搜索

[16134] 2020-11-26_优秀安全负责人的方法论大揭秘INSECWORLDCSO论坛

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-18
2020-11-26_优秀安全负责人的方法论大揭秘INSECWORLDCSO论坛 优 秀 安 全 负 责 人 的 方 法 论 大 揭 秘   |   I N S E C   W O R L D   C S O 论 坛 原 创   M e g a n n a i n a i   F r e e B u f   2 0 2 0 - 1 1 - 2 6 寒 潮 南 下 ， 但 蓉 城 依 旧 “ 高 温 ” ， 不 仅 因 为 热 气 腾 腾 的 火 锅 包 围 着 这 座 城 市 ， 还 因 为 一 场 “ 神 秘 ” 的 安 全 大 会 正 在 这 里 如 火 如 荼 地 进 行 。 2 0 2 0 年 1 1 月 2 6 日 ， 第 二 届 I N S E C   W O R L D   成 都 · 世 界 信 息 安 全 大 会 隆 重 开 幕 。 举 办 方 I n f o r m a   M a r k e t s 成 功 举 办 过 B l a c k   H a t 这 种 顶 级 安 全 会 议 ， 也 曾 在 去 年 成 功 将 I N S E C   W O R L D 引 入 成 都 并 获 得 非 常 巨 大 的 影 响 力 。 新 一 年 中 ， 网 络 安 全 行 业 的 改 变 也 悄 然 而 至 。 顺 势 而 为 ， 我 们 需 要 新 的 头 脑 风 暴 ， 而 在 此 次 大 会 ， 一 些 令 人 疑 惑 的 答 案 自 然 揭 晓 。 人 ， 是 网 络 安 全 的 核 心 ， 即 是 问 题 制 造 方 ， 亦 是 问 题 解 决 方 。 在 护 航 企 业 网 络 安 全 过 程 中 ， 首 席 安 全 官 们 （ C S O ） 就 是 引 领 的 那 批 人 。 C S O 负 责 从 治 理 、 合 规 性 和 风 险 的 角 度 对 待 应 用 的 安 全 性 ， 以 最 低 的 成 本 解 决 安 全 风 险 。 聂 君 曾 提 到 ： “ 不 同 规 模 的 企 业 ， 如 何 去 选 择 合 适 的 安 全 策 略 或 者 解 决 方 案 ， 这 需 要 企 业 安 全 负 责 人 能 以 最 低 的 成 本 消 除 这 种 信 息 不 对 称 ， 选 择 当 下 最 优 解 决 方 案 ， 这 是 C S O 存 在 的 价 值 。 ” 而 今 天 的 论 坛 主 持 人 ， 华 住 集 团 的 副 总 裁 兼 C S O 王 彬 则 认 为 ， 随 着 国 家 对 信 息 安 全 的 重 视 ， 各 项 信 息 安 全 措 施 陆 续 出 台 ， 信 息 安 全 成 为 了 我 们 国 家 基 础 设 施 的 重 要 部 分 ， 对 于 C S O 本 分 的 能 力 提 出 了 更 大 的 挑 战 。 华 住 集 团 的 副 总 裁 兼 C S O 王 彬 随 着 企 业 对 于 C S O 的 需 求 凸 显 ， 新 兴 的 安 全 负 责 人 不 断 涌 现 。 C S O 该 如 何 引 领 公 司 驶 向 安 全 轨 道 ？ 且 听 业 内 专 家 分 析 — — 在 今 日 下 午 的 C S O 论 坛 中 ， 几 位 业 内 C S O 以 及 安 全 负 责 人 亲 自 上 阵 ， 传 大 厂 安 全 之 道 ， 授 实 际 操 作 之 业 ， 解 洞 察 未 来 之 惑 。 行 业 大 咖 坐 镇 、 思 维 火 花 碰 撞 ， 一 顿 安 全 行 业 的 “ 饕 餮 大 餐 ” 就 此 诞 生 。 浅 谈 安 全 产 品 的 内 生 安 全 实 践 浅 谈 安 全 产 品 的 内 生 安 全 实 践
武 鑫 — — 奇 安 信 去 年 ， 奇 安 信 集 团 董 事 长 齐 向 东 提 出 演 变 版 “ 内 生 安 全 ” ， 他 表 示 ， 内 生 安 全 框 架 有 三 个 重 点 ， 是 把 安 全 能 力 “ 理 清 楚 ” 、 “ 建 起 来 ” 、 “ 跑 得 赢 ” ， 目 的 是 通 过 “ 新 管 理 ” ， 让 网 络 安 全 体 系 具 有 动 态 防 御 , 主 动 防 御 , 纵 深 防 御 , 精 准 防 护 , 整 体 防 护 , 联 防 联 控 的 能 力 。 基 于 内 生 安 全 可 以 建 立 更 加 夯 实 的 应 用 安 全 能 力 。 值 得 一 提 的 是 ， 人 的 脆 弱 性 又 是 内 生 安 全 机 制 中 的 重 要 影 响 因 子 。 所 以 在 建 设 应 用 安 全 能 力 过 程 中 ， 对 于 人 的 管 理 也 是 非 常 重 要 的 方 法 论 。 基 于 奇 安 信 的 实 践 经 验 总 结 ， 武 鑫 仔 细 介 绍 了 从 安 全 文 化 、 检 查 清 单 、 供 应 链 安 全 、 D e v S e c O p s 四 个 方 面 如 何 做 应 用 安 全 能 力 支 撑 框 架 建 设 。 根 据 企 业 在 安 全 建 设 时 的 痛 点 ， 奇 安 信 的 相 关 框 架 建 设 具 体 方 法 论 可 以 作 为 参 考 ： 一 是 建 立 P S I R T 组 织 ， 推 动 漏 洞 高 校 闭 环 ， 从 流 程 上 设 计 并 完 善 组 织 架 构 ； 二 是 加 强 与 研 发 的 沟 通 ， 渗 透 安 全 理 念 ， 持 续 推 进 人 员 培 养 ， 提 升 白 盒 挖 掘 能 力 ； 三 是 打 造 S A S T 、 D A S T 、 I A S T 平 台 能 力 ， 建 立 工 具 链 并 完 善 ， 打 通 D e v S e c O p s 。 “ 打 破 公 司 墙 ， 延 续 安 全 开 发 带 来 的 自 身 安 全 能 力 到 运 营 阶 段 ， 做 好 基 础 安 全 防 护 一 定 程 度 上 能 对 抗 0 d a y 。 ” 武 鑫 提 出 了 展 望 ， 同 时 针 对 这 个 憧 憬 ， 他 也 给 出 了 几 条 实 践 建 议 ： 杜 绝 弱 口 令 ； 严 格 管 控 A C L ； 拆 分 部 署 应 用 和 控 制 台 ； 及 时 更 新 打 补 丁 ； 开 启 应 用 层 面 日 志 。 红 蓝 对 抗 中 的 溯 源 反 制 实 战 红 蓝 对 抗 中 的 溯 源 反 制 实 战
郭 威 — — 深 圳 证 券 交 易 所 信 息 安 全 主 管 C S O 在 大 众 的 概 念 里 或 许 更 偏 向 于 安 全 最 高 管 理 层 ， 但 在 2 0 1 7 年 的 一 个 调 查 里 显 示 ， 6 7 % 的 世 界 5 0 0 强 C S O 是 处 于 主 管 或 者 是 总 监 的 级 别 。 比 如 郭 威 也 是 在 负 责 安 全 项 目 的 同 时 ， 会 参 与 攻 防 实 战 工 作 。 红 蓝 对 抗 就 像 一 场 足 球 赛 ， 而 郭 威 在 演 讲 中 分 享 了 几 个 攻 防 演 练 过 程 中 的 溯 源 反 制 故 事 。 其 中 一 个 案 例 就 是 攻 击 方 的 某 队 员 通 过 官 网 找 到 了 他 们 的 技 术 交 流 群 ， 并 且 对 方 在 群 里 伪 造 成 一 个 基 金 公 司 的 员 工 ， 潜 伏 两 天 后 才 开 始 动 作 ， 在 群 里 发 了 一 条 网 络 安 全 整 改 事 项 信 息 。 收 到 信 息 后 ， 防 守 方 意 识 到 问 题 不 对 ， 直 接 把 对 方 踢 了 出 去 。 但 随 后 ， 郭 威 团 队 认 为 ， 这 是 一 个 反 制 机 会 。 于 是 ， 他 又 把 对 方 加 了 回 来 ， 通 过 进 一 步 溯 源 和 沟 通 信 息 确 定 了 对 方 是 攻 击 队 成 员 ， 并 且 分 析 了 对 方 当 时 链 接 里 的 信 息 。 此 外 ， 还 有 钓 鱼 邮 件 、 蜜 罐 反 制 等 善 用 策 略 的 手 段 。 不 过 ， 郭 威 也 表 示 ， 溯 源 反 制 并 不 是 针 对 所 有 攻 击 者 都 有 效 的 ， 尤 其 是 在 域 名 完 全 隐 藏 、 多 个 肉 鸡 跳 转 等 隐 藏 手 段 非 常 复 杂 的 场 景 下 ， 溯 源 的 难 度 会 大 大 上 升 。 那 么 ， 作 为 防 守 方 可 以 做 什 么 ？ 那 就 是 优 化 协 作 机 制 全 流 程 ， 从 属 性 分 类 、 报 告 标 题 等 细 节 上 做 到 更 好 ， 并 且 加 强 与 公 安 机 关 的 衔 接 。 可 用 安 全 可 用 安 全 — — 使 用 户 成 为 安 全 的 重 要 环 节 使 用 户 成 为 安 全 的 重 要 环 节
邓 永 基 — — T U V   A u s t r i a   C y b e r   S e c u r i t y   L a b   S o n   B i d   亚 太 区 总 监 信 息 安 全 的 考 验 随 着 数 字 化 革 命 的 演 进 日 益 严 峻 ， 各 式 安 全 防 护 的 功 能 和 手 段 不 断 推 陈 出 新 ， 在 大 家 忙 着 理 解 和 学 习 安 全 功 能 和 技 术 的 同 时 ， 有 一 个 很 关 键 的 问 题 逐 渐 凸 显 ： 有 些 安 全 功 能 或 技 术 虽 精 心 设 计 ， 但 是 因 未 充 分 考 虑 到 用 户 体 验 而 导 致 新 的 威 胁 。 如 ， 一 个 账 号 登 陆 界 面 对 于 密 码 设 置 要 求 过 去 复 杂 ， 尽 管 在 安 全 性 上 似 乎 更 高 ， 但 是 对 于 用 户 来 说 操 作 过 于 复 杂 ， 可 能 导 致 密 码 遗 忘 或 者 用 户 想 办 法 跳 过 这 个 流 程 ， 从 而 形 成 新 的 安 全 风 险 。 邓 永 基 表 示 ， 实 际 上 ， 用 户 是 安 全 链 中 最 薄 弱 的 环 节 。 “ 如 果 安 全 特 性 是 可 用 的 ， 用 户 就 更 可 能 正 确 的 使 用 它 ， 从 而 提 升 整 体 的 安 全 性 。 ” 他 说 ， 让 信 息 安 全 功 能 更 人 性 化 ， 才 能 更 好 地 发 挥 出 它 预 期 的 功 效 。 接 下 来 ， 他 从 数 据 和 隐 私 安 全 的 人 因 视 角 、 可 用 安 全 、 对 软 件 开 发 者 而 言 的 可 用 安 全 、 可 用 安 全 的 设 计 原 则 ， 方 法 和 样 例 四 个 方 面 介 绍 了 从 设 计 者 或 者 是 开 发 者 的 角 度 该 如 何 做 安 全 。 “ 我 们 现 在 已 经 有 2 3 条 原 则 ， 1 1 个 设 计 指 南 和 4 7 个 设 计 范 式 。 ” 邓 永 基 说 ： “ 应 该 避 免 用 户 变 成 最 薄 弱 的 一 环 ， 可 以 让 技 术 变 成 最 薄 弱 的 一 环 ， 这 样 对 技 术 人 员 来 说 更 容 易 克 服 。 ” 整 场 论 坛 中 ， 大 家 一 边 不 断 举 起 手 机 拍 照 记 笔 记 ， 一 边 认 真 聆 听 分 享 ， 专 注 的 神 情 中 透 露 着 将 大 咖 的 干 货 收 入 囊 中 的 期 望 。 的 确 ， 整 场 议 题 ， 无 论 是 安 全 意 识 ， 应 用 安 全 建 设 还 是 红 蓝 对 抗 等 ， 都 是 目 前 企 业 安 全 负 责 人 重 点 关 注 的 问 题 。 大 家 对 于 新 的 实 践 方 案 翘 首 以 待 ， 而 这 些 来 自 大 厂 专 家 的 干 货 分 享 则 可 以 避 免 大 量 企 业 在 未 来 的 安 全 建 设 过 程 中 走 弯 路 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理