搜索

[12195] 2018-01-04_“一个人”的互金企业安全建设总结

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2018-01-04_“一个人”的互金企业安全建设总结 “ 一 个 人 ” 的 互 金 企 业 安 全 建 设 总 结 p u r 0   F r e e B u f   2 0 1 8 - 0 1 - 0 4 * 本 文 作 者 ： p u r 0 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 前 言 前 言 之 前 的 一 个 人 安 全 部 的 之 前 的 一 个 人 安 全 部 的 7 7 大 师 傅 把 我 们 拉 在 了 一 起 ， 然 后 逐 渐 发 现 群 里 大 师 傅 们 也 发 了 建 设 经 验 文 章 。 好 吧 ， 大 师 傅 把 我 们 拉 在 了 一 起 ， 然 后 逐 渐 发 现 群 里 大 师 傅 们 也 发 了 建 设 经 验 文 章 。 好 吧 ， 这 么 懒 得 我 也 分 享 下 自 己 的 经 验 ， 也 就 当 对 这 这 么 懒 得 我 也 分 享 下 自 己 的 经 验 ， 也 就 当 对 这 2 年 多 来 的 甲 方 经 验 的 总 结 。 感 谢 群 里 的 小 伙 伴 们 ， 感 谢 安 全 圈 的 年 多 来 的 甲 方 经 验 的 总 结 。 感 谢 群 里 的 小 伙 伴 们 ， 感 谢 安 全 圈 的 各 路 大 牛 们 和 小 伙 伴 们 的 帮 助 ， 更 感 谢 朝 夕 相 处 的 同 事 们 的 帮 助 。 各 路 大 牛 们 和 小 伙 伴 们 的 帮 助 ， 更 感 谢 朝 夕 相 处 的 同 事 们 的 帮 助 。 一 、 概 述 一 、 概 述 首 先 ， 把 要 说 的 重 点 总 结 下 ， 时 间 就 是 金 钱 ， 剩 下 的 都 是 废 话 围 绕 这 些 去 说 的 。 （ （ P S . 本 文 所 说 的 甲 方 安 全 ， 全 部 指 本 文 所 说 的 甲 方 安 全 ， 全 部 指 一 个 或 者 两 三 个 普 通 人 的 小 团 队 ， 非 大 佬 团 队 ， 非 互 联 网 航 母 企 业 ） 一 个 或 者 两 三 个 普 通 人 的 小 团 队 ， 非 大 佬 团 队 ， 非 互 联 网 航 母 企 业 ） 安 全 一 定 要 由 上 往 下 去 推 动 不 制 定 奖 惩 措 施 的 制 度 是 很 难 推 行 落 地 的 外 部 机 构 的 检 查 远 远 比 自 己 找 出 来 的 问 题 更 有 影 响 力 作 为 甲 方 安 全 ， 你 要 以 主 人 翁 的 角 度 去 思 考 和 推 动 ， 不 要 把 开 发 看 成 敌 人 不 要 任 何 事 都 自 己 造 轮 子 ， 在 现 有 的 基 础 上 加 以 改 造 不 要 一 直 做 救 火 队 员 ， 要 推 行 有 利 于 安 全 的 流 程 把 安 全 做 得 有 声 音 ， 最 好 有 产 出 物 （ P 神 总 结 的 ） 好 了 ， 开 始 废 话 了 。 之 所 以 把 一 个 人 加 引 号 ， 是 因 为 在 甲 方 做 安 全 ， 真 的 不 能 靠 一 个 人 来 做 ， 而 是 需 要 周 围 一 切 可 以 借 助 的 资 源 去 做 ， 才 能 够 做 起 来 ， 否 则 很 多 事 情 举 步 难 行 ， 到 头 来 树 敌 万 千 ， 工 作 也 无 法 顺 利 进 行 。 接 下 来 是 我 做 过 的 事 情 时 间 点 接 下 来 是 我 做 过 的 事 情 时 间 点 2 0 1 5 年 一 套 合 规 各 类 检 查 的 管 理 体 系 ， 熟 悉 基 础 架 构 、 初 步 了 解 业 务 。 2 0 1 6 年 救 火 的 一 年 ， 发 现 问 题 修 复 问 题 ， 同 时 规 范 流 程 （ 基 础 建 设 ） 2 0 1 7 年 把 一 些 开 源 项 目 加 入 到 环 境 中 ， 弥 补 某 些 方 面 空 缺 （ 逐 渐 完 善 ） 今 年 6 1 8 买 了 本 书 ， 《 互 联 网 企 业 安 全 高 级 指 南 》 ， 神 级 的 甲 方 建 设 指 导 的 书 ， 覆 盖 很 全 面 ， 思 路 很 清 晰 。
三 张 表 ， 1 组 织 架 构 图 ， 2 产 品 和 负 责 人 对 应 表 ， 3 全 网 拓 扑 、 逻 辑 架 构 、 物 理 图 、 各 系 统 间 调 用 关 系 、 数 据 关 系 流 等 ， 后 面 还 有 各 类 技 术 介 绍 ， 讲 的 很 全 面 。 很 庆 幸 自 己 没 有 走 弯 路 ， 大 体 方 向 还 对 ， 不 幸 的 是 都 是 摸 索 的 去 做 ， 会 耽 误 时 间 ， 有 些 客 观 因 素 不 能 实 现 ， 比 如 团 队 。 。 。 二 、 二 、 2 0 1 5 8 月 入 职 ， 一 家 具 有 支 付 牌 照 的 互 联 网 金 融 公 司 ， 网 络 运 维 部 下 。 正 好 赶 上 支 付 牌 照 的 认 证 ， 互 金 企 业 的 监 管 机 构 太 多 了 ， 等 级 保 护 ， P C I   D S S ， A D S S ， 中 金 认 证 ， 人 民 银 行 … … 于 是 ， 为 了 应 对 检 测 ， 先 把 现 有 制 度 熟 悉 了 一 遍 ， 长 远 考 虑 ， 打 算 重 新 搞 一 套 符 合 各 位 大 爷 的 制 度 ， 在 原 有 不 熟 悉 的 制 度 上 改 造 不 如 重 新 做 。
管 理 制 度 制 定 的 思 路 是 依 据 I S O 2 7 0 0 1 建 立 框 架 ， 分 级 制 定 “ 制 度 流 程 — 操 作 手 册 — 记 录 ” 。 结 合 等 级 保 护 （ 许 多 人 说 等 保 只 是 应 付 ， 其 实 等 保 结 合 了 各 种 标 准 ， 形 成 了 一 个 安 全 基 本 要 求 ， 挺 全 面 的 ） 、 I T I L （ 流 程 上 可 参 考 ） 、 B S 2 5 9 9 9 （ 业 务 连 续 性 可 参 考 ） 、 N I S T   S P 8 0 0 - 5 3   和 I S O 2 7 0 0 5 （ 风 险 评 估 可 参 考 ） ， 管 理 专 业 人 士 请 教 育 ， 毕 竟 我 也 不 太 懂 … 因 为 金 融 业 的 合 规 要 求 很 多 ， 仅 仅 2 7 0 0 1 的 覆 盖 面 是 不 够 的 ， 因 此 结 合 多 一 些 完 全 覆 盖 各 类 合 规 检 测 。 其 实 我 国 的 G B 系 列 标 准 ， 已 经 引 进 了 多 个 I S O 标 准 ， 而 且 全 中 文 看 着 很 方 便 。 下 面 是 推 荐 参 考 的 内 容 ， 完 全 足 够 。 I S O / I E C   2 7 0 0 1 : 2 0 1 3 信 息 技 术   安 全 技 术   信 息 安 全 管 理 体 系 要 求 I S O / I E C   2 7 0 0 2 : 2 0 1 3 信 息 技 术   安 全 技 术   信 息 安 全 控 制 实 用 规 则 G B / T   2 2 2 3 9 - 2 0 0 8   信 息 安 全 技 术   信 息 系 统 安 全 等 级 保 护 基 本 要 求 J R / T   0 1 2 2 - 2 0 1 4   非 金 融 机 构 支 付 业 务 设 施 技 术 要 求 G B / T   2 0 2 7 1 - 2 0 0 6   信 息 安 全 技 术   信 息 系 统 通 用 安 全 技 术 要 求 G B / T   1 8 3 3 6 - 2 0 0 8   信 息 技 术   安 全 技 术   信 息 技 术 安 全 性 评 估 准 则 G B / T   2 0 9 8 4 - 2 0 0 7   信 息 安 全 技 术   信 息 安 全 风 险 评 估 规 范 G B / T   2 0 2 6 9 - 2 0 0 6   信 息 安 全 技 术   信 息 系 统 安 全 管 理 要 求 G B / T   2 7 9 1 0 - 2 0 1 1   金 融 服 务   信 息 安 全 指 南
G A / T   7 0 8 - 2 0 0 7   信 息 安 全 技 术   信 息 系 统 安 全 等 级 保 护 体 系 框 架 I S O   2 2 3 0 1 ： 2 0 1 2   公 共 安 全 - 业 务 连 续 性 管 理 体 系 - 要 求 G B / T   2 0 9 8 8 — 2 0 0 7   信 息 安 全 技 术 - 信 息 系 统 灾 难 恢 复 规 范 G B / Z   2 0 9 8 5 - 2 0 0 7   信 息 技 术   安 全 技 术   信 息 安 全 事 件 管 理 指 南 G B / Z   2 0 9 8 6 - 2 0 0 7   信 息 安 全 技 术   信 息 安 全 事 件 分 类 分 级 指 南 G B / T   2 4 3 6 3 - 2 0 0 9   信 息 安 全 技 术   信 息 安 全 应 急 响 应 计 划 规 范 制 度 的 制 定 并 不 仅 仅 是 应 对 检 查 ， 最 终 还 是 要 落 实 ， 所 以 制 度 的 细 节 一 定 要 切 合 公 司 自 身 情 况 ， 尽 量 简 单 易 于 执 行 。 虽 然 落 实 比 较 难 ， 但 流 程 的 东 西 一 定 要 落 实 ， 比 如 系 统 上 线 、 变 更 要 规 范 其 安 全 标 准 化 。 一 般 安 全 是 挂 在 运 维 下 … … 就 算 不 是 也 要 和 运 维 打 好 关 系 ， 把 基 础 安 全 这 层 打 牢 ， 可 以 在 运 维 推 行 部 分 流 程 ， 前 面 提 到 的 4 级 文 件 形 式 ， 做 过 的 事 情 要 记 录 ， 记 录 尽 量 电 子 化 ， 便 于 查 阅 ， 一 是 检 查 的 时 候 真 的 有 ， 没 必 要 再 造 假 了   -   - ！ 二 是 记 录 也 可 便 于 事 后 的 总 结 、 追 溯 ， 有 一 天 会 帮 助 到 你 的 。 等 大 家 适 应 了 流 程 ， 再 一 点 点 细 化 、 增 加 ， 如 果 一 口 气 推 下 去 所 有 制 度 ， 很 难 落 实 。 不 想 要 一 口 吃 成 胖 子 ， 有 了 部 分 框 架 标 准 和 流 程 ， 对 于 安 全 很 重 要 了 ， 你 不 会 再 浪 费 时 间 去 查 看 对 外 开 放 端 口 、 之 前 的 s t r u t s 漏 洞 新 上 的 系 统 是 否 存 在 等 等 。 安 全 一 定 要 由 上 往 下 去 推 动 安 全 一 定 要 由 上 往 下 去 推 动 不 制 定 奖 惩 措 施 的 制 度 是 很 难 推 行 落 地 的 不 制 定 奖 惩 措 施 的 制 度 是 很 难 推 行 落 地 的 这 是 两 条 制 度 落 地 的 关 键 ， 说 多 了 都 是 泪 ， 自 己 体 会 吧 。 最 理 想 的 状 态 是 形 成 P D C A 闭 环 ， 不 断 完 善 改 进 。 p s ， 互 金 企 业 更 重 视 结 果 的 记 录 ， 因 此 在 做 类 似 系 统 变 更 、 补 丁 修 复 这 样 的 操 作 时 候 要 有 记 录 ， 无 论 纸 质 或 者 ， 互 金 企 业 更 重 视 结 果 的 记 录 ， 因 此 在 做 类 似 系 统 变 更 、 补 丁 修 复 这 样 的 操 作 时 候 要 有 记 录 ， 无 论 纸 质 或 者 电 子 的 。 电 子 的 。 三 、 三 、 2 0 1 6 这 一 年 公 司 业 务 发 展 迅 速 ， 上 线 的 系 统 也 多 了 ， 起 初 还 有 时 间 挖 挖 漏 洞 ， 后 来 就 是 疲 于 上 线 扫 描 、 定 期 扫 描 、 漏 洞 修 复 ， 然 而 可 怕 的 是 同 样 的 漏 洞 会 再 次 出 现 ， 开 发 小 伙 伴 们 忙 于 进 度 是 不 会 太 注 意 安 全 的 ， 立 场 不 同 。 还 好 当 时 的 C T O 重 视 安 全 ， 运 维 领 导 极 其 重 视 安 全 ， 对 于 新 公 开 的 高 危 漏 洞 ， 群 发 邮 件 后 ， 都 会 把 各 个 技 术 负 责 人 召 集 起 来 开 会 ， 自 己 评 估 是 否 影 响 并 确 定 整 改 期 限 ， 领 导 的 强 势 会 有 助 于 工 作 的 进 行 。 这 一 年 与 某 大 互 联 网 公 司 合 作 ， 签 了 安 全 服 务 ， 包 括 培 训 、 渗 透 、 抗 D 等 等 。 他 们 挖 出 来 的 漏 洞 会 被 更 重 视 （ 同 类 型 问 题 自 己 找 出 来 不 会 很 受 重 视   >   < ） 。 所 以 啊 安 全 开 发 、 上 线 安 全 检 测 流 程 是 必 要 存 在 的 。 外 部 机 构 的 检 查 远 远 比 自 己 找 出 来 的 问 题 更 有 影 响 力 外 部 机 构 的 检 查 远 远 比 自 己 找 出 来 的 问 题 更 有 影 响 力 除 了 救 火 ， 其 实 另 一 半 的 工 作 是 把 基 础 安 全 做 好 ， 不 要 想 一 口 气 做 好 所 有 ， 一 步 一 步 来 ， 让 大 家 有 个 “ 温 水 煮 青 蛙 ” 的 过 程 ， 渐 渐 的 都 会 适 应 。 个 人 感 觉 初 期 建 设 流 程 2 个 步 骤 足 够 了 ： 1 .   发 现 目 前 不 足 2 .   针 对 不 足 加 以 完 善 不 要 任 何 事 都 自 己 造 轮 子 ， 在 现 有 的 基 础 上 加 以 改 造 不 要 任 何 事 都 自 己 造 轮 子 ， 在 现 有 的 基 础 上 加 以 改 造 具 体 工 作 如 下
网 络 方 面 ： 网 络 方 面 ： 1 .   确 认 开 放 端 口 ， n m a p 或 m a s s c a n 扫 下 ， 然 后 和 防 火 墙 策 略 对 照 下 。 只 提 供 必 要 服 务 的 端 口 ， S S H 这 样 的 坚 决 不 对 外 提 供 。 2 .   交 换 机 路 由 器 基 线 配 置 ， 比 如 s n m p 配 置 不 能 用 p u b l i c 1 .   网 段 的 重 新 划 分 ， 访 问 控 制 策 略 的 重 新 制 定 （ 起 初 提 过 但 改 动 太 大 ， 后 来 外 部 渗 透 服 务 ， 拿 到 内 网 权 限 后 坚 决 整 改 ， 事 件 驱 动 ） 。 根 据 重 要 性 划 分 网 段 ， 网 段 间 严 格 访 问 策 略 （ 通 过 路 由 或 A C L 都 行 ， 目 的 达 到 即 可 ） ， 可 做 部 分 m a c 绑 定 ， 比 如 网 关 、 重 要 网 段 ， 办 公 区 w i f i 只 允 许 连 接 互 联 网 。 2 .   堡 垒 机 ， 所 有 设 备 、 服 务 器 均 通 过 堡 垒 机 访 问 3 .   I P S 和 W A F 设 备 的 规 则 优 化 ， 每 周 的 攻 击 日 志 分 析 系 统 方 面 ： 系 统 方 面 ： 其 实 运 维 团 队 基 本 都 会 有 自 己 的 一 套 标 准 ， 包 括 自 动 化 部 署 、 监 控 、 日 志 收 集 等 。 因 此 要 做 的 就 是 熟 悉 现 有 方 法 ， 加 以 完 善 。 如 果 在 没 有 任 何 监 控 、 安 全 措 施 的 环 境 下 ， 可 以 自 己 搭 建 一 套 S I E M ， 但 是 拿 我 们 的 环 境 来 说 ， 目 前 已 经 有 了 n a g i o s 、 c a c t i 监 控 网 络 、 性 能 、 进 程 ， 服 务 器 文 件 完 整 性 检 测 、 p u p p e t 配 置 同 步 ， 定 制 的 加 固 过 的 系 统 镜 像 ， 时 间 同 步 、 日 志 收 集 措 施 ， 我 觉 得 覆 盖 面 已 经 足 够 了 ， 不 如 在 现 有 基 础 上 进 行 优 化 。 欢 迎 大 佬 指 教 还 欠 缺 哪 些 方 面 。 实 现 安 全 目 标 的 方 式 有 很 多 种 ， 只 要 达 到 目 的 ， 最 切 合 企 业 自 身 利 益 便 好 。 实 现 安 全 目 标 的 方 式 有 很 多 种 ， 只 要 达 到 目 的 ， 最 切 合 企 业 自 身 利 益 便 好 。 数 据 库 真 心 不 太 懂 ， 而 且 我 们 有 o r a c l e 、 m y s q l 、 S Q L s e r v e r 、 m o n g o D B ， 核 查 下 安 全 基 线 关 注 下 漏 洞 动 态 … 比 如 启 动 数 据 库 的 账 号 权 限 ， 数 据 库 内 的 默 认 账 号 ， 生 产 库 账 号 限 制 ， 访 问 权 限 限 制 。 数 据 库 审 计 我 见 到 的 基 本 没 人 开 的 ， 影 响 效 率 。 但 是 对 于 数 据 安 全 ， 互 金 企 业 对 其 要 求 极 高 ， 数 据 的 存 储 、 加 密 、 传 输 、 备 份 恢 复 都 有 严 格 要 求 ， 按 照 监 管 机 构 的 要 求 去 做 就 好 了 ╮ ( ╯ ▽ ╰ ) ╭ p s ， 作 为 互 金 企 业 ， 对 灾 备 切 换 极 其 重 视 ， 因 此 每 年 的 灾 备 演 练 要 确 实 去 做 。 ， 作 为 互 金 企 业 ， 对 灾 备 切 换 极 其 重 视 ， 因 此 每 年 的 灾 备 演 练 要 确 实 去 做 。 应 用 安 全 ， 其 实 本 质 还 是 要 提 高 代 码 安 全 ， 请 了 外 部 培 训 、 外 部 渗 透 测 试 ， 也 没 有 搞 好 这 方 面 ， 这 也 是 甲 方 安 全 的 一 个 痛 点 。 其 实 人 与 人 之 间 的 交 流 都 一 样 的 ， 与 开 发 交 流 ， 要 用 “ 咱 们 ” ， 不 要 挑 开 发 的 问 题 ， 要 说 成 那 些 讨 厌 的 人 会 不 正 常 的 去 输 入 内 容 ， 绕 过 w e b 界 面 直 接 修 改 数 据 包 等 等 ， 原 则 上 是 找 共 同 利 益 点 ， 多 赞 美 ， 人 性 所 在 啊 。 换 个 角 度 去 想 ， 作 为 开 发 任 务 挺 紧 的 ， 实 现 功 能 、 赶 进 度 、 改 b u g ， 突 然 来 了 个 人 和 我 说 你 的 代 码 不 安 全 ， 这 样 不 行 ， W T F ， 你 丫 哪 根 葱 你 来 写 啊 。 所 以 互 相 理 解 吧 。 1 .   作 为 甲 方 安 全 ， 你 要 以 主 人 翁 的 角 度 去 思 考 和 推 动 ， 不 要 把 开 发 看 成 敌 人 作 为 甲 方 安 全 ， 你 要 以 主 人 翁 的 角 度 去 思 考 和 推 动 ， 不 要 把 开 发 看 成 敌 人 题 目 是 带 引 号 的 一 个 人 ， 因 此 我 们 要 借 助 可 以 利 用 的 各 种 资 源 去 做 安 全 。 比 如 D D O S 防 御 ， 我 们 是 把 服 务 器 托 管 到 I D C 机 房 ， 对 于 D D O S 防 御 肯 定 要 借 助 外 部 力 量 ， 机 房 的 流 量 清 洗 以 及 安 全 公 司 提 供 的 抗 D 服 务 。 再 比 如 我 们 自 己 的 D N S 服 务 器 ， 每 天 很 多 的 攻 击 流 量 ， 于 是 采 用 外 部 的 D N S 服 务 ， 自 己 不 再 做 D N S 解 析 。 把 自 己 无 法 做 到 的 事 情 和 非 关 键 业 务 又 浪 费 精 力 资 源 的 事 情 ， 转 交 给 专 业 的 外 部 服 务 团 队 ， 性 价 比 更 高 。 2 .   作 为 甲 方 安 全 ， 其 实 起 初 在 技 术 深 度 上 下 功 夫 ， 并 不 能 给 整 体 企 业 安 全 带 来 太 多 显 著 提 升 ， 反 而 流 程 上 安 全 优 化 会 有 显 著 提 升 。 先 做 纬 度 ， 再 做 深 度 。 比 如 你 的 开 发 同 学 将 源 码 传 到 g i t 上 公 开 …
不 要 一 直 做 救 火 队 员 ， 要 推 行 有 利 于 安 全 的 流 程 不 要 一 直 做 救 火 队 员 ， 要 推 行 有 利 于 安 全 的 流 程 于 是 在 频 频 救 火 的 过 程 中 ， 即 使 领 导 再 重 视 ， 你 依 旧 处 于 救 火 中 。 流 程 制 定 好 ， 处 理 事 情 有 条 理 ， 整 体 的 企 业 安 全 会 有 显 著 提 高 。 最 关 心 的 流 程 我 觉 得 就 是 安 全 事 件 ， 那 么 安 全 事 件 发 生 后 第 一 时 间 得 知 ， 就 需 要 一 个 监 控 汇 上 报 过 程 ， 包 括 技 术 上 的 监 控 系 统 ， 非 技 术 层 面 的 运 营 人 员 发 现 系 统 故 障 。 向 谁 上 报 ， 上 报 哪 些 内 容 ， 如 何 处 理 ， 由 谁 处 理 ， 处 理 优 先 级 ， 处 理 方 法 ， 总 结 积 累 。 从 这 个 流 程 可 以 看 到 ， 我 们 需 要 业 务 连 续 性 分 析 （ 处 理 优 先 级 ） ， 应 急 手 册 （ 处 理 方 法 ） ， 可 能 这 些 东 西 太 虚 ， 但 起 码 你 要 了 解 自 己 公 司 的 哪 些 业 务 重 要 ， 遇 到 不 同 安 全 事 件 如 何 处 理 ， 需 要 外 部 资 源 联 系 谁 。 每 一 年 可 以 集 中 对 这 些 事 件 进 行 分 析 总 结 ， 然 后 根 据 结 果 进 一 步 优 化 代 码 也 好 ， 架 构 也 好 ， 进 一 步 提 升 安 全 能 力 。

总 之 ， 我 觉 得 重 要 的 2 个 流 程 ： 1 .   安 全 事 件 处 理 流 程 2 .   系 统 上 下 线 流 程 （ 资 产 信 息 变 更 、 基 线 确 认 、 安 全 测 试 等 ， 最 有 效 的 把 系 统 安 全 提 升 到 及 格 分 数 ） 这 一 年 还 确 定 了 安 全 预 警 流 程 、 漏 洞 修 复 流 程 以 及 下 图 中 运 维 相 关 的 流 程 。 制 定 流 程 要 切 合 实 际 ， 便 于 落 地 执 行 ， 精 简 。 至 于 是 否 完 全 合 理 ， 在 今 后 的 工 作 中 逐 渐 微 调 ， 总 之 先 有 一 个 流 程 先 让 大 家 适 应 。 其 次 ， 要 把 权 限 责 任 分 散 出 去 ， 流 程 可 以 是 自 己 制 定 或 者 和 同 事 一 起 ， 但 至 于 流 程 的 执 行 负 责 人 分 开 管 理 ， 让 大 家 知 道 谁 负 责 哪 些 ， 该 有 什 么 流 程 ， 既 起 到 了 规 范 作 用 ， 又 减 少 了 出 现 坑 的 机 率 了 。
四 、 四 、 2 0 1 7 这 一 年 ， 日 常 的 安 全 日 志 分 析 、 漏 洞 预 警 、 季 度 扫 描 、 上 线 测 试 、 漏 洞 修 复 、 安 全 事 件 处 理 、 合 规 检 查 已 经 轻 车 熟 路 了 ， 再 在 原 有 基 础 上 优 化 流 程 ， 就 可 以 腾 出 来 时 间 搞 些 开 源 的 东 西 。 当 年 做 计 划 的 时 候 写 了 威 胁 感 知 ， 那 时 候 概 念 很 火 ， 后 来 给 了 自 己 一 个 大 嘴 巴 ， 没 有 大 数 据 根 本 搞 不 了 这 玩 意 。
目 前 环 境 中 ， 没 有 源 代 码 扫 描 、 日 志 分 析 系 统 ， i p s 和 w a f 都 是 商 业 化 产 品 ， 有 时 发 现 一 些 细 节 问 题 无 法 定 制 化 ， 资 产 的 管 理 系 统 是 人 工 录 入 ， 存 在 延 迟 更 新 、 失 误 导 致 的 错 误 数 据 风 险 。 于 是 应 用 了 下 面 这 些 开 源 项 目 1 .   巡 风 扫 描 ， 感 觉 最 好 用 的 是 资 产 管 理 ， 可 以 查 看 哪 些 I P 开 放 了 什 么 端 口 ， 开 放 了 某 端 口 有 哪 些 I P … 可 以 比 我 们 的 监 控 系 统 更 简 单 更 全 面 搜 索 （ 毕 竟 服 务 器 多 了 人 为 操 作 难 免 会 有 遗 漏 加 监 控 等 等 ） ， 还 可 以 自 己 尝 试 写 写 漏 洞 检 测 脚 本 。 2 .   N g i n x - l u a - w a f ， 很 实 用 ， 基 于 o p e n r e s t y ， 可 以 自 己 写 规 则 防 御 某 些 有 针 对 性 的 攻 击 ， 然 而 总 是 与 时 代 慢 了 一 步 ， A I 联 动 w a f 的 时 代 已 经 来 临 了 ， 尤 其 兜 哥 出 了 A I 安 全 三 部 曲 以 后 … 3 .   Y a s c a ， 源 代 码 扫 描 ， 几 年 前 的 东 西 了 ， 支 持 J a v a ,   C / C + + ,   H T M L ,   J a v a S c r i p t ,   A S P ,   C o l d F u s i o n , P H P ,   C O B O L ,   . N E T … 支 持 挺 多 的 还 免 费 … 而 且 集 成 了 P M D ， J L i n t 等 很 多 常 用 源 代 码 检 测 工 具 ， 建 议 在 g i t 下 载 ， 版 本 较 新 。 如 果 是 P H P 大 神 还 可 以 定 制 更 改 。 4 .   E L K ， 日 志 分 析 ， 后 来 公 司 买 了 套 类 似 产 品 … 然 后 我 就 不 再 花 费 精 力 研 究 这 个 了 。 推 荐 些 常 用 的 吧 ， 小 伙 伴 们 都 说 好 的 ， 很 多 我 都 没 用 过 。 网 络 入 侵 检 测 s n o r t 的 时 代 过 去 了 ， 现 在 基 本 用 s u r i c a t a 。 主 机 入 侵 检 测 o s s e c 。 S i e m 产 品 o s s i m ， 跳 板 机 j u m p s e r v e r ， 蜜 罐 t - p o t 、 A w e s o m e   H o n e y p o t s 。 还 有 个 安 全 思 维 导 图 大 全 ： h t t p s : / / g i t h u b . c o m / S e c W i k i / s e c - c h a r t ? f i l e s = 1 当 基 础 安 全 做 好 ， 纬 度 够 了 ， 接 下 来 就 是 要 做 深 度 的 事 情 了 。 安 全 开 发 知 识 库 ： 对 应 各 类 威 胁 ， 不 断 积 累 的 一 个 代 码 库 。 蜜 罐 系 统 ： 知 己 知 彼 ， 百 战 不 殆 。 A I ： 先 看 书 学 习 吧   >   < 业 务 安 全 ： 互 金 行 业 对 业 务 的 功 能 要 求 蛮 多 的 ， 而 作 为 互 金 企 业 ， 风 控 是 一 个 重 点 工 作 ， 我 不 清 楚 大 的 互 联 网 公 司 风 控 和 业 务 安 全 是 如 何 归 属 ， 但 是 业 务 安 全 做 得 好 ， 防 止 企 业 利 益 受 损 ， 是 看 的 见 的 收 益 。 五 、 总 结 五 、 总 结 产 出 物 这 个 问 题 ， 很 多 人 总 要 搭 建 一 个 乌 云 知 识 库 ， 一 个 X S S 平 台 等 等 ， 我 心 想 有 哪 个 公 司 的 开 发 会 有 时 间 去 玩 他 ， 乌 云 知 识 库 网 上 有 ， 公 司 资 源 紧 张 我 没 必 要 再 搞 了 。 现 在 我 终 于 清 楚 为 什 么 要 搭 建 了 。 把 安 全 做 得 有 声 音 ， 最 好 有 产 出 物 （ 把 安 全 做 得 有 声 音 ， 最 好 有 产 出 物 （ P 神 总 结 的 ） 神 总 结 的 ） 甲 方 安 全 的 痛 点 ， 在 于 话 语 权 ， 公 司 是 以 业 务 为 重 ， 安 全 只 是 个 辅 助 。 因 此 前 面 提 到 的 从 根 本 上 提 高 代 码 安 全 ， 推 行 制 度 落 地 流 程 ， 都 是 一 个 长 期 的 缓 慢 工 作 。 大 的 互 联 网 公 司 安 全 都 很 强 势 ， 安 全 不 达 标 系 统 不 能 上 线 ， 漏 洞 未 按 时 修 复 直 接 影 响 绩 效 考 核 ， 但 有 能 力 做 到 流 程 化 的 基 础 安 全 后 ， 才 有 精 力 去 做 业 务 安 全 ， 总 之 感 觉 路 还 很 长 … … 烦 请 各 位 大 佬 指 点 ， 灰 常 感 谢 。 新 年 快 乐 * 本 文 作 者 ： p u r 0 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理