前言随着企业纵深防御体系从无到有地建立，各类安全防御逐步完善的同时，其有效性逐渐变的扑朔迷离。历次攻防演习表明，纵深防御体系之所以被层层突破，是因为每一层都存在我们未知的缺漏被攻击者利用。攻方“曲径通幽”，防方“形同虚设”。如何确保已有安全防御措施的真实有效成为了一个亟待解决的问题。本文以传统网络/终端安全领域的告警处置为例，提出一个四层模型，分析了各层失效的原因，给出了监控、对账、自动化验证三方面的应对措施，以及具体案例。1.什么是安全防御失效

概述随着网络安全态势不断升级，攻防对抗不断加剧和监管日渐趋严，安全逐渐从以往被动防御逐步向主动治理推进。为了提升研发安全质量，降低安全风险整改成本和线上安全风险暴漏，安全左移、Sdl、DevSecOps成为当下研发安全落地最佳实践参考。然而，在敏捷开发模式下，大幅依赖安全团队保障研发安全已不切实际，如何建立一套研发安全保障体系，将安全能力有效赋予研发，真正做到“人人都是安全参与者、人人都为安全负责”至关重要。本文将结合实际落地经验，介绍研发安全体系建设和研发安全赋能上的一些思考和实践。1.研发安全面临挑战和应对思路1.1 面临挑战1）研发安全不同阶段研发安全阶段基本会经过以下三个阶段，本文主要针对第三阶段建设和落地实践进行介绍。救火阶段：安全人员较少，通常1-2名，这个阶段由于存量安全问题多，安全人力少，重点主要在线上业务安全检查，覆盖外网、边界业务，防止重大安全漏洞被利用。单点管控：安全人力相对多一些，3-5名，这个时候线上存量安全问题逐步减少，为了控制新增，开始在上线前环节进行安全质量管控，包括上线前渗透、扫描等，并开始建设基础安全工具并嵌入到研发流程中，主要实现安全风险发现左移。全面治理：经过前两个阶段建设，安全质量有一定提升，开始对研发全流程安全质量管控提出新的要求，包括安全风险闭环全面左移，业务覆盖度全面提升，流程、工具在自动化、易用性、准确性全面完善等。2）面临挑战当研发安全进入到全面治理阶段，由于业务量多、产品系统复杂、迭代快等因素影响，单方面依靠安全团队来保障研发安全质量已不切实际，需要研发团队相关产品、开发、测试、运维等人员参与。然而，当需要研发团队深度参与到研发安全质量保障中时，会出现以下两个问题：研发团队是否愿意，有些研发团队对安全重视程度不够，有些觉得研发自身工作已经很繁重，没法完成安全相关需求。研发团队有无能力，研发团队在愿意参与情况下，有无能力保障好安全质量成为安全团队需要重点解决的问题。这里的能力，包括安全意识、安全设计能力、安全编码能力、安全测试能力、安全工具平台使用等与安全相关的所有能力。1.2

LLM在DRP业务中的应用数字风险防护作为威胁情报的下一步发展方向，如何缩短数字风险从发现到处置的时延是个重要问题。我们从风险发现，风险审核和新的风险场景探索三个方向展开讨论。3.2.1

新时代，科技自立自强和创新突破已经成为国家发展战略。正如第一辑序言中提到的，科学技术是第一生产力，而这个行业的安全从业者就是第一生产力的保障者和促进者。科技创新型企业专刊第1辑得到了业界许多专家的支持和反馈，再次表示感谢。现在第2辑正式启动，期待通过专刊这个交流平台，推动科技创新型行业的信息安全工作交流、共享、提升，也希望安全厂家、创业者看到其中的市场机会，发挥你们的能力，帮助科技创新型企业的信息安全工作不断进步。专刊信息专刊名称：科技创新型企业专刊(第2辑)出品人：Truebasic出品机构：安全村定位：仅供行业内部交流赠阅，非公开发行约稿说明主题：1.本行业信息安全典型场景、解决方案和实践心得。可以是你的成功经验，也可以是你印象最深刻的2-3个失败的教训；可以是完整的体系介绍，也可以2-3个精彩的故事和总结分析。2.本企业/行业典型、老大难场景难题的“揭榜挂帅”：请描述和分析本企业或本行业典型的、老大难场景，说明本企业/本行业的背景信息，在该场景下有哪些主要风险，本企业/本行业已经采取了什么措施，还存在哪些风险/问题需要解决，希望这些风险/问题解决后达到什么状态。我希望通过“揭榜挂帅”这种形式，向全安全行业征集解决方案，并在后续专辑或行业活动中推广优秀的解决方案，共同提升行业信息安全水平。篇幅：2000～5000字，如配图需提供高清文件（以保证印刷质量要求）及可编辑版本。作者：可独立或团队协作完成，请注明作者简介、联系方式（电子邮件、电话、邮寄地址），便于我们联系和寄送专刊。要求：投稿文章未正式出版和发表过，也不在其他刊物或网站审稿过程中，不存在一稿多投现象；保证投稿文章的合法性（无抄袭、剽窃、侵权等不良行为）。投稿截止时间：2023年5月30前告知作者简介、联系方式、题目和拟定编写的内容；7月30日前交稿。投稿邮箱：truebasic@outlook.com作者回馈文集赠阅：每篇文章

最近一段时间，在完成本职工作的同时，还承担了组织部门降本增效工作；结合过往的工作经验，在思考和总结的过程中，发现没有人能够很好地回答一些本质问题，就像至今没有人能够很好地回答“如何衡量安全的价值”一样。于是做了一些深入思考、尝试给出一些结论，但痛苦的是，极少有人能够与我交流这个话题，于是只能写出来、抛砖引玉，希望更多的IT管理者、人力资源从业者、CIO参与进来，共同思考、改进。考虑到有点不务正业，就匿名了，有兴趣的话可通过本文发布的网站、公众号交流。文章书写过程中得到了3位HR朋友的指点，在此谢过。在这个过程中，我主要回答2个问题。1.如何有效地开展IT部门的降本增效工作？2.如何有效衡量IT部门的效能？第一篇：如何有效地开展IT部门的降本增效工作？这一篇的问题相对比较好回答，也存在一些通用、有普遍共识的的答案。一、我理解的降本增效是什么？1.降本、提质、增效是一体的，三者的内涵和目的是一致的。2.增效的“效”包含效率和效益两层含义，但最终是为了“效益”。3.降本增效是企业经营的永恒话题，不是阶段性任务。降本增效最终是为了让企业获得经营业绩的增长，这其中包括规模、收入、利润的增长，在不同发展阶段对这三者的侧重可能有不同倾向。企业应该有专门的团队、部门应该有专人对降本增效负责。4.降低成本、提高质量和效率、提高成效应该要从IT部门的业务全链条看、从最终效果看，不能只看单个环节的降本和增效。二、对成本结构的分析既然要讲降本增效，我尝试按照自己的理解对成本进行了分解。不一定全面，各位看官可以在这个框架上丰富完善。大类小类细类显性人力成本招聘培养训练薪资福利固定资产固定资产（投入与折旧）低值易耗费用技术服务费、外包人力支出水电空调纸张等办公物资隐性机会成本规划、决策失误或不当造成的技术债的形成、影响和偿还局部和全局的选择造成的，如重复建设、资源申请沟通、协调成本架构、流程、职责不合理造成的质量偏差、浪费等沟通能力差造成的时间精力浪费分析问题、解决问题能力差造成的返工、质量不达标等浪费形成的成本没必要的加班、返工，养闲人浪费水电空调纸张等办公物资不必要的流程、审批和操作风险成本因为内控管理不到位，给企业造成风险导致的成本损耗环境变化造成的成本监管要求（如突然变化的监管要求，不同监管机构之间冲突的监管要求）、环境形势（如信创、GM改造）带来的多余成本消耗三、IT部门的降本增效应该怎么做？分类思路具体举措总体1、向制造业、高科技企业学习如何控制成本、提高效率；2、建立激励机制1、不管哪个行业、企业，我都强烈建议能够向制造业、高科技企业中的民营企业学习如何有效地控制成本、提高效率的做法。这类民营企业花的都是老板自己口袋里面的钱，每一分钱都抠得很，也因此训练出了很多有效的做法。典型代表如华为、中兴、美的、平安。2、年底设立奖项，对降本增效做得好的项目团队、个人予以表彰、发放奖品帮助公司提高收益发动各技术团队和业务部门共同研讨，提出增加业务收益的方案，获得业务部门认可后，立项、跟踪、落实。1、建立成本分摊、核算机制；2、宣传、培训，形成氛围1、在部门内建立成本分摊、核算公示机制，纳入各项资本性支出和费用，并分解到各个团队，并每月公示、对比、分析。如可行，作为绩效奖金分配的参考依据。2、参照第二篇，开展IT部门人均效能的评估，年中、年底分别做1次，从中发现问题并推动改进，也为后续工作积累数据。人力成本1、激发人员潜力、不养闲人；2、向培训要效益1、开展人才盘点，基于人才盘点的结果，鼓励各团队淘汰闲置人员，或淘汰后引入新人；或实行部门内部编制调配。2、年终绩效分配向绩优员工倾斜，树立正确的价值导向。3、向HR争取有利的政策，在IT部门范围内只控制人力成本、不控制编制，从而激发各个技术团队的成本意识和投入产出比意识；财务成本1、合理控制采购成本；2、减少IT资源的浪费1、抓采购中的大项支出，通过各种采购手段，降低采购成本（把采购中存在的水分挤出来）。2、推进IT基础资源的使用率分析，按团队、按系统发现和解决资源浪费情况；在保障系统稳定运行的前提下，清理闲置资源。机会成本1、形成科学决策的方法论、框架；2、择机偿还技术债；3、拉通业务部门，形成全链条最优的方案；4、用事实和数据说话；5、减少重复建设1、组织团队长和骨干训练（1）高效沟通（2）高质量分析问题和解决问题（3）质量和流程管理。通过实际工作中的训练，提升决策质量、减少技术债务。2、针对存量和增量的建设，确定管控方案，减少重复建设造成的浪费。3、对部门内各团队的架构、职责和流程进行梳理，打通流程堵点，修补职责缺漏和冲突，参考《高效能团队》一书的方式优化技术团队的架构设置。4、将全局思考、担当、协作等核心价值观理念作为考评、晋级环节的关键评价要素，在部门内梳理正确的导向。沟通、协调成本1、提升沟通和换位思考能力；2、科学决策；3、优化架构、职责、流程；4、全局思考和推动浪费、风险成本1、优化流程；2、提高人效，不养闲人、不批不必要的加班1、组织落实IT部门自身业务流程重构和优化，包括从需求到立项到交付到验收上线到运营的全流程信息化、数字化，实现流程的高效、闭环以及良好体验。2、对加班数据进行审核，对异常数据报部门领导审核、确认。3、保持与监管、上级部门的良好沟通，尽可能提前感知到可能的变化，并做好应对。第二篇：如何有效衡量IT部门的效能？一、背景2021-2022，很多公司的效益都不太好，于是我听说各家公司的领导、人力部都提出IT部门要降本增效，潜台词一般就是“不招人”；但是IT部门作为一个公司的中后台部门，并不直接产生效益，导致IT工作的效益很难度量。当下，“数字化转型”浪潮席卷诸多行业，如果需要针对IT部门持续加大财务、人力资源投入，也需要回答各级领导的常见问题：“IT投入这么大，到底值不值？”“IT部门的效能如何评估？”“某个业务条线、IT模块申请增加财务预算、人力投入，如何判断给不给、给多少？”为了回答这个问题，我请教了多位HR人士和CIO，都没有得到特别满意的答案；有些CIO、HR人士其实也需要回答这个问题，于是就会采用一些曲线救国的方式来解决这个问题，也给我回答这个问题提供了一些思路和灵感。二、初步思路1、如何回答上面的问题？回答“值不值”“效能”问题，核心是要回答“IT部门的价值是什么？”“IT部门的投入产出比怎么样？”如果价值高、投入产出比高，就应该投入、值得投入；如果价值和投入产出比持续提升，就应该坚持投入。从上推导，我试图从团队价值、团队效能来回答上面这个问题。2、如何衡量IT部门的价值？对于金融企业的IT支持部门，价值体现在三方面：稳定性（别出事、别让业务遭受损失）、敏捷性（快速交付需求或者比竞争对手更早上线、抢占客户先机）、成长性（技术先进、有预见性、可拓展—实质也是省未来的钱）。这些是业务视角关注的价值，适合讲故事、要资源，但是总体偏感性认知、不太好量化和对比。对于互联网企业、制造业和高科技企业的IT团队，由于行业差异，其自身的核心价值参考上面的模式提炼后，基本上是交付快速（高效率）、综合成本低（从需求到交付到运营的综合成本）、技术领先于同行、重塑业务流程并创造新的业务价值和收入。3、什么叫效能？什么叫高效能团队？最近这几年，“效能”一词用的比较多，但翻遍各种专业书籍、请教过好几个研发领域的专家，都没有人能够回答“到底什么是效能”的问题，每次我给专家提出这个问题的时候都是顾左右而言他，搜索出来的结果也是千奇百怪。但是很奇怪，这个词这几年用的无比广泛。每次看到这种情况的时候，我心里面都有无数只羊驼在奔跑。骂完之后，还是要回答问题。经过持续琢磨以及一位领导的点拨，我得到一个结论：“效能”的定义无外乎“多快好省”，“好”应该是质量高的含义，如果更高级一些的做法，“好”不仅仅是达成业务部门提出的需求和期望、而应该是交付业务价值（这两者之间的差异就不在这里讨论了），因此“效能”同时包括了效率、效果和成本的含义，效能应该是一个包含了投入和产出的名词，照这么看，“效能”的本质定义应该就是投入产出比。不知道各位专家们是否认同这个定义？考虑到回答“到底什么是效能”是为了回答“如何评估团队的效能”，因此我决定不纠结“效能”的定义，转而挖掘出我比较认可的这样一个定义：高效能团队是一个组织呈现出高效率的工作过程（多、快），高效益的工作成果（好），以最适当的投入获得最大的产出（省），以及高正能量的组织面貌，从而实现组织的可持续发展。4、如何度量和评估IT部门效能？根据上述定义，IT部门效能=部门工作绩效*20%

你听说过「创业加速器」这种机构吗？随着创业浪潮的发展，「创业加速器」这一概念也逐渐走入创业者的视野。不同于「孵化器Incubator」，「加速器Accelerator」的核心特质是加速，通过集结行业中的优秀资源，为优秀的初创公司提供定向战略辅导和资源支持，以帮助其加速成长。因此，虽然「创业加速器」在国内还是新兴事物，但已经越来越为创业公司所接受，也逐渐成为成熟商业生态中不可或缺的一环。在网络安全科技创新和风险投资高速发展的如今，商业模式和市场规则愈发专业成熟。对于技术型的初次创业者而言，如何在技术赛道碎片过百的网络安全市场中脱颖而出，如何根据市场容量、竞争优势、业务场景和团队特点正确制定契合自身的成长战略，如何与投资机构阐释细分技术领域的应用场景和商业价值，如何快速与行业战略资源建立联系，都是全新的挑战。在这些方面，网络安全「创业加速器」会是创业者很好的助力。加速器分类根据斯元商业咨询的调研，全球的加速器机构有2000+，其中与网络安全相关的加速器机构大约有40+，其中小部分为专注网络安全的机构，大部分是在综合型加速机构中设立了网络安全主题的加速项目。不同加速器机构的出身背景差异很大，也因此决定了可以为创业者提供的资源不完全一样。加速器生态全球的加速器机构也会形成行业联盟和社区，比如GAN。GAN

自证券行业专刊第1辑于2022年5月发布以来，得到了证券行业和安全业界的广泛认可和关注。第1辑收录了20余篇一线证券行业网络安全从业人员的稿件，内容涵盖零信任架构、蜜网建设、漏洞管理、邮件安全、安全架构等多个方向的深度思考与实践成果。为回馈广大读者，方便大家获取阅读，现将《安全村文集·证券行业专刊（第1辑）》完整版开放下载。证券专刊电子版获取方式

距离ChatGPT发布已经过去4个多月，你是否已经习惯了每天起床检查一下自己的工作会不会被AI“替代”？大家都知道我们是一家研究代码分析的创业公司，在过去的这段时间里也常常会面对这样的问题：“你看ChatGPT也能理解代码，看上去分析的还不错，你们是不是要失业了啊？”作为一个从2018年就开始研究“AI+程序分析”的团队，本着认真负责的科研精神，今天就来论证下我们到底会不会失业。01TLDR先抛结论：从目前GPT-4的能力来看，基于LLM

对于甲方而言，如果供应商不关心你，你也完全不必关心他们。在《工作、消费主义和新穷人》一书中，英国社会学家齐格蒙特·鲍曼认为：在现代性的工业阶段，每个人在拥有其他身份之前，首先必须是一个生产者。在现代性的第二阶段消费时代，人首先要成为消费者，才能再拥有其他特别的身份。如何判断当前社会是属于「生产社会」还是「消费社会」？一个简单的方式是：如果我们用工作去描述一个人，那么这就是一个生产社会；如果我们用生活方式去描述一个人，那么这就是一个消费社会。举个例子：在生产社会中，我们会根据社会生产标签定义一个人，比如：王木匠、张电工、李会计；但在消费社会中，我们可能会用一个人的消费特征来定义他是谁，比如：沉迷露营的老王、美食爱好者小张、摄影发烧友小李。因此，网安行业中，过去在「生产社会」的惯性下，我们会把客户描述为：「银行」CSO王处长「央企」安全部张主任「制造业」安全室李工但如果意识到「消费社会」的变化，可能该换一种方式来描述客户：「喜欢探索新技术」的王处长「厌恶风险、对案例资质和稳定性要求很高」的张主任「能找到开源免费版就绝不掏钱」的李工对于消费时代的甲方而言，不同的消费方式和态度，决定了「我」是谁。消费的过程中甲方会进行选择，而选择是一种消费者的权利、一种高度私人化的行为，我不要你觉得，我要我觉得。消费要区分主体与客体。在消费社会时代，对于乙方而言，如果没有完成与甲方配套的定位，都是不符合选择标准的商品，难以被纳入消费者的视野。而所有自以为是的、所有与客户认知不符的推销，都是一种冒犯。比如，行业匹配举个例子，当前工控安全（或泛物联网安全）受到的重视程度越来越高，从2021-2022的融资金额来看也属于绝对的大热赛道。倘若用公司体量、融资规模等维度来评估，马太效应会非常明显，头部聚集大者恒大。但工控之中囊括了国计民生关基设施无数细分，航空、航天、轨道、船舶、石化、冶炼、烟草、传媒都是龙头林立，一句整体解决方案，怎能轻易抹杀了这些行业自身的个性差异、糊弄了所有的消费甲方？在2023新版的「网安新兴赛道厂商速查指南」中，我们特别针对17个不同行业的业务场景做了独立分类，收录对于该行业安全特性做出了贴身贴合努力的供应商，未来还会不断调研扩展更多行业。报告采用中英文对照目录索引的方式，每个赛道均独立页面展示，厂商名字以文字形式呈现，便于甲方消费者快速检索定位。专精特新是未来的审美新趋势，再细分的工控关基行业，对于供应商而言，都是一片肥沃的鱼塘，足够网安企业从容成长。你做烟草，我做海运；你做能源，我做冶炼。不再追求大而全，回归行业天然的差异属性，建立自己在技术同质化之外的Industry

在日益严峻的外部环境和监管要求下，安全监控响应已成为信息安全工作的重要组成部分，是企业威胁发现和精准防控的关键。小型安全团队做好安全监控响应工作的核心原则，是提高资源的使用效率，做到“人尽其才、物尽其用”，这不仅需要全面、自动化的IT和安全基础设施作为能力底座，更需要精细化、持续化的安全管理和运营支撑。本文简单介绍国信安全团队在实践中，如何逐步建立和完善精细化运营工作的过程。1.通过安全平台建设，形成集中化的决策体系包括安全运营中心（SOC）在内的各类安全监控系统、攻击阻断平台、自动化平台是做好监控响应工作的基础。在安全平台的设计阶段，除了考虑平台功能随着技术演进具备扩展能力外，还需要充分考虑其对运营优化工作的支撑，即如何通过平台将监控响应方面的经验有效沉淀下来，比如自定义的监控规则、自动化的分析动作、自动化的处置流程等，多管齐下全面提升监控响应的能力和效率。在安全监控响应平台的建设中，以SOC平台建设最为重要，它是公司集中化决策体系的核心，支撑预警监控、事件溯源分析等技术工作，管理事件闭环全过程，提供运营度量指标。在产品选型阶段，需要综合考虑“数据处理能力”和“安全能力”两个维度：一方面，SOC平台的数据处理量，随着公司IT规模增长、信息安全能力不断成熟，会呈现几何指数上涨的状态，对平台的存储能力、计算能力、对不同格式数据的接入和解析能力提出了较高要求，对于已经建设了大数据平台的企业而言，是否共用现有的计算存储资源，也是需要提前规划的要点；另一方面，SOC平台作为集中化决策中心，需要对各类安全日志、原始日志进行关联分析，进行精准预警和溯源分析，这对平台安全能力要求较高，能够快速响应威胁情报，更新预警规则，是将安全厂商的安全运营能力快速赋能给公司的一种有效手段。但同时也需要关注到，SOC平台的建设目标中一旦包含事件闭环管理和处置自动化功能，就势必涉及到与公司现有其它产品的对接工作，包括但不限于与公司现有安全处置工具的对接、实现攻击阻断能力（可以是防火墙、WAF、天幕、防病毒、自动化工具等）、与公司现有流程平台对接、实现事件管理中内部协同流程。到底是采用成熟商用产品、自研产品，还是交由安全厂商基于现有产品进行定制开发，需要根据公司现有技术水平和具体需求进行定夺。我司在安全平台的建设过程中，采用了多步走的策略。第一阶段，基于公司安全域的规划，建设安全监控和防御安全能力，形成分散化多安全决策体系；第二阶段，以共用现有大数据存储和计算资源为前提思路，以形成集中化安全决策体系为目标，建设SOC平台，实现了对各类日志的采集、规范化处理和关联分析，以及事件的闭环管理。经过几年的沉淀，平台的关联分析规则已具备较强的自定义扩展能力，包含与或非的丰富组合逻辑和组合模版；分析研判功能，不仅包含日志的深入钻取和分析，还具备一定的自动化能力，可以将人工研判经验自动化留存和重放，同时，综合安全管理需要，为加强资产管理接入了资产信息、漏洞信息，为辅助告警分析和自动处置接入了外部威胁情报信息，为加强安全事件管理对接了工单系统等。第三阶段，建设自动化处置平台，并与现有的安全监控体系形成联动。安全平台的建设很难一蹴而就，通常都随着技术发展以及公司具体需求不断演变。以SOC平台的数据接入和归一化解析为例，安全运营前期，我们固定接入了操作系统、防火墙、web服务器、WAF、防病毒等五类日志，通过正则进行日志解析，接入日志量每天仅250G左右，但随着监控能力的增强，原有的数据已无法满足全面监控和溯源分析的需求，我们优化了平台数据接入的配置能力，增加了键值对、分隔符、json等六种解析方式的日志解析方式，新增了解析规则一键验证功能，有效支撑了日志接入和解析，后续逐步接入了流量、上网行为管理、APT、HIDS、业务风控等十多种数据类型，数据量增长到每天8T，夯实了监控工作的基础。2.“远斥候”思路下的监控响应团队建设网络安全的本质是人与人的对抗，有了功能完善的基础平台，还需要依赖“能战善战”的监控响应团队，公司完善的应急响应流程和内部协作机制。我司根据监管要求，借助运行安全的成熟经验，建立了安全事件管理规范，对于安全事件的定级、事件的预警、研判、处置、复盘规范协作流程、跨团队职责等进行了明确的要求，并在实践中，形成了标准化通报、安全监控响应团队内外部有效协作等工作机制。随着安全保障工作“实战化”、“常态化”要求不断提高，7*24小时的监控响应工作提上日程，但仅仅依靠现有安全团队，难以实现全天候现场值班，我们参考李广“远斥侯”的思路，根据监控、分析、处置、优化等各阶段的工作对人员的基本素质和技能要求的区别，组建了分层次、职责清晰的监控响应团队，招募外协人员组成监控一线，轮班现场值守，形成安全侦察兵团队，开展安全告警的实时监控和初步研判，探测攻防实时状态，并进行及时预警，让安全大部队可以集中精力休整，专注做好建设和优化工作，一旦发现攻击事件，监控二线和三线人员完成安全事件的应急操作并推动事件的闭环处置，负责事件的决策和优化工作。通过人员分工，可以让各层次人员专注的做好并优化自己的工作，实现工作质量和工作效率同步提升。做好各层次人员分工协作以后，我们也持续细化不同岗位人员的工作指引、工作要求、绩效考核标准，协助团队成员尽快熟悉工作，明确工作责任，确定能力提升方向。例如，考虑到一线人员的流动性，在一线人员管理方面，通过《监控一线工作手册》等规范制度进行工作指引和要求，明确现场监控值班制度，告警分工责任制度等工作制度，规范事件预警和通报的标准话术，规范一线人员初步研判的标准方法，让一线人员的工作边界清晰，有章可循，同时也能有明确的能力提升方向。同时，为了最大程度激发团队成员的工作积极性，引导成员主动学习提升工作技能，不断改进优化工作，我们建立了相关的激励机制，例如月度最佳监控奖、月度最佳优化奖、季度学习分享奖等，对团队成员进行及时激励，激发团队活力。3.监控响应能力建设安全监控响应是一个持续优化的过程，只有不断的运营改进才能有效保障公司信息安全。监控响应能力建设主要分为两个方面，一是及时有效全面的发现风险，二是快速准确全面的处置风险。在有效全面发现风险方面，需要高质量的原始数据，和准确率高、覆盖全的监控规则，监控规则主要来源于历史的攻击事件、红蓝演练的积累、同业交流的经验、以及基于ATT&CK框架下，分阶段分场景对攻击特征的整理。其中，基于ATT&CK框架定制的规则，系统性的提升了监控规则的覆盖度，同时对公司的监控覆盖有了清晰的认识，还给后续持续提升监控覆盖度指明了方向。除了增强监控覆盖能力，还需要对监控的有效性进行监控，确保从日志采集、解析到告警产生的这个全流程不出现数据遗漏，确保已经覆盖的攻击行为只要出现一定会有告警。这部分工作，我们主要通过在内网自动化的模拟攻击行为来实现，通过脚本触发不同的攻击行为，监测相关告警是否出现，有效发现日志收集漏、解析错、规则引擎故障、性能不足延时高等问题。在处置风险方面，为保证风险处置的及时有效，我们考虑将分析处置经验固化下来，形成预案，作为处置风险时的指引。预案包含流程和技术两个方面，流程上我们主要遵循行业规范和要求、公司总体的应急响应预案、信息安全事件管理规范要求，具体不再详述，这里重点介绍一下技术方面的预案。技术方面预案注重实操，如果只是进行沙盘性质的流程推演难免会脱离实际，为了让预案落到实处，出现真实攻击时可用好用，我们搭建了跟生产环境完全一致的安全靶场，网络架构、服务器配置、安全防护措施、安全漏洞等都进行了百分百模拟，全面梳理攻击者常用的攻击手段，将攻击手法归类到不同的攻击场景中，然后分场景进行演练。以反序列化攻击场景为例，团队分为攻击队和防守队两队，首先两队成员分别进行学习，攻击队准备攻击方法，防守队总结攻击特征优化监控策略，然后攻击方利用shiro、fastjson、jackson等组件的反序列化漏洞实战攻击，防守方监控告警进行处置，然后双方复盘讨论，再次优化规则，编写应急预案，然后再搭建具有该漏洞的安全靶场，进行实战攻击，双方复盘进行规则优化和预案优化，如此循环直到双方对监控效果和应急预案都满意为止。最终形成的预案，分为了如下几个部分：①对攻击背景知识的描述，由shiro等具体攻击拓展到java语言的反序列化，主要是让预案使用人对相关攻击有一个基础的认识；②列举反序列化攻击会在各个监控系统上产生的告警，说明预案适用的具体告警或告警类型（另有总的对照表明确具体告警对应的应急预案）；③介绍上述告警的分析研判方法，主要是根据攻击详情和威胁情报等其他辅助信息判断是否为误报；④介绍事件遏制措施，如封禁IP、网络隔离、定制虚拟补丁等，判断为真实攻击后第一步就是要对攻击进行遏制；⑤介绍了分析溯源的方法和思路，如shiro攻击内容如何解密、jndi攻击如何获取攻击者恶意代码、如何判断是否有后续横向攻击行为等；⑥介绍了如何进行漏洞修复和系统恢复；⑦给出了事件总结的模板。通过上述的技术应急预案，覆盖技术人员在应急处置中的各方面操作，能确定操作方法的给出具体操作步骤，不能确定方法的给出思路，实现对技术人员的全面指引。最终，我们归类梳理了77个攻击场景，不断总结归并形成了33个技术应急响应预案，不仅提升了分析处置的效率，同时通过标准化保障了分析处置的效果，还实现了经验的固化。4.自动化工作安全人员稀缺是整个行业都共同面临的问题，为了在人力有限的情况下做好安全运营工作，同时将人从重复繁琐的工作中解放出来，我们将提升自动化能力作为一项重点工作来抓，我们的观点是所有重复的工作都应该实现自动化。首先，在日志收集阶段，我们通过在装机模板中覆盖日志采集agent以及自动化装机来保证主机日志采集的覆盖，然后通过自动化攻击的方式去验证日志收集、解析，告警产生等流程的有效性。然后在对告警进行分析时，由于我们将所有的相关日志全部采集到了SOC平台，所以可以在SOC平台上完成所有的分析动作。当我们定制的新告警规则第一次产生告警时，我们需要对这个告警进行分析，其中涉及到对这个告警关联的原始日志以及其他相关的日志进行查询、统计、图表展示等。我们将整个过程记录下来保存为一个分析动作，然后将这个分析动作与这类告警关联，后续出现同类的告警则可以直接运行这个分析动作，将分析人员需要的中间分析结果直接展示出来。这样同类的告警都只用分析一次，从而极大提升了分析效率。在处置方面，我们探索了安全编排、自动化与响应（SOAR）技术，实现了部分处置动作的自动化，我们准备逐步把前面总结的应急预案固化成流程，进一步提升效率和规范性。只有通过不断的提升自动化水平提高效率，将人员从繁琐重复的工作中解脱出来，才能有更多的时间投入到运营优化工作中来，做好精细化运营。后续我们还会持续在监控响应的全流程引入自动化，不断提升自动化水平。5.监控响应能力验证与提升精细化运营成效如何？应对真实攻击表现怎么样？短板在哪里？这些问题都需要实战来检验，需要指标来体现。实践是检验真理的唯一标准，为检验监控响应能力，同时提升团队成员实战攻防能力，我们参考军队中红蓝军对抗的形式，定期开展信息安全红蓝演练。在具体实施上，我们通过整合内外部人力资源，将人员分为攻击队和防守队，以“黑盒”的形式完全模拟真实网络攻击。通过实战化的攻防演练和事后的详细复盘，全面验证监控响应体系的准确性、全面性和有效性，补充监控场景和监控面的缺失，优化应急响应预案，提升团队攻防水平。除了全面的红蓝对抗，我们还不时进行指定场景的攻防演练。比如我们针对OA系统容易成为攻击入口以及攻防演练中外连情况监测能力不足的问题，分别开展了OA系统攻防专题和外连监测及限制专题。为了提升效率，每次专题演练分AB两队进行，下一次演练则调换身份，A队负责进行研究和搭建靶场，并对B队进行讲解，两队一起完成攻防演练，B队总结输出知识库文档及技术应急预案。通过专题演练的形式，可以针对性的提升关键能力，补足短板。在安全运营中我们还发现，安全工作中缺少有效的运营评价体系，很难对运营效果进行监控，无法明确运营体系的短板和问题，也难以体现工作成效。为解决上述问题，我们在应用安全、监控响应、基础安全、数据安全、安全管理五个方向总结了104个运营指标，以监控响应为例，体现效率的有告警响应时间、事件处置时间等，体现自动化能力的有告警自动化分析率、事件自动化处置率等，体现运营优化的有新增规则数、规则调优数、规则误报率等，体现监控覆盖能力的有红蓝演练未发现安全事件数等，这些指标基本都可以在安全平台进行自动化的计算和展示，通过运营指标辅助优化决策，为后续运营优化工作指明方向，同时有效的体现了工作成效。6.总结国信证券的精细化运营工作发展路线可以总结为：搭好平台，夯实基础；建好团队，激发活力；日拱一卒，不断优化，增强能力，提高效率；实战验证，数据指路；循环往复，运营之路。每一家企业的管理风格和IT建设成熟度，决定了安全工作边界和建设路径，由于发展过程和目标不同，直接照搬互联网企业的经验，很多时候解决不了小型安全团队面临的诸多问题。任何一种解决方案也都有“红利期”，我们自己蹚过的坑和历史成功经验，也不一定适用于未来，只有秉承“临事而惧，好谋而成”的心态，持续探索和创新，才能做好安全监控工作。网络安全没有银弹，安全运营没有终点。作者介绍国信安全团队，守护国信证券信息安全十余年，致力于成为一流证券行业信息安全团队。团队成员能力涉及安全建设、安全运营、安全攻防等领域，在多年实践中积累了大量的行业信息安全工作经验，期望能通过分享交流跟各行业安全团队共同进步。RECOMMEND往期回顾证券行业安全日志的几个应用场景｜证券行业专刊·安全村约稿丨证券行业专刊(第2辑)·安全村实战攻防时代的攻击技术演进｜证券行业专刊·安全村证券行业应用安全架构设计实践｜证券行业专刊·安全村关于

涛总约稿，我一下子就想到了这个题目。为啥呢？因为自从加入证券行业以来，我就一直在思考这个问题。过往我的主要从业经历在科技行业，有做业务安全的经历和意识，加入一个崭新的行业以后，就一直在思考、琢磨、找不同的人交流。这个稿子也算我这两年多的一点心得体会，缺失错漏之处，还请各位行业大佬多多指点。一、What：什么是业务安全？现在安全从业者对于业务安全的解读，多数是受到了互联网行业的影响，将业务安全基本等同于互联网、互联网金融业务运行中的反欺诈、业务风控以及防范业务逻辑漏洞。我其实是不太认同这种说法的。我认为“业务安全”应该指的是：为了防范企业业务流程中出现风险，避免业务遭遇各类威胁或遭受经济损失，保障整体业务逻辑的顺畅和高效，最终帮助企业达成业务目标、降低经营成本、提升业务收益，进一步增强企业竞争力而采取的风险控制措施。基于这个定义，如果是一家互联网业务属性比较强的公司（比如互联网、互联网金融），其业务安全的实质内容大概率就是各种反欺诈、对抗薅羊毛、反爬虫、营销活动中的反舞弊等措施；而如果是一家高精尖设备生产制造企业（比如台积电），业务安全的实质内容就应该是保障生产过程不中断、及时交付、交付产品质量高、不会被勒索软件危害；如果是一家研发型企业，业务安全的实质可能就是保障技术或产品的市场领先性、保障销售拿单的竞争力、保障核心研发人员的稳定忠诚。在我对“业务安全”概念的定义中：1、“业务”应该定义为公司的核心业务，就是能够对公司经营产生重大影响的业务活动，一般指能够给公司带来主要收入的业务，或者指万一出事，会导致公司被覆灭性打击的业务。比如以我上面所举的几个例子，物流管理可能就不是核心业务，因为这个业务的好坏对公司经营没有决定性影响，那业务安全就可以不用管它（或者说优先级不高）。但是如果你是一家物流公司，因为效率、质量、安全决定了你这家公司的生死，那就必须是核心业务。2、“安全”这个词的内涵可拆分为如下几个维度，每家企业可以根据自身业务的情况决定选择哪几条。这几条可能也不完备，需要持续完善：（1）保障业务和业务相关方的可持续运行和可用性，保障业务目标达成。（2）确保合规性，避免被监管处罚或影响声誉。（3）保障核心信息不被泄露，或信息泄露不影响业务的运转、收益。（4）保障数据的完整性、一致性。（5）自证清白的能力。不论业务运行过程中出现任何问题，业务部门能够证明自己负责部分是合规的、风险受控的。（6）将“安全”作为业务的核心竞争力之一，客户会因为你“安全”而选择你，安全是促进业务核心竞争力的重要动力。很多人可能会奇怪，为什么没有把“不被攻击、入侵、控制”作为业务安全的内涵？我是这么看的：如果遭受攻击、入侵或控制，入侵就入侵了嘛，控制就控制了嘛，只要业务运转、公司经营、收入利润不受影响，那就不是业务安全范畴需要考虑的事情，那是基础安全领域需要面对和解决的问题。但是如果被勒索了，那业务连续性就受到严重影响了，那就是业务安全需要面对的问题了；如果被DDOS了，游戏用户没办法登录、顺畅地体验游戏、往游戏里面充值了，那就影响业务运行、收入了，那就是业务安全需要面对的问题了；如果官网被攻击导致用户无法访问，老板觉得不影响业务，那就没有这类业务安全的需求，可是如果官网被篡改并发布了一些敏感、不符合要求的言论，公司会被监管部门处罚，影响了公司声誉，老板觉得影响了业务，那这个就属于业务安全的范畴了。二、Why：为什么要做业务安全？业务安全和基础安全的关系？先说结论：有区别，但是总体目标一致的。基于上述对于业务安全的解读，可以说基础安全的最终目的就是保障业务安全，此为二者的一致性，这也就是为什么要做“业务安全”的根本原因。二者的区别在于，基础安全是业务安全开展的基础，基础安全更强调在遭受攻击、控制、窃取、破坏、勒索时，采取技术、管理手段来针对这些风险予以防范、控制。但是基础安全的工作仅是业务安全的基础，没有基础安全的防范、控制工作作为基础，业务安全的工作是无法开展的；且基础安全重点关注攻防、内外部信息窃取、泄露等“面”上的工作，如果最终不能保障业务安全，基础安全的工作就无法体现在公司业务中的价值，这也是很多安全团队会面临的困境“为什么我干了那么多工作，又是修漏洞打补丁，又是建防火墙WAF，还对文档进行加密，累成狗，怎么老板就是不认可我们的工作呢？”

过去的问题基于安全日志的产品在2008年时兴起SOC类安全集中管理，从海量的安全告警日志中提取，分析对网络安全工作有价值的信息，并快速归类处理告警事件。自2017年国家出台《网络安全法》，明确要求“采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月”。进一步为安全日志集中收集提供法律依据。未来的问题安全设备日渐增多，安全日志将成指数级增加，在未来对日志分析处理要求会更高。安全日志的分析除发现已知的问题之外，我们还应该检测未知，预测已知范围之外的事情。一、日志的概念日志是记录系统运行过程中各种重要信息的文件，在系统运行过程中由各进程创建并记录。日志的作用是记录系统的运行过程及异常信息，为快速定位系统运行中出现的问题及开发过程中的程序调试问题提供详细信息。早期在软件开发过程缺少日志规范，对日志记录哪些，没有明确定义和框架，纯依赖于开发者的经验和组织的技术规范。曾在实际工作检查一个系统称之有日志记录，等我们登录上去一看时，发现只有登入和登出的两类日志，简直让人啼笑皆非。在安全领域的日志框架，可参考GB/T18336中定义了评估信息技术产品和系统安全性所需的基础准则，是度量信息技术安全性的基准。针对安全性评估过程中信息技术产品和系统的安全功能及相应的保证措施提出一组通用要求，使各种相对独立的安全性评估结果具有可以性。标准中提出保护轮廓（PP）将信息技术安全要求分为功能和保证两大部分。例如安全审计可分为：解决了记录哪些日志，输出哪些日志，下一步要做的就是挖掘日志中包含的丰富隐藏财富。二、安全日志的价值日志能告诉我们很多关于系统中所发生事件的信息，最常见的用法是用来排错，解决故障。日志还会成为在事故发生后查明“发生了什么”的很好的溯源取证的信息来源。本文列出一些常见的日志用例。2.1 故障排错事实上大部分情况下日志是为故障排错而设计。如果不检查日志文件，无法得知系统具体错误，从而入手解决问题。例如下图中Windows补丁升级服务（WSUS）的日志文件显示更新报错，给管理员提供解决问题的方向。2.2 性能资源管理日志不仅仅可以告诉你主机是否健康运行，还能够告诉你主机上运行的应用程序在做什么。往往系统真正宕机前日志中就展现出硬件和软件的错误。2.3 攻击入侵分析从安全日志分析发现攻击入侵是安全运营的重点任务。如下示例：从全流量抓取攻击数据包，查看日志携带webshell恶意字段：（1）事件描述：攻者队使用扫描器进行IP信息收集和漏洞扫描；（2）受攻击主机：112.XX.XX.230；（3）攻击源IP:

在《网络安全法》、《关键基础设施保护条例》等法律法规逐步健全实施的大环境下，证券行业在网络防护方面的意识逐步增强。过去几年，证券行业积极探索建设了符合自身行业特点的网络安全防护体系，整体安全防御能力显著提升，在全国各行业中处于比较领先的水平。然而，网络世界没有绝对的安全，证券行业本身的金融属性正是吸引不法分子发起攻击的重要原因，如何在保障业务开展顺畅的前提下即时进行网络安全防护策略的升级优化，成为了当前证券公司需要重点考虑的问题。当前互联网、移动应用、云计算、大数据应用、人工智能在证券行业被大量应用，同时金融行业也面临各类合规监管要求，如何在满足合规要求的前提下高效进行安全体系重构，管控好新技术引入的风险，实现科技向善也引发了相关从业人员的思考。变化迭代是常态，为了汇集证券行业网络安全防护的最新经验、成果和解决方案，总结分享一线安全规划、运营、建设的心得和实践经验，现已启动筹备《安全村文集·证券行业专刊》第2辑，并向各位行业专家进行约稿。01

实战攻防时代我国证券行业的数字化转型工作近年来取得了卓效的成果，通过Web应用、APP和小程序等多种形式为客户在处理各类证券业务时带来了极大的便利。但是在数字化重塑证券业务服务模式的同时，线上业务的暴露面也在不断扩大，面临的安全风险防护形势也愈发严峻。潜伏在暗处的攻击者可能在任何时间从任何方向完成突破、入侵，防守者则需要时刻保持警惕，建立纵深防御体系，才有可能抵御住攻击者的入侵。这种攻防双方极度不对等的态势对安全建设工作带来了极大的挑战。这种需要防守者长期保持“高度警惕”的态势，催生了自动化防御、检测设备的诞生与发展。同时，依托于智能化检测设备在准确率和召回率上的大幅提升，部分证券公司摸索出了一套适合自身业务的自动化防御体系，在很大程度上解放了人力，也带来了很好的效果。但我们都知道攻和防是一个持续博弈的关系，随着防御手段的升级，攻击的手段也愈发变得隐蔽、刁钻。攻击者源源不断的抛出各类0Day漏洞，自动化攻击工具越来越先进智能。如何验证现有防护体系是否能够有效抵御现有攻击手段，最佳的方式就是以安全专家模拟“黑客”的行为来攻击我们的系统，也就是我们所说的实战化攻防演练。而随着面向关键信息基础设施运营方开展的全国大型攻防演练活动多次开展，我们判断证券行业的安全建设也逐步进入了实战攻防时代。攻击技术演进实战攻防演练中，攻击和防守双方在持续的博弈中各自精进，在实战化攻防局势下，充当攻击者的安全专家们，无论从攻击思路、攻击手法还是协同作战能力上，都随着每一次的演练活动，能给到防守方意想不到的“惊喜”，也时刻提醒着防守方，安全防护体系中仍然有需要加强的部分。下面我们将分析在实战中常见攻击技术的演进历程。攻击武器自动化常言道，工欲善其事，必先利其器。从上古时代开始，就有各种各样的渗透神器，但是随着安全体系的不断完善，通用工具的指纹特征基本都被记录在案，在面对被各类防护设备武装到牙齿的目标时效果会大打折扣。随着近几年无数次实战攻防演练的打磨，经验丰富的攻击团队慢慢都积累了自研的专属武器库，将之前大量需要人工试探的步骤自动化，大大提升了入侵的成功率和效率。据Recorded

摘要：当前金融行业面临前所未有的威胁挑战，而大量的应用层安全漏洞暴露出安全开发实践方面的欠缺。为了降低漏洞修复成本，安全“左移”是一个趋势。本文将从证券机构金融APP的实际案例入手，讲解如何通过轻量级威胁建模，进行应用安全架构设计，系统性地降低应用系统安全风险。关键词：安全架构设计

金融企业的网上信息系统对业务连续性和安全性均有极高的要求，一个较为完善的金融企业网络安全纵深防御体系架构需要同时兼顾多方面的要求，下图1为一种典型的数据中心网络安全边界纵深防御体系的总体架构。图1

一、前言近年来，证券行业网络安全发展日新月异，同时面临的安全挑战也日益严峻：安全边界的弱化、层出不穷的0day、APT攻击、爆发式增长的勒索软件、木马蠕虫以及内部员工意识薄弱带来的安全隐患等时有发生。而现有传统的安全防护手段已经逐渐难以满足当前安全需求，如何在原有的安全防护基础上建立新的安全防护体系，将事中事后监测左移到事前防御，是当前值得思考的问题。基于此，东吴证券与北京八分量信息科技有限公司合作联合开发，在传统安全防护基础上，结合可信计算、区块链与人工智能技术，同时响应国家号召，以自主可控环境为基座，建立了从事前防御、事中告警（或阻断）自主抵御到事后溯源的一整套完整的安全防护体系——持续免疫防护体系。二、安全建设自主可控或成为未来安全发展的主流信息技术应用自主可控是国家战略，也是当今形势下国家经济发展的新动能。“十四五”纲要提出加强原创性科技攻关、提高高端芯片、操作系统、人工智能算法等关键领域研发突破与迭代应用，并将增强自主可控供应链安全保障能力列为重点工作。自主可控产业以信息技术产业为根基，通过科技创新，构建国内信息技术产业生态体系，是实现国家十四五规划发展目标的重要抓手。图1

随着证券行业信息化的持续推进和数字化转型的深入发展，券商和基金等机构对业务组织和人员管理的便利性、灵活性、准确性和可靠性都有更高的要求，同时还需要充分保障系统、业务和数据的安全。近些年来，以云和移动为代表的新技术推动了业务发展和持续创新，而在对基础设施和内部管理提出新需求的同时，也在不断引入各种新的安全问题。就办公安全而言，业务形势已经发生了深刻的变化。新冠疫情以来远程/居家办公需求爆炸式增长，内部员工获取信息和数据时对互联网的依赖不断提高，业务部门广泛采用各种云服务，需要外部合作方直接参与的项目协作和技术支持日趋频繁，外包和驻场服务成为常态……概括而言，需求和挑战来自三方面：连接：用户和资源不再受到物理和网络位置及组织结构的限制，都能够按需访问工作相关的各种业务的目标资源。管理：用户和资源信息由各相关方分别管理和维护，并根据业务需求及时赋予和灵活调整用户权限。安全：人员和资源都不再局限于限定的物理和网络位置，无法根据物理和网络位置划分内部和外部而进行管理和保障，为黑客入侵创造了大量机会，也明显提高了数据泄露的风险。暴露面越来越大，风险点越来越多，可能遭受的损失也越来越大。传统安全思路是分析和识别业务流程中的各个薄弱环节及相应安全问题，进行有针对性的加强和防御，并依靠持续的事故响应、技术更新和流程优化来保证各项安全措施的有效性和可靠性。基于传统安全思路，需要采取的措施主要包括：构建隔离网络环境，限制跨网络访问，只通过限定通道甚至离线方式与外部网络进行数据传递。在用户使用的终端设备上安装客户端软件，加强对用户终端设备的管控和保护。客户端软件需要具有的功能包括：追踪终端设备和状态监控；管理和控制外设；与指定安全网关建立加密通信隧道；防病毒和恶意软件；扫描和识别敏感数据，并拦截不符合规范的使用及外发；收集和记录用户行为；识别、截获和转发指定或全部网络流量。使用本地网络接入管控设备，扫描和识别网络中接入的各种设备，拒绝非法接入。使用远程安全网络接入设备，支持与用户终端建立安全访问通道/隧道。使用网络安全设备，收集、分析和过滤网络流量，拒绝不符合规则的网络通信，扫描和拦截病毒和恶意软件，拦截恶意攻击。使用基于代理的安全网关，收集、识别和分析用户终端设备的网络通信，拒绝非法访问，拦截病毒和恶意软件，识别并阻止敏感数据泄漏。此外还可以采用沙盒和诱骗等新兴方案辅助和加强防御，并采用自动化处理和综合分析、利用云和AI等新兴技术在各个安全防御环节完善“收集-分析-发现-响应”机制，且参照Gartner

定义，以人，技术和运营能力，三位一体，跨越组织多层，建立可变的安全屏障。无论技术如何变化，无论产品如何堆叠，防守一方，一直在补断完善和加固组织的纵深防御能力。安全团队，针对暴露面威胁分析Threat

安全村安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。投稿邮箱：info@sec-un.org

进入二十一世纪以来，随着互联网及移动端应用的广泛发展，信息安全事件也层出不穷。一方面外部环境快速变化，攻击手段越发多样与自动化，各国及各地区的安全监管要求更加严格，另一方面，企业内部人员流动大，研发人员安全能力不足，面对新的监管要求以及外部攻击，安全防护的难度大大提升。从甲方企业的角度来看，现阶段的安全防护已经不止是在基础架构与体系管理层面的防御，而是开始要求安全控制左移；甲方企业在选择各类产品，尤其是联网产品时相比以前更加关注产品本身的安全性，以控制风险。基于此，作为研发型企业，探索并实现符合自身特点的产品安全管理，确保交付给客户的产品、服务的安全性符合市场需求，则成为必经之路。本文以自身企业在发展过程中进行的产品安全体系建设实践以及思考，希望能给大家带来一些启发。一、挑战与机会市场驱动。从2017年网络安全法生效开始，我国落实了一系列配套措施，特别等保2.0及护网行动，对企业在网络安全上提出了更高要求，很多企业在购买产品时都将产品安全性作为一项重要指标进行考虑，甚至在招投标阶段为作基本条件。另外在日常运维中也对安全有实际的需求，以实现组织的纵深防御。因此在产品安全产方面做得好的企业及产品，也能够获得加分项。提升研发的安全能力。传统上研发部门在产品安全的投入较为少，这与产品经理安全意识淡薄、不清楚如何推进产品安全建设有关，比如不重视产品安全属性、产品安全需求不明确、产品安全资源不充分、产品安全建设无从下手等。挑战与机会并存，这也给企业带来整合提升安全能力的驱动力。二、建设实践安全建设从无到有，从弱到强，是一个逐步建立完善的过程，信息安全建设通常用以PDCA为指导原则，研发的安全建设也一样，做好规划，依据现有研发基础流程，从基础要求，以前关键流程节点抓起，在前期减少对研发的影响，实施过程中复盘取长补短，逐渐扩展能力，并建立适应不同研发模式以及产品线的安全研发体系。1、起步与规划1）建立产品安全体系的安全资源团队巧妇难为无米之炊，安全团队资源是保障产品安全要求落地的直接推动人员，在初期阶段，应尽可能利用一切资源。作为外企在亚太的区域总部，我们直接采用美国总部的平台资源，如代码审计平台、基本流程等。往往外企总部的流程在全球化的落地中经常出与各地区水土不服情况。作为植根中国、服务中国的企业，我们在遵循总部平台总体流程的情况下，针对本地研发特殊情况，一方面通过总部研发安全流程的整合推动流程本地化实施，一方面直接使用总部产品安全资源平台作为基本建设资源，包括白盒、黑盒安全漏洞扫描、代码审计等工具以及信息安全团队部分人员。如果企业没有总部资源，这方面也可以直接在本地规划，建立最基础的安全测试平台、产品安全测试能力等，产品安全团队资源前期也可从信息安全团队引入，人员主要侧重产品安全测试、漏洞修复等安全能力及沟通能力，主要负责测试及项目管理。2）建立基线要求安全基线作为一个系统的最小安全保证，即该信息系统最基本需要满足的安全要求。系统安全往往需要在安全付出成本与所承受的安全风险之间进行平衡，而安全基线正是这个平衡的合理分界线，特别是在安全建议初期阶段，满足基线要求应作为重要策略之一，即让研发部门有了基本依据，执行起来对原有研发的冲击影响也较小。基线可以参考业界的一些标准，如UL2900、OWASP

安全村安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。投稿邮箱：info@sec-un.org

青少年作为网络用户中的新生代，不可避免的成为了个人信息和隐私“陷阱”的潜在目标。12月21日，微博发布了《微博青少年隐私保护公益宣传片》，通过四个生动形象的短视频小故事，演绎出社交平台晒图泄露个人信息、点击陌生链接被盗号、扫钓鱼二维码索要个人信息及连接来源不明wifi窃取个人信息四类青少年生活中常见的个人信息“陷阱”。快转给身边的青少年们一起看看，要如何防范生活中这些常见的个人信息“陷阱”吧！关于

一、前言感谢依然还在的你，90余天未更新，关注量未降反增。努力多分享能一起成长的内容，不负大家的关注。比❤️。每一个做安全资产管理的同学们，都一个终极梦想，那就是掌握所有信息资产。为什么要掌握所有的安全资产呢，因为做防守的同学们有一个逻辑，掌握全量资产才有可能掌握资产上的风险和隐患。为什么说是梦想呢？每一代想挑战安全资产管理的人也不少，关于安全资产管理的实践也多如牛毛，但至今未见圈内有最佳实践。可见做好安全资产管理的难度不是一般的大。此前有些实践基础，文章定名进阶实践。可参考文章如下。【极思】资产管理：安全人员的自救实践【极思】安全资产管理痛点思考二、为什么要做第一、解决安全度量中的覆盖率计算问题。覆盖率计算时，需要全量的资产作为分母。比如，终端上的网络准入、防病毒、EDR等。服务器上的防病毒、HIDS等。统计安全度量数据时，资产是分母。没有全量资产，统计出的度量数据，没有公信力。第二、解决漏洞情报响应中的资产定位和影响分析问题。前两年曾设想过，漏洞情报出现时，如果能直接关联资产数据，可直接确定受影响范围，再配合SOAR直接分发工单。受漏洞利用条件、资产数据不完整的影响，一直不曾实现。在响应过程中，还被质问「我的Java版本不受影响，为啥发工单给我？」。问题是收到漏洞情报响应时，需要有软件、中间件、JAR包的版本号判断影响范围。需要有启动用户、关联软件版本、配置文件、插件版本等资产判断是否可利用。需要互联网开放情况判断处置优先级。天知道你是啥配置啊？第三、解决告警处置中的人员、资产定位问题，为分析提供支撑。出现入侵告警时，需要有资产负责人的姓名、电话、IAM账号、人员经理信息，沟通确认是否为攻击行为，排查是否为误报（有可能是员工操作）。若非员工操作，确认为攻击者行为，排查被攻击的漏洞是否存在（有可能是扫描器），需要有软件、中间件、框架、组件、JAR包等资产信息支撑。第四、解决事件响应中的漏洞定位问题，为分析提供支撑。如有攻击成功，进入响应阶段。需要排查进程、端口、启动项、文件Hash、文件签名、系统日志等信息，确认是否被安装后门。分析攻击者是否横向移动时，需要排查周边设备的漏洞情况、安全防护情况，分析可能的影响范围。第五、解决运营过程中资产无法自动化查询的问题。较多的安全系统都会有资产查询需求，无资产API查询时，只能通过手工查询定位系统的负责人信息。比如，自动化运营场景中，每个流程都有多个步骤，每个步骤有多个查询，任意一个资产信息查询无对应API时，均会导致流程自动化断层，自动化运营系统的价值会大打折扣。第六、安全运营未来发展和进化支撑。安全运营的发展和进化，和打游戏时的科技树一样，没有基础能力时，很多高阶能力是无法真正实现的。比如，近期的零信任，前期的态势感知，由于没有强有力的基础能力支撑，被玩成了圈内的笑话。小到安全能力有效性、安全设备巡检，大到实现零信任、安全大脑、智能决策、UEBA等，均会受到影响。三、解决方案思考事物发展循环：从无到有，从有到多，从多到合。安全资产管理阶段：阶段一，从无到有，各团队询问更新，自维护本地表格时代。2017阶段二，表格量大无法维护，升级为简单查询的在线系统。2018阶段三，系统数据源不够，增加自主发现（扫描和监测）。2019阶段四，系统+自主发现仍无法覆盖全量资产提出SCMDB。2020阶段五，大数据平台式解决思路，安全资产管理中心。2021阶段六，安全资产管理关联漏洞、隐患等的攻击面管理（ASM）。2022阶段七，设备、用户、系统画像+攻击者画像，全景联动分析。2023在2019年左右，我们处在阶段四，向阶段五进发，没有理论上可行的思路。有个朋友兴奋的向我介绍

一、当前国内网络空间攻击情况分析随着社会及各行业不断的网络化、数字化建设，各行各业的办公、业务、服务环境不断向网络空间转移，进而在网络空间安装了纷繁复杂的协作系统，存储了比以往任何时候都要巨大的数字财富。网络空间攻击也就应运而生，全球几十万黑客在不断更新迭代他们的攻击武器，对各类依托互联网运转的社会组织产生了巨大的威胁及严峻的挑战。从传统的木马、蠕虫到勒索与挖矿（Bitcoin

安全村安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。投稿邮箱：info@sec-un.org

关键词：短信验证码，小公司的信息安全管理，账号安全如果搜索“短信验证码为什么不能告诉别人”，会找到无数个帖子，告诉我短信验证码的安全机制，设计思路，会有多么恶劣的后果，甚至还有详细的诈骗套路说明，诈骗案例分析。提问者可能不懂技术，也不想为了安全而变成诈骗专家。如果要帮到提问者，我们需要知道的是：提问者问的“为什么”到底是“为什么”？现实的困惑和需求一个小公司的老板，他在一天的工作中，需要频繁的把短信验证码告诉别人。比如财务在帮他办理报税、社保之类的事务；IT在登录公司的阿里云/腾讯云，购买一些虚拟资产，软件授权或账号；知识产权代理在帮他处理一些专利、商标相关的业务。财务要验证码，还要搞一下人脸识别。整个过程中，财务没有说明事由，老板完全被动配合即使是大公司，这方面的管理也未必会更规范。我知道的实际案例，其中一个就是待在四楼的老板，开会过程中随手回复二楼财务的验证码请求，然后账上就被划走了80万。事件后，反省和分析是必不可少的：为什么不等会议结束了，再处理验证码的事情？就在楼下，财务上楼来，老板下楼去，很难么？为什么要用老板的手机注册这些事务性的账号？为什么不关注财务当时的个人状态？明知道他要离职了，还这么信任他？为什么不对财务人员做信息安全培训，让他能够识别系统反应的异常？短信验证码绝对不能告诉别人，不能有侥幸心理！……都有道理。前面关于“为什么不能”的所有解释，事件发生后所有的反省，说得都对。但很多时候，一个被忽略的更基础的问题是“臣妾做不到啊”。因为：短信验证码总有需要告诉别人的时候！至于为什么总是会忽视“不要把验证码发给别人”的警告，原因似乎也并不难找：很多正式的，商务或政府的平台，并不提供机构账号的注册，只能以个人身份代办机构业务。当账号数量太多，登录验证形式太多时，建立起完善的管理机制其实是一个成本和能力水平要求都很高的问题。即使是大公司，也未必能做好。法人或者老板是很忙的，分身乏术。老人或小孩不能顺利完成手机验证码这种复杂度的身份验证过程。……当提问“为什么”时，提问者的内心是：我需要将短信验证码发给别人，危险到底在什么情况下发生？如何规避？当有事件发生时，当事人需要的帮助是：如何减少“必须要将短信验证码发给别人”的情况？必须要这么做时，如何正确操作并且规避风险？最不需要的帮助，就是“不要把短信验证码发给别人”这种看似专业，其实很便宜的指导。尝试回答提问者每当我面对“短信验证码为什么不能告诉别人”的时候，我的回答一般包括：短信验证码告诉别人，有很大的安全隐患。运气不好，就有可能倒大霉。如果不得不把验证码告诉别人，一定要在当时做到如下几点：确认的确有一个事情需要验证码。不论多忙，跟对方打个电话，口头确认一下是什么事，为什么需要验证码，是不是当时就需要。电话中可以通过声音确认对方身份。如果实在不熟，可以微信或钉钉上问对方一个能确认身份的问题。如果是在企业里，可以采用更加专业的管理方案。比如说考虑使用专用手机来注册各种账号，并交给专人管理。一点儿总结不论我是信息安全的产品、研发、咨询还是甲方，理解安全功能背后的业务价值都是至关重要的。而如果我不懂技术，也不懂安全，只是单纯的需求方，那么守住自己的需求，把解决方案放在威胁场景中进行检查，也就足够了。就短信验证码而言，理解如下几点，并不需要深刻的技术：攻击的一种方式是群发和拼概率。而我们总是有疏忽和脆弱的时候，一时倒霉，我们成为骗子眼里的万分之五。攻击的另一种可能是伪造虚假的请求信息。比如你以为微信上问你要验证码的是会计，其实不是，可能只是骗子使用了会计的头像。如果不得不把验证码发给别人，关键是提醒自己要A.

一、前言近年来，证券业务快速发展，信息系统变更日益频繁，敏捷开发、快速迭代已经成为支持业务创新的必要条件。数据库作为信息系统运行的重要支撑，数据准备和交付的自动化程度对系统开发、测试效率有大的影响。二、数据准备遇到的困难测试数据的准备通常包括数据库备份、数据库脱敏、数据库恢复等几大步骤。在备份环节，我司主要是利用数据库自带的备份功能进行数据库物理和逻辑备份，并通过统一备份平台对备份文件进行备份。根据测试实际需求，如需要真实数据，我们通常采用灰度环境，灰度环境的数据准备主要有两种方式：直接采用实时备库或者是采用与生产隔离的数据库。两种方式各有优劣，第一种方式的优点在于数据是实时和生产库同步，省去了数据导入的环节，而且对于某些数据库如ORACLE

安全村安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。投稿邮箱：info@sec-un.org

最初，是从一个甲方CSO朋友的苦恼开始的。为了做好国产化准备，朋友所在的单位要对当前已采购的国外产品进行摸底排查，网络安全也自然是其中的一部分，他责无旁贷。但第一步，梳理清单，他就犯了难。网络安全太碎片化了！比起存储、数据库、中间件，厂商数量和产品类型多太多。这个清单他自己整理，费时费力不说，总觉得有所缺漏，也没有什么复用价值。有没有人做过类似工作、已经整理好了现成的，直接拿来用就好？这是他最初的想法。他说的有道理，但估计每个甲方都这么想。这件事应该有个第三方机构系统梳理一下，不仅能节省所有甲方的时间精力，拿来即用，还可以通过不同维度的甲方调研来丰富国际厂商数据的完整性，毕竟有些技术只会在一些特定行业中有使用场景，比如车联网用到的一些工具金融根本用不上，任何一个甲方从自己的业务出发，都难保证全面。那就我们来吧，于是便启动了这个调研。进展很快，几轮调研统计之后，最终名单上筛查出来132个在国内依然有业务开展的、提供网络安全相关技术产品的国际厂商。到第二步，分析国际厂商的来源成分，就有点复杂了。要知道国产化的动力，不仅仅是信创，还有一大部分是来自于对科技断供的担忧。随着中美贸易摩擦和俄乌冲突的发展，科技断供已经从一种潜在风险变为非常现实的问题，这些国际供应链厂商可能随时会因为受到涉及国家/地区的相关法规限制而突然被动禁售，关键信息基础设施等甲方单位的焦虑非常可以理解，亟需未雨绸缪。那这132个厂商，都涉及哪些国家地区呢？有些以色列厂商在美国上市，有些欧洲厂商被美国资本或厂商并购，千头万绪，怎么统计？无难事，有心人。厂商涉及的国家地区关系大致可以分为几类：厂商总部所在地、上市地、母公司所在地、并购资本所在地、及其他法律法规有影响能力的国家和地区，因此单个厂商的确可能会受到多个国家地区的法律法规影响。我们按这个方式进行了成分梳理，最终得到的数据如下：132个厂商，涉及了全球20个国家地区，列表如下：到第三步，真要替换的话，不是厂商换厂商，而是产品换产品。怎么对应？本质上，甲方使用的是产品，要替换的也是产品。对于一些产品线比较长的国际大厂而言，很难说某个国内厂商可以整体对标来替换。但所谓术业有专攻，如果明确拆解到具体所采用的产品类型中，可能会有不同的国内厂商来分别对应。因此，这一步的挑战是，该如何拆解这些厂商的产品线形态？还好之前斯元有这方面的研究积累，在之前的「Emerging

1.互联网安全新态势近年来新兴技术孕育出了各种创新的金融服务模式，推动着金融业务的变革和数字化转型的不断加速。然而，多元的应用形态也给金融机构带来了更多的业务与数据安全风险，金融机构必须快速升级自身的安全理念和防护手段，以应对撞库、盗用账户、信息泄漏、交易欺诈等安全威胁与挑战。黑产工具也在不断升级，团队分工指派更明确了。1）自动化工具威胁

安全村安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。投稿邮箱：info@sec-un.org

随着粤港澳金融合作不断加深，大湾区金融改革亮点频出，而在后疫情时代新发展格局下，站在推进双循环战略落地、打造先进制造业与现代服务业创新融合的高度，大湾区金融科技发展更是肩负着新的历史使命。金融科技行业由于自身的业务风险、合规要求以及中断的敏感性，给安全防护带来了很大的挑战，金融安全体系建设逐渐成为全球金融科技竞争的制高点和主战场。金融安全从业人员不仅要对前沿技术、金融业务有完整系统的掌握，还要具备合规风控意识。如何完成知识的积累与传递，培养复合型金融安全人才，成为行业当前的挑战。为汇集金融行业网络安全防护的最新经验、成果和解决方案，总结分享一线安全规划、运营、建设的心得和实践经验，深圳市金融科技协会网络与信息安全专委会特筹备《安全村·大湾区金融安全专刊》，并向行业专家进行约稿。01专刊信息专刊名称：大湾区金融安全专刊出品机构：深圳市金融科技协会网络与信息安全专委会，安全村定位：仅供行业内部交流赠阅，非公开发行02约稿说明主题：金融科技行业信息安全典型场景和解决方案，聚焦一线实践心得，包括但不限于如下方面：网络安全纵深防御及防御有效性验证网络安全运营及自动化攻防技战法供应链安全数据安全及个人信息保护基于信创的金融信息安全技术云原生安全金融信息安全前沿技术实践篇幅：2000～5000字，如配图需提供高清文件（印刷质量要求）及可编辑版本。作者：可独立或团队协作完成，请注明作者联系方式（电子邮件、电话、邮寄地址等）。要求：投稿文章未正式出版和发表过，也不在其他刊物或网站审稿过程中，不存在一稿多投现象；保证投稿文章的合法性(无抄袭、剽窃、侵权等不良行为)。投稿截止时间：2022年12月15日联系人：徐权佐，13691924847；罗振伟，1892605059503作者回馈文集赠阅：每篇文章

演化的高级威胁治理系列，目前为止更新了六篇，系统性地阐述了2014年～2021年思考和规划“高级威胁治理”这个领域的全部过程，历经从趋势科技、亚信安全到360三个时期，这里感谢各位老东家对该领域的战略重视和理念输出，让我可以一直保持这个领域的专注和研究，能够不断深挖和提炼这个领域的奥秘。安全行业一直被诟病碎片化严重，缺少主线和体系，故斗胆按照自己的理解和认知将“高级威胁治理”这个领域进行了体系化的整理和规划，用一年半时间陆续发表出来，既希望这个领域的甲乙双方共同看到较为完整的领域全貌，了解这个领域的演化脉络和演进方向，同时也欢迎大家不吝赐教共同帮助这个领域持续丰富和提升。网络安全一直有“检测派”和“管控派”之说，“演化的高级威胁治理”这个系列主要以“检测派”为主，这里不是说“管控派”没有价值，事实上，“管控派”可以从另一种理念和实践解决80%的“高级威胁治理”领域问题，并且，“管控派”的价值远远不限于安全，它甚至可以服务于IT、数据以及业务等更上层更广泛的领域，因此，接下来我将会另起新的系列来进一步阐述，新系列为暂定《IT公有云》，有机会和大家一起分享。演化的高级威胁治理（一）阐述高级威胁治理战略提出的历史背景、威胁的演化、威胁的分类、高级威胁的定义、高级威胁的生命周期以及威胁分层描述模型演化的高级威胁治理（二）2015年，趋势科技时期，演化的高级威胁治理战略

随着移动互联网的飞速发展和移动终端的普及，证券移动业务自2012年起，迎来了迅猛发展，券商通过接入信息化来作为提高竞争力的手段，各证券公司都相继推出了自有的移动应用服务，基本涵盖了资讯、行情、开户交易、转账、财富管理等多个功能，成为连接证券企业与用户的重要接口。广大用户在享受便利的同时也处于移动安全的风险之中，证券类移动应用面临着盗版软件、隐私泄露、用户密码被窃取、数据被修改等诸多风险。1）移动应用存在安全漏洞，应用由不同背景的团队开发，并且集成大量三方SDK，程序代码自身潜在的安全漏洞风险和敏感数据泄露，给移动业务带来极大的安全威胁。2）移动应用存在破解风险，非法人员借助第三方工具，对移动应用进行逆向分析和恶意破解，甚至篡改重新打包，导致移动业务遭受重大损失。3）移动应用存在非法攻击，在应用运行过程中，威胁攻击可能随时发生，若不能实时防护，将无法保障移动应用的安全可靠运行，影响移动业务的正常开展。4）移动应用较多管理困难，移动应用较多，管理起来比较麻烦，上线发布渠道混乱，下载和版本升级的出口众多，容易带来应用伪造和仿冒风险。近些年，金融类移动应用被盗版、被破译、数据失窃的事件屡见不鲜，一旦移动应用遭遇黑客攻击，将会给企业和用户带来直接的经济损失。结合证券行业，这些风险也极有可能导致交易APP被植入恶意程序后再传播，导致用户的密码或其它信息被盗，或者黑客利用漏洞攻入券商的移动服务端，或者客户被钓鱼而钱款被恶意转账等风险。移动业务安全整体防护针对证券行业移动业务存在的安全风险，方案通过安全检测、安全加固、安全沙箱、安全监测和应用商店，构建移动业务的整体安全防护体系，实现移动业务应用的全生命周期防护，保障证券移动业务安全。安全检测：通过逆向分析和源码还原，采用静态特征匹配、动态行为分析、人机交互模拟和数据流关联分析等多种自动化扫描方式，发现应用程序中存在的安全漏洞和数据泄露，同时支持个人隐私保护条款和第三方SDK访问权限的多维度检测，针对应用存在的安全风险，给出详细的检测报告和整改建议，并在必要时辅以人工安全渗透检测，争取在移动应用上线发布前，解决应用程序存在的安全漏洞。安全加固：采用虚拟机保护机制、JAVA2C和白盒加密技术，通过对移动应用程序进行自动化加壳，实现移动应用的防逆向分析、防动态调试、防篡改二次打包、敏感数据保护和异常运行环境监测，保障企业移动应用程序安全。安全沙箱：通过应用虚拟安全沙箱，实现应用运行环境隔离，提供敏感权限控制、个人隐私保护、数据泄漏防护、数据加密保护、异常运行环境和威胁攻击监测，增强移动应用业务数据和运行时的安全性，保障移动业务安全。应用安全沙箱，支持应用自动打包和SDK开发集成两种方式，同时提供安全键盘、数据加密和安全监测等多种安全赋能SDK。安全监测：通过在业务应用中置入轻量化安全监测探针，从用户、设备、应用和行为等多方面进行持续安全监控，实时采集移动业务的运行环境、威胁攻击、敏感操作和数据访问等信息，经过关联统计分析、评估安全风险、产生异常告警、触发响应保护，并通过可视化的方式进行多维度呈现，提供安全态势感知能力，帮助管理人员掌握移动业务安全的整体态势，以便及时发现并规避移动业务的威胁与风险，保障移动业务安全。应用商店：在企业内部搭建自有应用商店，进行众多移动应用的上线分发和版本升级，实现应用的集中管理和统一发布，独立于第三方移动应用商店，有效避免移动应用的伪造和仿冒，保护移动应用安全。方案特色应用全周期防护：通过移动业务安全解决方案，针对企业自建移动应用，进行应用漏洞安全检测、应用代码安全加固和应用运行状态安全监控，结合移动应用商店，实现移动应用从代码开发、上线发布、安装运行到版本升级的全生命周期安全防护，达到移动应用的集中统一管理。数据全周期保护：通过移动业务安全解决方案，针对企业移动数据，从移动设备、移动应用和移动内容等多个方面，进行文件内容加密、页面截屏防护、内容复制限制、页面数字水印、远程数据清除和恢复出厂设置等数据泄漏防护，实现移动数据从产生、使用、传输、存储到清除的全生命周期保护。持续性安全监测：通过移动业务安全解决方案，针对证券移动化面临的移动安全威胁，从用户、设备、应用和数据等多方面进行持续性监控，实时采集运行环境、威胁攻击、敏感操作和数据访问等行为信息，经过关联统计分析，评估安全风险，产生异常告警，触发响应保护措施，感知企业移动安全态势。满足安全合规要求：证券移动业务安全解决方案，通过等保2.0三级安全测评要求，可将方案能力输出给企业移动业务应用，帮助应用快速满足国家及监管部门合规性要求，减少移动业务合规成本。作者介绍高政伟，上讯信息终端安全产品研发总监，中国网络安全产业联盟（CCIA）技术专家，资深网络安全从业者，拥有丰富的网络安全产品研发经验，从事零信任安全架构下的软件定义边界（SDP）、移动威胁防御（MTD）和终端检测响应（EDR）等方向的研究，专注于移动互联网、车联网和物联网安全。

一、缘起：成熟的客户知道自己需要什么2018年，国内某高科技公司，出于自身安全建设驱动，计划引入一家国外知名度最高的特权账号管理产品，来解决公司内部账号台账混乱、账号风险不明、应用硬编码账号（即应用内嵌账号）可以被轻易利用的问题。但囿于该产品厂商的沟通不顺畅、服务不到位、产品功能有局限，导致在预上线的过程中，挫折不断、问题频出。比如：只有英文指导手册、非工作时间不提供技术支持、产品在应用内嵌账号管理方面严重依赖agent（agent可能引入新的安全漏洞且对业务系统造成未知影响，历来为国内客户所不喜）、产品在微服务环境下水土不服等等。这家高科技公司是我们的老客户，一直使用我们的堡垒机产品。在一次堡垒机的技术交流过后的闲谈中，客户讲了自己试用国外特权账号管理产品受挫的情况，而我们恰好也有此类产品且对这家国外公司的产品知之甚深，话题就顺着聊了起来。次周，客户向我司抛出了橄榄枝，希望我们能过去做一次正式的技术交流。对于我们来说，一个成熟认知、有经验的老客户的新需求，正是我们最为看重的，所以在技术交流前，我们的售前团队先行调研了用户在特权账号管理方面的需求，具体情况如下：特权账号管理系统应具备在不依赖agent的情况下，自动对目标资产进行账号信息采集、账号风险分析、账号自动改密等基本功能，进而帮助安全团队快速建立起账号台账，确保“家底清、数据明”；特权账号管理系统应具备在不依赖agent的情况下，帮助用户实现应用内嵌账号治理，确保账号密码不静态驻留在应用配置文件中，杜绝违规/恶意拿到该账号密码进而访问目标服务器、数据库的可能；应用内嵌账号治理，要能覆盖到客户的所有业务场景，包含传统应用、spring框架应用、微服务化应用等，规避“木桶效应”。基于以上需求的了解，齐治售前团队带着技术方案和演示demo，与客户的安全部门开展了一次正式交流。因为准备比较充分和方案十分完善，所以交流过程异常顺利，交流效果也超出了客户预期。尤为值得一提的是，我们的售前专家结合了自己在其他高端行业客户处的特权账号系统落地经验，给客户提出了以下几点建议：特权账号管理系统是个跨界的系统，其建设过程需要客户安全部门、运维部门和开发部门的共同参与，否则交付起来举步维艰；特权账号管理系统势必会对传统的应用开发（账号密码硬编码方面）产生影响，需要公司由上到下达成共识，借特权账号管理系统建设来规范应用开发，由此形成后续开发标准；特权账号管理系统不能成为一个数据孤岛，其管理的账号数据是通往企业数据中心的一把把钥匙，而需要使用该钥匙的第三方系统（如堡垒机、自动化平台等），都需要通过安全可信的方式（严格的身份验证、权限控制及加密保护）来获取到账号密码。通过上述良性互动，不但我们向客户展示了自身的专业，客户也加强了对需求的理解，是个双赢的过程。在随之而来的POC和预上线过程中，双方的信任也逐步加深。二、逐梦：成熟的客户，唯以专业与成熟方能不辜负项目自进入POC阶段开始，已经进入了我们产品的预交付流程。因为客户的需求相对复杂，所以我们甫一开始就联合了研发、售前和售后团队的几位专家成立了项目保障团队，确立了三点项目测试和预交付的要求：以客户业务为中心。特权账号的交付其实更多是项目的管理，需要客户参与并确定管理，而我们提供产品、技术以及更多的培训、演示和答疑；以客户职责为中心。齐治售前专家与客户的安全部门对接，及时梳理和反馈需求进展，进行功能POC验证；齐治的售后专家与研发专家与客户的运维部门和开发部门对接，完成内嵌账号治理联调、第三方系统对接联调；以自身产品为中心。根据客户实际业务场景，倒逼产品研发，紧紧贴合客户需求，完善产品的功能框架细节。经过为期4个月的充分功能验证和开发联调，我们的特权账号管理系统最终全面完成了POC和预交付上线。而客户同步在沟通测试的其他两家友商的特权账号管理产品，则迟迟无法通过功能验证（尤其是在去agent依赖、微服务化支持方面），预交付更无从谈起。基于这种情况，齐治特权账号管理系统正式成为客户的不二选择，顺利走到了最后的采购环节。同时，齐治在项目交流、测试、预交付过程中所展现出来的专业度、责任心、方案成熟度、研发响应能力方面，也被客户和友商高度赞扬。三、淬炼：特权账号管理系统交付的经验心得特权账号管理系统，有别于传统的安全产品、是一个与第三方高度交互的系统，其交付过程存在周期长、涉及部门多、衍生需求多的特点。我们的交付团队拥有重大类似项目的交付经验，在本次项目交付过程中再次得到了验证和淬炼。总结来说，八个字即可概括：一个共识、三个持续，即：客户的项目团队、开发团队要达成共识：通过特权账号管理系统来形成账号管理规范和应用硬编码账号设计标准；厂商交付团队要有明确的项目经理并由其来制订严谨的交付计划，与客户的相关部门（一般指安全部门、运维部门、开发部门）主动建立持续、高频的沟通汇报，及时通报项目进展及所遇到的问题，确保交付顺利；厂商交付团队的项目经理要持续地向上管理，反向追踪公司内部对客户每个新需求的开发进展，将需求内容、开发方案、设计原型图技术与客户相关部门沟通确认，确保交付内容无偏差；同时，对于客户提出的需求或想法予以积极地分析和引导（引导一词的含义是不能一味地满足客户所有的需求），当然，如果客户提出的需求是合理、有价值且我们还没有实现的，我们也会推动产品团队排期满足；厂商交付团队的交付专家要持续的培训客户，将产品的功能原理、应用场景、最佳配置实践、风险规避措施等内容，向参与项目交付的客户人员进行知识传递，以便让用户能深入了解产品，及时将产品功能带入到应用场景，确保未来使用不出问题。四、致远：每个客户的成功让我们积跬步至千里自2016年，齐治的特权账号管理产品面世开始，历经了5年征程和各种复杂环境的验证考验，我们帮助了500多家高端行业客户走向了成功，同时也在一个个项目中，根据客户的需求，将自己的特权账号管理产品打造成了行业内独树一帜的旗帜，填补了多个长久以来在特权账号管理领域的空白，避免客户走上骑虎难下的囧途，尤其是下面几个方面（既是来自于某客户的总结，也是特权账号管理项目常遇的技术坑/缺陷）：未来，我们将继续在特权账号管理领域发力，立足于国内客户需求，结合各种新场景、新应用，积极迎接新挑战，以终为始，在帮助客户成功的同时，让自己走向成功。作者介绍薛斌，齐治科技华南技术总监，运维安全管理领域资深专家，拥有13

我打算写一个专栏，连载在个人认为“华语最佳”的信息安全新媒体——安全村——上。当然，前提是安全村能够包容我，允许我连载。否则，我依然可以送他们一个马屁，然后随便发布在一个其他的媒体上。作为一个不在安全圈内，也不专业的人，在最好的专业媒体上连载，显然是一个非常“不安全”的举动。说不在安全圈内，是指我不是甲方，也不是乙方，不搞安全技术，不搞安全管理，也没有上过护网的战场；自认为不专业，是因为我不懂编程，也不懂IT，发掘不了漏洞，也搞不了攻防。虽然不在圈内，也不专业，但我也还算经历过。短时间做过甲方和乙方，跟过销售，做过项目，可谓是不学无术，技无专精。俗话说得好，距离产生美。正是这种若即若离，让我看到一些东西，觉得有必要，要说出来。更重要的是，我认识更多的朋友，他们为安全困扰和担忧，却不懂安全，甚至不懂信息技术。一些问题，我想替他们问出来；还有一些问题，想抛砖引玉，尝试着做一些“不那么专业的回答”。——

近年来，网络安全态势不断变化，随着国家对网络安全的高度重视，网络安全建设逐步从静态防御的建设思路向体系化、实战化、常态化方向不断发展。常态化安全运营是今后企业与组织网络安全工作的主要方向。在常态化安全运营工作中，信息资产管理是整个安全运营的基础。不管是在历年的网络安全攻防演习中，还是在日常安全工作中，运转良好的信息资产管理总是能够保证企业网络安全水平有较高的下限。本文将通过理论及东方证券在工作中的实践，来探讨信息资产管理对常态化安全运营的积极作用。1.资产与威胁管理的痛点实践中我们发现传统的安全模式已经无法有效地对大量的信息资产进行威胁管理，其主要原因在于资产类型和数量的不断增长以及资产数据管理不规范造成的，不同资产及数据之间存在天然隔离，其管理和操作上会存在以下问题：1）资产数据维度多：一些业务数据如CMDB，配置表等公司业务管理类数据无法和单一的安全设备相结合，使得传统安全分析缺少业务维度，难以根据实际情况承担管理功能；2）资产数据依赖人工处理：多种维度之间缺乏有效互通，安全工作将会过多依赖人力，同时效率和质量也存在不可考因素；3）资产关联度不敏感：由于不同资产对接的不同的安全设备，而且安全设备的管理端各自独立，数据之间无法形成有效关联，对于外部威胁的感知能力被降低，最终导致安全纵深体系的反应被钝化;4）安全设备种类多：安全设备布置在网络多处节点上，比如防火墙、WAF、堡垒机、流量探针、主机agent等，相互之间分属不同厂商，日志格式均不相同。导致设备日志种类丰富，存在多种格式和含义，不具备天然的可用性；5）资产频繁变更：敏捷，容器等快速部署能力的大规模应用使得资产信息的变化速度大幅增加，相较之下传统的资产信息整理速度呈现加速落后的趋势。2.资产管理的目标资产管理是常态化安全运营的基础，使企业和组织做到知己知彼中的知己这个部分。对于安全运营来说，资产管理的最终目标是将资产数据化并以有效安全数据的形式呈现给安全设备，进而构建全面的自动化威胁监测与响应体系。因此，面向安全运营的信息资产管理体系应该针对资产与威胁管理的痛点来制定相关的建设目标。通常，资产管理的目标主要有以下四个方面：掌握攻击面资产。攻击面资产是暴露在攻击者眼前最直接的资产，通常处于企业网络的边界处，面临着最高的被攻击风险。梳理攻击面资产是最基础的资产管理，能够帮助企业做好攻击面防御，避免出现不设防点。掌握攻击面资产的内部关系。现在应用系统结构复杂，系统结构中还包含网络设备、安全设备、反向代理、地址转换等多种复杂的情况。因此，为了更好的掌握可能的攻击数据流向，在完成攻击面资产梳理后，应进一步梳理攻击面资产内部的访问关系，以及攻击面资产与内部系统的访问关系。掌握资产的漏洞。攻击是利用系统漏洞的行为，因此掌握资产漏洞及时进行修复和缓解，将会使企业网络安全保持在较好的水平。而且，如今的漏洞利用更倾向于利用中间件或开源组件的N-Day或0-Day漏洞，外部的安全设备很难进行有效防御，还是需要中间件或开源组件及时进行升级修复来阻止漏洞利用。掌握第三方IP信息。子公司、机构、银行间、证联网等。很多第三方IP都不是常规的保留IP，会被安全设备识别为互联网（比如美国、非洲）IP，进而伴随一些不规范的应用访问产生误报。为避免误报干扰，日常应维护好第三方IP信息。实现常态化数据更新。根据证券行业运维管理的特点，针对资产信息的变更发现时间应当尽量缩短。通过合理和人工更新和自动化更新，数据更新频率可以降低到周以下甚至天级别更新。3.资产信息的种类资产信息的种类很多，我们大致把资产信息分为基础数据和高阶数据。1、基础数据：指CMDB数据，包括IP、用途、位置、所属系统、负责人。基础数据以设备为视角，是最基础的资产信息，按照ITIL的规范进行管理。主要通过设备上线下线流程产生和变更数据，并由运维人员定期检查维护。2、高阶数据：和基础数据关联的应用、中间件、数据库、网络策略及其他。高阶以应用系统为视角将资产串联起来，对于理解流向和行为的合理性更有帮助。应用层和中间件漏洞也可以更快的关联到项目组，加速整改。下表列出了整个资产管理中面向安全运营部分的资产信息和分类。4.资产信息的获取途径资产信息获取的途径主要分为外部获取和内部获取两部分。4.1外部获取外部获取主要通过外部服务方式，一般通过互联网资产测绘服务和安全众测/攻防演练服务发现。互联网资产测绘。互联网资产测绘服务是近年出现新型安全服务，一般为SAAS服务或人工服务。从攻击者视角，帮助企业发现和梳理互联网暴露的资产服务以及第三方泄露的敏感信息，全面展现客户当前互联网资产暴露的风险点，为企业收敛风险提供专业解决建议。相对于传统的漏洞扫描等资产发现方式，互联网资产测绘通过多维度信息进行资产发现，拓宽了资产发现的范围，能够最大程度发现未知资产。除了应用系统资产，互联网资产测绘一般还会发现文档、源代码、公众号、小程序、API等软资产。而这些软资产无论对于大型攻防演练还是日常安全运营的风险管理，都是很有价值的。安全众测/攻防演练服务。安全众测和攻防演练是检验企业安全综合能力的有效手段。能够检验企业的防御能力、威胁发现能力和响应处置能力。由于参与众测和演练的人员思路在以往的安全众测和攻防演练中，白帽子和演练团队也经常能够发现我司的遗漏的资产，包括一些子公司资产、测试资产和弱关联资产。所以这是的资产发现的非常好的补充手段。4.2内部获取资产信息的内部获取途径就更丰富了，对于日常安全运营，应尽可能多的获取内部的资产信息。内部资产信息包括：CMDB：最基础的资产信息，一般包括IP、用途、位置、所属系统、负责人。基础CMDB以设备为视角。一般可通过API获取。配置文件：配置文件是准确获得资产攻击面和资产间关联关系的主要信息来源。包括DNS、防火墙、负载均衡、WAF、Nginx等配置文件都是关键信息来源。对于这些配置文件，如果能够实现统一或集中管理，将大大提升配置信息获取的效率。漏洞扫描：内部漏洞扫描的结果能够准确反映内部服务器及其服务端口真实的存活情况。能够及时发现新增和失效的资产，对于相对静态的CMDB数据，是非常好的补充。为了提高发现的及时性，建议将扫描周期设置为按周进行。一般可通过API获取。流量分析：流量分析设备不但能够发现流量中的攻击和失陷行为，还能够发现和验证信息资产之间的访问关系。部分流量分析系统还能够梳理出访问中的域名、服务类型、中间件类型、客户端类型等有价值的信息。整合流量分析的数据将进一步完善资产信息。主机监测：主机监测软件如HIDS、防病毒、zabbix等，通过本地检查的方式提供服务器主机信息，包括各类中间件、开源组件的部署情况。由于是本地方式，能够更准确的提供中间件、开源组件的版本和安装路径。目前0-Day安全漏洞中，占据主要位置的均为中间件、开源组件的漏洞，且版本相关度较高。外部扫描的方式判断易出现偏差，采用主机监测方式能够有效掌握这些组件的信息，是常态化管理的高效手段。一般可通过API获取。5.资产信息的整合5.1建立安全资产管理平台为实现面向安全运营的常态化资产管理需求，在资产信息数据都基本完备的情况下，首选需要做的是建立面向安全运营的安全资产管理平台。不同于传统的实物资产台账、CMDB等资产管理系统，我们认为安全资产管理平台侧重点主要集中在攻击面管理、攻击面之后的资产关联关系的管理以及应用组件分布情况的管理。这是根据以往攻防实战演练和各类安全事件应急处置中的心得体会得出的。安全资产管理平台将原先局部化、碎片化的信息进行整合，实现全局化的资产和关联化的资产视图。并通过系统化的方式摆脱电子表格等陈旧的管理方式，实现一站式快速查找和信息钻取。在安全事件应急处置中为安全团队和其他人员提供有力的信息支撑。5.2梳理资产信息之间的关系前面已经提到，面向安全运营的资产管理与传统最大的不同是需要梳理资产之间的关联关系。资产之间不再是孤立的个体，而且是按照一定的访问关系和数据流连接在一起的整体。梳理资产关系的意义是能够在安全事件发生的第一时间，快速的定位事件关联的相关资产，如互联网域名、互联网IP、负载均衡VIP、反向代理服务器、应用服务器、应用端口。定位资产信息可以明确调查范围，配合流量分析可制定行为基线和误报加白。5.3数据录入和更新资产管理平台的数据录入和更新方式，包括资产间关系的梳理，最常见的方式是人工梳理。通过上线流程提供的信息，整合第四节所描述的配置文件、流程分析、主机监测等信息，按系统梳理出资产之间的关系。根据实际需求和平衡工作量，梳理出的资产关系可以是弱关系，如把前述的一个应用系统内的域名、互联网IP、负载均衡VIP、服务器IP、应用端口等整合在一起，但不画出详细的数据流。如下图：弱关系可以满足一般的安全运营需求，当具备一定的自动化信息处理能力后，可以细化完善资产关联，通过迭代不断完善安全资产管理平台的能力。资产管理的自动化分为自动化获取和自动化关联。自动化获取相对简单，通过CMDB系统、各类网络安全系统、漏洞扫描系统等提供的API或其他数据读取方式进行自动化获取。获取后完成进行数据归一化处理后入库。自动化关联则相对复杂，需要确定关联模型和关键数据，再通过自动化手段通过抓取关键数据进行关联和展示。但由于实际网络环境和系统环境比想象中的更为复杂，有时自动化关联的结果和实际会出现偏差，需要每个企业在实践中根据自身情况不断完善关联模型，才能够获得较好的关联结果。6.未来的展望安全态势在不断变化，企业对于安全运营的理解也在不断变化，但是常态化运营是未来的趋势。未来，应用系统的建设、迭代、更新速度不断加快，安全漏洞的处置时间要求不断缩短，给安全资产管理提出了更高的要求。我们相信，今后自动化以及智能化手段在安全资产管理的领域将扮演重要的角色。自动发现、智能关联不但能够实现更快、更准确的管理目标，还能够解放安全运维人员，使安全人员将精力投入到更需要人工研判的工作中。当然，自动化及智能化也需要定制切实的目标，每个企业根据自身情况量身定制，人依然是安全运营中的核心元素。作者介绍邬晓磊，东方证券。RECOMMEND往期回顾桌面云在生产制造业的应用｜科技创新型企业专刊·安全村试与国内网络安全监管机构商榷二三事｜安全村构建邮件纵深安全体系，提升互联网重要入口安全运营水平｜证券行业专刊·安全村关于

一、背景在制造业企业纷纷进行数字化转型的背景下，企业信息化的转型升级也成为从“制造”到“智造”的重点。目前很多生产制造业采用PC台式机、笔记本等PC桌面技术用于日常办公、生产研发和图形设计等方面进行工作。然而，随着企业业务的不断发展，企业使用传统PC桌面技术也遇到以下挑战：1.1

我做过比较久的安全工作，也一直在混迹于各个安全峰会和微信群里，算是半个安全行业的从业人员。过去这2、3年积累了一些信息和观点，就想站在甲方企业的角度、结合自身的经验认知提一些想法和建议，主要是想跟国内的网络安全领域监管机构商榷，顺便听听同行的声音。因为平常少有机会接触监管，领导也经常说少惹麻烦，就更加没机会；但我想总还是需要有人发声，总还需要有人斗胆说两句抛砖引玉的话。完全是好心，也绝不针对谁，希望不会办坏事；因个人视角所限、如有说的不对的地方，请大家多多指正，我相信兼听则明、也一定有错则改。1.可否通过法律法规明确一下网络安全的内涵？最开始的时候，是没有“网络安全”这个概念的，那时都叫“信息安全”；后来不知道什么时候开始，先是有Cyberspace

一、海通证券邮件安全体系演进在近年来举行的国家级攻防演练和常态化攻防对抗中，邮件系统和互联网暴露面成为攻击队撕开缺口的重点方向，尤其是邮件攻击“成本低廉、效果直接”，成为了攻击者突破边界的最好手段。历史统计数据显示“网络攻击中有91%将电子邮件作为攻击入口”，2021年9月“白象”组织利用新冠肺炎疫情相关热点，冒充相关机构对我国20余家单位发起定向攻击，都在传递着一个信息，邮件入口的防护体系需要动态调整，防护和检测水平需要逐步提升。海通证券的邮件系统防护理念和水平是通过不断的对抗逐步提升的。我们在邮件安全攻防对抗过程中，逐步总结出邮件安全演化所经历的四代模型，从而针对邮件安全体系进化做到了有的放矢。二、邮件系统重点威胁2.1

1、概述信息安全建设大方面大家基本都差不多，只是每个行业或者每个企业在不同阶段的细节方面会有一些不同，最终效果也会有一些差距。而创新企业的安全建设基本都是从0到1，基本上是企业运行了几年时间，在基本业务稳定的情况下，因为有数据被竞争对手掌握、人员被定向挖墙脚、被监管部门通报安全事件等事件，开始重视信息安全防护，需要着手组建专业安全团队来解决对应问题。2、救火与摸底我将救火和摸底划分到同一个阶段，因为根据企业的业务特点、企业规模和个人经验来判断，在摸底和救火中不断去完善、了解企业的现状会更实际一些。预期1个月时间内完成，并且每周形成书面的进展周报，摘要信息同步给CTO，获取后续的支持和及时给出建议进行调整。2.1

摘要：证券行业受到国家和行业监管严格，需遵循的法律法规和标准多，需要建设一种智能管理平台，把以往数据安全风险管理、安全合规管理相关的工作，从分散的状态转入系统化运作；针对工作记录形制不一，相互间关联不强的状况，进行数字化转换，便于组织全面的、持续的掌握数据安全风险和安全合规状态。关键字：数据生命周期安全、安全合规治理、数字化管理1.背景与需求1.1国家法律法规政策支撑自2016年《网络安全法》出台以来，国家陆续发布了“数据安全法”、“个人信息保护法”等相关支撑法律、行政法规，以及数据安全相关的国家和行业标准，极大促进我国法律法规体系进一步完善。《数据安全法》提出应对数据实行分级分类保护，建立健全数据安全协同治理体系，提高数据安全保障能力。对数据安全领域的风险管理，合规管控提出总体要求，给与国家各行业、企业机构提供有力的帮助和指导，让数据安全有法可依、有章可循，为数字化经济的安全健康发展提供了有力支撑。1.2网络安全形势变化剧烈在网络与数据安全领域，新技术的快速发展促进新业务形态变化，同时也给安全形势带来剧烈变化，在证券行业领域主要体现在以下方面：数字化转型带来新风险。万物互联、海量数据大集中，这些都是证券行业的业务在数字化转型过程中的典型表现。此形态下，对数据的攻击可直接造成业务瘫痪；数据越是高度集中，安全风险越大；数据生命周期的每个环节都将成为目标；在海量数据中感知威胁如同大海捞针。新技术导致安全漏洞防不胜防。业务系统更复杂，资产庞杂，安全漏洞更多；数字化转型使得业务系统增加了安全漏洞的暴露面。合规管控要求提高。证券行业机构所面临的标准、监管要求众多，管控复杂，通过等级保护测评不等于万事大吉。组织对于安全合规的符合性、有效性状态，能否做到定期审计、动态监测，在数字化经济的大趋势下，是对安全合规管控提出的新挑战。1.3数据安全治理工作落地难在数据资产管理方面：数据资产管理基本处于空白，数据分类分级相关的管理制度要求和监管政策策略缺乏有效的落地执行工具。在数据安全风险管理方面：数据安全产品的告警信息相对孤立，无法直接与业务或数据资产关联，不能真正实时动态的发现数据安全风险。在综合的数据安全运营管理方面：数据安全相关管理工作繁多，安排无序，过程不能被持续跟踪；缺乏对数据安全总体态势全局了解与综合展示。2.数据安全风险与合规治理的系统化与数字化建设2.1解决痛点，整体规划，分阶段建设基本思路：重点解决数据安全治理与安全合规管理的难点和痛点问题；分期、分阶段建设，逐步形成全面安全治理能力。统一规划，分层管理。建设基础底座，实现对数据资产和关联业务的安全“摸清家底”，实现数据分类、分级政策落地。建设安全合规管理支撑工具平台，实现合规知识库的数字化管理，以及合规状态监控、合规审计等的系统化、自动化运营。建设安全合规审计中心、安全事件处置中心、安全运维管理中心，完善自动化安全运维能力，形成有效信息安全与数据安全合规监管。建设数字化合规管理能力，深度整合技术平台、人员职责和流程，形成安全运营与合规治理中心。2.2系统化数据生命周期安全管控，形成综合数据安全运营从三个层面，逐步深入，建设系统化、数字化的安全治理平台，同时，参考“数据安全能力成熟度模型”的指导，结合证券行业特点，建立数据安全成熟度评价指标，数据安全风险和运营状态监测指标。图

摘要：本文以一家大型精密模具设计、智能制造的全球化一站式服务供应商为背景，介绍了信息安全工作的经验、教训和做法。本文体现了信息安全管理的重要性，顶层设计与行业最佳实践，在给企业带来效益的同时对于企业在做信息安全的标准化，体系化建设与改进具有一定的实际参考价值。文中从四部分介绍来规划与建设信息安全工作。1、通过安全架构的开发做顶层设计，保证与企业战略发展的一致性并增加效益；2、体系制度的建立与贯彻，定义角色、职责和企业可接受的性能级别以及对行为和动作的期望；3、安全项目建设的管理，遵循项目管理的过程域与工具技术来指导工作；4、安全运营的管控，按照安全策略制定的要求，进行日常工作，对安全事件进行监测与跟踪。在公司6000多人、IT和安全人数25人（不含研发）的前提下，取得了不错的效果。公司是一家以大型精密模具为核心，集工业设计、汽车零部件、智能制造服务为一体的全球化一站式服务供应商。在中国沿海主要城市设有多个制造基地，在全球五大洲10多个国家设有技术工厂及服务据点。随着“两化融合”的深入推进，企业将以大型精密模具为基础，强化系统集成能力建设，以高端化、智能化为纽带，通过资本与产业的融合及品牌化运作，打造领先的中国智造的民族品牌。在企业的信息安全管理工作中，我注重顶层的设计与开发，其中包括和IT规划的顶层架构设计中依据行业经验以及某几个重点客户的信息安全审计要求引入安全架构；结合公司其它相关部门共同编写体系制度文件，体现于公司层面对相关制度的共识与执行准则；利用项目管理的方法启动、规划、执行、监控、收尾项目，做到安全、质量风险可控；注重用持续改进的理论方法来指导安全运营的管控。下面结合实际工作，从以下四个方面讨论下针对我公司的落地情况。一、安全架构的开发参照The

“网络安全的本质是对抗，对抗的本质是攻防两端能力的较量”，网络安全的实战能力已成为常态化目标。类比来看，网络空间的对抗就如同军事的战争、战役、战斗，本文结合实战对抗的案例探讨网络攻防实战中的一些战术思考。一、全面资产梳理“你无法保护你看不见的资产”，资产梳理的重要目的之一是收集暴露面、收敛攻击面，常见的战术如下：关注“影子IT”以及“幽灵资产”，排查、消除“三无”（无人管理、无人使用、无人防护）系统或平台，整改“七边”（测试系统、试验平台、退网未离网系统、工程已上线加载业务但未正式交维系统、与合作伙伴共同运营的业务或系统、交接不清的系统、处于衰退期的系统）系统、平台，也包括其它上述未涵盖的，比如关机或开机但未入网在线的冷备系统等，严格关停不必要的系统，关闭不必要的服务、端口，及时修复漏洞、加固系统，加强访问控制与审计。梳理、加固WEB类资产以及移动APP、微信公众号、小程序等新型互联网边界资产。以攻击者视角，开展敏感信息泄露的情报收集，排查Github、码云、百度网盘、百度文库、招标信息、合作厂商案例等，发现内部IP、人员信息、密码、源代码、系统架构、产品型号等敏感信息的暴露，及时整改。加强QQ、微信、钉钉及各种即时通讯群的清理和管控和安全意识宣贯，防止社工攻击，可能的话限制、审核文件的收发。识别并重点防护堡垒机、跳板机、域控、云管平台、网管平台、自动化运维、网络防病毒系统等各种集权或敏感系统，加固系统，强化访问控制，加强对其流量与日志的实时监测与异常分析。资产梳理另一个重要目的则是厘清资产的运维信息、业务特征、依赖关系，便于判断影响，辅助应急决策，加快响应速度。二、高地的争夺军事理论说“永远居高临下地战斗”，一个高地的得失往往主导一场战争的胜败，而在网络空间里，常规WEB、VPN之外，邮箱也是突破的重点、攻防必争的高地之一。围绕邮箱，常见的战术如下：坚壁清野，包括服务端、客户端的系统加固、访问控制加强，用户梳理、口令修改加固、邮箱里保存的账号、密码、网络拓扑、代码等各类敏感信息删除等。培训与演练，开展全员安全意识培训，提升防范意识，不点击不明链接，不打开不明文档，结合培训开展多轮钓鱼演练，持续宣贯。收集客服、管理人员、运维、开发、外包等高危目标人群名单，收集互联网暴露的邮箱用户名单，重点宣贯强化。纵深防御，开启ip与域名的信誉值策略，拦截恶意来源邮件；开启SPF、DKIM、DMARC策略，拦截伪造邮件；开启邮件网关的恶意代码防护功能，同时部署邮件沙盒，在不改变网络拓扑的情况下，可以拦截、延时投递可执行文件、压缩包、具备宏功能的PDF、OFFICE文档、含url外部链接的邮件，发送到归集邮箱，并借助流量旁路到沙盒和NTA设备，多种安全设备能力协同验证，必要的时候技术人员参与综合分析判断，根据分析结果对拦截邮件进行自动与半自动化处置。智能对抗，提取邮件中显示与实际url不一致的、域名注册时间较短的、域名包含合法域名、主题包含收件人信息等多维度特征，跨邮件关联，同时结合其它设备安全日志，智能分析，发现异常与攻击线索。三、唯快不破攻击方的工具已实现高度武器化和自动化，定制的扫描工具探测一个C段仅需要30秒，特定场景下，已完成前期情报收集、目标选择、武器定制的攻击者5分钟就可以结束战斗离开战场了。防守需要快速的应对攻击事件，不同的场景下，我们需要条件反射般的自动响应，需要半自动化的安全上下文丰富、定位、通知等辅助响应，更需要人、工具、流程的有机结合，提高协作效率，快速、有效响应。攻防的很多情况下，切断攻击路径是优先的选择，攻击IP的实时封禁是最常见的，也是最简单最有效的防守战术之一，即使是利用“秒拨”地址池充当“炮灰”的探测阶段，封禁IP也可以延缓攻击方的进展，同时避免产生大量的扫描类告警干扰。封禁的方法需要因地制宜，可以自动化可以半自动化；可以利用防火墙、WAF、IPS、抗DDoS设备等串联的安全设备，也可以利用旁路的TCP

让我们首先回忆一个古老的事件：2014年有报道称索尼影业被GOP攻击，索尼影业为此蒙受了重大损失，其企业形象也因此严重受损。[1]时至2021年，各种数据泄露事件仍层出不穷。4月，有报道[2]称苹果代工厂“广达”被国际黑客组织REvil攻击并索要至少$50Million（约合人民币3.2亿元）的赎金。此外，“广达”还可能因此而面临苹果保密协议的高额罚金。由此可见，创新型事业的数据泄露将引发高额的损失。面对频发的数据泄露事件，创新型事业需要如何进行信息安全防护？首先让我们从创新型事业的信息安全风险管理开始分析。创新型事业的信息安全风险管理信息安全风险关注CIA（C：机密性；I：完整性；A：可用性）三个维度，然而类型的业务单元，其信息内容决定了信息的CIA侧重点不同。如何为信息的CIA进行赋值是研究的关键点。让我们采用概念级和定性分析的方法，为创新型事业的信息安全风险值进行赋值。概念级信息安全风险概念级风险分析，可以在极短的时间内为决策者指明重点管理方向，奠定进一步的风险管理基石。概念级分析通常是借助管理者的风险知识和实践经验的快速组合分析。由于信息具有可复制的特性和通过网络快速传输的能力，而隐藏在信息背后的知识产权保护、竞争优势决定了信息的高价值，其完整性、可用性可以利用时间成本进行代换，因此创新型事业中机密性保护的需求高于完整性和可用性，然后再对比完整性和可用性的风险需求。例如：通过概念级分析，某事业部将创新业务的CIA赋值为：C高；I中；A低。定性分析CIA快速递减分配法利用等比序列确定风险数值，针对风险中各因子的重要性排序，采用经验因子乘积，进行快速风险价值递减分配。例如：在某创新型事业中，该风险因子为0.7，小数位向0/5进行取舍，以便于大量的信息资产计算，在该规则下的风险价值结果为C（机密性）：I（完整性）：A（可用性）=7：2：1。不同信息安全需求的事业部可以采用经验风险因子并定期评估调整，例如：代码就和创意有着不同的属性，代码被修改可能带来不可预期的其他后果，其完整性检查非常重要，但完整性检查利用签名原理却可以很容易实现一致性的检查。小结：业务单元可以根据对信息资产的价值理解，继续深化至定量分析，将风险进行货币化。通常，定性分析对帮助决策者制定针对信息安全风险的基本方针和指导策略的需求已经能够满足，综合考虑定量分析的困难度，可针对高价值信息资产进行有筛选的定量分析。三防策略数据泄露被用窃取利用，最终会对业务产生严重影响并进一步造成组织单元甚至组织的形象损失，因此对偶发事件也应当进行防护，实践中最常被采用的策略即防窃取，然而决策者往往会忽略信息泄露后的处理，即防扩散和防效尤。防扩散即防治损失的进一步扩大，而防效尤则是通过威慑性反击，例如：利用法律武器震慑攻击者，从而避免效尤的发生造成更多的损失。1.防窃取在创新型事业中CIA的侧重点C（机密性），其重点在于布防，以下从传统架构逐步增强的角度展开，解决思路的成本和技术/部署难度递增。1）网络隔离网络隔离，是网络安全最经济、有效的防御方法之一，通过对不同安全需求的网络域采用物理或逻辑的隔离，造成攻击者的难度增加。网络隔离通常配合设备管控使用，以防止有效授权的“内鬼”窃取信息。2）虚拟桌面虚拟桌面也是常用的防窃取方法，由于虚拟桌面具有良好的设备管控能力，因此被广泛使用。3）密码学a.加密：通过加密算法和良好的密钥管理方案，可以实现在信息的加密态被非法获取时的一定保护性。带密运行的方案当前获取、部署和管理的成本已经大幅下降，易用性也获得了高度提升。b.水印：可标记访问者的带暗记的水印并不能阻止对信息的获取，但可以在追踪中起到重要作用。密码学作为创新型企业的“对抗工具”，数据发售型公司的可采用“曳光弹”（特征搜寻数据，用于数据泄露的快速搜寻，可实现对多媒体以及各种大数据体的快速检索）和“指纹”（例如：使用者授权的唯一性，用于溯源）技术。4）分割入库分割入库是基于局部数据无法逆推全部数据的思想，对数据进行分割，分割入库对系统的架构设计提出了挑战，首先是数据分割后不可用于推导，其次是分割入库带来了写/读复杂度的提高。实践应用中，数据分割后不可逆推是该技术应用的重点和难点。5）访问控制模型访问控制模型的实现，在信息安全机密性管理中起到至关重要的作用，然而，良好的访问控制模型的实现，必然带来一系列的挑战。在以机密性为首要因素的环境中，宜采用BLP(Bell-LaPadula)模型：满足BLP模型的系统要求对系统的用户（主体）和数据（客体）做相应的安全标记，形成多级系统安全，用于限制主体对客体的访问操作，该模型加强了信息的机密性。Bell-LaPadula遵循三条强制访问规则：简单安全规则（simple

安全村安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。投稿邮箱：info@sec-un.org

数字化转型时代数据已成为与土地、劳动力、资本、技术等传统要素同等重要的生产要素，数据不仅是信息资产，更是需要流转并产生价值的生产资料。在价值的驱动下数据使用场景日益复杂，数据流转路径呈多样化，随之而来的数据泄漏风险也与日俱增，如何有效开展数据安全建设已成为各行各业共同焦点。本文简要分析当前数据安全建设面临的风险挑战，简述数据安全建设整体思路，解析数据安全两类常见的具体实践场景，目标是让数据能够安全、有序流通，保障数据在流通中创造的价值。一、数据安全建设风险挑战分析（一）外部数据安全形势1.法规要求趋严：近年《网络安全法》、《数据安全法》、《个人信息保护法》等法规标准相继颁布施行，国家、行业对数据安全顶层设计已形成，对数据资产管理、数据分类分级管控、数据防泄漏等方面提出了更高要求；在《党委（党组）网络安全工作责任制实施办法》中已明确党委（党组）领导班子是网络安全第一责任人。2.攻击形势严峻：因应用、主机、数据库、API接口等系统存在漏洞被攻击利用导致发生数据安全事件的情况屡见不鲜，给企业带来了巨大的经济和声誉损失。如：2021年11月美国知名在线券商Robinhood遭恶意黑客攻击，致使700万用户数据被泄；2021年3月Infinity保险公司网络服务器被非授权访问导致文件信息被窃等等。（二）内部数据安全风险1.数据在网络环境暴露面大：数据内部流转路径杂乱无章，对数据从哪里来、做哪些处理、存储在哪里、传到哪里去不清晰，数据流转路径散落在网络环境各个角落，极大增加了数据在网络环境中暴露的可能性。2.员工接触数据机会较多：数据在处理、传输、存储等环节中相关系统间流程标准化自动对接能力不足，需通过员工人工操作的方式来完成，增加了员工直接接触数据的机会，加大了数据泄露的风险。3.数据外发渠道多样化：为满足员工工作便利性，提供数据外发的渠道较多，类型多样化，如：移动介质、邮箱、IM、网盘、拍照、截图等，在方便员工办公的同时增加了数据外泄的风险。二、数据安全场景化建设实践（一）总体思路为应对数据安全风险挑战，需在数据流通产生价值的前提下，基于数据分类分级，从数据全生命周期为出发点，构建数据安全治理体系，制定数据安全实施路径。1.开展数据分类分级，数据安全建设有的放矢。数据分类分级是一个复杂且庞大的工程，但其也是数据安全建设的基础，需要自顶而下体系化推动，制定适合自身公司的数据分类分级标准，根据标准梳理数据资产类别，对不同类别的数据字段进行定级，并通过线上平台闭环管理数据分类分级整体流程。在数据分类分级基础上，有目的性对不同类别、级别的数据实施不同安全控制措施，达到有限安全资源优先保障重要数据安全性的目标。2.建立数据安全建设框架，数据安全体系化开展。从数据安全管理、技术、运营角度规划数据安全建设方案，形成数据安全建设框架。首先根据外部法规标准要求及内部数据安全管理需求制定公司层面数据安全管理体系，明确数据安全管理逻辑，形成数据安全管理要求，确定数据安全“谁主管谁负责，谁运行谁负责，谁使用谁负责”职责及协同机制，并在全司进行推广应用；其次建立数据安全技术基础能力，支撑数据安全管理体系落地，除了网络、主机、应用等传统数据环境安全能力外，需从数据采集、传输、存储等生命周期角度来落地数据业务安全能力，推进数据识别、数据脱敏、数据交换、水印等数据安全能力建设；最后持续开展数据安全运营工，定期进行数据安全能力评估，建设数据安全运营平台，全生命周期感知数据流转过程，提升数据安全风险监测、预警、分析和响应的集中管理能力。3.以数据使用场景为单位构建数据安全能力，数据安全有效落地。在完成数据安全建设框架制定后，数据安全建设需回归到数据使用具体场景，梳理出在不同网络环境、不同系统、不同人员上数据使用的具体场景，再对具体场景进行数据安全风险评估，明确场景中存在的风险问题，以风险问题为导向，在数据安全建设框架指导下有针对性地设计数据安全具体管控措施，推进管控措施有效落地，并持续优化调整，达到数据使用与数据安全的平衡。（二）数据安全治理两类具体场景场景1：数据从需求至交付自动化集中管控为满足开发、测试及业务分析需求，数据需在生产、开发、测试、办公不同网络安全域间及不同部门间进行流转，如何对数据从需求至交付路径收敛并根据数据分类分级要求对敏感数据有效管控是本场景需要解决的问题。如图1所示，在数据需求和交付之间建立集中通道，将不同散落的数据流转路径统一由集中通道来替代，完成数据采集、识别、处理和交换的集中收口，收口后可在集中通道中引入多种数据安全管控能力引擎，如：权限管理、文件审计、数据防泄漏、数据脱敏、数据水印等，各安全管控能力再根据数据分类分级标准对数据进行相应管控。图1

一、前言近些年来“企业安全”这个话题比较火热，一个人的安全部、甲方安全建设相关文章倍受欢迎。网上已经有不少甲方安全建设相关文章，其中不乏身经百战之后的填坑解读，也有不少成功的安全项目分享，但大多都是非常体系化的结构。然而本文与之大相径庭，仅从甲方“搬砖工人”的角色出发看待整个企业的安全，结合切身负责或参与的项目，对自己平时工作中的所见+所闻+所思+所感进行记录总结与分享。本文写于笔者的第一段甲方企业安全建设的经历，在此之前服务于国内某老牌安全乙方公司，并没有体系化的做过企业安全建设相关项目；刚实现从乙方到甲方的角色转变，甲方安全建设之路也刚开始不久，没有经过系统化、工程化的安全资质培训；仅凭借自身的项目经历（渗透测试、APP安全评估、风险评估、代码审计、应急响应、安全培训等）+平时积累（甲方安全建设相关文章与书籍、向其他甲方安全大佬请教问题等），出发视角较为狭小&高度不够，如果出现不足与错误之处，还望指出并劳驾见谅与包涵。二、企业安全需求除了没有被外部黑客攻击造成财产损失外，影响企业难以花费成本在安全建设方面的因素还有很多，比如企业业务还没有到达一定规模、没有相关部门的监管、没有第三方的合作监督等。如果要想把公司的安全做好，首先需要获得领导的支持与重视，通常较为常见的有以下几种方式。1、安全事件公司主页被纂改造成不良声誉影响，业务场景存在安全缺陷导致被恶意攻击造成财产损失，内网服务器被远程植入挖矿脚本占用大量系统资源，...各种安全事件层出不穷。作为甲方的安全人员，除了需要掌握必备的安全技能来应对安全事件的发生外，还应该充分认识到每次安全事件的宝贵性，合理、充分的利用安全事件。首先是对产生的原因、影响、危害等进行分析、评估、止血，其次是对原因进行深挖与扩展，联想到企业当前的安全威胁，使之与当前进行的安全项目甚至即将开展的、潜在的安全项目结合，发挥“一次安全事件，一波安全整改，一次企业安全能力提升”的实质效果。2、合规检查不少行业都会有相关机构的安全检查，比如拥有支付牌照的支付公司而言，每年多次的人民银行安全检查，各种合规性要求各种指标都需要达标。此外针对部分系统还要求过等级保护，这无疑又是一层安全的壁垒。先从乙方公司的角度来看，之前参与过很多安全评估与等级保护的项目，大到运营商与巨头银行，小到基金公司与高等院校，觉得等级保护就那么几个常用招式：技术（漏洞扫描+渗透测试）+咨询（根据企业特点多个checklist走一遍），然后就是项目经理套路式的思维输出在固定模板的报告，交付甲方轻松+愉快。对于中小型公司而言，一般都是这样操作，但也遇到过一些真心想把安全做好的公司，即使不太懂但是头脑思路清晰、逻辑能力很强，每一个得出的结果都需要从头推论，甚至是常对得出的结果产生质疑，乙方人员要是说不出个一二三，别想蒙混过关。不过个人还是比较喜欢这样的客户，因为会使自己的服务水平和专业能力得到不断提升。最难忘的是想吐槽乙方安全公司销售为了单子，让安服工程师听从甲方要求任意篡改漏洞扫描报告，修改高、中危漏洞数量来达到上级部门的检查标准，这种活儿不禁会使人怀疑职业生涯。站在甲方的角度考虑，各种合规检查无疑是目前来说具备效果的方法之一。因为没有统一详细落地的行业安全标杆，所以很难甄别是否具备足够的安全防御水平。基本需求是“有，总比没有好”，更高的渴望是“充分利用合规检查”落实企业安全建设。企业的安全能力与相关负责人、安全团队息息相关，究竟是务实还是专心搞政治分心做安全，往往取决于人。3、企业内鬼当手握企业大量敏感数据，当工作不再那么负责与忠诚，当个人价值观远远高于企业价值观，再受到外部的金钱诱惑，企业内鬼很容易就会产生。“日防夜防，家贼难防”这句话说的很有道理，唯有进行一些安全建设，比如让员工远离敏感数据（敏感数据分级管理）、对重要文件进行严密保护或监控、员工上网行为管理等，才能减少该类事件的发生，从而避免企业遭受损失。

摘要：近几年，随着通讯技术的迅猛发展，各式各样的手机软件APP被广泛的应用在各类案件中，给公安机关的案件侦破带来了很大的挑战。本文结合了手机取证的方法和技巧，从手机程序逆向分析角度来进行手机取证的原理介绍。关键词：手机取证、程序分析、APP逆向、解密与取证近几年，随着通讯的迅猛发展，违法犯罪份子的反侦察意识也越来越越高，在最近配合警署办理的多起案件中，嫌疑人使用了大量的小众应用，而这些涉案程序往往取证公司的取证软件都暂时不支持自动解析，给公安机关的案件侦破带来了很大的挑战。所以我们需要了解手机程序分析的方法的原理。手机取证其实简单来说主要分两个方向，一个方向是手机本地数据取证，也是目前手机取证的主要方向，针对的是手机离线缓存数据的提取解析和展示。这里为了和手机云取证区分，手机本地取证就简称手机取证。另一个就是手机云端数据取证。因为手机本地数据提取在有的时候无法满足取证的要求，逐渐提出的一些新的取证需求，尽管这个需求其实在比较早的时候就被执法人员提出，但是市场上一直也没有成型完善的取证产品来应对，直到2018年各大取证厂家才开始逐渐研发出手机云取证的产品，有的支持的应用数量较少，集成进了手机取证中，有的支持的应用比较多，就单独集成的手机云取证设备。这两种取证的差异点：手机取证：针对飞行模式下的手机，完成对手机离线缓存的数据提取分析。手机云取证：针对手机离线模式下无法查看的数据提取分析。简单来区分就是开启飞行模式看是否能正常查看数据，当然这个只是一个简单的区分手段，笔者也遇见过有的聊天工具开启自身独有的安全模式，飞行模式软件就处于未登录状态，无法启动软件直接查看数据，但是实际分析发现本地还是缓存的有聊天数据，只是离线就下线，无法正常在软件查看数据。所以这种也是属于手机取证的范畴。有的应用还是需要具体情况具体分析，其根本性还是要看本地数据目录（data/data/包名）下是否有缓存用户数据。才能最终确定采取何种手段完成数据提取。本文与各位读者共同讨论手机取证的取证方法和原理。一、手机取证--聊天软件解析手机取证的核心取证项一般是即时通讯的聊天软件的提取解析。首先，我们先看看聊天软件分析的方法。1、不加密的聊天工具分析实验素材与环境：程序名称：Fincy应用程序包名：lxtx.im.app应用程序图标：实验环境：雷电模拟器3.37APK运行环境：安卓5.1分析步骤：获取实验素材：导出原始APP素材简单逆向，查看配置文件安装测试，制作数据提取数据，查看数据库第一个步骤：获取原始素材的方法有很多个，大家可以根据自身情况选择使用利用厂商取证软件导出APK文件，可以使用手上有的取证软件提取。可以使用市面上的手机助手，比如各大手机厂商的官方手机助手，它们在备份的时候都可以选择备份的应用。选择应用的时候通常可以选择APK和数据，如果我们只需要APK包，那就只勾选APK就好，这里就不做演示了。可以手工ADB导出，适用于爱动手的小伙伴，这个其实也是软件导出的原理。它和取证厂商导出其实一样的，但是会有一个好处，就是不需要安装一个代理程序，因为大部分公司做这步时，还是会先推送一个代理程序用于提权和数据转发的，其实这里没有必要。接下来我来演示一下：1.同样确定手机和计算机相连，需要adb环境，如果常用的，可以把adb添加进环境变量，这个大家不了解的可以自行百度。2.adb