诸子云·分享汇|第四周直播实录
10月19日，“诸子云·分享汇”线上直播第二季正式拉开帷幕。
作为社群活动计划的重要环节，本季线上直播邀请百家智库首批专家作为分享嘉宾，围绕涵盖等保合规、数据安全、个信保护等共计20个主题，计划开展10场分享活动，共同探讨企业网络安全实践之热点、焦点、痛点、难点和要点。
本文即对第四周直播实况的回顾。本周共开展两场分享活动，云丁科技信息安全总监向阳、上海七牛云网络安全部负责人朱士贺、某企业信息安全专家骆中三位专家分别进行了议题分享。
★ 第一场 ★
11.9
安全防御技术架构
研究与实践
向阳 云丁科技信息安全总监
安全架构的意义在于保障业务安全，降本增效以外，还能够通过安全架构模型全面识别体系化的设计缺陷，相对于漏洞测试而言，安全架构更具有整体观，识别的风险也更加全面，能
安全体系架构主要由安全管理与安全技术体系构成，针对安全技术体系，主要分为两个部分。一是产品安全与安全开发，包括打造自身安全的产品，安全评审、安全方案设计、安全编码、风险识别、渗透测试；二是安全技术体系，主要在于构建通用的安全技术基础设施，安全基础设施、安全工具与技术、安全平台组件与系统。
基于相应的安全设计原则和技术控制手段，我们需要通过相应的管理流程把适用的技术融入到安全架构的开发当中，让安全架构与应用架构实现融合。主要包括逻辑架构、物理架构、开发架构、部署架构和技术组件等。
这个过程分为三个步骤：
需求分析与干系人：通过安全需求分析，来获取安全防护目标；面对的不同的分层及应用的架构；
安全设计：采用威胁建模分析结果及专家知识库方式；5A原则与分层设计相对应，面对进行相应安全的设计；
安全技术与架构：提取相同的安全需求，做统一设计及实现；如：安全认证、数据加密SDK、安全WAF及堡垒机等应用；
安全需求包含通用安全需求和业务安全需求，我们需要基于架构本身，应用的核心功能，对应用安全整体目标进行描述，说明需要处理的关键资产，面临的风险，以及安全防护的需求。在确认安全需求和目标后，我们需要进行威胁识别分析。
安全架构需求分析的核心就是威胁建模，针对互联网公司或微服务化场景快速迭代的特征，威胁建模可以进行一定的简化，保留其核心攻击面分析和威胁列表的部分元素，主要包括访问入口列表，威胁识别，威胁建档，威胁评级。
在网路层，我们主要依据5A及纵深防护设计，做网络边界及区域划分。包括安全控制（VPC、WAF、网关、准入），安全审计（流量检测、访问日志审计）。
在系统与平台层，主要包括身份认证、授权、访问控制；安全技术（安全基线、安全组、端口限制、 账号与口令）；资产保护与审计（主机入侵检测、主机防 病毒等）；安全组件（IAM、HIDS、堡垒机）。
在应用与数据层，主要包括SAAS业务层（用户授权及数据安全）；权限控制（SSO、RBAC等权限控制模型）；接口安全（API安全网关）；安全审计（应用日志收集及安全分析）；数据资产保护（WAF、数据脱敏及加密存储）。
通过分层安全设计架构，最终我们会得到整体的安全架构设计图。在安全架构设计中，一方面我们要针对安全设计的新开发或迭代应用做安全审计，另一方面对于存在安全设计的应用架构也要定期发起安全的评审，分析企业安全架构设计是否满足了安全的要求。
总的来说，站在业务的角度，无论是安全人员还是安全架构人员，在安全架构设计的过程中，不仅需要通过标准化流程保证架构设计的安全性，也要通过标准化语言让各方面都明白安全架构设计的关键。
作为安全人员，我们需要在这个过程中积累架构设计的基本表达语言和安全设计的经验，也要才考一定的流程和设计规范，包括了应用架构分析、安全需求识别、威胁分析及安全设计、安全评审相对应的工作。
★ 第二场 ★
11.11
通用漏洞预警
防御及处置
朱士贺 上海七牛云网络安全部负责人
在网络安全领域我认为漏洞为王，所以我们应当针对最新的CVE漏洞甚至是0day漏洞，做好预警与防御处置；安全策略如何稳、准、快的响应，成为安全部门支持公司战略发展的必备能力。
通用安全漏洞主动防御体系需要做到主动防御，具有兼容修复、覆盖率高的特点，要能够实现资产全覆盖，并进行跟踪闭环。整个流程主要分为四个步骤：
漏洞预警：主动关注互联网上披露的漏洞情报，研究评估情报真实性；
漏洞研究：研判涉及资产受影响程度，修复方案及缓解措施，落地Wiki；
修复通告：内部发漏洞修复通告，根据受影响资产，输出检测方案与安全设备\ 安全产品防御规则；
修复关闭：对修复进展持续跟进，难以修复资产重点跟进，漏洞检测导入SDLC。
安全漏洞预警防御响应的流程，先通过安全漏洞预警系统发现高危以上的RCE漏洞，在分析是否需要进一步对漏洞评估，如果需要就发出预警通知，各任务小组响应预警。
安全技术团队可以对漏洞进行分析并输出POC，根据POC我们可以进行集成检测。与此同时另一个路径需要识别资产受影响范围，再研判缓解措施，并进行监控&告警。如果没有官方补丁，我们可以考虑自研补丁，最终跟踪修复&漏洞系统验证。
在通用漏洞预警防御及处置实践方面，我们目前主要采取三种漏洞监测的传播方式：
微信群聊(通知)，方便及时沟通；
办公软件(沟通)，内部信息保密传阅；
邮件通告(传阅)，抄送领导和跟踪留证。
为了提高参考性，我们也建立了漏洞预警的WiKi，这样可以方便运维以及其他需要和我们配合的非安全人员使用。这个过程需要分工明确，从一开始就建立机制，明确好长期跟踪的责任人，负责新建Wiki漏洞预警、完善和补充wiki、公司影响评估与处理进展、漏洞修复闭环、更新拦截策略和临时措施、漏洞分析与P0C研究。
我们还建立了通用漏洞检测系统，支持在线和离线检测方式 支持爬虫的POC检测能力 提供漏洞检测和漏洞复核 接入安全运营中心平台 接入SDLC管控上线应用。其中，漏洞POC仓库则具备以下属性：
1、漏洞检测支持按时间轴排序；
2、统一POC格式，建立内部POC仓库；
3、增补历史漏洞POC和集成其它扫描器补充能力；
4、兼容性强，向内部其它系统赋能（如SDLC）。
漏洞防御及处置关联系统主要包括
漏洞预警，漏洞情报监测系统；
评估影响面，主机入侵敵系统HIDS UCMDB资产管理系统；
提供解决方案，自研漏洞检则系统 WAF , NGFW ,天眼等安全设备；
发起修复通告，邮件系统SSDLC安全开发生命周期管理；
协助修复，漏洞研究技术团队及；
跟进修复状态，安全运营中心平台。
通过通用漏洞预警防御与处置，我认为我们最终需要重点提升三个能力：
1、提升Oday捕捉能力。拓展漏洞信息发布的预警数据源,优化安全漏洞预警系统的规则集；
2、提升资产盘点能力。完善公司资产的收录，尽可能的做到不遗漏，覆盖面包括数据中心、办公网、 员工设备、其它资产产品；
3、提升处置时间能力。预警发出沟通效率，漏洞研究能力提升，安全设备监控告警与拦截规则上线速度。
数字化时代的安全理念与架构之零信任
骆中 某企业信息安全专家
企业传统安全架构正在面临新的挑战，我们需要新技术和新理念来解决新挑战带来的新风险，零信任就是其中之一。
到底什么是零信任，根据我的观点，我将它总结为三个字母，也就是“SIM”。
S是软件定义边界，是基于网络基础设施和软件定义边界SDP的ZTA；
I是面向应用的IAM，是基于增强用户身份的ZTA；
M面向内部通信分区，是基于微隔离的ZTA。
这是一个从外向内分为前中后三个阶段的方案。首先考虑网络层面SDP，再是应用的ZTA，最后考虑内部网络的微隔离。通过三个层次形成立体，合在一起成为混合型ZTA或者说ZTX。这是我自己总结的零信任的四种模式。
零信任有七个原则，我们可以参考NIST提出的理念，分别是：
所有数据资源和计算资源都被考虑在内；
所有的通信都满足安全要求，与所处的网络位置无关；
对于每个企业资源的访问权限按照每次连接授予原则；
对资源的防卫决略，包括用户身份、请求系统的可观察状态和其他可能的行为属性；
企业要持续监控所有拥有或关联系统/资产的完整性和安全状态；
所有资源的身份认证和授权是动态的，并且在资源访问被允许前严格强制实施；
企业尽可能多地收集有关网络基础设施和通信的当前状态信息，并使用这些信息来改善其安全状况
我认为零信任架构的本质是一个理念，并不是一种技术或一款产品。它的理念是永不信任、持续验证，哪怕信任之后也要进行持续动态的验证。零信任并不能解决所有的问题，也不是解决安全问题的银弹，因为零信任本身也存在一定的安全问题。
在我看来，零信任是现有多种技术的组合，是技术的集大成者，通过优质利用能够给企业安全带来实际的价值。
对于零信任架构的实践探讨，是一个需要持续进化的旅程。
1、零信任是一个持续化的过程，不是一个结果，也不是个状态，是一个动词不是名词；
2、企业要根据现有的安全控制措施、安全运营能力、实际需要以及未来战略规划，参考零信任原则，逐步对企业组织、流程和技术进行优化。
3、绝大部分企业会持续长期地以混合、传统安全模式架构运行，并逐步迁移到零信任模式。
我们需要厘清传统VPN和SDP之间的区别，现在有的厂商会对VPN进行包装，我们要学会分辨，到底是真正能够充分体现零信任架构理念的SDP，还是被包装过的VPN。这当中其实可以提取指标，在测试的过程中对我们也有帮助。
SDP和IAM之间是有数据交互的，我们要在采集数据的过程中判断有价值的数据。另外很多企业当前在用SSO，基于IAM的零信任和SSO之间是互相补充的，而且如果一个企业已经有了SSO，那么当他在做基于IAM的零信任时，就拥有天然的优势，可以快速把零信任应用上线。
对于微隔离，有的观点是通过Agent来实现，但是在软件定义网络SDN和私有云云原生的环境下，微隔离是否可以考虑用其内生安全能力来进行。因为这样一来，微隔离的程度虽然比Agent小，但不具有入侵性，在风险与效果之间取得一个平衡，当然不容企业实际情况不一样，一定要具体分析。这些都是后续零信任在发展过程中需要持续考虑和探讨的地方。
专家演讲资料已上传知识星球，扫码获取完整内容
推荐阅读