互联网企业安全建设落地实践

同程艺龙是中国在线旅行行业的创新者和领导者, 由同程旅游集团 旗下同程网络与艺龙旅行网于2018年3月合并而成。以交易额计, 同程艺龙位居中国在线旅行市场前三名。2018年11月26日,同程 艺龙成功在香港联交所主板挂牌上市(股票代码:0780.HK)。 同程艺龙致力于打造在线旅行一站式平台,业务涵盖交通票务预订 (机票、火车票、汽车票、船票等)和在线住宿预订,及多个出行 场景的增值服务。截至2019年上半年,同程艺龙机票预订业务覆盖 由751家国内航空公司及国际航空公司运营的超过7000条国内航线 及超过120万条国际航线,住宿预订业务覆盖全球超过150万家酒店 及非标准住宿,汽车票、船票业务覆盖全国约32.4万条汽车线路及 超过492条航运线路。 同程艺龙拥有微信支付中的机票火车票入口和酒店入口。同程艺龙 运营的小程序“同程艺龙酒店机票火车”持续位居阿拉丁月度微信 小程序榜榜首。至2018年三季度末,同程艺龙平均月活跃用户数达 到2.06亿。 我们的使命是“让旅行更简单、更快乐”,我们将持续运用创新科 技,为用户创造简单、快捷、智能的出行服务。 成功上市后,年轻的同程艺龙开启了新的征程,将持续提升技术实 力,引进优秀技术人才,以创新科技引领在线出行服务创新,率先 实现从OTA到ITA(Intellig

  • 2021-06-22
  • 阅读333
  • 下载0
  • 44页
  • pdf

.你就拿到了通向未来CISO的钥匙!

掌握企业安全建设的1+1+N, 你就拿到了通向未来CISO的钥匙! 企业安全未来方向在哪里? 经常有安全的朋友吐槽: 1、信息安全涉及的东西太多,从法律合规、网络、服务器、开源组件、办公设 备、开发、云、大数据,甚者以后的智能设备,现在科技变化这么快,什么都需 要懂,学不完; 2、现实中也没有百分百的安全,经常背完这个“锅”,又要背下一个“锅”,做 安全的太难了,未来企业的信息安全到底应该怎么做? 从中国企业正在发生的变化看未来安全的方向? 1、当前产业正在发生什么变化? 中国改革开发40+年,经历了制造业的大发展,也经历了互联网的高速增长。但是双方都想惦记着 对方的一亩三分地,互联网企业想在高端制造分一杯羹,制造业又想用互联网思维提升企业生产管理水 平,这种软件与硬件的强化融合,造就了产业互联的大趋势,这种趋势下科技赋能业务,业务不断科技 化,成本不断降低、效率不断提升产品不断创新,这就是当前产业正在发生的变化。 2、未来5年企业信息安全会朝什么方向发展? 安全伴随科技而生。在产业互联转型的大趋势下,信息安全就是生产安全,安全必须融入业务。企 业的安全人员也要基于企业的信息化和科技架构绘制安全业务全景图。 未来安全业务架构-一句话安全 从以上的分析,我们可以了解到几个基本信息: 1、未来5年产业互联网转型是个大趋势; 2、安全伴随科技而发展; 3、安全需要融入业务就像质量之于产品,安全需要成为业务的一部分。 基于这些,我提出了一句话的安全业务架构:安全的员工,使用安全的设备,经过动态的鉴 权,精细化的授权,访问安全的系统。 一句话安全如何落地? 如果我们认为至此就可以开心地跟公司说出伟大的目标,那就想多 了,因为业务永远是第一位的,安全团队需要想好一切。 1、如何通过技术落地一句话安全? 2、一句话安全建设的路径和阶段如何? 3、需要多少时间和人力才能完成一句话安全的建设? 一、一句话安全必须以产品思维落地:1+N,实现安全业务的信息化、自动化、数据 化,甚者智能化。 1指的是一个安全运营平台-安全ERP:这个平台主要是处理安全业务的主逻辑,实现安全业务的信息化和数据化。 1)作业中心,着重风险闭环,通过信息化产品固化安全作业,降低对熟练人工的依赖。主要内容含全面的资产管理、风险的闭环 处置。 2)稽查中心,着重人工触发的风险稽查任务。主要内容含SRC、安全评审、例行检查、专项检查。 3)数据安全中心,着重数据在使用流转过程中的风险管理。内容含业务导数管理、DBA敏感操作管理、大数据平台安全、敏感数据 轨迹。 4)预警中心,着重应急响应,通过及时的告警数据,提高应急响应的速度和全面性。预警中心内容含:终端日志、账号日志、网 络日志、服务器日志、应用安全日志、授权日志、数据安全日志、安全设备日志、以及可疑场景类告警,如攻击类、泄密类、违规 类等。日志分析也是多层次分阶段实现的,从简单的告警规则,到聚合类分析,再到利用AI模型的自动分析。 5)报表中心,着重风险趋势和效能分析,实现企业风险的透明化、安全团队任务的透明化。主要内容含:产品安全质量报表、办 公安全报表、系统运营过程中的风险分布图、数据安全报表、安全人员效能分析报表、用户行为分析报表及轨迹数据等。 6)评分中心,着重企业安全水平评价,尝试通过各领域的风险指数以及能力指标评估企业安全成熟度。主要内容含员工安全素 养、攻击者视角的防护能力、内部人员违规泄密的管控能力、日常运营能力、应急响应速度,以及风险发现的自动化率等。 一、一句话安全必须以产品思维落地:1+N,实现安全业务的信息化、自动化、数据 化,甚者智能化。 N指的是围绕一句话安全架构,能够与安全ERP对接的各类安全产品,实现安全业务的产品化、自动化。 1)终端安全系统,该系统解决的是业务系统之外数据的安全管理、以及设备使用过程中的安全合规监管,涉及的内容非常多,此类 产品的开发涉及到OS比较底层的技术。日志和异常入安全ERP中处理。 2)员工安全系统,着重通过信息化提升员工安全素养,主要包含安全场景互动、安全培训考试、安全测试复核等模块。每个员工的 状态会放到安全ERP中处理。 3)鉴权中心,着重员工接入系统前的安全及合法验证。主要包含员工账号、设备、位置、行为等的识别和执行,具体如何是安全合 法,每个企业可以根据企业的要求自行配置。日志和异常入安全ERP中处理。 4)授权中心,这个产品做成什么样子取决于企业IT水平的现状。如果你的企业有应用门户,并且应用大都是自研的,那就可以做到 模块、行、列的细粒度授权。如果是网关形式,那只能考虑基于域名、IP、协议等的授权。日志和异常入安全ERP中处理。 5)应用安全自动化,这类系统大家都知道,其中每个具体风险的处置,会放到安全ERP中处理。 6)基础安全自动化,这个系统

  • 2021-06-22
  • 阅读139
  • 下载0
  • 11页
  • pdf

攻防对抗

企 业 脆 弱 性 与 攻 击 面 企业脆弱性与攻击面 常见redis、weblogic、Jboos、 Kibana命令执行与空口令 中间件服务 系统、DB弱口令、Dirty内核 提权、永恒之蓝、RDP0708 系统安全 信息泄露(源代码、业务数 据)、APT攻击 人 常规owasp攻击、业务逻辑漏 洞攻击 Web/移动应用 常见弱口令、默认口令、邮件 伪造钓鱼、病毒勒索企业邮箱 默认口令、弱口令、0day 安全设备不安全 网络/安全设备 02 安 全 防 护 思 路 安全防护思路——前提 01 02 03 高层领导支持 向上管理、贴合业务 结果导向、灵活多变 兄弟部门配合 换位思考、互惠互利 问题驱动、沟通协调 专业安全团队 管理推动、技术驱动 厚积薄发、态势可视 安全防护思路 内审内控 权限控制:最小权限、职责分离 行为审计:访问频率、Bash行为 日志中心监控 应用日志:告警阻断攻击行为 网络日志:攻击分析、威胁发现 主机日志:爆破、提权、反弹shell 边界安全防护 缩小攻击面、对外服务探测、脆弱性检测、 应用防火墙、ACL白名单、失效策略删除 基线合规加固 数据库、操作系统、网络设备、 安全设备、中间件 安全管理 03 重 保 前 的 防 护 手 段 重保安全防护——预防整改阶段 重保安全防护——应急响应处置 《应急响应处置方案》 ? 工作原则 ? 信息安全事件分级 ? 信息安全事件分类 ? 组织机构职责 ? 监测预警手段机制 ? 应急响应方式方法 ? 责任追究 重保安全防护——工作部署总结 监控巡检 C 安全预警 W 阻断封禁 B 优化总结 A 风险修复、上层汇报 策略优化、工具优化 威胁情报共享: 0day、IP信誉库、事件 安全意识宣贯: 钓鱼、数据泄露、私搭wifi 应用安全、业务安全 安全设备、网络设备 系统安全、数据库 网络层:IP地址拦截 应用层:恶意用户封禁 留几个思考问题安全设备不安全怎么办 APT攻击者入职后偷数据,甲方能防 多久 大型攻防演练行动能否从甲乙方对抗 变为甲乙方混战 THANK YOU 感谢聆听 招聘 岗位:安全开发 技能:Java Python 联系方式:lichenjs@cdeledu.com 安全+ 专注于安全行业,通过互联网平台、 线下沙?、培训、峰会、?才招聘等多种形式,致 力于创建亚太地区最好的甲乙双方交流、学习的平 台,培养安全?才,提升行业整体素质,助推安全 生态圈的健康发展

  • 2021-06-22
  • 阅读140
  • 下载0
  • 14页
  • pdf

.浅谈大中型软件企业信息安全建设

浅谈大中型软件企业信息安全建设 2020年11月27日 科大讯飞安全架构师 钱君生 议题概要 在业界,谈论互联网、金融或运营商安 全建设的比较多,谈论大中型软件企业安全 建设比较少。实际上,大中型软件企业在当 下的IT企业中占有很大的比重,就大中型软 件企业的信息安全建设来说,与互联网企业、 金融企业存在着很大的差异性。本次分享将 结合大中型软件企业安全建设的过程,讨论 相关实践细节。 关于我 OWASP中国安徽区域负责人,现就职科大讯飞集 团公司,任安全架构师,是开源图书《BurpSuite 实战指南》、《API安全技术与实战》(机械工业 出版社)编写者。 Contents 01 大中型软件企业业务特点 业务形态以2B交付为主、产品 交付与项目交付并存…… 02 业务对安全建设的挑战 安全职责、预算、投入均 不对等、安全环境复杂…… 03 安全建设实践思路 多模型融合的安全体系、关键安 全策略…… 议题大纲 04 未来展望 未来想做的事…… 大中型软件企业业务特点 大中型软件企业业务特点 ? 业务形态以2B交付为主 ? 产品交付与项目交付并存 ? 客户对象主要是企事业单位 ? 业务开展以项目制形式 ? 通常需要开展招投标和采购活动 ? 系统集成和软件产品集成 ? 业界有甲方爸爸一说,客户在业务中占主导 地位 ? 企业的业务开展围绕收益展开 ? 在不断的项目交付过程中,积累自己的基础平台 或产品; ? 典型的产品如ERP、HRM、CRM、OA等 ? 围绕项目建设内容,采用产品交付+定制来完成 项目交付 业务对安全建设的挑战 1 安全职责、预算、投入均不对等 | ? 安全事件板子打在客户方,肉疼在厂商 ? 甲方爸爸关心安全,但往往没银子 ? 安全工作必须要做 ? 利润或收益减少,投入可能无收益 2 安全环境复杂难以标准化 | ? 不同的项目,环境不一样 ? 不同的客户,要求不一样 ? 不同的行业,标准不一样 ? 不同的预算,内容不一样 3 业界最佳实践参照样本缺乏 | ? 业界谈论金融、互联网企业多,谈论软件企业的少 ? 业界最佳实践参照样本少,有头部企业做得好,但很少公开说 ? 更多的是落后同时代的其他IT企业,在摸着石头过河 多模型融合安全建设思路 ? 安全建设思路围绕业务的生命周期开展 【图片来源/网络】 业务对象:信息系统 ? SAMM ? SDL ? 等保 ? ISSE 落地实施关键安全策略 分级分类策略 01 底线管控策略 02 DevSecOps管道化策略 04 数字化平台运营策略 05 公共组件策略 03 分级分类策略 ? 为什么要分级分类 ? 内外部安全要求不一样 ? 产品成熟度不一样 ? 安全投入不一样 ? 如何分级分类 ? 从定性和定量两个方面制定分类标准 ? 挑选对安全影响至为关键的指标 ? 常用指标项 产品成熟度 系统重要性 风险暴露面 监管要求 中断成本 业务连续性要求 指标项评分*指标权重 底线管控策略 ? 为什么要底线管控 ? 明确最低安全要求 ? 防止安全投入不足 ? 如何底线管控 ? 发布底线要求(精简、明确、利于执行、周期调整) ? 制定底线管理办法 ? 建立审查和惩奖机制 ? 常用底线管控样例 ? 合规性管控底线,比如:APP应用必须参考《APP违法违规收集使用个人信息行为认定方法》进 行上线前合规检测 ? 技术路线选型管控底线,比如:禁止使用GPL协议产品或代码;禁止使用fastjson ? 运维部署管控底线,比如:禁止存在高危漏洞的应用系统上线发布;禁止高危端口对互联网开放; 公共组件策略 安全组件库 系统A1 系统A2 系统… 系统An ESAPI 统一认证平台 防破解系统 API网关 安全文件存储 数据安全平台 业务模块1 业务模块2 安全组件1 业务模块1 业务模块2 安全组件2 业务模块1 安全组件n 业务模块1 业务模块2 安全组件n ? 专业的人做专 业的事 ? 通过安全组件 的复用,降低 软件架构的安 全风险 输入型攻击 身份认证 会话管理 访问控制 代码破解 API安全 文件与资源安全 数据隐私 安全审计平台 日志与审计 OWASP安 全验证类型 产品示例 安全组件n DevSecOps管道化策略 代码仓库 自动化测试 关键评审 开发人员提交代码 到代码仓库 自动化安全测试 质量管理 自动化发布 数据库 防火墙 云虚机 持续集成 持续发布 基础设施 数字化运营策略 安全BP:项目管理系统数据 质量工程师:质量审计数据 漏洞扫描平台:漏洞扫描系统数据 渗透测试工程师:人工渗透测试数据 DevSecOps平台 系统收集 系统收集 安全扫描平台 日常收集 数据汇集 数据分析 安全运营分析 决策/改进措施 ? 安全事件数、安全事件危害等级 安全事件 ? 线上发现问题数、底线管控

  • 2021-06-22
  • 阅读141
  • 下载0
  • 16页
  • pdf

.企业安全防护.EDR建设实践与思考.朱海星

1、EDR与企业防护 2、EDR建设与运营 3、对抗与提升 DR(Endpoint DetectionandResponse),由Gartner在2013年提出, 起初叫ETDR,2015年改为EDR。 Detection ? E-端点:网络中任意的终端设备,包括办公PC、 移动设备、服务器设备、云上虚拟机、IoT设备等 ? D-检测:采集分析端点数据,发现端点安全风险、 检测黑客攻击、检测可疑行为等 ? R-响应:安全风险快速响应,包括漏洞修复、入 侵阻断追溯、可疑事件调查等 腾讯自研EDR – 洋葱 12 3 4 5 终端资产一体化管理 针对服务器安全检测能力,并实现了对 全网服务器端点资产的全面管控。 端点安全的基线检测 依据腾讯自身业务防护实践,提供了端口 配置、口令配置、账号配置的基线检测, 可实现企业面临安全威胁的实时检测。 安全事件的精准溯源 通过对服务器端的登录信息、操作信息, 建立行为分析模型,实现对异常操作进 行异常操作溯源分析。 漏洞风险的实时预警 结合自身服务器防护经验,针对服务器 中间件、数据库、操作系统提供漏洞检 测能力,实时监测发现漏洞风险。 入侵攻击的主动检测 提供主动检测、实时发现入侵检测;提 供Web木马、反弹木马、异常网络通、 提权攻击、弱口令等检测功能。 融

  • 2021-06-22
  • 阅读150
  • 下载0
  • 21页
  • pdf