搜索

[11542] 2017-07-07_一个人的企业安全建设之路

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-07-07_一个人的企业安全建设之路 一 个 人 的 企 业 安 全 建 设 之 路 原 创   S o p h o n e   F r e e B u f   2 0 1 7 - 0 7 - 0 7 *   本 文 作 者 ： S o p h o n e ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前 言 前 言 如 今 很 多 中 小 型 互 联 网 公 司 对 安 全 需 求 不 高 ， 安 全 资 源 贫 乏 ， 领 导 只 重 视 业 务 忽 略 安 全 ， 在 这 种 情 况 下 可 能 安 如 今 很 多 中 小 型 互 联 网 公 司 对 安 全 需 求 不 高 ， 安 全 资 源 贫 乏 ， 领 导 只 重 视 业 务 忽 略 安 全 ， 在 这 种 情 况 下 可 能 安 全 人 员 很 难 立 足 ， 推 动 公 司 做 好 安 全 ， 从 而 进 入 了 进 退 两 难 的 窘 境 ， 目 前 从 事 国 内 某 车 联 网 公 司 ， 公 司 团 队 在 全 人 员 很 难 立 足 ， 推 动 公 司 做 好 安 全 ， 从 而 进 入 了 进 退 两 难 的 窘 境 ， 目 前 从 事 国 内 某 车 联 网 公 司 ， 公 司 团 队 在 3 0 0 人 左 右 ， 生 产 服 务 器 数 量 在 千 余 台 级 别 ， 业 务 线 冗 长 ， 以 下 给 各 位 介 绍 一 下 个 人 的 工 作 经 验 ： 人 左 右 ， 生 产 服 务 器 数 量 在 千 余 台 级 别 ， 业 务 线 冗 长 ， 以 下 给 各 位 介 绍 一 下 个 人 的 工 作 经 验 ： 一 、 熟 悉 环 境 一 、 熟 悉 环 境 该 部 分 为 后 续 工 作 做 铺 垫 ， 所 以 此 部 分 工 作 也 是 十 分 重 要 的 ， 首 先 需 要 有 如 下 三 个 图 ： 1 、 架 构 图 ： 架 构 图 ： 第 一 步 就 是 要 了 解 企 业 的 组 织 架 构 ， 认 清 哪 些 部 门 是 跟 自 己 紧 密 相 关 的 ， 哪 些 部 门 是 日 后 可 能 开 展 合 作 的 ， 安 全 信 息 应 该 发 给 谁 ， 这 些 都 是 十 分 必 要 的 ； 2 、 拓 扑 图 ： 拓 扑 图 ： 第 二 步 是 熟 悉 网 络 环 境 ， 公 司 之 前 也 可 能 采 购 了 一 些 安 全 设 备 ， 这 些 设 备 是 如 何 部 署 的 ， 部 署 在 哪 些 机 房 的 哪 个 节 点 下 ， 会 有 助 于 以 后 故 障 排 查 ； 3 、 业 务 图 ： 业 务 图 ： 第 三 部 是 熟 悉 业 务 ， 这 也 是 最 困 难 的 ， 一 个 企 业 可 能 有 多 个 业 务 ， 每 个 业 务 分 部 在 不 同 的 机 房 与 服 务 器 上 ， 这 些 就 算 无 法 完 全 梳 理 透 彻 ， 也 要 有 一 个 简 单 的 了 解 与 掌 握 ； 二 、 基 础 安 全 工 作 二 、 基 础 安 全 工 作 基 础 性 的 工 作 不 难 ， 但 琐 碎 ， 比 如 ： 周 期 性 安 全 测 试 、 设 备 运 维 、 弱 口 令 审 计 、 外 网 端 口 监 控 、 等 保 测 评 以 及 安 全 策 略 审 批 管 控 等 ， 如 何 优 化 做 好 这 部 分 工 作 十 分 重 要 ：
1 、 策 略 管 控 ： 策 略 管 控 ： 部 分 业 务 进 展 需 要 安 全 部 门 审 批 ， 如 果 对 业 务 非 常 熟 悉 的 情 况 下 可 以 坚 持 安 全 性 的 原 则 去 审 批 ， 但 往 往 并 没 有 那 么 熟 悉 ， 况 且 还 是 一 个 人 的 情 况 下 ， 可 以 先 放 宽 条 件 ， 日 后 再 逐 步 缩 紧 ， 但 不 要 成 为 背 锅 侠 ， 该 提 的 原 则 要 提 前 表 明 ， 锅 要 先 扣 到 业 务 部 门 头 上 ， 这 样 才 方 便 做 事 ； 2 、 安 全 测 试 ： 安 全 测 试 ： 在 有 限 的 时 间 内 周 期 性 对 重 点 业 务 进 行 渗 透 测 试 ， 每 次 迭 代 更 新 可 以 选 择 性 做 测 试 ， 比 如 大 版 本 改 动 时 ， 并 且 可 以 将 安 全 测 试 放 在 S D L 里 面 ， 在 S D L 阶 段 会 介 绍 我 的 方 式 方 法 ， 在 这 不 做 过 多 解 释 ； 3 、 设 备 运 维 ： 设 备 运 维 ： 起 初 还 是 需 要 了 解 一 下 安 全 设 备 的 ， 如 堡 垒 机 、 W A F 、 I P S   等 ， 不 出 问 题 则 罢 ， 一 旦 影 响 其 他 用 户 使 用 如 堡 垒 机 ， 就 会 比 较 头 疼 ， 建 议 提 前 了 解 好 设 备 处 故 障 的 “ 套 路 ” ； 4 、 账 号 审 计 ： 账 号 审 计 ： 弱 口 令 是 一 个 极 其 简 单 而 威 胁 程 度 又 特 别 高 的 安 全 隐 患 ， 性 价 比 极 高 ， 所 以 关 键 系 统 的 弱 口 令 一 定 要 排 除 ， 必 然 是 放 在 基 础 工 作 之 中 的 ； 5 、 外 网 端 口 监 控 ： 外 网 端 口 监 控 ： 端 口 监 控 刚 开 始 可 以 直 接 用 N m a p 扫 描 ， 手 工 肉 眼 核 查 ， 没 有 特 殊 端 口 开 放 即 可 ； 6 、 等 级 保 护 ： 等 级 保 护 ： 这 点 不 需 多 说 了 ， 都 是 套 路 ~ ~ ~ 三 、 优 化 工 作 三 、 优 化 工 作 根 据 上 述 基 础 工 作 大 致 可 以 看 出 ， 某 些 工 作 是 可 以 优 化 的 ， 如 果 你 不 优 化 ， 自 己 一 个 人 无 休 止 的 搞 下 去 ， 要 么 公 司 死 ， 要 么 你 死 。 1 、 端 口 监 控 自 动 化 ： 端 口 监 控 自 动 化 ： 外 网 端 口 监 控 每 次 都 手 动 扫 描 ， 然 后 人 工 肉 眼 核 查 是 特 比 L o w 的 方 式 ， 完 全 可 以 靠 脚 本 自 动 化 完 成 ，   p y t h o n 里 面 包 含 了 N m a p 模 块 ， 可 以 返 回 扫 描 结 果 ， 效 率 虽 然 比 直 接 使 用 N m a p 低 一 点 ， 但 也 可 以 将 就 ， 所 以 第 一 步 就 是 抽 时 间 写 了 自 动 化 的 监 控 脚 本 ， 当 然 也 可 以 借 助 巡 风 这 样 的 系 统 去 监 控 扫 描 ；
2 、 弱 口 令 死 于 初 始 化 ： 弱 口 令 死 于 初 始 化 ： 弱 口 令 审 计 重 点 把 控 几 个 位 置 ， 邮 箱 、 V P N 、 以 及 即 时 通 讯 软 件 （ 当 时 我 们 用 的 是 R T X ） ， 其 中 V P N 每 次 是 管 理 员 创 建 且 用 户 无 法 自 己 修 改 密 码 ， 一 般 没 什 么 问 题 ； 企 业 邮 箱 我 们 在 密 码 修 改 功 能 模 块 强 制 添 加 密 码 复 杂 度 策 略 ， 弱 口 令 无 法 通 过 ； R T X 已 经 弃 用 ， 并 不 需 要 付 出 太 多 精 力 ， 这 样 一 来 弱 口 令 审 计 工 作 也 从 此 消 失 。 3 、 安 全 扫 描 ： 安 全 扫 描 ： 如 今 的 A W V S 1 1 已 经 支 持 W e b 界 面 ， 更 加 直 观 ， 如 果 再 汉 化 一 下 就 更 加 得 心 应 手 ， 既 能 体 现 扫 描 结 果 ， 还 方 便 各 部 门 人 员 使 用 ， 可 以 从 一 台 机 器 上 搭 建 后 由 各 项 目 组 自 行 去 扫 描 测 试 ， 会 变 得 更 加 方 便 。 四 、 四 、 S D L 安 全 开 发 周 期 安 全 开 发 周 期 一 个 人 的 S D L 安 全 开 发 周 期 ？ 是 的 ， 没 错 ， 安 全 部 门 仅 一 人 ， 如 何 推 动 ？ 许 多 大 型 互 联 网 公 司 举 全 团 队 之 力 都 难 以 完 成 的 项 目 ， 如 何 一 个 人 去 完 成 ， 近 期 也 跟 朋 友 简 单 聊 过 ， 得 到 了 认 可 ， 答 案 就 是 “   阉 割 版 的 S D L ” ， 国 外 的 东 西 不 要 照 搬 ， 也 未 必 合 适 ， 但 思 路 可 以 借 鉴 ， 下 面 介 绍 一 下 个 人 的 思 路 ： 1 、 明 确 目 标 ： 明 确 目 标 ：   要 明 确 自 己 的 目 标 ， 什 么 是 S D L ， 自 己 能 做 多 少 ， 要 评 估 出 最 终 的 效 果 ， 在 我 看 来   S D L 简 单 概 括 就 是 ： 减 少 漏 洞 频 率 、 降 低 人 力 成 本 。 因 为 传 统 的 安 全 测 试 基 本 都 在 上 线 前 ， 漏 洞 不 断 重 复 出 现 ， 开 发 人 员 再 重 复 修 改 ， 效 率 极 其 低 下 。 2 、 团 队 支 持 ： 团 队 支 持 ： 其 次 才 是 得 到 各 项 目 组 负 责 人 的 认 可 ， 刚 开 始 大 领 导 支 持 还 好 ， 不 支 持 的 话 小 领 导 支 持 一 下 也 不 错 ， 当 然 要 让 他 们 知 道 推 动 S D L 的 目 标 是 给 他 们 减 轻 工 作 量 ， 而 不 是 增 加 成 本 。 然 后 从 各 项 目 组 安 排 一 名   “ 安 全 负 责 人 ” ， 这 样 很 多 安 全 工 作 的 落 地 对 接 ， 业 务 信 息 的 收 集 就 比 较 方 便 了 ， 并 且 还 安 排 他 们 讲 问 题 代 码 做 整 理 统 计 ， 形 成 内 部 的 “   漏 洞 库   ” ， 以 此 作 为 S D L 的 基 础 。 3 、 项 目 选 择 ： 项 目 选 择 ： 项 目 选 择 也 十 分 重 要 ， 有 些 项 目 领 导 压 得 紧 ， 别 说 S D L 了 ， 正 常 的 安 全 测 试 都 做 不 完 就 需 要 紧 急 上 线 ， 这 种 并 不 适 合 你 自 己 去 搞 S D L ， 可 以 选 择 一 个 迭 代 没 那 么 快 ， 最 好 周 期 性 的 项 目 最 佳 。 4 、 安 全 负 责 人 核 心 价 值 ： 安 全 负 责 人 核 心 价 值 ： 每 个 项 目 组 的 “ 安 全 负 责 人   ”   作 为 接 口 人 主 要 两 方 面 作 用 ： 第 一 是 在 开 发 过 程 中 能 看 到 功 能 的 实 现 方 式 ， 可 提 前 避 免 出 现 安 全 漏 洞 ； 第 二 是 在 开 发 后 修 复 漏 洞 时 可 以 协 助 安 全 人 员 归 纳 总 结 ， 提 取 案 例 ， 将 修 复 后 的 代 码 提 取 出 来 供 其 他 项 目 组 参 考 ， 这 样 无 形 之 中 减 少 了 很 多 沟 通 与 重 复 撸 代 码 的 成 本 ， 后 来 发 现 安 全 负 责 人 这 个 概 念 在 唯 品 会 有 使 用 。 5 、 他 山 之 石 ： 他 山 之 石 ： 从 测 试 部 门 “ 借 人 ” ， 做 功 能 测 试 的 人 员 要 比 安 全 测 试 人 员 更 加 熟 悉 业 务 ， 这 样 其 实 更 容 易 发 现 细 微 的 逻 辑 漏 洞 ， 所 以 跟 测 试 部 门 强 强 联 手 也 是 是 非 必 要 的 ， 这 块 参 考 京 东 的 一 部 分 做 法 。 五 、 制 度 推 动 五 、 制 度 推 动 具 体 落 地 时 还 会 有 很 多 问 题 ， 很 多 工 作 空 口 无 凭 ， 口 头 承 诺 不 代 表 一 定 会 做 ， 所 以 有 相 关 制 度 流 程 是 一 种 控 制 措 施 ， 但 不 是 完 全 有 效 的 ， 比 如 ：
1 、 所 有 上 线 走 J I R A ， 安 全 审 批 后 才 能 上 线 ； 2 、 安 全 负 责 人 不 会 平 白 无 故 给 你 干 活 ， 能 在 制 度 绩 效 上 为 他 们 谋 福 利 一 定 要 去 努 力 ； 3 、 每 月 定 期 召 开 安 全 月 会 ， 请 大 领 导 参 加 ， 并 将 目 前 的 安 全 问 题 抛 出 来 由 大 领 导 拍 板 定 夺 ； 六 、 安 全 意 识 六 、 安 全 意 识 最 后 来 说 安 全 意 识 ， 也 是 贯 穿 始 终 的 ， 目 前 以 培 训 方 式 为 主 ， 地 毯 式 轰 炸 为 辅 ， 尽 3 0 % 努 力 去 覆 盖 7 0 % 的 成 员 就 觉 得 已 经 成 功 了 ， 做 安 全 不 要 总 想 着 1 0 0 % ， 实 际 工 作 主 要 是 ： 1 * * 、 平 台 搭 建 ： * * 公 司 内 网 搭 建 信 息 安 全 中 心 （ 包 含 乌 云 的 镜 像 网 站 、 X S S 跨 站 平 台 ； 攻 防 演 练 平 台 、   A W V S 远 程 扫 描 、 以 及 巡 风 系 统 ） ， 来 源 都 是 比 较 简 单 的 开 源 系 统 ， 但 方 便 推 广 ， 也 比 较 实 用 一 些 ， 主 要 是 有 一 种 归 属 感 ， 起 码 有 个 平 台 属 于 自 己 ； 2 * * 、 安 全 培 训 ： * * 安 全 意 识 培 训 可 以 对 公 司 的 人 力 、 财 务 、 新 员 工 等 做 培 训 ， 偶 尔 也 发 几 个 钓 鱼 邮 件 给 被 培 训 的 同 事 （ 2 0 %   中 招 概 率 ） ， 都 是 比 较 好 玩 的 过 程 ； 3 * * 、 安 全 文 章 ： * * 如 果 公 司 有 内 刊 的 话 可 以 写 几 个 安 全 科 普 的 文 章 ， 虽 然 很 多 人 不 看 ， 但 领 导 偶 尔 闲 暇 会 瞄 一 眼 ， 不 要 放 过 任 何 一 个 角 落 与 机 会 ， 包 括 此 文 也 希 望 更 多 中 小 型 企 业 借 鉴 推 广 ， 希 望 提 供 参 考 价 值 。 *   本 文 作 者 ： S o p h o n e （ 微 信 ： w x 6 3 1 7 6 8 2 9 2 ） ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理