点击链接下载查看完整版内容👉：《阿里云安全白皮书（2024版）》

点击链接下载查看上文👉：带你读《阿里云安全白皮书》（十二）——云上安全重要支柱（6）

全方位红蓝对抗反向校验

3 外部三方验证

为了进一步加固安全防线，阿里云积极引入国内外优秀的第三方渗透测试服务提供商，通过专业 的外部验证手段，确保云平台及产品的安全性达到国际领先水平。

外部三方验证：是指聘请独立的安全专家团队，运用专业的渗透测试技术和工 具，模拟黑客攻击行为，对目标系统进行深度安全检查的过程。这一过程旨在 识别和评估系统安全控制的有效性，揭示潜在的安全弱点和威胁，最终提出改 进建议和修复方案。

3.1 合作伙伴甄选与认证

阿里云在全球范围内精选具备深厚安全背景、技术实力与良好市场口碑的第三方渗透测试服务 提供商。合作厂商需满足严格的资质要求，包括但不限于 ISO 27001 信息安全管理体系认证、 CMMI 成熟度模型集成认证等，相关服务人员需要具备 CISP-PTE/PTS、CISM、OSCP 等专 业认证，并通过阿里云内部的安全能力评估与认证流程，确保其服务的专业性与合规性。

3.2 测试范围与深度

第三方验证范围覆盖阿里云的全系列产品与服务，从基础设施层（如服务器、网络设备）到平台 服务（如数据库服务、容器服务） 、再到软件应用层（如 Web 应用、移动应用） 。测试内容深 入至黑白盒代码审计、网络渗透、逻辑漏洞挖掘等多个维度，确保全方位、无死角的安全验证。

4 外部安全生态建设

我们深知只靠阿里云安全团队自己的力量无法保障绝对的安全。唯有阿里云安全团队与白帽社区  携手并肩，方能形成有力的安全屏障。广大白帽群体和安全社区，是阿里云在安全道路上寻求突破、 弥补短板、拓宽思路的关键支撑。通过鼓励白帽挖掘漏洞，刺激内部红军团队补齐短板，阿里云  的安全防线才得以不断提升。

基于上述考虑，阿里云在 2013 年创立了阿里安全响应中心（ASRC） ，通过高额的赏金激励行 业精英白帽，持续不断帮助阿里云发现安全防御中的薄弱环节，全面提升业务整体安全水位。为 进一步帮助云上用户提升安全性，继而又在 2015 年创建了先知平台，通过安全众测等形式，方 便客户集中高效地发现安全风险。

阿里安全响应中心（ASRC）针对阿里云及阿里集团其他所 有业务的外部风险，通过提供漏洞赏金计划、开展安全众测 项目，提前发现潜在的安全风险，避免阿里云业务漏洞被外 部恶意黑客利用。

先知平台服务于阿里云客户，一方面为客户提供针对企业特 定产品的公开或私密的安全众测项目，另一方面通过通用漏 洞收集计划，及时感知云上用户大量使用的通用软件产品的 0Day 安全风险，进而将两者转化为安全能力服务客户。

为了更好的服务阿里云及云上用户，ASRC 和先知平台进行了重大升级，整  合双方资源，建立了统一的“先知 2.0”品牌，以提升用户覆盖、加速协同效率、 拓展服务类目、共享安全技术为宗旨，与时共进，打造新一代互联网安全服务  响应平台。

10 余年间，先知累计发布超过 1800 个项目，吸引了全球 30 多个国家的 17000 余名白帽黑客参与其中，一起保障了阿里云上亿用户和企业的安全。 阿里云对白帽社群的价值高度认可，作为对安全社区的回馈，发放了超过 8000 多万赏金，单个白帽子最高获得了 500 多万。随着阿里云业务规模不 断壮大和业务形态持续多元化，“先知”不仅成为吸纳各安全细分领域顶尖人 才的平台，还通过举办众测活动、安全竞赛、行业沙龙等，将最前沿的攻防技 术和研究成果融入阿里云的安全体系。在国际上，“先知”也积极参与各类安 全行业大会、与 Top 白帽平台合作，获取全球最前沿的安全技术能力。

阿里云安全生态的繁荣，离不开安全社区的蓬勃发展。阿里云致力于共建一个更加开放、 互助的安全社区，深化与高校、专业团队的合作，借助线下沙龙、阿里云 CTF 赛事、   阿里云安全挑战赛、先知安全社区等多元化活动，培育新兴安全人才，激发技术创新活力， 共同筑造安全行业的健康可持续发展之路。