搜索

[12137] 2017-12-19_话题讨论“传说中”的甲方安全

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-12-19_话题讨论“传说中”的甲方安全 话 题 讨 论   |   “ 传 说 中 ” 的 甲 方 安 全 F a l l e n A n g e l s   F r e e B u f   2 0 1 7 - 1 2 - 1 9 * 本 文 作 者 ： F a l l e n A n g e l s ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前 言 ： 前 言 ： 之 前 有 人 跟 我 说 甲 方 的 安 全 技 术 人 员 不 如 乙 方 。 但 是 事 实 上 我 了 解 的 却 是 多 数 之 前 有 人 跟 我 说 甲 方 的 安 全 技 术 人 员 不 如 乙 方 。 但 是 事 实 上 我 了 解 的 却 是 多 数 “ 技 术 高 超 技 术 高 超 ”   的 乙 方 人 员 无 法 胜 任 的 乙 方 人 员 无 法 胜 任 甲 方 的 工 作 ， 先 别 急 着 反 驳 甲 方 的 工 作 ， 先 别 急 着 反 驳   , 我 们 先 来 看 看 技 术 人 员 对 比 。 我 们 先 来 看 看 技 术 人 员 对 比 。 一 、 工 作 内 容 对 比 一 、 工 作 内 容 对 比 既 然 是 对 比 ， 我 们 先 来 看 看 工 作 内 容 。 这 里 我 们 提 到 的 乙 方 是 指 乙 方 的 安 服 人 员 。 1 .   安 全 评 估 ： 安 全 评 估 ： 甲 方 安 全 人 员 比 较 少 ， 需 要 的 是 全 能 型 技 术 人 员 ， w e b 评 估 ， 移 动 应 用 评 估 ， 物 联 网 产 品 评 测 甚 至 是 公 司 购 买 产 品 的 评 估 。 相 应 的 ， 技 能 熟 练 度 要 求 相 对 较 低 。 （ 技 术 深 度 靠 众 测 弥 补 ） 对 于 乙 方 而 言 ， 技 术 人 员 相 对 较 多 ， 需 要 的 是 针 对 性 人 才 ， 只 要 精 通 一 个 方 向 的 评 测 即 可 。 技 能 熟 练 度 要 求 较 高 ， 当 然 ， 这 也 是 乙 方 技 术 比 甲 方 高 的 原 因 之 一 ， 至 少 在 挖 洞 方 面 。 （ 当 然 也 有 部 分 乙 方 实 在 是 不 敢 恭 维 ， 发 现 个 漏 洞 ， 给 个   “   你 懂 得 ”   的 描 述 ， 一 个 谁 都 看 得 懂 ， 但 是 谁 都 不 知 道 怎 么 做 的 修 复 方 案 ， 就 走 了 ， 问 题 定 位 ， 具 体 整 改 方 案 都 交 给 甲 方 安 全 人 员 了 ） 2 .   代 码 审 计 代 码 审 计 身 处 甲 方 ， 说 实 话 ， 代 码 审 计 这 种 东 西 肯 定 不 能 少 ， 业 务 系 统 那 么 多 ， 尤 其 是 在 外 包 公 司 ， 依 赖 自 动 化 审 计 工 具 都 有 点 吃 力 。 毕 竟 工 作 量 在 那 摆 着 呢 ， 能 审 计 出 常 规 问 题 就 不 错 了 。 毕 竟 除 了 审 计 还 有 其 他 事 情 要 做 ， 能 做 的 是 尽 可 能 减 少 安 全 隐 患 。 身 在 乙 方 ， 代 码 审 计 都 是 按 照 项 目 来 划 分 的 ， 人 员 技 能 当 然 不 用 说 ， 毕 竟 是 针 对 性 的 。 这 也 是 乙 方 技 术 比 甲 方 高 的 原 因 之 一 ， 乙 方 还 是 胜 在 专 精 。 3 .   应 急 响 应 应 急 响 应 甲 方 安 全 技 术 头 疼 的 事 情 之 一 ， 业 务 部 门 被 攻 击 了 ， 服 务 器 中 病 毒 了 ， 新 漏 洞 曝 光 了 等 等 。 这 个 处 理 方 法 甲 乙 方 都 一 样 ， 但 是 乙 方 处 理 完 了 给 个 建 议 就 可 以 走 了 ， 甲 方 呢 ， 处 理 完 了 ， 不 光 给 建 议 ， 还 要 具 体 的 操 作 ， 协 同 处 理 ， 连 打 个 补 丁 ， 都 要 你 把 地 址 给 出 来 ， 补 丁 下 载 好 ， 写 个 补 丁 安 装 手 册 ， 然 后 事 件 回 顾 ， 各 种 报 告 。 光 流 程 就 多 了 好 多 。 乙 方 就 比 较 好 了 ， 针 对 什 么 时 间 有   什 么 样 的 技 术 人 员 支 持 ， 找 出 问 题 ， 给 出 建 议 ， 至 于 你 们 能 不 不 能 实 现 ， 管 他 呢 ， 反 正 我 们 有 规 定 不 能 操 作 你 们 的 关 键 设 置 。 然 后 任 务 就 给 了 甲 方 … … 4 .   认 证 审 计 认 证 审 计 好 吧 ， 这 个 事 情 基 本 上 不 会 断 的 ， 各 种 内 审 外 审 ， 审 到 你 能 怀 疑 人 生 。 工 作 两 年 ， 技 术 人 员 都 可 以 当 审 计 咨 询 顾 问 了 。 我 们 来 看 看 乙 方 ， 依 旧 是 有 专 人 负 责 这 块 服 务 ， 但 是 他 们 只 需 要 给 出 建 议 ， 讲 讲 审 计 内 容 ， “ 可 能   ”   需 要 的 资 料 ， 然 后 资 料 准 备 ， 合 不 合 格 他 们 也 不 知 道 啊 。 毕 竟 决 定 权 还 在 审 计 老 师 手 里 。
5 .   安 全 管 控 平 台 安 全 管 控 平 台 这 里 我 不 得 不 说 ， 甲 方 的 强 大 ， 都 是 逼 出 来 的 ， 任 务 那 么 多 ， 时 间 那 么 少 ， 自 动 化 平 台 就 出 来 ， 这 里 可 以 参 考 大 神 的 思 路 ， 分 布 式 漏 洞 扫 描 系 统   （ 其 实 这 个 思 路 不 止 可 以 做 扫 描 系 统 ， 我 们 公 司 的 安 全 管 理 平 台 ， 按 照 这 个 思 路 设 计 的 ， 说 到 这 ， 我 突 然 间 想 写 一 篇 文 章 “ 一 个 人 的 安 全 平 台 研 发 部   ”   ， 对 的 ， 我 们 公 司 的 平 台 就 是 一 个 人 研 发 的 。 ） ， 当 然 如 果 你 运 气 比 较 好 ， 刚 入 职 就 发 现 公 司 有 这 个 东 西 ， 那 么 恭 喜 你 ， 中 奖 了 ， 好 多 事 情 都 简 化 了 。 乙 方 安 服 ， 我 不 是 很 清 楚 他 们 需 要 这 个 吗 ？ ？ ？ 有 知 道 的 跟 我 说 一 下 。 6 .   工 作 汇 报 工 作 汇 报 身 在 甲 方 ， 安 全 怎 么 体 现 价 值 ， 工 作 汇 报 是 重 中 之 重 ， 绝 不 含 糊 ， 你 辛 辛 苦 苦 付 出 那 么 多 ， 没 问 题 理 所 应 当 ， 有 问 题 就 是 你 的 锅 。 关 键 是 不 出 问 题 领 导 不 知 道 你 干 了 什 么 啊 （ 死 循 环 中 ） ， 所 以 工 作 汇 报 ， 数 据 最 重 要 ， 这 个 时 候 ， 安 全 平 台 加 上 安 全 设 备 上 的 数 据 就 成 了 救 命 稻 草 。 所 有 各 种 设 备 操 作 ， 数 据 汇 总 分 析 ， 图 标 展 示 等 要 求 一 个 也 不 能 少 ， 基 本 上 每 周   4 0 %   的 时 间 都 是 在 写 报 告 （ 如 此 浪 费 时 间 ， 技 术 怎 么 提 高 ） 。 乙 方 安 服 的 话 ， 他 们 有 工 单 ， 做 了 多 少 事 ， 什 么 时 候 做 ， 带 来 多 少 价 值 ， 基 本 上 明 明 白 白 ， 只 要 专 心 干 活 就 好 了 。 7 .   预 留 预 留 讲 真 ， 其 他 的 工 作 内 容 我 就 没 碰 到 过 ， 要 有 的 话 ， 欢 迎 大 家 在 评 论 区 补 充 。 二 、 拨 乱 反 正 二 、 拨 乱 反 正 既 然 工 作 内 容 对 比 完 了 ， 我 们 会 发 现 ， 乙 方 技 术 比 甲 方 高 ， 赢 在 专 精 上 ， 很 明 显 ， 乙 方 技 术 单 独 来 到 甲 方 ， 很 快 会 被 工 作 内 容 淹 没 （ 之 前 有 一 个 乙 方 的 朋 友 问 我 甲 方 工 作 内 容 ， 我 给 他 说 完 ， 他 就 开 始 怀 疑 自 己 能 不 能 在 甲 方 工 作 下 去 了 ， 其 实 他 w e b 渗 透 还 不 错 ） 。 当 然 ， 别 担 心 ， 既 然 本 文 是 写 甲 方 安 全 技 术 的 生 存 之 道 ， 那 么 就 来 说 说 ， 怎 么 生 存 在 甲 方 。 第 一 关 ， 关 于 未 知 领 域 的 项 目 第 一 关 ， 关 于 未 知 领 域 的 项 目 想 做 安 全 ， 无 论 什 么 情 况 下 ， 基 础 的 安 全 技 能 都 是 必 要 的 。 最 少 要 有 自 己 擅 长 的 技 术 。 这 是 你 在 工 作 的 根 基 ， 不 能 忘 本 啊 ， 一 点 技 术 都 没 有 ， 怎 么 通 过 面 试 的 。 当 然 有 了 根 基 以 后 ， 就 要 开 始 扩 展 了 ， 毕 竟 甲 方 事 情 多 ， 人 却 少 。 至 于 怎 么 扩 展 ， 要 知 道 无 论 哪 种 类 型 渗 透 ， 本 质 是 不 变 的 。 我 们 举 一 个 例 子 ， 大 家 体 会 一 下 怎 么 扩 展 。 你 是 做 w e b 安 全 的 ， 现 在 公 司 让 你 评 估 一 个 A P P 项 目 ， 怎 么 完 成 呢 （ 安 全 技 术 没 有 速 成 ， 但 是 安 全 可 以 循 序 渐 进 ） ， 首 先 项 目 进 度 在 那 ， 那 我 们 先 从 熟 悉 的 方 向 入 手 1 . 先 把 服 务 器 和 网 站 作 为 单 独 的 一 块 进 行 评 测 ， 先 保 证 项 目 进 度 。 2 . A P P 评 估 ， 首 先 需 要 找 的 是 A P P 的 攻 击 面 ， 列 出 一 个 表 单 ， 然 后 根 据 这 个 表 单 ， 根 据 表 单 找 到 方 向 。 （ 这 里 你 没 有 基 础 ， 但 是 你 有 目 标 ， 针 对 性 的 找 评 测 方 法 ， 缩 短 本 次 评 估 的 学 习 周 期 ） 。 3 . 找 到 攻 击 面 了 ， 那 开 始 测 试 ， 既 然 w e b 有 扫 描 器 ， 那 么 a p p 就 有 分 析 工 具 ， 百 度 然 后 发 现 一 个 M o b S F 的 自 动 化 评 测 工 具 ， 在 一 无 所 知 的 情 况 下 ， 自 动 化 工 具 是 最 好 的 选 择 。 然 后 对 照 攻 击 面 ， 进 行 对 照 分 析 （ 平 时 学 习 也 可 以 这 么 做 ） 。 4 . 但 是 到 这 里 就 结 束 了 吗 ， 很 明 显 ， 做 到 以 上 ， 你 只 是 在 应 付 任 务 ， 如 果 你 想 长 久 地 工 作 下 去 ， 就 必 须 在 这 个 基 础 上 提 升 。 结 合 项 目 进 度 ， 我 们 利 用 手 上 的 资 源 或 者 朋 友 ， 找 a p p 的 评 估 的 资 料 或 者 外 援 ， 进 行 二 次 扩 展 ， 请 牢 记 一 点 ， 外 援 可 以 请 ， 但 是 仅 限 于 方 法 ， 而 不 是 项 目 ， 毕 竟 保 密 范 围 在 那 ， 你 可 以 根 据 之 前 列 的 表 单 ， 针 对 性 的 去 咨 询 。
5 . 写 报 告 ， 到 这 里 ， 你 就 可 以 写 评 测 报 告 和 整 改 建 议 了 。 然 后 开 始 应 对 对 方 无 休 止 的   “   困 （ 基 ） 难 （ 础 ） ” 技 术 咨 询 。 这 段 时 间 ， 你 要 开 始 根 据 你 这 次 评 估 ， 形 成 针 对 这 类 项 目 的 方 案 ， 包 括 评 估 计 划 ， 评 估 方 案 ， 报 告 模 板 ， 检 查 列 表 （ 这 个 列 表 是 你 扩 展 的 基 础 ， 重 中 之 重 ） 。   应 对 以 后 类 似 的 评 估 ， 至 少 会 比 这 次 轻 松 不 少 。 6 . 项 目 到 这 结 束 了 吗 ， 当 然 不 是 ， 别 忘 了 你 在 甲 方 ， 不 是 那 种 评 测 完 就 可 以 走 人 的 安 服 。 这 个 项 目 后 期 还 有 周 期 评 测 ， 新 上 线 评 测 以 及 后 续 的 加 固 （ 这 也 是 我 为 什 么 敢 建 议 你 进 行 初 步 评 测 原 因 ， 因 为 无 论 D e a d l i n e 在 哪 天 ， 它 的 安 全 责 任 最 后 还 是 会 到 你 ） 。 回 归 正 道 。 评 测 完 成 了 ， 你 应 该 就 知 道 你 还 差 什 么 ， 然 后 开 始 利 用 空 闲 时 间 以 及 以 后 类 似 项 目 扩 展 你 的 项 目 评 估 方 案 。 7 . 扩 展 完 你 的 通 用 评 估 方 案 ， 你 需 要 以 复 查 或 周 期 检 查 为 由 ， 对 之 前 不 完 善 的 评 估 项 目 二 次 评 测 。 至 于 更 深 层 次 的 ， 就 需 要 依 赖 众 测 平 台 或 者 你 们 公 司 的 S R C 了 。 第 二 关 ， 关 于 应 急 响 应 第 二 关 ， 关 于 应 急 响 应 乙 方 是 针 对 特 定 事 件 响 应 的 ， 但 是 作 为 甲 方 的 你 ， 需 要 应 急 的 事 件 是 不 定 向 的 ， 预 防 就 很 重 要 了 。 外 部 攻 击 ， 服 务 器 中 毒 等 ， 根 据 经 验 来 吧 ， 但 是 新 漏 洞 的 应 急 响 应 ， 就 比 较 费 劲 了 。 所 以 ， 作 为 安 全 人 员 的 你 ， 对 内 ， 需 要 收 集 整 理 公 司 内 的 资 产 信 息 了 ， 对 外 ， 关 注 最 新 的 安 全 通 告 ， 当 然 ， 最 重 要 的 还 是 整 改 ， 需 要 费 一 番 功 夫 。 1 .   对 内 ， 收 集 资 产 信 息 对 内 ， 收 集 资 产 信 息 我 的 方 案 有 三 个 ， 第 一 ， 找 运 维 团 队 ， 从 他 们 手 里 获 取 现 成 的 数 据 ， 第 二 ， 使 用 自 动 化 平 台 进 行 收 集 处 理 ， 第 三 ， 找 领 导 ， 各 部 门 配 合 收 集 ， 或 者 借 助 审 计 ， 把 需 要 的 资 料 收 集 全 。 我 比 较 推 荐 第 二 个 ， 毕 竟 自 动 化 平 台 才 能 保 证 数 据 正 常 更 新 。 自 动 化 平 台 的 话 ， g i t h u b 开 源 的 很 多 ， 改 一 改 就 能 用 了 ， 只 要 能 快 速 查 询 受 影 响 服 务 器 和 负 责 人 就 好 了 。 2 .   对 外 ， 安 全 动 态 关 注 对 外 ， 安 全 动 态 关 注 讲 真 ， 这 个 最 不 担 心 ， 毕 竟 安 全 圈 就 这 么 大 ， 只 要 不 是 消 息 特 别 闭 塞 ， 翻 一 翻 资 料 就 全 有 了   。 3 .   整 改 ， 规 范 化 整 改 整 改 ， 规 范 化 整 改 这 个 的 话 ， 我 都 是 把 漏 洞 的 修 复 方 案 操 作 一 遍 ， 弄 个 修 复 指 南 ， 给 有 问 题 的 部 门 发 过 去 ， 遇 到 有 多 种 修 复 方 案 的 ， 都 试 一 遍 ， 反 正 在 甲 方 ， 这 事 你 跑 不 了 。 写 成 指 南 ， 能 省 好 多 时 间 ， 毕 竟 你 还 要 花 很 多 时 间 去 跟 业 务 部 门 交 （ 扯 ） 流 （ 皮 ） 漏 洞 该 不 该 改 ， 他 们 业 务 会 不 会 停 之 类 的 。 第 三 关 ， 关 于 安 全 管 控 平 台 第 三 关 ， 关 于 安 全 管 控 平 台 这 个 是 身 在 甲 方 工 作 存 活 下 去 的 重 点 ， 尤 其 是 安 全 人 员 比 较 少 的 公 司 ， 先 说 说 我 们 的 管 控 平 台 吧 ， 下 边 这 个 列 表 是 我 们 当 前 已 经 完 成 的 （ 毕 竟 属 于 公 司 资 产 ， 审 批 通 过 了 ， 我 就 把 这 个 系 统 开 源 ， 一 个 人 维 护 这 个 系 统 很 累 的 ） 。  
第 四 关 ， 关 于 工 作 汇 报 第 四 关 ， 关 于 工 作 汇 报 这 一 点 做 不 好 的 话 ， 当 真 是 欲 哭 无 泪 。 常 规 呢 ， 有 日 报 、 周 报 、 月 报 、 季 度 汇 总 、 年 度 总 结 ， 领 导 有 兴 趣 了 ， 还 有 针 对 各 个 项 目 的 汇 报 。 每 周 都 有 4 0 % 的 时 间 在 写 汇 报 资 料 或 者 在 汇 报 （ 好 在 自 动 化 平 台 建 的 好 ， 不 然 数 据 都 没 法 看 ） 。 当 然 ， 我 们 需 要 的 是 完 成 这 些 ， 而 不 是 抱 怨 。 首 先 ， 安 全 设 备 上 的 日 志 、 安 全 平 台 的 数 据 ， 这 些 都 很 容 易 ， 固 定 好 模 板 就 好 ， 正 如 上 面 提 到 的 ， 安 全 是 个 循 序 渐 进 的 过 程 ， 作 为 安 全 ， 我 们 需 要 展 示 的 数 据 分 为 以 下 几 个 方 面 ： 1 . 我 们 做 了 什 么 ， 这 一 部 分 数 据 来 源 就 是 安 全 部 门 被 分 派 的 任 务 了 ， 设 计 一 个 表 格 ， 每 次 做 完 一 个 项 目 ， 直 接 写 里 边 ， 周 报 、 月 报 、 季 度 总 结 、 年 度 汇 报 的 数 据 就 有 了 。 2 . 我 们 做 了 哪 些 投 入 ， 产 生 什 么 效 果 ， 做 安 全 ， 通 常 会 建 议 买 许 多 安 全 设 备 ， 我 们 需 要 把 这 些 设 备 的 投 入 和 所 达 到 的 效 果 进 行 一 个 量 化 对 比 ， 这 个 数 据 来 源 就 是 安 全 设 备 日 志 了 ， 建 立 好 模 板 ， 每 次 汇 报 导 入 数 据 就 好 了 。 3 . 公 司 安 全 状 态 正 在 往 好 的 发 展 ， 比 如 说 我 们 周 期 巡 检 范 围 扩 大 ， 检 测 种 类 增 多 , 这 些 是 渐 进 式 的 。 4 . 当 前 的 不 足 ， 这 一 点 需 要 注 意 ， 提 出 不 足 的 同 时 ， 给 出 你 正 在 实 施 的 改 进 方 案 。 第 五 关 ， 关 于 第 五 关 ， 关 于 “ 无 事 可 做 无 事 可 做 ” 这 一 关 是 难 点 ， 也 是 重 点 ， 其 实 在 公 司 安 全 工 作 步 入 正 轨 以 后 （ 这 个 按 照 各 人 理 解 是 各 个 事 件 都 有 规 范 流 程 ， 线 上 操 作 处 理 ， 反 正 我 们 公 司 还 没 到 正 轨 ， 毕 竟 安 全 人 太 少 了 ， 小 小 吐 槽 ） ， 安 全 技 术 人 员 空 闲 时 间 可 能 就 多 了 ， 这 个 时 候 可 不 能 闲 着 ， 毕 竟 咱 们 的 主 要 目 标 是 公 司 整 体 安 全 。 这 个 时 候 安 全 培 训 就 很 重 要 了 。 个 人 理 解 培 训 分 三 类 第 一 类 ： 安 全 意 识 培 训 第 一 类 ： 安 全 意 识 培 训
这 个 大 家 都 知 道 ， 就 不 多 说 ， 网 上 很 多 资 料 ， 同 一 套 资 料 ， 列 个 计 划 表 ， 周 期 培 训 。 第 二 类 ： 安 全 审 计 培 训 第 二 类 ： 安 全 审 计 培 训 这 个 的 话 ， 主 要 是 应 对 内 、 外 审 计 的 ， 每 次 审 计 前 进 行 培 训 就 好 ， 各 部 门 审 计 接 口 人 作 为 培 训 对 象 。 （ 这 个 的 话 ， 可 以 按 照 不 同 审 计 标 准 写 一 个 资 料 收 集 系 统 ， 让 他 们 每 月 按 照 系 统 提 示 上 交 资 料 ， 审 计 的 时 候 直 接 调 出 来 就 好 了 ， 因 为 内 容 比 较 多 ， 还 没 彻 底 实 现 T _ T ） 第 三 类 ： 研 发 、 运 维 安 全 培 训 第 三 类 ： 研 发 、 运 维 安 全 培 训 这 个 的 话 ， 直 接 从 安 全 平 台 调 用 数 据 ， 看 看 哪 个 研 发 漏 洞 多 ， 然 后 针 对 性 的 给 培 训 ， 效 果 非 常 明 显 ， 之 前 研 发 说 任 务 重 ， 不 接 受 培 训 ， 然 后 我 把 漏 洞 统 计 给 他 们 领 导 ， 就 被 赶 过 来 培 训 了 （ 做 安 全 的 不 当 坏 人 都 是 骗 人 的 ） 最 后 最 后 说 了 那 么 多 ， 干 货 却 不 多 ， 先 开 个 头 ， 后 续 按 照 功 能 ， 详 解 安 全 平 台 实 现 ， 开 源 D o m e ， 未 完 待 续 。 * 本 文 作 者 ： F a l l e n A n g e l s ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理