，建立一个开放、合作共赢的开发环境，将 HOSTEYE 建立一个成为一个能力越来越强大的主机安全能力平台。

 

◆议题二 基于RASP开源应用安全防护框架OpenRASP的部署实践

 

OpenRASP 是一个百度安全旗下的免费开源安全项目，全称是：Open­source Run­time Ap­pli­ca­tion Self-Pro­tec­tion 开源实时程序自保护系统。它隶属于百度 OAESE 智能终端安全生态联盟，是其中七大开放技术之一。

 

来自百度安全的资深研发工程师，OpenRASP开源项目负责人为大家详解了OpenRASP——基于 RASP 技术的开源应用安全框架。内容包括 RASP 技术在线上防护和DevSecOps中的应用，以及 OpenRASP 的设计思路及框架。

 

 

RASP是一种新型防护手段，原理是将防护引擎直接嵌入到应用内部。即使开发人员没有太多的安全经验，也可以将复杂的安全特性集成到应用服务器中。无论从产品设计，代码实现还是实际运行，它从本质上都不同于现有的安全措施。

 

以著名的 Apache Struts2 为例。Struts2 系列漏洞属于典型的未知漏洞。从 S2-001 到最新的 S2-057，它的特点是请求特征在不断变化，最终通过某种方式执行 OGNL 语句或者反序列化，接着获取系统权限。

 

RASP 防护引擎运行与应用内部，可以很好的解决这个问题。无论是何种漏洞，它的最终目的无非是: 执行系统命令、拖库等等。于是百度实现了这样的安全框架: 不依赖请求特征检测攻击，而是在应用执行上述关键操作时，执行一段自定义的逻辑检查是否存在异常。

 

这也是 RASP 技术的强大之处，WAF 只能看到请求信息，无法掌握应用内部具体的执行机制。如果请求经过编码或者其他形式的加密，WAF 就无法检测了，而 RASP 引擎依然可以在应用执行数据库查询或者系统调用时进行安全检测。

 

在分享中，百度安全根据实战经验总结了一下，RASP技术有如下三个好处:

• 几乎没有误报: 不依赖请求特征，失败的攻击无法触发检测点，所以误报较少
• 对抗未知漏洞: 可以识别异常的堆栈（比如反序列化），以及应用产生的异常（比如SQL语法错误）
• 给出漏洞详情: 获取详细漏洞堆栈，以及对应的源代码，降低修复和沟通成本

 

除此之外，为了跨越开发语言的障碍，OpenRASP 引入了 Google V8 引擎，实现了基于JavaScript的插件系统。这样的好处是，检测逻辑只需要开发一次，就可以在 Java、PHP、Go、Node、Python 等开发语言、服务器上直接运行。

 

目前，OpenRASP 项目 GitHub 上已经积累了 800 多颗星星并还在不断增长中；QQ技术讨论群的用户也接近900人，收到用户反馈千余次，帮助百度不断改善产品。

 

◆议题三AIoT终端安全防御——深度解读百度AIoT安全技术体系

 

技术破壁、消费升级，物联网工业正迎来 AIoT 新开场，但随着 AI 技术的不断发展，针对 AIoT设备的网络攻击态势也逐渐凸显，AIoT 信息安全问题不容忽视。

 

来自百度安全实验室主任架构师详解百度 AIoT 安全技术体系，揭示了 AI 技术以及 AIoT 设备所面临的安全风险，深度解读百度 AIoT 安全技术体系，分享百度通过创新性技术面对安全风险的经验心得。

 

 

近些年，随着 AI 发展，智能设备呈井喷式发展，为用户带来全新的智能服务体验。但与此同时，智能设备固件更新未进行完整性保护、模型数据窃取、高危漏洞修复率低、对抗样本攻击等问题也广泛存在，智能设备自身安全性能堪忧。

 

为应对智能终端安全问题，百度安全通过发挥威胁情报、大数据、深度学习三者合力支撑构成的技术优势，从评估、保障、响应三个关键维度入手，百度安全推出了百度云+管+端一体化AI安全解决方案，为智能终端设备提供从云端安全、数据传输到设备端安全的一体化安全防护，快速响应不断涌现的安全问题。

 

除此之外，作为一家以技术驱动为核心竞争力的公司，百度安全不仅在智能终端，在整个 AI 生态领域已经有了前瞻性布局，首创AI安全“七种武器”，实现云管端的全方位覆盖。具体包括 KARMA 系统自适应热修复技术、OpenRASP 下一代云端安全防护系统、MesaLock Linux内存安全操作系统、MesaLink TLS 下一代安全通信库、MesaTEE 下一代可信安全计算服务框架、AdvBox AI 模型攻防工具包、HugeGraph 大规模图数据库等。在分享中，老师也重点介绍了 KARMA、MesaTEE、MesaLink等。

 

KARMA 通过五大策略，最大限度地保证了系统安全，避免系统漏洞被黑客利用：从逻辑层阻断攻击，提升自适应性；使用内存安全语言编写安全补丁，防止补丁开发者失误导致系统崩溃；对待修补的内核进行语义聚类，并非只有二进制一致才施加修复，进一步提升自适应性和安全性；方案设计了修复分级策略，进一步提升方案的自适应性；生态共建，以开放、联合、协作的模式去合力修复漏洞，打击黑产。

 

MesaTEE为“函数即服务”（Function-as-a-Service，缩写FaaS）云计算模式提供革命性安全方案。除具有FaaS的灵活、经济等优点外，通过利用 Intel SGX 技术，云上数据代码的完整性和保密性得到了芯片级的安全保障，且允许用户远程对这些安全保护进行验证。同时 MesaTEE 应用了百度安全实验室的 HMS 内存安全技术，兼具内存安全带来的不可绕过性。

 

MesaLink，在语言层面提供内存安全保障，算法层面提供后量子密码对抗能力。这就使得网络传输可以避免 OpenSSL “心脏流血”等高危漏洞隐患，并且能对抗量子密码学攻击，进一步增强网络传输层的安全。在 MesaLink 的保驾护航下，AI 系统的通信有了内存安全和抗量子破解的双重保障，黑客很难再通过内存安全漏洞和量子计算机技术通过网络通信层攻击进入AI系统。

 

目前七大开源技术已面向生态开源，为 AI 安全生态提供全方位技术保障。

 

◆议题四 — APP隐私合规风险监测引擎开发实战

 

众所周知，随着移动互联网与你我工作生活的融合不断加深，APP 的隐私保护问题逐渐成为人们争论的焦点。

 

在最后一个演讲——移动应用隐私合规解决方案，由百度安全部资深研发工程师从隐私检测、隐私协议出发，分享了百度如何通过可视化方式展示APP在市场上的隐私合规风险，系统介绍百度端应用隐私合规检测方案。

 

 

据老师介绍，2019年将是公众隐私保护观念全面觉醒的一年，假如互联网广告产业无法消除公众的隐私忧虑，那么它的推送越精准，就越容易激发用户的不安全感，从而进一步增加公众的恐惧与担忧。

 

另外，大数据杀熟的实现，依赖海量数据资源。一些企业往往会超出承诺的服务范围过度收集用户个人信息，并且用算法对这些信息进行深 度挖掘后，将结果用于精准营销。监管的滞后和行业自律的缺位，使得大数据杀熟几乎成为了行业“潜规则” 。

 

那么，是什么原因导致违规现象的出现？

 

首先在设计阶段，产品在功能设计时没有考虑到用户个人数据的控制权以及隐私政策的 UI 设计；其次在研发阶段，没有考虑到权限问题，代码难以维护，在删除某项功能时权限没有删除，还有缺乏 SDK 的隐私风险评估；再而是在测试阶段，缺少隐私交互测试；最后，还缺少在安全管理方面的技术手段管理各个产品线 APP 隐私问题。

 

为此，今年1月，百度正式上线百度隐私合规助手。覆盖 APP 在产品设计、开发测试、上线前安全测试和产品上线后等各个阶段不同的隐私权限合规检测需求，助力企业高效、低成本完成包括 APP 在内的端上产品隐私合规检测，规避隐私违规风险。

 

在分享中，老师为我们分享了百度隐私合规助手的基本设计思路：对于使用方的研发团队，可以到该平台提交检测，通过静态扫描、动态扫描及合规扫描三部分检测出相关 APP 隐私问题。对于业务管理团队，可以在该平台上可以进行与竞品的对比，包括权限对比及版本对比，还可以通过产品级的隐私态势、可视化感知系统，用数据查看高风险权限的变化。最后输出检测报告。

 

除此之外，老师还提醒开发者在隐私合规方面主要注意的点，包括权限合规、隐私政策、隐私设计及数据安全。

 

最后，老师强调，通过领先的技术能力，在产品层面规范 APP 隐私权限，保障用户个人信息安全，既是百度对于自身产品的严格要求，也是成为一家“最懂用户”的高科技公司对于亿万用户的责任。

 

产品：“小哥哥，我也想像你一样懂很多技术～”

 

程序：“那就快加入百度开发者中心啊！”

 

其实，不管是程序员还是产品经理，作为在产品开发链条上紧密合作的搭档，只有通力合作，才能更好地推动项目发展。

 

正如百度开发者中心这个有温度的技术社区，以内容为主，汇聚技术干货，分享行业经验，为每一位热爱技术的同学提供高质量的服务。

 

了解更多，可以点击“阅读原文”观看本次沙龙的现场精彩内容！