握筹布画，料敌于安全运营之间！《2021企业安全运营实践研究报告》先导篇

“金融业企业安全运营建设思考”部分节选

企业安全建设的话题受关注越来越多，说明企业安全建设最后一公里的问题越来越被重视。今天分享讨论的内容包括三个方面

·  安全观安全

·  安全运营建设

·  企业安全建设思考

同时对金融行业安全运营的难点，安全合规、安全考核等问题做一些探讨。受限于本人自身的从业经历和所处行业，可能不具有普遍代表性，希望能给有需要的同仁一些参考帮助。

一、 安全观安全

安全人员最重要的一点是安全问题解决的思路，以及看待安全问题的角度和高度，而不是掌握多少漏洞，拿下多少权限，这就是安全人员的安全观。

1.1. 安全本质

吴瀚清先生说：互联网本来是安全的，自从有了研究安全的人，就变得不安全了。SQL注入攻击自1999年首次出现后就成为互联网安全的头号大敌，注入攻击的本质是把用户输入的数据当做代码执行，开发人员设计的正常功能被恶意的人滥用。

再比如，钓鱼网站已成为很多金融机构的首要安全威胁，而在2011年以前，很多金融机构的安全人员甚至都没有考虑过这个问题。时至今日，都会觉得很无辜，企业的网站没有安全漏洞，是钓鱼网站的狡猾和用户的“傻”才会让犯罪分子有机可乘。

上面两个例子中，开发人员信任用户输入，用户信任钓鱼网站，导致安全问题。个人认为，安全问题的本质是“信任”的问题。计算机用0和1定义整个世界，而企业的信息安全问题是解决0和1之间的广大灰度数据，运用各种措施，将灰度数据识别为0（不值得信任），或1（值得信任）。信任是安全问题的本源。不同的信任假设决定了安全方案的复杂程度和实施成本，安全需要平衡。

1.2. 安全原则

安全观安全的第二个话题是安全原则，个人认为有三点，持续改进、纵深防御、非对称。

1.2.1 持续改进。

如何让一台服务器不被不明武装分子攻陷，有没有一个类似“照妖镜”的工具，一旦安装上就可以高枕无忧，让恶意的攻击者无所遁形，有没有一个万能的“上帝之手”，帮我们干掉所有安全问题？很遗憾，没有。在解决安全问题的过程中，不可能一劳永逸。很多安全厂商在推销自己的安全产品时，会吹的天花乱坠，似乎无所不能，从早期的防火墙、防病毒，入侵检测，到现在的态势感知、威胁情报，智能分析，安全防御技术本身并没有革命性变化，一套入侵检测技术包装个名词，能从IDS到IPS、SIEM，再到现在的威胁情报，本质上还是开发检测规则，异常模式识别。安全产品、安全技术需要不断的随着攻击手段的发展而升级，也需要有人来运营，否则安全就是稻草人，在变化的攻击手段前不堪一击。

比如绝大多数公司的分支机构，安全人员都是兼职的，日常运维能保障安全设备可用性就很不错了，还能奢望这些每天忙于救火的安全人员能看懂数量不菲的各种安全告警吗？还有比入侵检测告警日志更难看的日志？

早期基于系统漏洞利用的攻击是主流，安全防护对应以防火墙和入侵检测为主，对互联网只开放少量端口，互联网资产管理主要是IP和端口的管理。随着攻击主流转变为Web攻击，安全防护对应升级为Web安全防护，出现了Web应用防火墙（WAF），互联网资产管理也相应转变为对第三方应用和开发使用框架为主，不再是旧有的资产管理概念。问渠那得清如许，为有源头活水来，有效的安全是持续改进，针对变化的安全形势和矛盾进行调整。

1.2.2 纵深防御。

我们坐飞机，从购买机票到最终到达目的地，如何保障全体旅客安全的过程就是纵深防御的例子。从购买机票实名制、机场防爆安检、行李安全检查、人、票、证一致，到机场登机检查、飞机安全员、起飞降落不能使用手机等种种安全措施的实施，事无巨细，是纵深防御的具体应用。典型入侵案例场景中，攻击者利用Web应用漏洞，获得低权限WebShell，然后通过低权限的WebShell上传更多文件，并尝试执行更高权限的系统命令，进一步在服务器上提权，并进一步横向渗透，获得更多内网权限。这个典型的攻击路径中，在任何一个环节设置有效的安全检测和防御措施，攻击都可能被检测和阻止。目前在安全防护技术没有革命性发展的情况下，坚持纵深防御原则，从网络层、虚拟层、系统层、应用层，到数据层、用户层、业务层、总控层，进行层层防御，共同组成整个防御体系。

1.2.3 非对称。

对于攻击者来说，只要能够找到企业系统的一个弱点，就可以达到入侵系统的目的，而对于企业信息安全人员来说，必须找到系统的所有弱点，不能有遗漏，不能有滞后，才能保证系统不会出现问题。这种非对称导致攻击者和安全人员的思维方式不同，也是企业信息安全工作难做的根本原因，破坏比建设要容易，怎么扭转这种劣势呢？安全防护人员也需要非对称思维。解放军在和美帝对抗中发明了反介入战略，发展各类型导弹，特别是反舰弹道导弹，阻止美国航空母舰进入第一岛链，如果在国力不够的情况下，解放军耗尽国力，拼命造航空母舰和美帝对抗，搞军备竞赛，可能就落得苏联解体的下场了。发展哪些非对称的安全防护武器呢？各种“蜜”的产品应用而生了，蜜网站、蜜域名、蜜数据库、蜜表、蜜字段、蜜数据、蜜文件，在面对攻击时进行安全反制，恶意攻击者很难全身而退。据我所知，很多企业已经进行了商业化大规模部署并在实际对抗中取得不错的效果，这应该是未来安全防护发展的一个有益方向。

1.3. 安全世界观

我的安全世界观总结一段话是：信息安全就是博弈和对抗，是一场人与人之间的战争。交战双方所争夺的都是信息资产的控制权，也就是在博弈和对抗中，牢牢的把控住各类信息资产的控制权。

1.4. 正确处理几个关系