搜索

[10929] 2017-01-14_观点：”被客户“安全评估背后的那些血与泪

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-01-14_观点：”被客户“安全评估背后的那些血与泪 观 点 ： ” 被 客 户 “ 安 全 评 估 背 后 的 那 些 血 与 泪 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 1 - 1 4 当 我 们 开 始 讨 论 当 我 们 开 始 讨 论 “ 信 息 安 全 信 息 安 全 ” 的 时 候 ， 通 常 我 们 都 会 认 为 采 取 更 多 的 安 全 防 护 措 施 肯 定 会 让 我 们 更 加 的 安 全 ， 但 这 样 做 真 的 的 时 候 ， 通 常 我 们 都 会 认 为 采 取 更 多 的 安 全 防 护 措 施 肯 定 会 让 我 们 更 加 的 安 全 ， 但 这 样 做 真 的 对 吗 ？ 对 吗 ？ 我 一 直 都 不 同 意 让 我 们 的 客 户 对 我 们 进 行 第 三 方 评 估 。 我 曾 经 也 多 次 考 虑 过 这 个 问 题 ， 但 最 终 我 还 是 坚 持 原 来 的 想 法 。 接 下 来 ， 我 会 告 诉 大 家 原 因 。 客 户 不 放 心 ， 总 要 对 我 们 安 全 评 估 客 户 不 放 心 ， 总 要 对 我 们 安 全 评 估 我 的 团 队 用 了 2 0 % 的 工 作 时 间 来 进 行 了 安 全 问 卷 调 查 ， 重 新 审 查 了 商 业 合 同 中 与 安 全 相 关 的 内 容 ， 及 时 响 应 客 户 所 提 交 的 漏 洞 信 息 ， 并 在 最 短 的 时 间 内 想 办 法 解 决 这 些 安 全 和 隐 私 问 题 … … 但 是 我 们 很 郁 闷 地 发 现 ， 很 多 客 户 （ 包 括 潜 在 的 客 户 在 内 ） 都 希 望 利 用 自 身 资 源 或 第 三 方 机 构 来 对 我 们 的 应 用 产 品 和 基 础 设 施 进 行 安 全 审 查 。 可 事 实 上 ， 他 们 一 般 都 只 是 直 接 运 行 N e s s u s 、 Q u a l y s 或 N m a p 来 进 行 检 查 的 … 尽 管 如 此 ， 但 我 仍 然 不 同 意 他 们 这 样 做 。 此 时 客 户 心 里 肯 定 会 想 ： 你 们 有 什 么 见 不 得 人 的 ？ 我 凭 什 么 相 信 你 们 ？ 帮 你 们 进 行 免 你 们 有 什 么 见 不 得 人 的 ？ 我 凭 什 么 相 信 你 们 ？ 帮 你 们 进 行 免 费 的 安 全 评 估 还 不 好 吗 ？ 或 者 是 ， 如 果 不 给 我 们 进 行 安 全 评 估 的 话 ， 合 作 就 不 能 进 行 下 去 了 之 类 的 费 的 安 全 评 估 还 不 好 吗 ？ 或 者 是 ， 如 果 不 给 我 们 进 行 安 全 评 估 的 话 ， 合 作 就 不 能 进 行 下 去 了 之 类 的 … 当 然 了 ， 我 肯 定 有 我 的 理 由 。 首 先 ， 我 们 会 定 期 对 我 们 的 应 用 服 务 和 基 础 设 施 进 行 内 部 的 安 全 审 查 ， 也 会 让 第 三 方 机 构 参 与 到 外 部 安 全 审 查 的 过 程 中 ， 这 是 我 们 风 险 管 控 计 划 的 其 中 一 部 分 。 与 我 们 合 作 的 第 三 方 安 全 机 构 都 是 非 常 有 信 誉 的 公 司 ， 并 且 在 进 行 安 全 审 查 的 过 程 中 会 严 格 遵 守 保 密 协 议 （ N D A ） 。 我 们 会 在 凌 晨 等 客 户 休 息 时 间 进 行 安 全 评 估 和 检 查 ， 并 且 会 在 进 行 检 查 活 动 之 前 将 相 关 内 容 告 知 其 他 部 门 ， 因 为 在 进 行 安 全 审 查 的 时 候 很 可 能 会 影 响 应 用 服 务 的 性 能 或 导 致 其 他 问 题 出 现 。 “ 被 评 估 被 评 估 ” 背 后 的 尴 尬 背 后 的 尴 尬 通 常 情 况 下 ， 我 们 在 与 其 他 公 司 进 行 合 作 洽 谈 的 时 候 会 给 对 方 提 供 一 份 完 整 的 安 全 报 告 ， 并 在 报 告 中 详 细 介 绍 我 们 基 础 设 施 和 应 用 服 务 的 安 全 状 况 。 除 此 之 外 ， 我 们 也 会 提 供 第 三 方 权 威 安 全 机 构 所 给 出 的 评 估 报 告 。 一 般 情 况 下 ， 我 们 的 客 户 都 是 非 常 满 意 的 。
但 尽 管 如 此 ， 我 仍 然 不 得 不 一 次 又 一 次 地 向 客 户 作 出 解 释 。 根 据 我 之 前 的 从 业 经 历 ， 一 旦 允 许 第 三 方 机 构 进 行 临 时 性 的 外 部 安 全 审 查 ， 将 会 导 致 我 们 无 法 对 一 些 不 必 要 的 安 全 事 件 进 行 正 确 地 响 应 。 你 也 知 道 ， 在 进 行 安 全 审 查 的 过 程 中 ， 会 出 现 很 多 未 经 授 权 的 访 问 尝 试 和 服 务 请 求 ， 而 如 果 我 们 知 道 你 要 进 行 测 试 ， 我 们 就 会 将 这 些 访 问 请 求 定 性 为 “ 渗 透 测 试 ” ， 但 如 果 我 们 事 先 并 不 知 情 的 话 ， 我 们 只 能 将 这 些 发 起 “ 非 法 ” 请 求 I P 地 址 加 入 黑 名 单 ， 并 将 事 件 情 报 提 交 给 安 全 社 区 和 执 法 部 门 。 此 时 ， 想 必 难 堪 的 估 计 就 是 我 们 的 客 户 和 那 些 第 三 方 安 全 厂 商 了 。 另 一 个 问 题 就 是 ， 由 于 我 们 绝 大 多 数 的 客 户 都 是 一 些 小 型 企 业 ， 他 们 手 中 的 资 源 非 常 有 限 ， 因 此 他 们 更 倾 向 于 聘 请 最 便 宜 的 安 全 公 司 来 进 行 第 三 方 安 全 评 估 ， 而 这 些 公 司 往 往 又 缺 乏 经 验 。 我 们 没 有 那 么 多 时 间 去 对 这 些 第 三 方 机 构 进 行 资 格 审 查 ， 尤 其 是 那 些 海 外 公 司 ， 因 为 除 了 时 间 之 外 ， 资 金 的 成 本 也 是 我 们 要 考 虑 的 问 题 。 在 很 多 年 以 前 ， 那 时 我 还 没 学 会 如 何 说 “ 不 ” ， 我 曾 允 许 过 一 名 客 户 对 我 们 的 服 务 进 行 第 三 方 安 全 审 查 ， 后 来 我 才 发 现 这 家 所 谓 的 第 三 方 机 构 其 实 已 经 将 安 全 扫 描 工 作 外 包 给 第 四 方 了 。 最 终 的 结 果 就 是 我 们 的 服 务 遭 受 了 一 次 突 然 的 D o S 攻 击 ， 而 此 次 服 务 中 断 也 给 我 们 带 来 了 不 小 的 经 济 损 失 ， 因 为 客 户 根 据 服 务 条 例 起 诉 了 我 们 。 还 有 一 次 ， 有 一 名 客 户 在 我 们 的 系 统 中 发 现 了 一 些 非 常 敏 感 的 安 全 问 题 ， 并 且 还 将 这 些 漏 洞 公 布 在 了 网 络 上 ， 这 也 给 我 们 公 司 带 来 的 不 小 的 麻 烦 。 我 也 经 常 会 对 我 们 的 客 户 说 ： 我 也 经 常 会 对 我 们 的 客 户 说 ： “ 我 们 的 服 务 和 应 用 需 要 处 理 你 大 量 的 敏 感 数 据 ， 例 如 财 务 信 息 、 医 疗 保 健 数 据 、 以 及 个 人 身 份 信 息 等 等 。 我 知 道 你 和 我 们 一 样 ， 都 想 尽 力 去 保 证 这 些 数 据 的 安 全 ， 但 如 果 我 允 许 你 自 己 来 进 行 安 全 测 试 的 话 ， 那 么 其 他 的 客 户 同 样 有 权 这 样 做 。 这 也 就 意 味 我 们 必 须 开 放 部 分 服 务 接 口 ， 你 真 的 想 让 这 样 的 事 情 发 生 吗 ？ ” 总 结 总 结 也 许 你 会 认 为 你 的 情 况 与 我 们 有 所 不 同 ， 而 你 可 能 也 会 允 许 客 户 对 你 的 服 务 进 行 第 三 方 安 全 审 查 。 但 如 果 你 真 的 打 算 这 样 做 的 话 ， 我 希 望 你 可 以 对 你 的 客 户 和 第 三 方 机 构 进 行 严 苛 的 资 格 审 核 ， 并 对 他 们 进 行 信 用 调 查 ， 然 后 做 好 准 备 工 作 并 与 他 们 签 署 相 关 的 保 密 协 议 。 除 此 之 外 ， 你 也 需 要 安 排 专 门 的 技 术 人 员 来 监 控 整 个 安 全 审 查 工 作 。 如 果 你 无 法 做 到 上 述 这 些 ， 那 么 你 很 明 显 就 是 在 自 找 麻 烦 。 *   参 考 来 源 ： c s o o n l i n e ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理