搜索

[16774] 2021-05-11_智库说乐信刘志诚：从数据安全到业务安全的进阶之路

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2021-05-11_智库说乐信刘志诚：从数据安全到业务安全的进阶之路 智 库 说   |   乐 信 刘 志 诚 ： 从 数 据 安 全 到 业 务 安 全 的 进 阶 之 路 原 创   F r e e B u f 咨 询   F r e e B u f   2 0 2 1 - 0 5 - 1 1 与 智 者 同 行 ， 为 行 业 赋 能 。 F r e e B u f 咨 询 T T S P 智 库 作 为 行 业 安 全 专 家 聚 集 区 ， 旨 在 聚 合 每 一 份 安 全 中 坚 力 量 ， 以 促 进 网 络 安 全 行 业 技 术 创 新 和 知 识 布 道 为 价 值 导 向 ， 凝 聚 智 者 力 量 ， 思 维 碰 撞 、 经 验 共 享 ， 共 创 安 全 聚 合 新 力 量 。 F r e e B u f 咨 询 咨 询 T T S P 智 库 专 家 智 库 专 家   乐 信 集 团 信 息 安 全 中 心 总 监 刘 志 诚 乐 信 集 团 信 息 安 全 中 心 总 监 刘 志 诚 ， 在 2 0 2 1 数 据 安 全 与 数 据 治 理 高 峰 论 坛 上 分 享 了 议 题 《 从 数 据 安 全 到 业 务 安 全 - 业 务 安 全 进 阶 之 路 》 。 本 文 对 其 分 享 内 容 进 行 梳 理 和 展 示 。 乐 信 集 团 信 息 安 全 中 心 总 监 刘 志 诚 以 下 是 刘 志 诚 的 现 场 分 享 实 录 ： 以 下 是 刘 志 诚 的 现 场 分 享 实 录 ： 在 实 际 的 业 务 场 景 中 ， 你 会 发 现 安 全 做 到 一 定 程 度 后 会 越 来 越 关 注 跟 业 务 相 关 的 东 西 。 数 据 安 全 是 和 业 务 最 直 接 相 关
的 ， 安 全 重 点 是 为 了 保 护 数 据 。 做 完 数 据 安 全 之 后 ， 逐 渐 考 虑 业 务 安 全 怎 么 做 ， 它 和 传 统 业 务 风 控 之 间 的 关 系 是 怎 么 样 的 ？ 数 据 分 类 是 怎 么 分 的 ？ 数 据 分 类 是 怎 么 分 的 ？ 大 家 比 较 关 注 的 国 家 出 台 标 准 规 范 、 行 业 标 准 规 范 ， 还 有 我 们 自 己 的 实 际 经 验 。 数 据 分 类 如 果 你 从 事 互 联 网 行 业 ， 你 最 关 注 应 该 是 个 人 敏 感 数 据 个 人 敏 感 数 据 。 因 为 国 家 监 管 和 个 人 隐 私 保 护 的 需 求 越 来 越 旺 盛 。 公 安 、 通 信 管 理 局 等 部 门 都 在 关 注 A P P 安 全 、 数 据 采 集 、 权 限 管 理 ， 这 些 都 跟 个 人 数 据 相 关 。 第 二 个 是 业 务 数 据 业 务 数 据 ， 如 果 你 是 传 统 业 务 ， 你 关 注 的 可 能 是 业 务 数 据 本 身 。 第 三 个 是 商 业 数 据 商 业 数 据 ， 我 们 一 些 传 统 的 数 据 安 全 解 决 方 案 ， 重 点 就 是 解 决 这 方 面 的 一 些 问 题 。 很 多 人 谈 到 数 据 的 生 命 周 期 管 理 ， 例 如 采 集 、 传 输 存 储 、 处 理 、 使 用 、 分 享 、 处 置 这 些 环 节 。 有 一 点 大 家 可 能 会 忽 视 ， 就 是 收 敛 环 节 收 敛 环 节 。 如 果 你 是 互 联 网 业 务 ， 那 么 收 敛 是 一 个 非 常 关 键 的 问 题 。 例 如 ， 你 有 很 多 业 务 在 存 储 数 据 ， 特 别 是 个 人 敏 感 数 据 ， 是 分 散 存 储 还 是 集 中 存 储 ； 在 微 服 务 架 构 下 ， 对 敏 感 数 据 调 用 和 A P I 接 口 如 何 处 理 ？ 我 们 对 整 个 数 据 的 安 全 如 何 保 障 我 们 对 整 个 数 据 的 安 全 如 何 保 障 ？ ？
数 据 安 全 的 保 障 架 构 从 技 术 手 段 上 看 ， 第 一 是 合 规 要 求 ， 要 看 数 据 的 采 集 和 保 护 是 不 是 合 规 。 从 技 术 手 段 上 看 ， 第 一 是 合 规 要 求 ， 要 看 数 据 的 采 集 和 保 护 是 不 是 合 规 。 另 外 要 具 备 检 测 和 监 测 能 力 另 外 要 具 备 检 测 和 监 测 能 力 ， 你 能 不 能 监 测 到 数 据 风 险 问 题 ？ 监 测 的 目 的 是 为 了 预 警 ， 需 要 你 真 实 地 掌 握 数 据 安 全 的 全 景 ， 要 明 白 风 险 在 哪 里 ， 治 理 效 果 怎 么 样 。 还 涉 及 到 审 核 和 调 查 还 涉 及 到 审 核 和 调 查 。 在 传 统 的 数 据 生 命 周 期 里 ， 我 们 都 在 内 部 处 理 数 据 ， 但 是 现 在 互 联 网 业 务 环 境 中 ， 数 据 不 仅 是 内 部 ， 因 为 你 会 有 合 作 伙 伴 。 以 电 商 为 例 ， 所 有 商 户 、 物 流 之 间 的 数 据 交 互 ， 都 涉 及 到 用 户 数 据 分 享 的 问 题 。 在 分 享 环 节 ， 数 据 的 安 全 怎 么 保 障 ？ 如 何 保 证 所 有 合 作 伙 伴 在 数 据 安 全 上 不 会 出 问 题 ， 要 考 虑 用 技 术 手 段 实 时 监 控 接 口 和 数 据 分 享 处 理 的 过 程 。 再 举 一 个 例 子 ， 互 联 网 业 务 都 有 短 信 验 证 码 登 录 或 短 信 业 务 提 醒 服 务 ， 在 这 个 环 节 你 的 短 信 供 应 商 就 面 临 重 大 风 险 ， 你 能 保 证 你 的 数 据 不 会 泄 露 ， 但 你 不 能 保 证 合 作 伙 伴 的 。 所 以 审 核 合 作 伙 伴 的 能 力 也 是 非 常 重 要 的 。 除 了 审 核 ， 还 有 调 查 。 出 现 数 据 泄 露 后 ， 如 何 溯 源 、 追 查 ， 如 何 监 控 到 问 题 来 源 就 需 要 调 查 。 审 核 调 查 都 是 为 了 形 成 闭 环 ， 能 得 到 系 统 性 的 结 论 ， 更 好 地 呈 现 数 据 安 全 效 果 。 具 备 了 这 些 环 节 ， 才 算 构 建 了 一 个 数 据 安 全 的 保 障 体 系 。 总 结 一 下 ， 我 们 说 数 据 安 全 ， 除 了 平 常 看 到 的 标 准 规 范 、 最 佳 实 践 ， 还 需 要 注 意 采 集 合 规 ， 传 输 存 储 收 敛 加 密 、 分 享 控 制 、 风 险 监 测 、 对 合 作 伙 伴 的 准 入 和 审 核 机 制 。 业 务 安 全 怎 么 做 ？ 业 务 安 全 怎 么 做 ？ 我 们 做 业 务 安 全 要 围 绕 我 们 做 业 务 安 全 要 围 绕 的 的 资 产 是 什 么 ？ 主 要 关 注 两 点 ， 一 是 账 号 ， 二 是 交 易 。 资 产 是 什 么 ？ 主 要 关 注 两 点 ， 一 是 账 号 ， 二 是 交 易 。 交 易 包 括 所 有 的 业 务 动 作 和 行 为 。 业 务 安 全 重 要 的 是 关 注 漏 洞 业 务 安 全 重 要 的 是 关 注 漏 洞 ， 资 产 的 漏 洞 其 实 是 欺 诈 ， 欺 诈 会 带 来 账 户 和 交 易 风 险 ， 欺 诈 则 主 要 来 自 黑 灰 产 。 我 们 对 安 全 首 先 关 注 的 是 风 险 治 理 ， 风 险 被 定 义 之 后 ， 我 们 关 注 的 业 务 安 全 要 做 什 么 事 ？ 怎 么 能 检 测 出 来 风 险 ？ 这 就 需 要 有 一 个 动 态 监 测 机 制 来 监 测 业 务 安 全 问 题 ， 能 够 对 业 务 安 全 问 题 进 行 处 置 、 报 告 ， 能 够 体 系 化 地 展 现 实 际 的 业 务 安 全 水 平 。 除 了 这 些 措 施 之 外 ， 我 们 还 要 有 一 个 完 整 的 机 制 和 相 应 的 团 队 ， 要 具 备 处 理 这 些 业 务 安 全 问 题 的 方 法 ， 有 方 法 论 指 导 ， 有 相 应 的 工 具 产 品 和 平 台 ， 有 相 应 的 流 程 和 运 营 体 系 来 支 撑 你 做 好 这 件 事 情 。 风 险 识 别 、 处 理 措 施 和 的 管 理 体 系 才 能 构 成 完 整 的 业 务 安 全 。 风 险 识 别 、 处 理 措 施 和 的 管 理 体 系 才 能 构 成 完 整 的 业 务 安 全 。 在 业 务 安 全 中 ， 互 联 网 业 务 的 账 户 安 全 在 业 务 安 全 中 ， 互 联 网 业 务 的 账 户 安 全 ， 第 一 是 身 份 问 题 第 一 是 身 份 问 题 ， 例 如 身 份 证 号 码 、 手 机 号 码 、 人 脸 识 别 ， 这 是 判 断 用 户 是 否 是 真 实 用 户 的 关 键 特 征 。 第 二 是 用 户 环 境 第 二 是 用 户 环 境 ， 例 如 I P 地 址 、 地 理 位 置 信 息 以 及 用 户 访 问 业 务 的 终 端 是 A P P 还 是 浏 览 器 。 还 有 用 户 的 行 为 、 访 问 时 间 、 访 问 频 率 。 以 上 这 些 是 我 们 从 账 户 安 全 角 度 考 虑 ， 要 通 过 这 些 特 征 建 立 识 别 模 型 ， 可 以 检 测 和 监 测 欺 诈 用 户 访 问 业 务 ， 并 做 相 应 的 安 全 处 理 。 交 易 安 全 这 一 块 ， 我 们 是 关 心 的 是 业 务 逻 辑 问 题 。 交 易 安 全 这 一 块 ， 我 们 是 关 心 的 是 业 务 逻 辑 问 题 。 你 的 业 务 行 为 本 身 是 不 是 由 真 实 的 用 户 账 户 产 生 的 ， 而 不 是 一 些 机 器 人 访 问 带 来 的 行 为 ， 用 户 的 访 问 路 径 是 什 么 ， 终 端 环 境 和 访 问 方 法 是 什 么 。 现 在 我 们 业 务 系 统 都 是 微 服 务 接 口 模 式 ， 用 户 在 访 问 的 过 程 中 ， 是 针 对 一 个 接 口 还 是 针 对 有 业 务 逻 辑 接 口 的 模 式 ， 这 其 实 是 我 们 要 关 注 的 一 些 重 点 参 数 。 另 外 还 要 关 注 账 号 是 不 是 被 盗 用 ， 它 是 交 易 安 全 这 方 面 的 重 点 。 所 以 我 们 说 业 务 安 全 要 做 成 一 个 纵 深 的 防 御 体 系 业 务 安 全 要 做 成 一 个 纵 深 的 防 御 体 系 ， 要 具 备 以 下 几 点 。
业 务 安 全 的 纵 深 防 御 体 系 第 一 个 是 预 警 能 力 第 一 个 是 预 警 能 力 ， 当 业 务 风 险 或 者 账 户 和 交 易 欺 诈 行 为 进 入 系 统 时 ， 你 要 有 能 力 去 预 警 。 预 警 来 自 于 你 的 检 测 和 监 测 能 力 ， 它 依 赖 的 是 情 报 体 系 。 比 如 说 手 机 号 码 ， 哪 些 是 黑 灰 产 掌 控 的 号 码 ， 这 些 号 码 本 身 是 不 是 有 风 险 ？ 还 有 I P 地 址 的 标 签 和 特 征 。 这 些 第 三 方 情 报 为 你 的 检 测 和 监 测 能 力 提 供 依 据 ， 是 为 了 预 警 。 当 然 ， 你 通 过 检 测 和 监 测 能 力 也 会 采 集 到 相 应 数 据 ， 提 升 情 报 的 质 量 。 这 里 面 会 涉 到 内 部 的 关 联 分 析 ， 然 后 再 做 到 相 应 的 可 视 化 ， 可 以 体 现 你 整 个 业 务 安 全 的 技 术 体 系 。 第 二 个 是 处 置 能 力 第 二 个 是 处 置 能 力 。 我 们 需 要 的 是 实 时 的 处 理 能 力 ， 处 理 能 力 包 括 几 种 ： 第 一 是 阻 断 ， 通 过 前 面 的 分 析 能 够 及 时 发 现 高 风 险 行 为 用 户 ， 这 样 我 们 就 可 以 直 接 把 它 拒 掉 。 第 二 是 业 务 蜜 罐 ， 让 用 户 在 受 监 控 的 环 境 内 ， 我 们 可 以 分 析 用 户 行 为 和 账 号 ， 为 整 个 业 务 安 全 提 供 情 报 。 第 三 是 我 们 增 强 校 验 的 手 段 和 方 法 。 我 们 可 以 在 业 务 环 节 增 加 人 脸 识 别 来 确 保 用 户 的 真 实 性 。 这 是 根 据 你 判 断 的 风 险 程 度 来 采 用 不 同 的 手 段 。 为 什 么 在 业 务 安 全 体 系 要 做 到 实 时 处 置 ？ 为 什 么 在 业 务 安 全 体 系 要 做 到 实 时 处 置 ？ 这 问 题 其 实 来 源 于 有 多 少 真 实 的 业 务 流 量 。 从 流 量 角 度 上 分 析 ， 第 一 关 就 是 防 火 墙 从 流 量 角 度 上 分 析 ， 第 一 关 就 是 防 火 墙 ， i d s 、 i p s 可 以 从 网 络 层 阻 断 一 批 恶 意 流 量 ， 这 一 步 我 们 会 处 理 比 较 多 的 攻 击 流 量 。 第 二 关 是 第 二 关 是 W A F 层 层 ， 这 批 流 量 就 是 一 些 常 见 的 跨 站 、 S Q L 注 入 等 外 部 应 用 安 全 风 险 阻 断 。 第 三 关 是 非 系 统 用 户 产 生 的 流 量 第 三 关 是 非 系 统 用 户 产 生 的 流 量 ， 不 管 是 黑 灰 产 控 制 的 用 户 还 是 假 冒 欺 诈 用 户 ， 他 们 想 进 入 我 们 的 业 务 系 统 ， 但 他 们 不 能 产 生 业 务 价 值 ， 所 以 我 们 也 要 阻 断 这 一 部 分 流 量 。 从 我 们 的 经 验 分 析 ， 大 概 有 3 % 的 流 量 是 业 务 安 全 风 险 流 量 的 流 量 是 业 务 安 全 风 险 流 量 ， 它 不 是 真 实 用 户 产 生 的 流 量 ， 但 它 是 在 我 们 业 务 系 统 之 内 产 生 的 。 它 除 了 给 你 带 来 性 能 和 系 统 上 的 损 耗 之 外 ， 不 会 产 生 任 何 业 务 价 值 ， 特 别 是 重 大 促 销 活 动 的 时 候 ， 比 例 可 能 还 会 更 高 。 所 以 这 也 是 我 们 为 什 么 要 提 业 务 安 全 。 以 上 这 些 刚 刚 都 讲 到 了 。 预 警 需 要 什 么 ？ 需 要 数 据 源 ， 它 来 源 于 你 的 情 报 体 系 、 监 测 能 力 和 分 析 能 力 。 预 警 需 要 什 么 ？ 需 要 数 据 源 ， 它 来 源 于 你 的 情 报 体 系 、 监 测 能 力 和 分 析 能 力 。 在 处 置 环 节 ， 当 你 不 能 完 全 判 断 它 是 一 个 高 风 险 时 ， 例 如 你 只 有 5 0 % 的 把 握 时 ， 可 以 增 加 业 务 层 的 验 证 机 制 ， 比 如 通 过 刷 脸 来 提 高 它 的 门 槛 。 如 果 你 有 7 0 % 或 8 0 % 的 把 握 ， 可 以 让 他 在 沙 箱 、 蜜 罐 里 面 去 跑 整 个 业 务 流 程 ， 观 察 他 的 行 为 特 征 和 实 际 业 务 交 易 特 征 ， 然 后 再 去 做 准 确 判 断 。 1 0 0 % 判 断 被 黑 灰 产 控 制 的 账 号 ， 或 非 业 务 用 户 ， 我 们 就 可 以 直 接 去 阻 断 。 数 据 安 全 和 业 务 安 全 如 何 平 衡 ？ 数 据 安 全 和 业 务 安 全 如 何 平 衡 ？ 在 业 务 过 程 中 ， 可 能 业 务 部 门 和 安 全 部 门 对 是 不 是 安 全 流 量 有 不 同 的 看 法 。 在 业 务 过 程 中 ， 可 能 业 务 部 门 和 安 全 部 门 对 是 不 是 安 全 流 量 有 不 同 的 看 法 。 业 务 部 门 可 能 希 望 用 户 越 多 越 好 ， 他 不 一 定 关 注 用 户 是 否 带 来 业 务 价 值 。 但 安 全 部 门 是 要 提 供 预 警 和 判 断 的 能 力 ， 风 险 的 决 策 由 决 策 层 做 。
回 归 到 数 据 安 全 主 题 ， 你 会 发 现 做 安 全 也 需 要 数 据 ， 无 论 是 检 测 、 监 测 能 力 还 是 采 集 能 力 ， 都 要 和 用 户 数 据 打 交 做 安 全 也 需 要 数 据 ， 无 论 是 检 测 、 监 测 能 力 还 是 采 集 能 力 ， 都 要 和 用 户 数 据 打 交 道 。 道 。 从 用 户 数 据 角 度 看 ， 第 一 是 法 律 法 规 会 对 数 据 保 护 会 越 来 越 严 从 用 户 数 据 角 度 看 ， 第 一 是 法 律 法 规 会 对 数 据 保 护 会 越 来 越 严 ， 例 如 获 取 个 人 数 据 需 要 告 知 用 户 和 用 户 授 权 。 要 获 得 黑 灰 产 控 制 账 号 的 知 情 权 和 同 意 权 也 是 比 较 困 难 的 一 件 事 情 。 第 二 是 最 小 可 用 第 二 是 最 小 可 用 ， 用 户 数 据 采 集 要 遵 循 最 少 可 用 原 则 。 第 三 是 随 时 撤 销 第 三 是 随 时 撤 销 ， 即 使 你 采 集 了 用 户 数 据 ， 但 当 用 户 撤 销 授 权 时 ， 你 需 要 删 除 数 据 。 用 户 除 了 有 删 除 权 力 ， 还 有 转 移 和 更 正 的 权 力 。 这 些 权 利 是 双 刃 剑 ， 在 保 护 用 户 的 同 时 ， 也 会 对 业 务 和 安 全 有 影 响 。 从 业 务 安 全 角 度 看 ， 我 们 需 要 识 别 假 冒 、 伪 造 、 欺 骗 、 篡 改 和 自 动 化 攻 击 。 从 业 务 安 全 角 度 看 ， 我 们 需 要 识 别 假 冒 、 伪 造 、 欺 骗 、 篡 改 和 自 动 化 攻 击 。 它 和 用 户 数 据 有 关 ， 例 如 账 户 安 全 的 数 据 包 括 身 份 证 号 、 手 机 号 、 终 端 、 标 识 位 置 、 交 易 行 为 时 间 和 频 率 等 。 从 数 据 安 全 到 业 务 安 全 怎 么 做 到 用 户 数 据 和 业 务 安 全 的 平 衡 ， 我 们 需 要 考 虑 上 述 问 题 。 F r e e B u f 咨 询 咨 询 T T S P 智 库 专 家 正 在 招 募 中 ， 期 待 更 多 安 全 中 坚 力 量 加 入 ， 扫 描 下 方 二 维 码 获 取 更 多 信 息 。 智 库 专 家 正 在 招 募 中 ， 期 待 更 多 安 全 中 坚 力 量 加 入 ， 扫 描 下 方 二 维 码 获 取 更 多 信 息 。 刘 志 诚 演 讲 视 频 ： 刘 志 诚 演 讲 视 频 ： 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理