搜索

[16018] 2020-10-27_中小企业应该如何建立自己的防御体系

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-10-27_中小企业应该如何建立自己的防御体系 中 小 企 业 应 该 如 何 建 立 自 己 的 防 御 体 系 恒 安 嘉 新 N B   F r e e B u f   2 0 2 0 - 1 0 - 2 7 前 言 前 言 在 某 一 天 的 深 夜 ， 作 为 安 全 从 业 人 员 ， 穿 着 大 裤 衩 子 ， 坐 在 门 前 ， 点 燃 一 根 烟 （ 画 面 自 己 想 象 ） 开 始 思 考 企 业 如 何 打 造 自 己 的 安 全 体 系 ， 虽 然 这 不 是 作 为 月 薪 3 k 该 考 虑 的 问 题 ， 但 是 毕 竟 当 初 笔 者 的 从 业 理 想 是 想 成 为 道 哥 一 样 的 人 ， 为 安 全 行 业 贡 献 自 己 的 一 份 力 。 于 是 写 下 自 己 的 想 法 ， 对 于 中 小 企 业 我 希 望 能 够 完 善 自 己 的 安 全 体 系 ， 花 最 少 的 钱 做 好 安 全 这 件 事 ； 对 于 安 全 人 员 我 希 望 大 家 多 考 虑 企 业 面 临 的 危 险 点 ， 而 不 只 是 会 开 一 个 扫 描 器 做 一 个 定 时 任 务 、 开 一 个 d i r s e a r c h 就 睡 觉 的 那 种 ！ 随 着 国 家 现 在 化 、 信 息 化 的 不 断 推 进 ， 同 时 5 G 时 代 的 来 临 ， 很 多 企 业 开 始 慢 慢 数 字 化 转 型 ， 我 们 感 受 到 了 信 息 化 给 我 们 带 来 的 方 便 与 快 捷 ， 不 管 是 衣 食 住 行 都 比 较 以 前 都 有 了 青 铜 到 黄 金 的 提 升 ， 这 点 上 笔 者 深 有 体 会 ！ 那 么 在 这 个 高 速 发 展 的 信 息 化 道 路 上 ， 不 容 忽 视 的 一 个 大 问 题 就 是 安 全 问 题 ！ ！ ！ 我 相 信 很 多 人 和 笔 者 一 样 收 到 过 一 些 某 某 贷 、 售 房 等 推 销 的 电 话 ， 那 么 我 们 就 不 得 不 质 问 一 个 问 题 了 ， 在 如 今 我 们 每 天 都 在 面 对 手 机 的 时 代 ， 上 个 厕 所 都 在 刷 抖 音 的 时 代 ， 我 们 的 个 人 信 息 怎 么 得 到 保 障 ？ 谁 来 保 障 ？ 国 家 是 不 是 应 该 颁 布 安 全 行 业 规 则 ？ 对 于 企 业 面 临 的 安 全 问 题 依 然 很 严 峻 ， 尽 管 你 的 网 站 采 用 h t t p s ， 但 是 这 也 避 免 不 了 病 毒 带 来 的 对 业 务 的 影 响 ， 对 于 国 家 也 是 提 出 了 没 有 网 络 安 全 就 没 有 国 家 安 全 ， 加 大 了 企 业 安 全 问 题 的 整 顿 ， 我 们 知 道 我 们 的 等 保 1 . 0 到 2 . 0 有 了 改 变 ， 变 得 比 以 前 严 了 ， 增 加 了 对 物 联 网 、 云 的 等 保 工 作 ， 同 时 也 加 大 了 对 一 些 不 整 改 的 企 业 的 惩 罚 ， 同 时 不 同 行 业 也 出 台 了 适 合 自 己 的 安 全 管 理 体 系 ， 笔 者 曾 经 阅 读 过 《 银 行 安 全 管 理 体 系 》 确 实 不 错 ， 大 家 有 时 间 可 以 看 看 。 可 以 看 出 安 全 问 题 已 经 不 是 一 个 企 业 能 避 免 的 问 题 了 。 面 对 庞 大 的 安 全 体 系 ， 笔 者 将 尽 可 能 给 大 家 从 不 同 维 度 描 述 、 讲 解 。 面 临 的 问 题 面 临 的 问 题 架 构 :   运 维   业 务   应 用   内 部 运 维 : 服 务 器 配 置 问 题   未 更 新 补 丁   采 用 有 漏 洞 的 中 间 件 及 服 务   弱 口 令 等 业 务 : 活 动 促 销   账 号 体 系   交 易 体 系   风 控 体 系 等 应 用 : w e b 漏 洞   a p p 漏 洞 内 部 :   安 全 意 识 不 足   办 公 网 补 丁   w i f i 密 码     钓 鱼 邮 件 老 板 信 息     政 府 领 导 人 名 单   学 生 学 号   公 司 工 号   等 敏 感 信 息 安 全 体 系 建 立 （ 防 守 ） 安 全 体 系 建 立 （ 防 守 ） 这 是 一 个 本 人 规 划 的 一 个 安 全 架 构 设 计 图 （ 勿 喷 ） 献 上 这 个 的 原 因 是 我 希 望 大 家 在 看 这 篇 文 章 有 个 参 考 ， 在 架 构 设 计 的 时 候 ， 安 全 部 门 就 应 该 参 与 并 融 入 一 些 安 全 观 念 ， 比 如 考 虑 后 期 的 抗 Ｄ 方 案 架 构 设 计 。 网 站 是 否 负 载 均 衡 分 流 ， 是 否 上 C D N ， 在 架 构 设 计 方 面 应 该 考 虑 分 层 思 想 、 边 界 防 御 、 纵 深 防 御 （ 主 机 安 全 比 如 o s s e c 、 应 用 安 全 比 如 w a f 、 边 界 安 全 比 如 s n o r t ） 等 思 想 ！ 网 络 方 面 我 们 应 该 考 虑 设 备 的 冗 余 ， 交 换 机 采 用 H A 部 署 方 式 。 网 站 结 构 方 面 是 否 采 用 站 库 分 离 、 前 后 端 分 离 。 同 时 全 层 的 架 构 设 计 也 应 该 结 合 等 保 2 . 0 来 设 计 ， 这 样 也 方 便 后 期 的 等 保 过 级 。
假 如 以 上 就 是 一 个 公 司 的 网 络 拓 扑 图 ， 我 们 应 该 从 哪 些 方 面 做 好 设 计 ， 下 面 将 一 一 给 大 家 分 享 下 我 个 人 的 观 点 。 我 觉 得 企 业 应 该 从 以 下 三 个 维 度 进 行 不 断 提 升 自 己 的 安 全 防 御 能 力 。 1 、 基 础 安 全 方 面 ： 对 于 基 础 安 全 我 们 可 以 从 四 个 方 面 做 。 、 基 础 安 全 方 面 ： 对 于 基 础 安 全 我 们 可 以 从 四 个 方 面 做 。 （ 1 ） 数 据 安 全 体 系 ： 数 据 集 中 化 、 访 问 权 限 管 理 、 数 据 防 泄 漏 ( D L P 、 U S B 控 制 ) 、 敏 感 信 息 泄 露 ( G I t h u b   s c a n ) 、 数 据 备 份 、 数 据 安 全 审 计 、 内 部 文 件 加 水 印 等 ， 做 到 数 据 的 安 全 监 控 ， 从 让 攻 击 者 进 不 来 、 拿 不 走 、 看 不 懂 、 能 溯 源 方 面 制 定 不 同 安 全 策 略 。 （ 2 ） 安 全 技 术 体 系 ： 办 公 内 网 ( 网 络 隔 离 、 补 丁 管 理 、 文 件 共 享 管 理 、 上 网 行 为 管 理 A C 、 多 层 防 火 墙 部 署 方 式 以 及 A C L 策 略 制 定 、 终 端 防 病 毒 软 件 防 护 、 防 病 毒 网 关 、 防 钓 鱼 邮 件 解 决 方 案 基 于 恶 意 链 接 和 可 执 行 程 序 特 征 、 W I F I 接 入 点 以 及 强 度 覆 盖 安 全 ) 、 服 务 器 安 全 ( 堡 垒 机 、 主 机 漏 扫 、 w e b 漏 扫 、 H I D S 、 i d s 基 于 全 流 量 检 测 产 品 、 高 交 互 蜜 罐 、 v p n 、 基 线 不 同 应 用 、 系 统 标 准 制 定 、 中 间 件 安 全 加 固 、 补 丁 升 级 测 试 主 机 、 服 务 器 定 时 备 份 、 內 部 D N S 建 立 、 埋 点 目 录 监 控 、 w e b s h e l l 监 控 体 系 建 立 ) 、 身 份 认 证 、 日 志 管 理 可 视 化 分 析 展 示 、 安 全 审 计 。 H i f i s h 蜜 罐 S p l u n k 日 志 可 视 化
代 码 审 计 F o r t i f y 漏 扫 体 系 G i t H u b 监 控
内 部 D N S J u m p s e r v e r 主 机 F i r e w a l l d
（ 3 ） 安 全 管 理 体 系 ： 管 理 制 度 ( 针 对 不 同 部 门 制 定 不 同 安 全 制 度 ) 、 施 行 责 任 制 、 合 规 、 安 全 意 识 培 训 ( 很 重 要 ) 、 安 全 开 发 S D L (   在 代 码 开 发 前 进 行 全 程 跟 踪 , 从 开 发 前 的 不 同 部 门 个 人 的 安 全 培 训 到 上 线 前 的 静 态 审 计 、 动 态 测 试 、 黑 盒 测 试 、 最 后 进 行 安 全 部 署 上 线 ) 、 安 全 运 营 ( 资 产 巡 检 、 安 全 产 品 日 产 运 维 、 防 泄 漏 监 控 g i t h u b S c a n 、 安 全 事 件 分 析 研 判 、 0 d a y 规 则 制 定 ) 、 第 三 方 产 品 安 全 监 控 （ 4 ） 应 急 响 应 体 系 ： 不 同 安 全 事 件 响 应 、 B C P 团 队 建 立 、 灾 难 恢 复 计 划 。 2 、 安 全 体 系 ： 、 安 全 体 系 ： G D P R 数 据 保 护 条 例 数 据 保 护 条 例 ( 数 据 客 体 义 务 数 据 客 体 义 务 ) 、 、 I S O 2 7 0 0 0 、 等 保 、 等 保 3 、 业 务 安 全 ： 反 诈 骗 监 控 方 案 、 业 务 安 全 ： 反 诈 骗 监 控 方 案 ( 基 于 手 机 短 信 特 征 监 控 基 于 手 机 短 信 特 征 监 控 ) 、 撸 羊 毛 、 批 量 注 册 、 撸 羊 毛 、 批 量 注 册 攻 击 方 向 分 析 攻 击 方 向 分 析 对 于 攻 击 方 向 ， 最 常 见 的 就 是 通 过 黑 盒 测 试 ， 因 为 最 近 几 年 H W 越 来 越 火 ， 也 成 为 了 检 验 系 统 是 否 安 全 的 一 种 评 判 标 准 ， 我 这 里 大 概 说 说 攻 击 常 用 的 渗 透 方 式 ， 同 时 作 为 一 名 公 司 的 信 息 安 全 工 程 师 也 应 该 定 期 对 各 业 务 系 统 进 行 模 拟 h a c k e r 进 行 渗 透 测 试 。 W e b 安 全 渗 透 ： 框 架 漏 洞 、 中 间 件 漏 洞 、 文 件 上 传 、 服 务 器 端 信 息 泄 露 、 跨 站 x s s 、 s q l 注 入 、 w e b 安 全 基 础 、 劫 持 攻 击 、 业 务 逻 辑 漏 洞 、 代 码 执 行 、 命 令 执 行 、 文 件 包 含 、 解 析 漏 洞 、 系 统 服 务 组 件 漏 洞 。 后 渗 透 ： 权 限 提 升 、 权 限 维 持 、 内 网 漫 游 、 横 向 渗 透 、 域 渗 透 代 码 审 计 ： 命 令 执 行 、 u r l 跳 转 、 任 意 文 件 上 传 、 目 录 穿 越 、 S t r u t s 2 框 架 漏 洞 、 S p r i n g 框 架 漏 洞 、 S Q L 注 入 、 x s s 漏 洞 、 j a v a 代 码 审 计 环 境 、 软 件 安 全 开 发 、 X X E 漏 洞 、 S S R F 漏 洞 总 结 总 结 对 于 企 业 的 防 御 离 不 开 攻 击 方 式 的 了 解 ， 只 有 掌 握 这 些 攻 击 方 式 和 常 见 漏 洞 以 及 合 规 的 管 理 方 式 ， 这 样 才 能 让 我 们 企 业 的 系 统 免 受 攻 击 的 风 险 。 安 全 从 来 都 是 一 个 红 蓝 对 抗 的 事 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理