搜索

[14960] 2020-02-01_“一个人”的互金企业安全建设总结续篇

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-02-01_“一个人”的互金企业安全建设总结续篇 “ 一 个 人 ” 的 互 金 企 业 安 全 建 设 总 结 续 篇 原 创   p u r 0   F r e e B u f   2 0 2 0 - 0 2 - 0 1 前 言 前 言 又 经 历 了 两 年 ， 时 间 匆 匆 ， 随 着 安 全 的 发 展 ， 有 些 想 法 已 经 改 变 了 ， 有 始 有 终 ， 把 这 个 文 章 结 尾 。 还 是 按 照 时 又 经 历 了 两 年 ， 时 间 匆 匆 ， 随 着 安 全 的 发 展 ， 有 些 想 法 已 经 改 变 了 ， 有 始 有 终 ， 把 这 个 文 章 结 尾 。 还 是 按 照 时 间 顺 序 去 写 吧 ， 后 面 说 一 下 个 人 对 目 前 安 全 的 拙 见 ， 大 佬 轻 喷 。 间 顺 序 去 写 吧 ， 后 面 说 一 下 个 人 对 目 前 安 全 的 拙 见 ， 大 佬 轻 喷 。 一 、 续 一 、 续 上 一 篇 的 结 尾 写 道 接 下 来 要 做 的 事 情 ， 蜜 罐 、 A I 、 业 务 安 全 … … 结 果 是 全 部 未 实 现 ， 原 因 很 简 单 ， 业 务 萎 靡 ， 在 公 司 存 亡 之 际 ， 安 全 是 多 余 的 。 二 、 二 、 2 0 1 8 这 一 年 集 团 出 现 大 的 变 动 ， 公 司 也 受 到 影 响 ， 安 全 所 负 责 的 业 务 仅 仅 只 有 支 付 牌 照 下 的 四 个 业 务 了 （ 之 前 还 有 P 2 P 、 大 数 据 、 电 商 ） ， 本 来 这 一 年 要 做 蜜 罐 和 S D L ， 全 部 泡 汤 了 ， 但 是 S D L 也 算 是 积 累 些 内 容 ， 为 下 一 年 做 了 准 备 ， 在 源 代 码 安 全 ， 把 y a s c a 替 换 成 f o r t i f y ， 增 加 了 j a r 包 的 扫 描 （ O W A S P   D e p e n d e n c y - C h e c k ） ， 之 前 部 署 的 巡 风 已 经 落 灰 了 ， g i t 监 控 后 来 也 用 携 程 的 了 ， o p e n s t a r 的 w a f 也 下 线 了 ， 漏 洞 预 警 全 靠 朋 友 圈 … … 由 于 这 一 年 的 “ 清 闲 ” ， 帮 朋 友 加 固 了 一 套 系 统 ， 在 这 过 程 中 ， 感 受 到 对 抗 内 鬼 和 黑 客 的 欠 缺 ， 对 基 线 安 全 的 重 新 认 知 ， 把 反 序 列 化 漏 洞 学 习 了 一 下 。 其 实 红 蓝 对 抗 如 果 真 的 做 了 ， 意 义 还 是 挺 大 的 ， 在 这 个 过 程 中 ， 会 发 现 许 多 安 全 上 的 不 足 ， 拿 别 人 的 系 统 学 到 了 些 经 验 。 比 如 平 时 不 在 意 的 l i n u x 的 S 标 记 位 权 限 ， s u d o 的 权 限 ， b a s h 的 记 录 ， 认 为 安 全 目 录 下 的 内 容 （ 比 如 腾 讯 云 的 h i d s 目 录 ） ， 监 控 程 序 的 自 身 规 则 完 整 性 ， 遇 到 内 鬼 这 些 都 是 他 们 利 用 的 点 ， 提 权 ， 维 持 权 限 ， 清 理 日 志 。 于 是 在 这 样 的 碰 撞 中 ， 自 己 的 基 线 又 增 强 了 。 总 结 来 说 ， 这 是 黑 暗 的 一 年 ， 差 点 就 离 职 了 ， 这 也 是 积 攒 力 量 的 一 年 ， 接 下 来 都 用 到 了 。 也 让 我 体 会 到 了 安 全 在 甲 方 的 位 置 ， 在 什 么 样 的 公 司 做 安 全 会 有 怎 样 的 未 来 （ 不 看 好 一 个 人 安 全 的 原 因 之 一 ） 。 三 、 三 、 2 0 1 9 重 振 旗 鼓 ， 把 S D L 推 下 去 了 ， 更 新 了 基 线 ， 上 线 w a z u h ， 升 级 了 l i n u x 的 n 多 洞 和 j a r 包 。 去 年 的 P P T 终 于 用 上 了 ， 在 公 司 推 了 S D L ， 这 个 东 西 还 是 要 靠 领 导 层 去 推 进 ， 各 个 部 门 的 协 调 ， 每 个 技 术 部 的 人 员 配 合 ， 内 容 不 是 很 复 杂 ， 复 杂 的 是 推 进 ， 无 论 你 怎 么 讲 ， 这 个 东 西 提 高 代 码 质 量 、 积 累 可 传 递 、 提 高 安 全 、 减 少 修 复 漏 洞 成 本 等 等 ， 没 有 领 导 的 推 进 基 本 就 死 在 半 路 了 。
培 训 拿 w e b g o a t 和 d v w a 做 的 环 境 ， 过 程 中 带 了 个 运 维 同 事 一 起 搞 ， 许 久 没 有 体 会 到 的 工 作 乐 趣 ， 两 个 人 搞 事 情 真 的 比 一 个 人 要 有 动 力 和 效 率 （ 不 看 好 一 个 人 安 全 的 原 因 之 一 ） ， 最 后 培 训 他 还 主 讲 了 两 期 ， 培 训 内 容 主 要 是 漏 洞 原 理 以 及 防 御 。 需 求 分 析 针 对 互 金 行 业 主 要 是 合 规 、 数 据 安 全 以 及 漏 洞 风 险 ， 不 过 由 于 开 发 流 程 上 的 设 计 ， 目 前 还 没 有 安 全 需 求 这 块 ， 就 是 夹 杂 在 安 全 设 计 里 面 ， 在 项 目 初 期 评 审 会 上 提 出 来 。 安 全 设 计 开 始 打 算 用 微 软 的 建 模 工 具 ， 后 来 看 了 看 有 些 繁 琐 和 不 与 时 俱 进 ， 于 是 就 用 了 e x c e l 表 格 ， 这 类 表 格 很 多 大 佬 分 享 过 ， 在 此 基 础 上 完 善 就 好 了 。 我 们 开 发 都 是 j a v a ， 开 发 的 同 事 工 具 上 都 装 了 f i n d b u g 的 插 件 ， 多 多 少 少 能 提 升 些 ， 然 后 内 部 搭 建 了 w i k i ， 一 些 安 全 开 发 的 要 求 以 及 总 结 都 发 布 在 上 面 ， 每 个 人 都 可 以 看 到 。 安 全 测 试 这 块 在 j e n k i n s 上 结 合 s o n a r 和 D e p e n d e n c y - C h e c k ， s o n a r 用 的 规 则 是 f i n d b u g 的 s e c 规 则 ， 其 他 的 没 开 ， 不 然 问 题 太 多 ， 然 后 这 个 规 则 还 要 自 己 慢 慢 优 化 ， 发 布 自 动 进 行 扫 描 ， 可 以 解 决 大 多 数 问 题 ， 然 后 再 结 合 f o r t i f y 和 a w v s 、 人 工 测 试 ， 后 续 利 用 测 试 团 队 的 自 动 化 测 试 框 架 ， 把 安 全 的 测 试 用 例 放 进 去 ， 会 减 少 更 多 工 作 量 ， 不 过 目 前 还 没 想 好 怎 么
搞 ， 如 何 全 面 的 将 安 全 测 试 用 例 整 理 出 来 放 进 去 。 。 。 。 。 。 然 后 在 g i t 上 找 了 找 p o c ， 接 下 来 就 是 利 用 下 。 。 有 好 方 法 的 大 哥 也 可 以 支 支 招 后 续 的 安 全 上 线 还 是 之 前 做 的 基 础 上 稍 加 完 善 ， 后 面 的 测 试 、 上 线 、 应 急 基 本 为 运 维 部 分 ， 这 个 在 之 前 就 做 好 了 ， 只 是 融 合 在 S D L 里 面 。 整 个 过 程 推 进 才 是 痛 苦 的 ， 中 途 赶 上 H W ， 领 导 及 其 重 视 ， 把 j a r 包 全 部 升 级 了 ， 还 是 很 认 可 ， 于 是 顺 理 成 章 的 将 其 列 入 到 流 程 中 了 ， 大 家 也 都 接 受 了 。 基 线 更 新 ， 把 系 统 、 网 络 、 数 据 库 的 基 线 全 部 用 思 维 导 图 方 式 搞 了 一 遍 ， 大 家 也 比 较 认 可 ， 看 起 来 直 观 方 便 ， 加 固 的 内 容 参 考 C I S 的 基 线 ， 然 后 结 合 之 前 遇 到 的 问 题 进 行 了 整 合 （ s u d o 禁 止 了 v i ， v i m ， f i n d 等 ， / e t c , / b i n , / s b i n , / u s r / b i n 下 的 权 限 ， 审 计 了 一 些 关 键 命 令 ， b a s h 的 记 录 ） ， 见 图 吧 ， 框 架 给 个 清 晰 的 。


系 统 补 丁 的 升 级 ， 很 难 想 象 没 有 n e s s u s ， f o r t i f y 这 些 破 解 软 件 ， 安 全 工 作 会 有 多 难 ， 同 时 推 动 升 级 更 加 难 ， 好 在 借 助 H W 的 力 量 ， 谁 也 不 想 出 安 全 事 情 ， 大 力 推 安 全 ， 趁 机 把 公 司 测 试 环 境 内 网 检 查 了 一 遍 还 真 发 现 很 多 弱 口 令 、 未 授 权 访 问 这 些 问 题 （ F - S c r a c k 挺 好 用 的 ） ， 这 种 东 西 虽 然 制 度 上 有 要 求 ， 但 是 很 难 避 免 ， 还 是 要 事 前 、 事 后 两 把 抓 ， 定 期 扫 描 查 漏 补 缺 还 是 很 重 要 的 。 然 后 用 n e s s u s 把 l i n u x 的 模 板 用 登 录 的 方 式 彻 底 扫 了 一 遍 （ 我 们 服 务 器 都 是 一 套 基 线 模 板 做 出 来 的 ， 然 后 会 有 监 控 配 置 ， 所 以 基 本 上 没 什 么 大 的 差 异 ， 这 要 只 扫 描 一 台 就 可 以 评 估 到 所 有 ， 资 产 的 管 理 在 此 就 很 重 要 了 ） ， 然 后 评 估 了 下 ， 基 本 升 级 变 动 很 大 ， 用 D e p e n d e n c y - C h e c k 全 环 境 j a r 扫 了 一 遍 ， 然 后 评 估 升 级 。 这 两 件 事 情 对 于 运 维 和 开 发 都 是 天 大 的 工 作 量 ， 从 测 试 环 境 、 灰 度 环 境 到 生 产 环 境 的 升 级 ， 足 足 用 了 小 半 年 ， 生 产 环 境 的 不 停 机 更 新 才 是 最 痛 苦 的 ， 业 务 不 中 断 是 第 一 位 ， 做 这 种 操 作 一 定 要 拉 上 所 有 l e a d e r 开 会 出 方 案 ， 谨 慎 再 谨 慎 ， 不 然 就 是 大 锅 ， 我 们 运 维 确 实 挺 厉 害 的 ， 开 发 在 领 导 的 强 压 下 ， 连 续 加 班 1 个 月 ， 也 把 j a r 升 级 ， 难 点 在 于 有 些 功 能 的 变 动 ， 还 要 改 动 代 码 和 测 试 ， 工 作 量 挺 大 的 。 所 以 安 全 是 一 个 成 本 高 ， 又 很 难 看 到 收 益 的 工 作 ， 就 是 费 力 不 讨 好 （ 又 一 个 因 素 ） 。 W a z u h 也 是 一 个 大 活 ， 官 方 文 档 超 级 全 ， 基 本 功 能 测 了 测 ， 然 后 添 加 了 写 自 定 义 的 规 则 ， 多 数 为 用 户 行 为 、 系 统 行 为 （ 主 要 针 对 入 侵 后 的 检 测 ） ， 其 实 w a z u h 主 要 还 是 对 日 志 进 行 分 析 ， 关 键 在 于 规 则 的 定 义 ， 利 用 好 a u d i t 的 规 则 可 以 做 很 多 事 情 ， 毕 竟 a u d i t 监 控 的 是 系 统 调 用 ， 比 如 被 入 侵 了 会 做 什 么 ， 那 么 我 们 就 记 录 什 么 ， 起 码 知 道 自 己 被 黑 了 吧 ， 不 太 重 要 的 目 录 就 用 s y s c h e c k 去 做 完 整 性 校 验 就 够 了 ， 间 隔 可 以 长 一 些 ， 原 理 是 m d 5 校 验 。 本 来 想 用 O S C P 功 能 扫 描 c v e 漏 洞 ， 省 去 了 n e s s u s ， 后 来 发 现 c e n t o s 没 有 这 个 库 ， 放 弃 了 这 个 功 能 。 后 来 发 现 自 带 的 v u l n e r a b i l i t y - d e t e c t o r 可 以 进 行 漏
洞 扫 描 ， 我 还 没 和 n e s s u s 的 扫 描 结 果 对 比 过 ， w a z u h 可 以 读 到 服 务 器 所 有 r p m 包 然 后 与 c v e 库 对 比 ， 如 果 好 用 以 后 就 不 用 n e s s u s 的 登 录 扫 描 了 。 W a z u h 对 合 规 的 支 持 也 很 好 ， 用 到 的 有 P C I - D S S 和 G D P R 。 W a z u h 大 规 模 部 署 还 是 要 集 群 + E L K ， 目 前 还 没 有 全 部 上 ， 这 个 缺 点 在 于 a g e n t 要 把 日 志 都 发 到 s e r v e r 端 去 分 析 ， 而 不 是 在 a g e n t 分 析 完 把 结 果 发 到 s e r v e r ， 这 要 对 s e r v e r 的 负 担 比 较 大 ， 目 前 没 有 大 规 模 测 试 完 ， 只 是 猜 测 会 有 这 样 的 影 响 。 然 后 E L K 新 版 本 多 了 S I E M ， 看 了 看 虽 然 目 前 支 持 不 多 ， 但 是 后 续 也 可 以 把 防 火 墙 日 志 吐 到 里 面 集 中 分 析 ， 图 形 化 集 中 的 日 志 分 析 也 有 了 。 进 程 总 结 进 程 总 结 w a z u h - a p i   a p i 调 用 w a z u h - c l u s t e r d   服 务 端 集 群 w a z u h - m o d u l e s d   与 其 他 模 块 联 动 ， 包 括 第 三 方 模 块 如 O p e n S C A P o s s e c - m o n i t o r d   监 控 客 户 端 链 接 ， 每 天 切 割 和 压 缩 日 志 o s s e c - l o g c o l l e c t o r   日 志 收 集 （ 监 控 配 置 文 件 和 命 令 进 行 ） o s s e c - r e m o t e d   服 务 端 连 接 客 户 端 o s s e c - s y s c h e c k d   完 整 性 检 测 ， 包 括 权 限 、 所 有 者 的 更 改 o s s e c - a n a l y s i s d   日 志 分 析 o s s e c - m a i l d   通 过 邮 件 报 警 o s s e c - e x e c d   事 件 响 应 执 行 脚 本 命 令 w a z u h - d b   列 表 基 础 库 的 客 户 端 k e y 、 文 件 完 整 性 、 恶 意 程 序 事 件 存 储 o s s e c - a u t h d   客 户 端 服 务 端 认 证 o s s e c - a g e n t d   客 户 端 进 程 o s s e c - a g e n t l e s s d   未 安 装 客 户 端 的 系 统 上 完 整 性 检 测 o s s e c - i n t e g r a t o r d   外 部 A P I 、 报 警 的 连 接 o s s e c - d b d   报 警 日 志 插 入 数 据 库 o s s e c - c s y s l o g d   通 过 s y s l o g 转 发 报 警 o s s e c - r e p o r t d   生 成 报 告 主 要 用 到 的 功 能 主 要 用 到 的 功 能 日 志 收 集 文 件 完 整 性 监 控 异 常 和 恶 意 软 件 检 测 安 全 配 置 评 估 命 令 执 行 事 件 响 应 （ 针 对 事 件 出 发 一 系 列 动 作 ， 目 前 没 有 用 ）
系 统 信 息 漏 洞 检 测 漏 洞 扫 描 截 个 图 吧 ， 其 他 也 很 炫 酷 。 四 、 总 结 四 、 总 结 不 知 不 觉 工 作 8 年 多 了 ， 4 年 乙 方 ， 4 年 甲 方 ， 好 的 团 队 （ 所 有 工 作 都 是 在 团 队 的 支 持 下 完 成 ） ， 坑 人 的 公 司 （ 现 在 这 家 公 司 还 欠 我 1 0 多 w 理 财 逾 期 2 年 了 ） 。 之 前 有 大 佬 搞 过 甲 方 企 业 安 全 速 成 班 ， 讲 真 ， 很 多 东 西 你 知 道 框 架 模 型 ， 技 术 细 节 ， 但 是 在 应 用 的 时 候 要 因 地 制 宜 ， 这 个 因 地 制 宜 就 是 需 要 丰 富 的 经 验 、 广 泛 的 知 识 领 域 以 及 一 定 的 交 际 能 力 ， 这 些 最 好 的 锻 炼 环 境 ， 就 是 在 乙 方 ， 那 种 越 坑 的 项 目 越 锻 炼 人 ， 磨 练 几 年 ， 可 以 在 一 个 领 域 做 深 ， 也 可 以 出 来 去 甲 方 ， 但 是 如 果 你 刚 毕 业 就 去 了 甲 方 ， 再 跳 乙 方 ， 会 有 点 难 。 乙 方 都 是 专 业 的 团 队 ， 可 以 从 同 事 身 上 学 到 很 多 知 识 ， 而 甲 方 很 少 有 专 业 团 队 ， 大 多 数 一 两 个 人 。 再 说 说 不 看 好 一 个 人 的 安 全 部 吧 ， 现 在 的 法 律 法 规 越 来 越 多 和 严 格 ， 很 多 企 业 招 一 个 人 就 是 做 合 规 或 者 背 锅 ， 他 们 并 不 在 乎 自 己 的 安 全 ， 只 是 别 出 事 就 好 ， 因 此 在 安 全 的 投 入 上 也 会 很 少 ， 尤 其 人 员 的 重 视 程 度 ， 没 人 配 合 ， 寸 步 难 行 。 甲 方 安 全 真 的 看 领 导 是 否 重 视 ， 而 只 有 一 个 人 的 编 制 ， 你 觉 得 会 重 视 吗 ？ 其 次 是 工 作 杂 ， 要 做 的 事 情 很 多 ， 尤 其 在 金 融 相 关 公 司 ， 合 规 能 够 占 掉 一 个 季 度 的 工 作 量 。 一 个 人 能 做 的 事 情 就 是 拿 别 人 开 源 的 东 西 自 己 搭 起 来 ， 稍 微 改 改 ， 没 有 精 力 去 深 入 研 究 （ 工 作 时 间 ） 。 相 对 的 以 后 的 发 展 趋 势 是 安 全 小 团 队 ， 4 ， 5 个 人 ， 分 工 明 确 ， 各 有 专 精 ， 不 但 可 以 在 自 己 擅 长 的 领 域 深 耕 ， 还 可 以 大 而 全 的 了 解 整 体 安 全 ， 最 重 要 的 是 有 一 个 团 队 可 以 交 流 分 享 。 看 一 看 网 上 的 开 源 安 全 工 具 ， 基 本 都 是 甲 方 小 团 队 搞 出 来 的 。 一 个 人 的 安 全 部 的 公 司 ， 你 可 以 抱 有 希 望 ， 努 力 建 立 团 队 ， 如 果 在 你 的 努 力 下 公 司 依 然 不 重 视 ， 就 作 为 一 个 很 好 的 过 渡 和 历 练 吧 ， 仅 此 而 已 。 最 后 说 说 等 保 2 . 0 吧 ， 前 几 批 考 过 测 评 师 证 ， 当 时 还 搞 了 内 部 的 测 评 依 据 ， 对 外 给 教 育 部 搞 了 套 培 训 … … 其 实 等 保 并 不 是 为 了 合 规 而 做 ， 它 是 结 合 n i s t   s p 8 0 0 、 i s o 2 7 0 0 1 好 几 个 国 外 的 法 规 （ 找 不 到 之 前 p p t 了 ） ， 有 技 术 类 的 ， 有 管 理 类 的 ， 现 在 成 为 了 我 国 的 基 本 保 护 要 求 ， 也 就 是 说 ， 最 基 础 的 安 全 ， 如 果 连 基 本 要 求 都 达 不 到 ， 那 么 安 全 真 的 做 的 挺 次 的 ， 2 . 0 的 测 评 依 据 和 1 . 0 重 合 部 分 基 本 没 变 ， 而 且 更 合 理 了 些 ， 三 级 测 评 点 少 了 5 0 个 。 管 理 可 以 参 考 上 篇 文 章 目 录 去 做 ， 技 术 上 ， 划 分 安 全 域 、 设 置 访 问 控 制 、 能 检 测 入 侵 和 病 毒 ， 每 个 设 备 、 终 端 有 一 些 密 码 、 账 号 、 访 问 的 策 略 ， 有 个 统 一 的 日 志 收 集 平 台 做 日 志 审 计 ， 数 据 和 设 备 的 备 份 冗 余 、 敏 感 数 据 的 处 理 、 传 输 存 储 加 密 ， 不 算 应 用 安 全 ， 基 本 上 及 格 没 问 题 了 吧 。 所 以 这 样 来 看 ， 等 保 就 是 个 促 进 大 众 企 业 达 到 一 个 及 格 分 的 政 策 ， 就 像 什 么 3 c 认 证 、 安 全 食 品 认 证 、 i s o 9 0 0 1 认 证 ， 是 促 进 企 业 进 步 、 给 老 百 姓 安 全 的 好 政 策 （ 想 想 企 业 不 重 视 的 前 几 年 ， 我 们 的 个 人 信 息 随 随 便 便 被 人 买 卖 的 年 代 ） 。 站 在 风 口 , 猪 都 能 起 飞 ， 或 许 就 是 现 在 的 安 全 行 业 。 微 信 c h a p l a ， 欢 迎 赐 教 交 流 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： p u r 0 ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理