)
1. 安全技术体系架构1.1. 基础的网络架构、DNS、资产及配置管理数据库CMDB等构成了通用的基础设施1.2. SSOSingle Sign On单点登录系统、KMSKey Management Service密钥管理系统、权限管理系统、统一日志平台、数据服务等构成了安全组件与支持系统1.3. 抗DDoS、HIDSHost-based Intrusion Detection System基于主机的入侵检测系统、WAF及CC防御等构成了安全防御基础设施1.4. 跳板机、自动化运维平台、数据传输系统等构成了安全运维基础设施2. 建设性思维2.1. 安全体系建设没有捷径需要从最基础的地方开始建设做好基本功步步为营层层设防2.2. 跟企业的业务特点、文化风格、安全目标都有关系2.2.1. 有些企业是安慰式防御体系建设没有专业的安全人员花钱买各种设备部署后基本就不管了、以救火为主的防御性建设缺乏安全管理和安全技术体系也没有体系化建设的想法等出了问题再去解决问题2.3. 以检测为主的防御性建设2.3.1. 产品开发与发布过程基本没有流程控制或只有很弱的流程控制默许产品带着风险发布安全体系主要采用“检测-响应-恢复”模型建设各类入侵检测系统要求出问题时能够及时发现检测系统告警时触发应急响应安全团队和业务团队一起恢复业务2.4. 以预防为主的安全生命周期建设2.4.1. 主要采用SDL安全开发生命周期方法论将安全要素与检查点嵌入产品的项目管理流程中将风险控制在发布前产品不允许带着风险发布3. 安全产品和技术的演化3.1. 安全产品是将安全架构理念变成安全实践的成果3.2. 老三样3.2.1. 防病毒主机层的资产保护3.2.2. 主机入侵检测也对应主机层的资产保3.2.3. 防火墙对应网络层的访问控制3.3. 网络层延伸3.3.1. 发展出网络接入认证、NAC网络准入控制等产品或解决方案3.3.2. 威胁通过网络进入数据通过网络泄露3.3.2.1. 对流量进行审计和数据挖掘可帮助我们主动发现风险和安全事件3.3.3. 商业竞争与利益的冲突让一部分人不择手段通过DDoS等攻击方式打压竞争对手也让网络成为商业竞争的战场3.3.3.1. DDoS与抗DDoS此消彼长3.4. 主机层延伸3.4.1. 随着业务量的迅猛增长自动化运维、大数据传输成为安全运维新需求3.4.2. 黑客频繁进入企业内网HIDS基于主机的入侵检测系统走上舞台3.5. 应用层延伸3.5.1. 过去“以网络为中心”使用防火墙针对应用执行访问控制让很多业务忽视了身份认证、授权、资产保护等要素3.5.2. 统一接入网关的引入并与SSO、授权管理等系统联动可以让业务聚焦在业务本身不用过多关注安全即可解决部分安全问题3.5.3. WAF与接入网关集成可以让保护范围覆盖到全部对外开放的业务拦截SQL注入、XSS、上传WebShell等黑客攻击3.5.4. 有了统一的接入网关之后HTTPS流量也能正常解密可以建立基于大数据的流量分析系统离线的流量分析或实时的流量分析用于数据建模、入侵行为告警等3.5.5. KMS密钥管理系统的引入可以让加密更加安全即使黑客拿到业务的代码和数据都无法解密3.6. 安全新技术3.6.1. 人工智能3.6.1.1. 人工智能AI可以用来学习、完善安全防护规则或执行辅助防御3.6.1.2. 生物识别方面的人工智能技术可用于身份认证领域如人脸识别3.6.1.3. 人工智能技术还可以用于完善风控系统例如当检测到某个访问请求来自黑产团伙时就可以拒绝其访问应用层访问控制3.6.2. 大数据3.6.2.1. 大数据不仅可以用于事件挖掘与审计还可以用于为黑产、诈骗、僵尸网络、傀儡肉鸡、盗版源建立数据库作为风控系统的决策依据用于访问控制3.6.2.2. 建立物联网终端IP库如果正常情况下这些IP不应该访问业务在防御系统中就可以直接阻断掉因为访问过来的流量实际上是被黑产控制的3.6.3. 云计算3.6.3.1. Overlay虚拟网云上虚拟机所在的网络环境和Underlay底层承载网络的隔离、租户隔离、安全域、云上防御以及它们与传统数据中心的路由与访问控制关系如何隔离或如何访问等3.6.3.2. 有安全产品利用云计算技术构建安全能力4. 一个维度4.1. 身份认证Authentication4.2. 授权Authorization4.3. 访问控制Acccess Control4.4. 可审计Auditable4.5. 资产保护Asset Protection5. 二维模型5.1. 安全技术体系架构就是安全技术体系的主要组成部分及组成部分之间的关系5.2. 各种基础设施与安全产品包括安全防御基础设施、安全工具和技术、安全组件与支持系统等共同构建了安全技术体系5.3. 增加一个维度网络分层5.3.1. 应用和数据层5.3.2. 设备和主机层5.3.3. 网络和通信层5.3.4. 物理和环境层5.4. 如果维度超过2个则架构模型看起来将异常复杂实际上也超过2个了还有如数据生命周期、产品生命周期等等更多维度难以表达也不容易理解5.5. 横向为安全架构的5个核心元素纵向为网络分层5.6. 跟安全有关的基础设施包括IT通用基础设施如基础网络、安全防御基础设施抗DDoS、HIDS、WAF等、安全运维基础设施等5.7. 安全工具和技术包括为发现风险而采用的扫描、检测工具或安全改进所需要的各种技术加密、脱敏、HTTPS等5.8. 安全组件与支持系统如SSO、KMS、运维平台、第三方日志系统等6. 风险管理的三道防线6.1. 第一道防线6.1.1. 业务部门对风险负主要责任需要考虑从源头控制风险6.1.2. 业务主管是业务风险的第一责任人出了事件之后首先应该问责的就是业务主管6.2. 第二道防线6.2.1. 风险管理部门作为专业能力中心提供整体的风险控制方案6.2.2. 针对各领域风险的风险管理部门6.2.3. 需要该风险领域内的专业知识以及从事该专业领域的人员6.2.4. 建立和完善数据安全政策文件体系6.2.4.1. 制定其所在领域内的政策总纲、管理规定、标准、规范供各业务遵循提供专业性风险评估与指导并对各业务的风险现状进行度量和监督整体把控风险6.2.5. 管理内外安全合规、认证测评、渗透测试6.2.6. 协助建立/完善通用的基础设施包括但不限于较少的网络安全域划分与简洁的访问控制策略借鉴无边界网络理念、CMDB、统一接入网关等6.2.7. 建立并完善安全相关的安全防御基础设施抗DDoS/HIDS/WAF等、安全运维基础设施跳板机/运维平台/数据传输平台等、安全支撑系统SSO/日志/应用网关、风险识别工具如扫描器、运营工具风险度量等6.2.8. 建立并完善安全组件与支持系统包括但不限于SSO、权限管理、KMS、日志系统等6.2.9. 完善各种安全工具和技术包括但不限于扫描、大数据分析网关可作为流量输入等6.2.10. 考虑建设数据中台将数据作为生产力并统一执行安全管理6.2.11. 例行开展扫描、检测活动为风险数据化运营提供数据执行风险规避措施6.2.12. 风险管理、事件管理与应急响应6.3. 第三道防线6.3.1. 独立的审计6.3.2. 承担审计职责的部门如审计部以及外部审计机构、测评机构等6.3.3. 审计的工作是独立的不受第一道防线、第二道防线所在的部门制约会独立履行职责识别第一道防线、第二道防线中包括战略、管理政策、流程、人员、技术等各领域的风险6.3.4. 不仅包括业务自身的风险对管理文件、技术规范、控制措施覆盖不到位的地方也会提出改进意见促进安全风险防控体系的不断完善6.3.5. 识别的风险包括各领域的风险安全风险、隐私合规风险只是其中的一部分6.3.6. 审计报告作为第一道防线、第二道防线执行风险改进的输入6.3.7. 业务部门第一道防线主动预防风险各风险管理部门第二道防线从外部加以指导并采取流程控制、风险评估、监督、度量等活动帮助业务降低风险6.3.8. 审计部门充分暴露问题向风险管理委员会或董事会汇报对第一道防线、第二道防线进行纠偏6.4. 自身安全不惧怕环境不安全6.5. 环境安全让其可以信赖自身可以适度放松6.6. 保障业务应用的安全也是这样适当的分工协作将一部分安全在产品自身完成一部分安全交给基础设施完成
