搜索

[14240] 2019-06-17_企业安全建设的体系思考与落地实践

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-06-17_企业安全建设的体系思考与落地实践 企 业 安 全 建 设 的 体 系 思 考 与 落 地 实 践 F r e e B u f   2 0 1 9 - 0 6 - 1 7 以 下 文 章 来 源 于 安 全 小 飞 侠   ， 作 者 安 全 小 飞 侠 前 言 前 言 企 业 安 全 建 设 是 一 个 老 生 常 谈 的 问 题 ， 由 于 每 个 人 的 工 作 经 验 和 心 得 体 会 的 不 同 ， 因 此 看 法 和 实 践 通 常 也 不 一 企 业 安 全 建 设 是 一 个 老 生 常 谈 的 问 题 ， 由 于 每 个 人 的 工 作 经 验 和 心 得 体 会 的 不 同 ， 因 此 看 法 和 实 践 通 常 也 不 一 样 。 样 。 此 文 仅 是 笔 者 最 近 一 段 时 间 关 于 企 业 安 全 建 设 的 体 系 思 考 和 落 地 实 践 的 一 些 个 人 看 法 ， 提 供 一 种 思 考 和 分 析 问 题 的 方 式 ， 仅 代 表 笔 者 当 前 阶 段 的 认 知 以 及 个 人 的 阶 段 性 总 结 。 切 记 ， “ 尽 信 书 则 不 如 无 书 ” ！ 什 么 是 体 系 思 考 什 么 是 体 系 思 考 所 谓 体 系 思 考 ， 就 是 通 过 自 身 的 知 识 和 经 验 的 积 累 ， 结 合 企 业 的 现 状 ， 对 存 在 的 安 全 问 题 进 行 分 类 和 整 理 ， 并 总 结 出 一 套 适 合 的 安 全 建 设 体 系 的 思 考 方 式 。 有 了 这 样 的 思 考 能 力 ， 就 可 以 帮 助 我 们 形 成 合 适 的 安 全 方 法 论 来 快 速 解 决 安 全 建 设 过 程 中 的 种 种 问 题 ， 做 到 目 标 明 确 ， 思 路 清 晰 ， 步 步 为 营 。 一 谈 到 体 系 思 考 ， 相 信 很 多 人 的 第 一 感 觉 肯 定 是 觉 得 很 虚 ， 认 为 只 有 不 懂 技 术 的 人 喜 欢 拿 这 种 东 西 来 装 x ， 并 喜 欢 以 此 来 掩 盖 自 己 技 术 上 的 不 足 。 实 际 上 ， 笔 者 在 很 长 一 段 时 间 内 也 是 存 在 这 种 观 点 ， 然 而 随 着 工 作 经 验 的 慢 慢 积 累 ， 越 发 觉 得 这 种 观 点 的 片 面 性 和 不 可 靠 性 。 不 可 否 认 ， 安 全 行 业 或 者 说 所 有 行 业 里 都 或 多 或 少 存 在 以 此 为 噱 头 的 “ 砖 家 ” ， 但 是 这 并 不 能 否 定 掉 体 系 思 考 的 价 值 和 重 要 性 。 从 某 种 程 度 上 来 说 ， 体 系 思 考 可 能 比 具 体 的 技 术 实 践 更 加 重 要 。 举 个 例 子 ， 笔 者 经 常 看 到 一 些 一 个 人 安 全 部 的 文 章 ， 写 的 很 详 实 ， 建 立 各 种 系 统 ， 解 决 各 种 当 前 存 在 的 安 全 问 题 ， 当 读 第 一 遍 的 时 候 你 可 能 会 觉 得 写 的 不 错 ， 可 是 当 你 仔 细 读 完 之 后 ， 你 会 慢 慢 发 现 似 乎 缺 少 了 一 个 贯 穿 始 末 的 中 心 线 ， 而 这 个 中 心 线 就 是 “ 体 系 思 考 ” 。 设 想 ， 如 果 我 们 在 做 企 业 安 全 建 设 时 进 行 了 很 好 的 体 系 化 思 考 ， 明 确 知 道 当 前 所 处 的 阶 段 ， 当 前 阶 段 的 目 标 与 困 境 ， 实 现 目 标 和 解 决 困 境 的 思 路 ， 落 地 实 践 的 计 划 ， 那 么 我 们 就 可 以 更 加 清 楚 地 明 白 我 们 为 什 么 建 设 这 些 系 统 且 哪 些 安 全 问 题 需 要 被 优 先 解 决 而 不 至 于 陷 入 “ 跟 风 ” 或 者 “ 人 云 亦 云 ” 的 窘 境 ， 这 时 我 们 解 决 的 就 不 在 是 一 个 个 的 表 面 问 题 而 是 一 类 的 根 本 问 题 。 安 全 小 飞 侠 安 全 小 飞 侠   . 安 全 漏 洞 信 息 播 报 平 台 ， 为 您 提 供 新 鲜 ， 一 手 的 安 全 资 讯 与 漏 洞 详 情 ， @ 安 全 小 飞 侠   荣 誉 出 品 ， 欢 迎 关 注 ！
如 何 进 行 体 系 思 考 如 何 进 行 体 系 思 考 明 确 体 系 思 考 的 重 要 性 是 进 行 企 业 安 全 体 系 化 建 设 的 重 要 前 提 。 根 据 笔 者 的 个 人 经 验 ， 培 养 体 系 思 考 能 力 一 般 需 要 如 下 过 程 ： 积 累 ： 知 识 的 积 累 是 进 行 体 系 思 考 的 前 提 和 基 础 ， 需 要 了 解 和 见 识 足 够 多 的 行 业 最 佳 实 践 ， 各 种 落 地 实 践 中 面 临 的 难 点 ， 解 决 难 点 的 思 路 和 方 法 。 分 类 ： 有 了 一 定 的 知 识 积 累 ， 需 要 对 这 些 知 识 进 行 很 好 的 整 理 ， 分 类 和 总 结 。 思 考 ： 当 零 散 的 知 识 点 被 整 理 和 分 类 后 ， 需 要 通 过 5 W 1 H + N o t 的 方 式 对 这 些 知 识 分 类 进 行 思 考 ， 例 如 ： 什 么 样 的 角 色 （ w h o ） 在 什 么 样 的 企 业 （ w h e r e ） 在 什 么 样 的 时 间 节 点 （ w h e n ） 出 于 什 么 样 的 的 目 的 （ w h y ） 以 什 么 样 的 方 式 （ h o w ） 做 什 么 样 的 事 情 （ w h a t ） ， 以 及 不 这 么 做 又 会 如 何 （ N o t ） 。 实 践 ： 通 过 思 考 一 般 可 以 在 大 脑 中 形 成 初 步 的 体 系 ， 但 仍 旧 是 “ 纸 上 谈 兵 ” ， 这 时 就 需 要 透 过 实 践 来 检 测 思 考 的 结 果 ， 并 及 时 修 正 一 些 由 于 当 前 思 考 的 局 限 性 造 成 的 误 解 或 者 盲 点 ， 作 为 下 一 轮 的 知 识 积 累 ， 并 如 此 往 复 。 如 何 从 体 系 思 考 到 落 地 实 践 如 何 从 体 系 思 考 到 落 地 实 践 前 面 写 了 这 么 多 “ 废 话 ” ， 相 信 能 够 坚 持 看 到 这 里 的 某 些 同 学 肯 定 要 喷 我 了 ， “ 你 扯 了 这 么 多 大 家 都 懂 的 道 理 ， 你 到 底 有 哪 些 体 系 思 考 的 结 果 呢 ？ T a l k   i s   c h e a p ,   s h o w   m e   t h e   c o d e ” 。 本 节 笔 者 将 尝 试 从 具 体 的 企 业 安 全 建 设 来 阐 述 一 下 我 的 一 些 个 人 看 法 。 第 一 步 ， 企 业 安 全 建 设 相 关 知 识 的 积 累 ， 我 个 人 的 做 法 是 ： 第 一 步 ， 企 业 安 全 建 设 相 关 知 识 的 积 累 ， 我 个 人 的 做 法 是 ： 1 ） 学 习 国 内 外 知 名 企 业 （ 如 ： 国 外 的 F A A N G ， 国 内 的 B A T 等 ） 的 安 全 建 设 的 思 路 和 做 法 ， 最 快 捷 的 方 式 当 然 是 入 职 这 样 的 企 业 ， 或 者 也 可 以 通 过 这 些 公 司 公 开 的 b l o g ， p a p e r 或 者 其 他 安 全 相 关 的 资 料 来 学 习 ， 如 ： F a c e b o o k : h t t p s : / / c o d e . f b . c o m / c a t e g o r y / s e c u r i t y / h t t p s : / / g i t h u b . c o m / f a c e b o o k G o o g l e :
h t t p s : / / a i . g o o g l e / r e s e a r c h / p u b s / ? a r e a = S e c u r i t y P r i v a c y a n d A b u s e P r e v e n t i o n h t t p s : / / g i t h u b . c o m / g o o g l e A m a z o n :   h t t p s : / / a w s . a m a z o n . c o m / b l o g s / s e c u r i t y / M i c r o s o f t :   h t t p s : / / w w w . m i c r o s o f t . c o m / s e c u r i t y / b l o g / C i s c o :   h t t p s : / / b l o g s . c i s c o . c o m / t a g / i o s - s e c u r i t y 百 度 :   h t t p s : / / g i t h u b . c o m / b a i d u - s e c u r i t y 阿 里 :   h t t p s : / / w w w . a l i b a b a c l o u d . c o m / b l o g 腾 讯 :   h t t p s : / / s e c u r i t y . t e n c e n t . c o m / i n d e x . p h p / b l o g 2 ） 学 习 公 开 的 网 络 安 全 标 准 和 最 佳 实 践 ， 如 ： N I S T :   h t t p s : / / w w w . n i s t . g o v / t o p i c s / c y b e r s e c u r i t y M I T R E :   h t t p s : / / w w w . m i t r e . o r g / p u b l i c a t i o n s / a l l / 第 二 步 ， 企 业 安 全 建 设 的 分 类 ， 这 里 我 分 享 两 种 不 同 的 分 类 方 法 ： 第 二 步 ， 企 业 安 全 建 设 的 分 类 ， 这 里 我 分 享 两 种 不 同 的 分 类 方 法 ： 1 ） 基 于 企 业 资 产 保 护 的 安 全 建 设 分 类 。 该 分 类 的 核 心 思 想 是 安 全 建 设 围 绕 着 资 产 的 保 护 ， 比 如 ， 我 们 一 般 可 以 把 一 个 企 业 的 资 产 大 致 分 为 以 下 几 类 ： 基 础 设 施 资 产 ： 包 括 网 络 资 产 ， 设 备 资 产 ， 物 理 资 产 等 ； 业 务 资 产 ： 包 括 应 用 资 产 ， 数 据 资 产 等 。 2 ） 基 于 企 业 数 据 生 命 周 期 的 安 全 建 设 分 类 。 例 如 ： 阿 里 推 出 的 D S M M   ( 数 据 安 全 能 力 成 熟 度 模 型 ) 就 是 一 个 比 较 典 型 的 以 数 据 生 命 周 期 安 全 为 核 心 思 想 的 分 类 方 法 ： 数 据 安 全 过 程 纬 度 ： 包 括 数 据 生 命 周 期 安 全 （ 数 据 的 采 集 ， 传 输 ， 存 储 ， 处 理 ， 交 换 ， 销 毁 ） 和 通 用 安 全 。 能 力 成 熟 度 等 级 纬 度 ： 基 于 统 一 的 分 级 标 准 ， 细 化 组 织 机 构 在 各 数 据 安 全 过 程 域 的 五 个 级 别 的 能 力 成 熟 度 分 级 要 求 。 安 全 能 力 纬 度 ： 明 确 组 织 机 构 在 各 数 据 安 全 领 域 所 需 要 具 备 的 能 力 维 度 ， 明 确 为 组 织 建 设 、 制 度 流 程 、 技 术 工 具 和 人 员 能 力 四 个 关 键 能 力 的 维 度 。
第 三 步 ， 企 业 安 全 建 设 的 体 系 思 考 。 第 三 步 ， 企 业 安 全 建 设 的 体 系 思 考 。 根 据 第 二 步 中 提 到 的 两 种 不 同 的 分 类 ， 我 们 可 以 分 别 从 不 同 角 度 思 考 如 何 进 行 体 系 建 设 。 1 ） 针 对 基 于 企 业 资 产 保 护 的 安 全 建 设 分 类 ， 我 们 首 先 明 确 我 们 的 核 心 思 想 是 资 产 保 护 ， 那 么 所 有 的 安 全 建 设 的 思 路 就 需 要 围 绕 着 这 个 核 心 来 进 行 。 因 此 ， 至 少 需 要 组 建 如 下 的 团 队 来 做 支 撑 ： 对 于 基 础 设 施 资 产 ， 则 需 要 基 础 架 构 安 全 团 队 来 解 决 企 业 基 础 网 络 安 全 架 构 的 安 全 风 险 和 威 胁 ， 安 全 运 营 中 心 （ S O C ） 团 队 来 保 证 安 全 的 持 续 运 营 、 改 进 和 交 付 。 对 于 业 务 资 产 ， 则 需 要 应 用 安 全 团 队 来 保 证 业 务 程 序 、 软 件 、 系 统 和 服 务 的 安 全 开 发 以 及 业 务 数 据 在 整 个 生 命 周 期 中 的 保 护 ， 安 全 合 规 团 队 来 保 证 业 务 数 据 使 用 的 合 法 与 合 规 ， 风 控 团 队 来 确 保 业 务 的 连 续 性 和 风 险 的 可 控 性 等 。 按 照 上 述 的 思 考 方 式 ， 我 们 可 以 根 据 资 产 的 细 化 对 上 述 的 团 队 进 行 更 加 细 致 的 划 分 ， 并 最 终 形 成 一 个 完 整 的 安 全 建 设 体 系 。 2 ） 针 对 企 业 数 据 生 命 周 期 的 安 全 建 设 分 类 ， 这 里 的 核 心 思 想 是 数 据 在 整 个 生 命 周 期 中 的 安 全 保 护 ， 那 么 当 我 们 在 思 考
安 全 建 设 体 系 时 考 虑 的 就 应 该 是 怎 么 通 过 具 体 的 措 施 来 逐 步 提 升 数 据 在 每 个 阶 段 的 保 护 措 施 。 比 如 D S M M 就 可 以 按 照 人 类 常 见 的 思 考 和 解 决 问 题 的 思 路 来 理 解 ， 即 ： 过 程 分 割 ： 将 数 据 保 护 按 照 生 命 周 期 分 割 成 若 干 个 阶 段 ， 如 ： 采 集 ， 传 输 ， 存 储 ， 处 理 ， 交 换 ， 销 毁 ； 列 出 关 键 点 ： 针 对 每 个 阶 段 列 出 所 有 的 关 键 点 P A （ 过 程 域 ） ； 评 估 当 前 水 平 ： 对 于 每 个 关 键 点 P A 评 估 当 前 所 处 的 成 熟 度 的 等 级 水 平 ； 细 化 操 作 要 求 ： 结 合 当 前 所 处 的 成 熟 度 等 级 的 对 每 个 关 键 点 P A 细 化 具 体 的 操 作 要 求 B P （ 基 本 实 践 ） ； 执 行 落 地 操 作 ： 根 据 具 体 的 操 作 要 求 B P 来 进 行 安 全 建 设 和 改 进 。 根 据 上 面 的 思 考 过 程 ， 我 们 也 可 以 初 步 形 成 一 个 较 为 完 整 的 安 全 建 设 体 系 。 第 四 步 ， 企 业 安 全 建 设 体 系 的 落 地 实 践 。 我 们 还 是 以 上 面 两 种 基 于 不 同 角 度 思 考 得 出 的 安 全 体 系 来 做 例 子 。 第 四 步 ， 企 业 安 全 建 设 体 系 的 落 地 实 践 。 我 们 还 是 以 上 面 两 种 基 于 不 同 角 度 思 考 得 出 的 安 全 体 系 来 做 例 子 。 1 ） 针 对 以 资 产 保 护 为 核 心 的 安 全 体 系 ， 落 地 实 践 的 重 点 强 调 的 是 对 于 各 个 细 化 资 产 的 安 全 保 护 。 比 如 ， 网 络 设 备 的 保 护 ： 防 火 墙   ( J u n i p e r   F W ) ， I P S / I D S   ( S u r i c a t a / S n o r t ) ， D P I   ( B r o ) ， 堡 垒 机 ， W e b 代 理 网 关 ( I r o n P o r t ) ， 邮 件 网 关 ( F i r e E y e / I r o n P o r t ) ， D N S   R P Z ， V P N ， W i F i 等 ； 网 络 架 构 的 保 护 ： N A C ， S D N ， Z e r o T r u s t   ( 类 似 于 G o o g l e 的 B e y o n d C o r p ) ， V P C 等 ； 服 务 器 ／ 办 公 电 脑 的 保 护 ： 反 病 毒 ， E D R ， H I D S / H I P S 等 ； 移 动 终 端 的 保 护 ： M D M   ( V M w a r e   A i r W a t c h ) 等 ； 物 理 门 禁 的 保 护 ： 异 常 警 报 ， 访 问 日 志 ， 监 控 摄 像 头 等 ； 业 务 系 统 和 服 务 的 保 护 ： S D L C   ( 包 括 安 全 开 发 规 范 以 及 相 关 的 自 动 化 工 具 、 流 程 、 平 台 的 建 设 ) ， V R P   ( 漏 洞 赏 金 计 划 ) 等 ； 业 务 数 据 的 保 护 ： 数 据 分 类 标 准 ， 数 据 处 理 标 准   ( 传 输 和 存 储 ) ， 数 据 共 享 要 求 ， 合 规 管 理 要 求 ， 业 务 风 控 体 系 ， 通 用 安 全 系 统 和 组 件 ( K M S ,   统 一 认 证 和 授 权 平 台 ， A A A ) 等 ；
当 具 备 了 以 上 这 些 用 于 保 护 各 种 资 产 的 安 全 系 统 或 者 规 范 后 ， 我 们 就 可 以 做 更 多 的 系 统 分 析 和 互 相 联 动 ， 具 体 可 以 参 见 笔 者 之 前 写 的 几 篇 文 章 《 谈 一 谈 如 何 建 设 体 系 化 的 安 全 运 营 中 心 ( S O C ) 》 ， 《 甲 方 安 全 建 设 的 一 些 思 路 和 思 考 》 ， 《 R e d   T e a m 从 0 到 1 的 实 践 与 思 考 》 。 2 ） 针 对 以 数 据 生 命 周 期 安 全 为 核 心 的 安 全 体 系 的 落 地 实 践 ， D S M M 已 经 表 述 的 很 详 细 了 ， 具 体 参 见 h t t p : / / w w w . h a c k l i u . c o m / w p - c o n t e n t / u p l o a d s / f i l e / 2 0 1 8 0 3 2 6 / 1 5 2 2 0 6 3 0 0 4 7 7 5 7 2 8 . p d f ， 这 里 就 不 在 赘 述 了 。 此 外 ， 有 了 这 些 具 体 的 实 践 措 施 ， 如 何 做 到 顺 利 的 落 地 呢 ？ 笔 者 提 供 以 下 两 种 不 同 的 思 路 供 大 家 参 考 和 探 讨 ： 一 ， 从 上 而 下 的 思 路 ， 此 方 法 适 用 于 大 型 或 者 安 全 成 熟 度 较 高 的 企 业 。 一 ， 从 上 而 下 的 思 路 ， 此 方 法 适 用 于 大 型 或 者 安 全 成 熟 度 较 高 的 企 业 。 通 常 情 况 下 ， 这 类 企 业 由 于 安 全 建 设 已 经 相 对 完 善 ， 安 全 的 目 标 也 相 对 明 确 ， 针 对 此 种 情 况 的 落 地 通 常 可 以 从 上 层 设 置 目 标 开 始 ， 逐 步 制 定 短 中 长 期 计 划 ， 建 立 相 应 的 支 撑 项 目 ， 最 后 落 地 实 践 。 二 ， 从 下 而 上 的 思 路 ， 此 方 法 适 用 于 中 小 型 或 者 安 全 成 熟 度 较 低 的 企 业 。 二 ， 从 下 而 上 的 思 路 ， 此 方 法 适 用 于 中 小 型 或 者 安 全 成 熟 度 较 低 的 企 业 。 这 类 企 业 由 于 安 全 建 设 的 不 完 善 ， 通 常 比 较 难 在 短 时 间 内 找 到 明 确 的 目 标 来 指 导 实 践 的 落 地 。 这 时 ， 反 向 操 作 的 效 果 可 能 会 更 好 点 ， 比 如 ： 先 评 估 当 前 企 业 面 临 的 真 实 威 胁 、 风 险 和 外 部 要 求 （ 如 合 规 和 政 策 需 求 ， 第 三 方 合 作 需 求 ） ， 然 后 评 估 优 先 级 ， 接 着 建 立 不 同 项 目 来 解 决 问 题 ， 随 后 根 据 项 目 的 成 果 来 指 定 短 中 长 期 计 划 ， 最 后 利 用 这 些 计 划 和 已 知 的 数 据 来 设 定 目 标 （ 即 所 谓 的 数 据 驱 动 安 全 ） ， 随 着 安 全 体 系 建 设 的 逐 步 成 熟 便 可 以 采 用 从 上 而 下 的 思 路 来 继 续 完 善 和 持 续 改 进 。
后 记 后 记 引 用 一 段 《 中 国 超 越 》 这 本 书 的 作 者 张 维 为 教 授 曾 经 在 其 书 中 提 到 的 一 段 话 ： 邓 小 平 说 过 ， 一 个 听 过 枪 声 的 士 兵 和 没 有 听 过 枪 声 的 士 兵 就 是 不 一 样 ， 实 地 考 察 过 一 个 地 方 和 没 有 考 察 过 也 是 不 一 样 的 。 笔 者 认 为 这 句 话 同 样 适 用 于 这 篇 文 章 的 主 题 ， 如 果 没 有 亲 身 参 与 过 体 系 化 的 安 全 建 设 或 进 行 过 体 系 化 的 安 全 思 考 ， 那 么 本 文 所 提 到 的 内 容 可 能 并 不 能 使 您 感 同 身 受 或 者 有 所 收 益 ， 但 期 望 这 篇 拙 劣 的 文 章 可 以 给 您 带 来 一 丝 思 考 和 启 发 。 最 后 ， 在 此 深 深 地 感 谢 平 时 在 工 作 学 习 中 给 予 我 帮 助 和 指 导 的 行 业 前 辈 们 以 及 来 自 于 “ 基 于 量 子 透 明 计 算 的 可 信 自 主 可 控 区 块 链 式 拟 态 安 全 态 势 感 知 的 威 胁 情 报 联 盟 微 信 交 流 群 ” 的 群 友 们 ， 让 笔 者 深 知 学 习 、 思 考 、 分 享 和 交 流 的 重 要 性 。 参 考 参 考 h t t p s : / / w w w . m i t r e . o r g / s i t e s / d e f a u l t / f i l e s / p u b l i c a t i o n s / p r - 1 3 - 1 0 2 8 - m i t r e - 1 0 - s t r a t e g i e s - c y b e r - o p s - c e n t e r . p d f h t t p : / / w w w . h a c k l i u . c o m / w p - c o n t e n t / u p l o a d s / f i l e / 2 0 1 8 0 3 2 6 / 1 5 2 2 0 6 3 0 0 4 7 7 5 7 2 8 . p d f h t t p s : / / e n . w i k i p e d i a . o r g / w i k i / A A A _ ( c o m p u t e r _ s e c u r i t y ) ) h t t p s : / / d n s r p z . i n f o / h t t p : / / a v f i s h e r . w i n / a r c h i v e s / 9 8 4 h t t p : / / a v f i s h e r . w i n / a r c h i v e s / 1 0 6 4 h t t p : / / a v f i s h e r . w i n / a r c h i v e s / 1 0 8 1 * 本 文 作 者 ： 本 文 作 者 ： 安 全 小 飞 侠 ， 转 载 请 注 明 来 自 安 全 小 飞 侠 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理