在网络安全圈子里，白帽子群体一直蒙着一层神秘的面纱。

他们既能够通过高超的技术能力，挖掘出互联网的安全漏洞，又能凭借“白帽子”的道德操守，与真正的黑客“黑帽子”时常上演针尖对麦芒的网络对决。

作为一股不可忽视的，维护世界网络、计算机安全的主要力量，白帽子不仅有固定的小圈子，也有他们喜欢的公开比试的赛事，这就是CTF。

12月7日，由长亭科技举办的2019 Real World CTF国际网络安全大赛在北京正式拉开帷幕。本次大赛以“Hack the real”为主题，为期两天的盛会囊括“国际网络安全大赛”“阿里云安全挑战赛”“安全训练营”“技术论坛”“Hack Valley”五大板块。

阿里云的加入，似乎让这场白帽子最看重的CTF比赛，多了一些不同的味道。

用实战，重新定义CTF赛事标准

CTF（Capture The Flag），又叫信息安全领域的夺旗赛。它从1996年的美国拉斯维加斯发源而来，主要分为解题和攻防两种形式，综合考验白帽子战队的技术、策略和能力。

由于CTF非常接近现实中的网络安全攻防，被国际安全圈普遍认可是可以培养安全人才的重要手段，也颇为受到热爱网络安全技术的年轻人喜欢。这些年来，CTF赛场上从不缺少热血、坚持和突破自我的故事，也诞生一批又一批网络安全的白帽子精英。

自身也是白帽子出身的，阿里云云平台安全总监，云产品安全负责人牛纪雷，花名东厂，对CTF赛事也并不陌生，“2014年加入阿里之后，首先接触的就是人才培养和团队建设。当时为了应届生的招聘，北京、成都、武汉、西安等这些城市都跑遍了，但是效率还是比较低，通常面试100个人仅有1-2个是适合的，然后再到实习阶段，最后一半都留不到。”

其实，这种产学脱钩的情况在行业内早已凸显了，学校的课程和专业，与用人企业的需求脱节。所以，在2015到2016年的时候，阿里云也跟随着CTF赛事来招聘人才，招人的效率确实高了很多，但后来发现也有一定的缺陷。

因为，真正的“real”其实并不来自于比赛本身，而是在真实的业务场景中。如东厂所说，“CTF通常是是纯比赛型的，这些题目本身是有答案的，而阿里云的赛事加入之后，我们提供的都是真实的环境，场景更真实，反馈的能力也更接近实战。”

为了此次比赛，阿里云首次开放真实的线上运行环境，并挑选 ECS（云服务器）、RDS for MySQL（数据库）、MaxCompute（大数据计算服务）三款云上核心产品接受选手挑战。“我们是习惯了以内部的视角看问题，而CTF这些参赛队则是外部的视角看问题。尽管阿里云内部，也有专门挖洞的蓝军，还会请业界顶级的团队来做攻击。但我们还是希望CTF的精英能够帮助我们反馈真实的问题。”

据了解，作为全球首个、也是唯一将公共云真实售卖级产品进行赛题设计的赛事，本次挑战赛不仅面向广大白帽子开放阿里云相关产品，并让这些顶级选手通过实战验证阿里云产品的安全性和稳定性。大赛还特别设置了高达500万的总奖金池和最高60万元的单项奖金，打破了过往奖金记录。

双11试炼，与阿里云技术相互印证

今年双11，天猫以2684亿的成交额创造了一个新的记录。伴随着新的交易记录，阿里云所面对的各项峰值记录也一个个被打破，每秒交易创建峰值54.4万笔，实时计算消息处理峰值25.51亿条/秒，消息系统峰值处理量15750万条/秒，批处理计算数据量双11当天达到982PB等等。

如果说，每年的双11都是阿里云技术的试炼场，安全自然也不例外。双11经历的24小时，底是怎样的一个24小时？

阿里云安全官方公布的数据显示：双11期间，云平台自动识别并拦截来自184个国家的60亿次攻击；为天猫、淘宝等多个平台应用拦截来自17种不同方式的473万次攻击、2.9万个恶意攻击IP，成功防御1917次DDoS攻击，云原生DDoS防护包商业化解决方案完美支持IPv4、IPv6双栈流量；为国内外100+双11活动提供全面防护，分析处理2000万次业务请求，并为云上客户提供2亿次风险识别服务，保障客户安全。

东厂表示，“双11第一大挑战是峰值压力，既要满足业务的需求，也要保证安全不能出问题。在平时，安全的策略在常规情况下没问题，但是双11的巨大流量会对云安全能力产生极大考验，支撑好业务的同时还要保障安全。”

的确，在流量洪峰时期很多常规的安全策略会趋于失效。以DDoS攻击为例，日常的场景下，通过安全算法，流量攻击很容易识别。但在双11的高峰流量下，怎么把正常流量和攻击流量区分出来，就是一个挑战：既要保证任何一个正常、真实的流量不被误杀，也要保证不放过任何一个安全威胁，安全算法和能力会得到终极验证。

事实上，即便是日常的安全策略，阿里云也做到了极致。东厂总结为：第一，怎么做预防护；第二，怎么去检测威胁事件；第三，检测出事件后怎么处理。

首先，在安全防护方面。阿里云在全球的服务器规模是百万级的，最大的挑战是资产上的，所以要利用云的手段来解决问题。东厂说，“我们的云产品有近300款，所以需要解决很多不同场景下的安全问题。当然，我们还面临很多新技术的挑战，没有现成的安全防护方案给我们参考，阿里云在中国业务跑的太快了，我们前面没有可以学习的对象，需要自己去踩坑去探索。”

其次，在安全威胁检测方面。阿里云每天的日志都是PB级别，还要从这些日志里找到异常，又要解决可能有误报的情况。这么大的日志检测量，和大批量日志的处理，其实得益于阿里云自研的飞天系统。通过云上的能力来处理，然后解决算法和规则，就显得较为轻松了。

第三，在事件处理方面。阿里云给自己定的新目标是：1分钟日志进来，5分钟告警出来，10分钟处置完。“目前我们人工处理安全事件的极限是15分钟，我们之所以敢突破自己的极限，设定更高的目标，正是因为可以利用阿里云的云计算能力、大数据能力、数据库能力等等重要的技术优势。”

客观的说，从安全防护到威胁检测，再到事件处理，这一整套的运行逻辑背后，也将阿里云整体的技术优势体现的淋漓尽致。

我们也发现，阿里云为客户提供的云产品，会将安全的能力默认植入到ECS、数据库、RDS等云产品当中，将安全做在事前，而不是事后应急。用安全赋能业务，通过安全人的思维模式和理念来帮助产品解决业务问题。

不得不说的数据安全

其实，数据安全仅仅是阿里云当中一个组成部分。但对公共云服务商来说，数据安全又是绝对的重中之重。

东厂告诉我，阿里云对数据安全，已经形成了一个完整闭环。

第一，数据安全是红线。阿里云有完善的数据安全保护体系，基于实践，从技术角度，对数据进行分类分级保护。而数据分类分级保护之后，任何人包括员工在内都必须在严格的控制授权监控下才能处理数据。“我们要求必须在合规的情况下处理数据，目前已经形成了从云到管道，再到终端最全面的数据安全管理机制。”东厂说。

第二，阿里云设计了全链路的数据加密。客户可以将数据加密后放在阿里云上。密钥仍然放在客户手上，为客户完全所有。这样就可以让客户放心，只有客户自己才能看到自己的数据。

什么是全链路加密？就是从网络传输加密，到计算加密，存储加密，数据库加密，以及还有硬件级别的加密服务，形成云上数据的全链路加密。

第三，在合规性方面，阿里云已经成为亚洲权威合规资质最全的云服务商，除此之外，还开创性的推出了内部操作透明化服务，所有内部运维相关操作，都会以日志形式记录下来，透明化给客户。

目前云厂商都在提供各种各样的数据保护方案，但东厂说，“阿里云的系统是基于飞天，是自研系统，代码可控。我们的云原生软件是自己开发的，服务器自己定制的，所以我们可以做到更高等级的安全。”

简单总结，网络安全的能力搭建从没有捷径，必须是建立在足够的实践经验，和优秀的攻防技术的基础上的，而对阿里云安全来说，背靠阿里巴巴的整体技术体系，并通过双11这样的试炼场磨砺而出的宝剑必然是锋芒毕露。