精华内容
下载资源
问答
  • 唯有完整的安全体系才能应对新时代的网络安全挑战 用自主网络安全体系框架建立完整的网络安全体系 制定自主网络安全体系框架国家标准的四点建议
  • 智慧城市网络安全体系框架研究 迷网
  • 信息安全的重要性及价值分析,信息安全发展历程,信息安全国内外标准体系安全技术发展趋势分析,完整的企业信息安全架构,企业战略和治理框架企业信息安全框架,信息安全运维体系、信息安全管理体系、信息安全...
  • 面对上述各种疑问和困境,作为一家成长型企业,西电捷通亦在思考:到底成长型企业内部整体安全体系工作该怎样开展,怎样做才能使其既有效执行,又事半功倍呢?只有弄明白这个问题,才能清楚地根据公司的实际需求,让...
  • Hadoop生态体系安全框架综述 SQL注入
  • 如何理解企业安全能力框架(IPDRR)

    千次阅读 2021-06-17 15:48:48
    企业安全能力框架(IPDRR)是美国国家标准与技术研究所(National Institute of Standards and Technology)的网络安全框架(简称NISTCSF )。第一个版本于2014年发布,旨在为寻求加强网咯安全防御的组织提供指导。企业...

    企业安全能力框架(IPDRR)是美国国家标准与技术研究所(National Institute of Standards and Technology)的网络安全框架(简称NISTCSF )。第一个版本于2014年发布,旨在为寻求加强网咯安全防御的组织提供指导。企业可以根据自身需求加强网络安全防御。

    企业网络安全系统框架(参考IPDRR)

    随着社会数字化转型的深入,网络攻击事件日益增多、破坏力逐步增强。安全方法论也正逐步从"针对威胁的安全防御"向“面向业务的安全治理”(IPDRR)等演进。

    IPDRR能力框架模型包括风险识别(Identify)、安全防御(Protect)、安全检测(Detect)、安全响应(Response)和安全恢复(Recovery)五大能力,从以防护为核心的模型,转向以检测和业务连续性管理的模型,变被动为主动,最终达成自适应的安全能力。

    IPDRR模型体现了安全保障系统化的思想,管理与技术结合来有效保障系统核心业务的安全。通过持续的安全检测来实现IPDRR的闭环安全,为用户提供完善的安全能力框架和支撑体系。

    具体来说IPDRR主要包含了五个部分:

    识别(Identify)识别网络资产及风险,是指对系统、资产、数据和网络所面临的安全风险的认识及确认

    保护(Protect)保护网络,是指制定和实施合适的安全措施,确保能够提供关键基础设施服务。

    检测(Detect)发现攻击。在攻击产生时即时监测,同时监控业务和保护措施是否正常运行,制定和实施恰当的行动以发现网络安全事件

    响应(Respond):响应和处理事件,指对已经发现的网络安全事件采取合适的行动。具体程序依据事件的影响程度来进行抉择,主要包括:事件调查、评估损害、收集证据、报告事件和恢复系统

    恢复(Recover):恢复系统和修复漏洞。将系统恢复至正常状态,同时找到事件的根本原因,并进行预防和修复

    可以参考大家对实体财物是怎么保护的就很容易理解了。举个例子,大家如何对自己的私有财产是怎么保护的呢?

    第一步识别(Identify)肯定是识别出有哪些资产分别都有什么风险吧,比如家里的现金、金银珠宝、贵重电器、房产证、82年的拉菲、92年的茅台等等对于我们来说都是属于我们要保护的资产,这些都有被小偷偷走,被破坏等风险。所以我们需要采取一定的措施将这些资产给保护起来。比如现金、金银珠宝、房产证等放在保险柜里,82年的拉菲、92年的茅台等搞个酒窖上好锁,家里的房子装好防护门、防盗窗等,这些就是第二步保护(Protect),对需要保护的资产做好基本的防护。做到了这些够不够呢?显然是不够的,这只是做好被动防御,我们还要做好主动防御,也就是第三步检测(Detect),这时候我们可以装一些监控设备摄像头、传感器等等,看时时刻刻监控我们所要保护的资产看有没有什么情况,还可以雇佣一批保安7*24小时巡逻实时监测。响应(Respond)也就是发现了什么风吹草动,就采取响应的措施,比如如果是有人破门而入就及时的告警,制止,报警。恢复(Recover)就是对易发生的损失进行恢复,如有人破门而入把门给搞坏了,就得把门重新修好或换一个新的级别更高更安全的门。

    企业的网络安全也是一样的。首先要识别自己企业的网络安全资产如重要系统、服务器等都部署在哪里,有没有漏洞,基线配置有没有合规。然后需要做好基本的防护,比如在出入口部署防火墙、主机装EDR、Web服务器要在WAF的保护下、做好访问控制、部署IPS设备等等。有了基础的防护设备以后要做好检测响应比如部署NTA做好流量检测分析、部署SIEM或日志分析系统将这些基础防护设备的告警精心接入做好安全告警的检测分析。通过检测设备发现网络安全事件以后要采取响应的响应措施,比如发现漏洞要进行补洞加固等、发现攻击封堵IP等,可以通过SOAR安全编排与自动化响应平台对人、工具、流程进行协同提高对于安全事件的响应能力。最后是恢复,也就是对已经造成的破坏进行恢复至正常状态,对于失陷的主机进行离网、杀毒、重装、恢复等。

    本文试图对市面上常见的安全产品进行分类来映射到IPDRR的五大能力

    识别(Identify)提供识别能力的产品包括资产管理平台、资产测绘平台、基线管理平台、漏洞扫描工具等。

    保护(Protect)提供保护能力的产品包括主机防御类EDR、VPN、4A、防火墙、IPS、WAF、抗DOS等

    检测(Detect) 提供威胁检测能力的产品包括IDS、NTA、蜜罐、恶意代码检测、用户异常行为检测等。

    响应(Respond):提供响应能力的产品包括SIEM、安全审计、态势感知、SOAR等

    恢复(Recover):提供恢复能力的产品包括NG-SOC,NG-SOC理论上应该是覆盖了IPDRR所有的能力。

    IPDRR产品能力映射

    当然企业安全能力不能够仅仅的依靠工具,是人、策略、流程、工具综合能力的体现。企业可以根据自身需求参考IPDRR能力框架模型加强网络安全能力建设,哪里欠缺补哪里,通过管理与技术结合来有效保障系统核心业务的安全。

    作者博客:http://xiejava.ishareread.com/

    展开全文
  • 大数据安全保障框架与评价体系研究 漏洞管理
  • 本次分享的主题是企业数据安全体系建设,从管理制度、系统安全、数据生命周期以及应急响应和灾备的角度介绍了如何构建数据安全保护体系。以制度规范为基石,通过数据安全保护的中台系统,搭配数据安全生命周期的流程...
  • 开发架构师大概的意思是,开发架构的设计要基本是成套体系,比如maven库的设计,比如spring开发框架方便代码规范,比如升级业务版本的tomcatjar包覆盖,比如多个业务的关联性与架构的可复制性等等。说实话我没有加入...
  • 为什么需要企业安全框架一方面,实现业务与技术之间的“沟通”,让相关的业务与安全方面的技术对应起来另一方面,实现模块化管理,让负责某一模块的人员有相关的话题可以谈,同时对于应急响应也可以及时的排查等。...

    为什么需要企业安全框架

    一方面,实现业务与技术之间的“沟通”,让相关的业务与安全方面的技术对应起来

    另一方面,实现模块化管理,让负责某一模块的人员有相关的话题可以谈,同时对于应急响应也可以及时的排查等。

    企业架构开发模型


    企业安全控制模型

    CobiT模型,国际审计协会(ISACA)及治理协会ITGI联合制定目标集。

    企业架构是组织的,系统架构是计算机组建的

    计划和组织、获得与实现、交付与支持、监控与评价

    公司治理模型

    COSO模型,反欺诈财务相关发起的委员会。

    控制环境、风险评估、控制活动、信息和通讯、监控

    COSO是企业治理模型,CobiT是IT治理模型。

    过程管理模型

    ITIL模型,IT服务管理的最佳实践实施标准。

    CMMI模型,能力成熟度模型集成。

    紊乱、可重复、文档化、可监控、自动化




    参考:林很相关视频

    展开全文
  • 压缩文件(IBM企业信息安全框架白皮书.pdf。共4个pdf文件)。下载注意 这个是pdf版本--pdf版本--PDF版本
  • 企业信息化管理的战略框架与成熟度模型 现代企业架构框架白皮书 信息安全研究框架 企业数字化转型成熟度模型IOMM 信息安全总体保障框架 企业IT治理与管理框架指南 网络安全实施框架指南 ...智慧城市安全体系框架
  • 工业互联网安全框架

    2018-05-28 09:40:32
    工业互联网安全框架,工业互联网安全框架是构建工业互联网安全体系的重要指南,是业界专家在 工业互联网安全防护方面达成的共识,旨在为工业互联网相关企业应对日益增长 的安全威胁、部署安全防护措施提供指导,提升...
  • 大数据;如何构建企业数据安全体系架构
  • IBM信息安全框架

    2018-09-13 10:39:10
    介绍IBM信息安全框架技术,根据国外安全实践框架理论在中国企业安全实践。
  • 基于《商业银行信息科技风险管理指引》、ISO27001、网络安全等级保护等相关要求建立的符合公司实际的信息科技风险管理框架以及相配套的管理制度文档,全套管理制度。
  • 分析了数字化企业的总体框架结构、安全需求,构建了数字化企业完整的信息安全体系,包括物理安全、网络安全、支撑层系统安全、应用层系统安全、数据及资料安全;针对数字化企业数据及资料等企业内部信息安全问题,...
  • 以此为基础,按照企业安全文化评价体系框架,分别设计了不同层面、不同视角的2套评价指标体系,即基于宏观层面、时期视角、外部环境视角的企业安全文化指标体系,基于微观层面、时点视角、内部工作环境视角的企业...
  • 数据共享安全框架研究 安全运营 数据安全 安全体系 网络安全 大数据
  • 互联网企业数据安全体系建设

    千次阅读 2020-06-25 09:05:34
    Facebook数据泄露事件一度成为互联网行业的焦点,几百亿美元市值瞬间蒸发,这个代价足以在地球上养活一支绝对庞大的安全团队,甚至可以直接收购几家规模比较大的安全公司了。 虽然媒体上发表了很多谴责的言论,但...

    一、背景

    Facebook数据泄露事件一度成为互联网行业的焦点,几百亿美元市值瞬间蒸发,这个代价足以在地球上养活一支绝对庞大的安全团队,甚至可以直接收购几家规模比较大的安全公司了。

    虽然媒体上发表了很多谴责的言论,但实事求是地讲,Facebook面临是一个业界难题,任何一家千亿美元的互联网公司面对这种问题,可能都没有太大的抵抗力,仅仅是因为全球区域的法律和国情不同,暂时不被顶上舆论的浪尖罢了。但是全球的趋势是越来越重视隐私,在安全领域中,数据安全这个子领域也重新被提到了一个新的高度,所以笔者就借机来说一下数据安全建设。(按照惯例,本文涉及敏感信息的部分会进行省略处理或者一笔带过。)

    二、概念

    这里特别强调一下,“隐私保护”和“数据安全”是两个完全不同的概念,隐私保护对于安全专业人员来说是一个更加偏向合规的事情,主要是指数据过度收集和数据滥用方面对法律法规的遵从性,对很多把自身的盈利模式建立在数据之上的互联网公司而言,这个问题特别有挑战。有些公司甚至把自己定义为数据公司,如果不用数据来做点什么,要么用户体验大打折扣,要么商业价值减半。GDPR即将实施,有些公司或将离场欧洲,就足见这件事的难度不容小觑。当然市场上也有一些特别推崇隐私保护的公司,他们很大程度上并不能真正代表用户意愿,而只是因为自家没有数据或缺少数据,随口说说而已。

    数据安全是实现隐私保护的最重要手段之一。对安全有一定了解的读者可能也会察觉到,数据安全并不是一个独立的要素,而是需要连同网络安全、系统安全、业务安全等多种因素,只有全部都做好了,才能最终达到数据安全的效果。所以本文尽可能的以数据安全为核心,但没有把跟数据安全弱相关的传统安全体系防护全部列出来,对于数据安全这个命题而言尽可能的系统化,又避免啰嗦。另外笔者也打算在夏季和秋季把其他子领域的话题单独成文,譬如海量IDC下的入侵防御体系等,敬请期待。

    三、全生命周期建设

    尽管业内也有同学表示数据是没有边界的,如果按照泄露途径去做可能起不到“根治”的效果,但事实上以目前的技术是做不到无边界数据安全的。下图汇总了一个全生命周期内的数据安全措施:

    四、数据采集

    数据泄露有一部分原因是用户会话流量被复制,尽管有点技术门槛,但也是发生频率比较高的安全事件之一,只是是很多企业没有感知到而已。下面从几个维度来说明数据采集阶段的数据保护。

    流量保护

    全站HTTPS是目前互联网的主流趋势,它解决的是用户到服务器之间链路被嗅探、流量镜像、数据被第三方掠走的问题。这些问题其实是比较严重的,比如电信运营商内部偶有舞弊现象,各种导流劫持插广告(当然也可以存数据,插木马),甚至连AWS也被劫持DNS请求,对于掌握链路资源的人来说无异于可以发动一次“核战争”。即使目标对象IDC入侵防御做的好,攻击者也可以不通过正面渗透,而是直接复制流量,甚至定向APT,最终只是看操纵流量后达到目的的收益是否具有性价比。

    HTTPS是一个表面现象,它暗示着任何互联网上未加密的流量都是没有隐私和数据安全的,同时,也不是说有了HTTPS就一定安全。HTTPS本身也有各种安全问题,比如使用不安全的协议TLS1.0、SSL3,采用已经过时的弱加密算法套件,实现框架安全漏洞如心脏滴血,还有很多的数字证书本身导致的安全问题。

    全站HTTPS会带来的附带问题是CDN和高防IP。历史上有家很大的互联网公司被NSA嗅探获取了用户数据,原因是CDN回源时没有使用加密,即用户浏览器到CDN是加密的,但CDN到IDC源站是明文的。如果CDN到源站加密就需要把网站的证书私钥给到CDN厂商,这对于没有完全自建CDN的公司而言也是一个很大的安全隐患,所以后来衍生出了Keyless CDN技术,无需给出自己的证书就可以实现CDN回源加密。

    广域网流量未加密的问题也要避免出现在“自家后院”——IDC间的流量复制和备份同步,对应的解决方案是跨IDC流量自动加密、TLS隧道化。

    业务安全属性

    在用户到服务器之间还涉及两个业务安全方向的问题。第一个问题是账号安全,只要账号泄露(撞库&爆破)到达一定数量级,把这些账号的数据汇总一下,就必定可以产生批量数据泄露的效果。

    第二个问题是反爬,爬虫的问题存在于一切可通过页面、接口获取数据的场合,大概1小时爬个几百万条数据是一点问题都没有的,对于没有彻底脱敏的数据,爬虫的效果有时候等价于“黑掉”服务器。账号主动地或被动地泄露+爬虫技术,培育了不少黑产和数据获取的灰色地带。

    UUID

    UUID最大的作用是建立中间映射层,屏蔽与真实用户信息的关系链。譬如在开放平台第三方应用数据按需自主授权只能读取UUID,但不能直接获取个人的微信号。更潜在的意义是屏蔽个体识别数据,因为实名制,手机号越来越能代表个人标识,且一般绑定了各种账号,更改成本很高,找到手机号就能对上这个人,因此理论上但凡带有个体识别数据的信息都需要“转接桥梁”、匿名化和脱敏。譬如当商家ID能唯一标识一个品牌和店名的时候,这个原本用于程序检索的数据结构也一下子变成了个体识别数据,也都需要纳入保护范畴。

    五、前台业务处理

    鉴权模型

    在很多企业的应用架构中,只有在业务逻辑最开始处理的部分设置登录态校验,后面的事务处理不再会出现用户鉴权,进而引发了一系列的越权漏洞。事实上越权漏洞并不是这种模型的全部危害,还包括各种K/V、RDS(关系型数据库)、消息队列等等,RPC没有鉴权导致可任意读取的安全问题。

    在数据层只知道请求来自一个数据访问层中间件,来自一个RPC调用,但完全不知道来自哪个用户,还是哪个诸如客服系统或其他上游应用,无法判断究竟对当前的数据(对象)是否拥有完整的访问权限。绝大多数互联网公司都用开源软件或修改后的开源软件,这类开源软件的特点是基本不带安全特性,或者只具备很弱的安全特性,以至于完全不适用于海量IDC规模下的4A模型(认证、授权、管理、审计)。外面防御做的很好,而在内网可以随意读写,这可能是互联网行业的普遍现状了。主要矛盾还是鉴权颗粒度和弹性计算的问题,关于这个问题的解决方案可以参考笔者的另外一篇文章《初探下一代网络隔离与访问控制》,其中提到Google的方法是内网RPC鉴权,由于Google的内网只有RPC一种协议,所以就规避了上述大多数安全问题。

    对于业务流的鉴权模型,本质上是需要做到Data和App分离,建立Data默认不信任App的模型,而应用中的全程Ticket和逐级鉴权是这种思想下的具体实现方法。

    服务化

    服务化并不能认为是一个安全机制,但安全却是服务化的受益者。我们再来温习一下当年Bezos在Amazon推行服务化的一纸号令:

    1)所有团队今后将通过服务接口公开他们的数据和功能。 2)团队必须通过这些接口相互通信。 3)不允许使用其他形式的进程间通信:不允许直接链接,不允许直接读取其他团队的数据存储,不支持共享内存模式,无后门。唯一允许的通信是通过网络上的服务接口调用。 4)他们使用什么技术并不重要。HTTP,Corba,Pubsub,自定义协议 - 无关紧要。贝索斯不在乎。 5)所有服务接口无一例外都必须从头开始设计为可外部化。也就是说,团队必须规划和设计能够将接口展示给外部开发人员。没有例外。 6)任何不这样做的人都会被解雇。

    服务化的结果在安全上的意义是必须通过接口访问数据,屏蔽了各种直接访问数据的途径,有了API控制和审计就会方便很多。

    内网加密

    一些业界Top的公司甚至在IDC内网里也做到了加密,也就是在后台的组件之间的数据传输都是加密的,譬如Goolge的RPC加密和Amazon的TLS。由于IDC内网的流量比公网大得多,所以这里是比较考验工程能力的地方。对于大多数主营业务迭代仍然感觉有压力的公司而言,这个需求可能有点苛刻了,所以笔者认为用这些指标来衡量一家公司的安全能力属于哪一个档位是合理的。私有协议算不算?如果私有协议里不含有标准TLS(SHA256)以上强度的加密,或者只是信息不对称的哈希,笔者认为都不算。

    数据库审计

    数据库审计/数据库防火墙是一个入侵检测/防御组件,是一个强对抗领域的产品,但是在数据安全方面它的意义也是明显的:防止SQL注入批量拉取数据,检测API鉴权类漏洞和爬虫的成功访问。

    除此之外,对数据库的审计还有一层含义,是指内部人员对数据库的操作,要避免某个RD或DBA为了泄愤,把数据库拖走或者删除这种危险动作。通常大型互联网公司都会有数据库访问层组件,通过这个组件,可以审计、控制危险操作。

    六、数据存储

    数据存储之于数据安全最大的部分是数据加密。Amazon CTO Werner Vogels曾经总结:“AWS所有的新服务,在原型设计阶段就会考虑到对数据加密的支持。”国外的互联网公司中普遍比较重视数据加密。

    HSM/KMS

    业界的普遍问题是不加密,或者加密了但没有使用正确的方法:使用自定义UDF,算法选用不正确或加密强度不合适,或随机数问题,或者密钥没有Rotation机制,密钥没有存储在KMS中。数据加密的正确方法本身就是可信计算的思路,信任根存储在HSM中,加密采用分层密钥结构,以方便动态转换和过期失效。当Intel CPU普遍开始支持SGX安全特性时,密钥、指纹、凭证等数据的处理也将以更加平民化的方式使用类似Trustzone的芯片级隔离技术。

    结构化数据

    这里主要是指结构化数据静态加密,以对称加密算法对诸如手机、身份证、银行卡等需要保密的字段加密持久化,另外除了数据库外,数仓里的加密也是类似的。比如,在 Amazon Redshift 服务中,每一个数据块都通过一个随机的密钥进行加密,而这些随机密钥则由一个主密钥进行加密存储。用户可以自定义这个主密钥,这样也就保证了只有用户本人才能访问这些机密数据或敏感信息。鉴于这部分属于比较常用的技术,不再展开。

    文件加密

    对单个文件独立加密,一般情况下采用分块加密,典型的场景譬如在《互联网企业安全高级指南》一书中提到的iCloud将手机备份分块加密后存储于AWS的S3,每一个文件切块用随机密钥加密后放在文件的meta data中,meta data再用file key包裹,file key再用特定类型的data key(涉及数据类型和访问权限)加密,然后data key被master key包裹。

    文件系统加密

    文件系统加密由于对应用来说是透明的,所以只要应用具备访问权限,那么文件系统加密对用户来说也是“无感知”的。它解决的主要是冷数据持久化后存储介质可访问的问题,即使去机房拔一块硬盘,或者从一块报废的硬盘上尝试恢复数据,都是没有用的。但是对于API鉴权漏洞或者SQL注入而言,显然文件系统的加密是透明的,只要App有权限,漏洞利用也有权限。

    七、访问和运维

    在这个环节,主要阐述防止内部人员越权的一些措施。

    角色分离

    研发和运维要分离,密钥持有者和数据运维者要分离,运维角色和审计角色要分离。特权账号须回收,满足最小权限,多权分立的审计原则。

    运维审计

    堡垒机(跳板机)是一种针对人肉运维的常规审计手段,随着大型IDC中运维自动化的加深,运维操作都被API化,所以针对这些API的调用也需要被列入审计范畴,数量级比较大的情况下需要使用数据挖掘的方法。

    工具链脱敏

    典型的工具脱敏包括监控系统和Debug工具/日志。在监控系统类目中,通常由于运维和安全的监控系统包含了全站用户流量,对用户Token和敏感数据需要脱敏,同时这些系统也可能通过简单的计算得出一些运营数据,譬如模糊的交易数目,这些都是需要脱敏的地方。在Debug方面也出过Debug Log带有CVV码等比较严重的安全事件,因此都是需要注意的数据泄漏点。

    生产转测试

    生产环境和测试环境必须有严格定义和分离,如特殊情况生产数据需要转测试,必须经过脱敏、匿名化。

    八、后台数据处理

    数仓安全

    目前大数据处理基本是每个互联网公司的必需品,通常承载了公司所有的用户数据,甚至有的公司用于数据处理的算力超过用于前台事务处理的算力。以Hadoop为代表的开源平台本身不太具备很强的安全能力,因此在成为公有云服务前需要做很多改造。在公司比较小的时候可以选择内部信任模式,不去过于纠结开源平台本身的安全,但在公司规模比较大,数据RD和BI分析师成千上万的时候,内部信任模式就需要被抛弃了,这时候需要的是一站式的授权&审计平台,需要看到数据的血缘继承关系,需要高敏数据仍然被加密。在这种规模下,工具链的成熟度会决定数据本地化的需求,工具链越成熟数据就越不需要落到开发者本地,这样就能大幅提升安全能力。同时鼓励一切计算机器化&程序化&自动化,尽可能避免人工操作。

    对于数据的分类标识、分布和加工,以及访问状况需要有一个全局的大盘视图,结合数据使用者的行为建立“态势感知”的能力。

    因为数仓是最大的数据集散地,因此每家公司对于数据归属的价值观也会影响数据安全方案的落地形态:放逐+检测型 or 隔离+管控型。

    匿名化算法

    匿名化算法更大的意义其实在于隐私保护而不在于数据安全(关于隐私保护部分笔者打算另外单独写一篇),如果说对数据安全有意义,匿名化可能在于减少数据被滥用的可能性,以及减弱数据泄漏后的影响面。

    九、展示和使用

    这个环节泛指大量的应用系统后台、运营报表以及所有可以展示和看到数据的地方,都可能是数据泄露的重灾区。

    展示脱敏

    对页面上需要展示的敏感信息进行脱敏。一种是完全脱敏,部分字段打码后不再展示完整的信息和字段,另一种是不完全脱敏,默认展示脱敏后的信息,但仍然保留查看明细的按钮(API),这样所有的查看明细都会有一条Log,对应审计需求。具体用哪种脱敏需要考虑工作场景和效率综合评估。

    水印

    水印主要用在截图的场景,分为明水印和暗水印,明水印是肉眼可见的,暗水印是肉眼不可见暗藏在图片里的识别信息。水印的形式也有很多种,有抵抗截屏的,也有抵抗拍照的。这里面也涉及很多对抗元素不一一展开。

    安全边界

    这里的边界其实是办公网和生产网组成的公司数据边界,由于办公移动化程度的加深,这种边界被进一步模糊化,所以这种边界实际上是逻辑的,而非物理上的,它等价于公司办公网络,生产网络和支持MDM的认证移动设备。对这个边界内的数据,使用DLP来做检测,DLP这个名词很早就有,但实际上它的产品形态和技术已经发生了变化,用于应对大规模环境下重检测,轻阻断的数据保护模式。

    除了DLP之外,整个办公网络会采用BeyondCorp的“零信任”架构,对整个的OA类应用实现动态访问控制,全面去除匿名化访问,全部HTTPS,根据角色最小权限化,也就是每个账号即使泄露能访问到的也有限。同时提高账号泄露的成本(多因素认证)和检测手段,一旦检测到泄露提供远程擦除的能力。

    堡垒机

    堡垒机作为一种备选的方式主要用来解决局部场景下避免操作和开发人员将敏感数据下载到本地的方法,这种方法跟VDI类似,比较厚重,使用门槛不高,不适合大面积普遍推广。

    十、共享和再分发

    对于业务盘子比较大的公司而言,其数据都不会是只在自己的系统内流转,通常都有开放平台,有贯穿整个产业链的上下游数据应用。Facebook事件曝光其实就属于这类问题,不开放是不可能的,因为这影响了公司的内核—-赖以生存的商业价值。

    所以这个问题的解决方案等价于:1)内核有限妥协(为保障用户隐私牺牲一部分商业利益);2)一站式数据安全服务。

    防止下游数据沉淀

    首先,所有被第三方调用的数据,如非必要一律脱敏和加密。如果部分场景有必要查询明细数据,设置单独的API,并对账号行为及API查询做风控。

    其次如果自身有云基础设施,公有云平台,可以推动第三方上云,从而进行(1)安全赋能,避免一些因自身能力不足引起的安全问题;(2)数据集中化,在云上集中之后利于实施一站式整体安全解决方案(数据加密,风控,反爬和数据泄露检测类服务),大幅度降低外部风险并在一定程度上降低作恶和监守自盗的问题。

    反爬

    反爬在这里主要是针对公开页面,或通过接口爬取的信息,因为脱敏这件事不可能在所有的环节做的很彻底,所以即便通过大量的“公开”信息也可以进行汇聚和数据挖掘,最终形成一些诸如用户关系链,经营数据或辅助决策类数据,造成过度信息披露的影响。

    授权审核

    设置专门的团队对开放平台的第三方进行机器审核及人工审核,禁止“无照经营”和虚假三方,提高恶意第三方接入的门槛,同时给开发者/合作方公司信誉评级提供基础。

    法律条款

    所有的第三方接入必须有严格的用户协议,明确数据使用权利,数据披露限制和隐私保护的要求。像GDPR一样,明确数据处理者角色和惩罚条约。

    十一、数据销毁

    数据销毁主要是指安全删除,这里特别强调是,往往数据的主实例容易在视野范围内,而把备份类的数据忽略掉。 如果希望做到快速的安全删除,最好使用加密数据的方法,因为完整覆写不太可能在短时间内完成,但是加密数据的安全删除只要删除密钥即可。

    十二、数据的边界

    数据治理常常涉及到“边界”问题,不管你承不承认,边界其实总是存在的,只不过表达方式不一样,如果真的没有边界,也就不存在数据安全一说。

    企业内部

    在不超越网络安全法和隐私保护规定的情况下,法律上企业对内部的数据都拥有绝对控制权,这使得企业内部的数据安全建设实际上最后会转化为一项运营类的工作,挑战难度也无非是各个业务方推动落地的成本。但对规模比较大的公司而言,光企业内部自治可能是不够的,所以数据安全会衍生出产业链上闭环的需求。

    生态建设

    为了能让数据安全建设在企业内部价值链之外的部分更加平坦化,大型企业可能需要通过投资收购等手段获得上下游企业的数据控制权及标准制定权,从而在大生态里将自己的数据安全标准推行到底。如果不能掌控数据,数据安全也无从谈起。在话语权不足的情况下,现实选择是提供更多的工具给合作方,也是一种数据控制能力的延伸。

    十三、ROI和建设次第

    对于很多规模不大的公司而言,上述数据安全建设手段可能真的有点多,对于小一点公司即便什么事不干可能也消化不了那么多需求,因为开源软件和大多数的开发框架都不具备这些能力,需要DIY的成分很高,所以我们梳理一下前置条件,优先级和ROI,让数据安全这件事对任何人都是可以接受的,当然这种情况其实也对应了一些创业空间。

    基础

    账号、权限、日志、脱敏和加密这些都是数据安全的基础。同时还有一些不完全是基础,但能体现为优势的部分:基础架构统一,应用架构统一,如果这两者高度统一,数据安全建设能事半功倍。

    日志收集

    日志是做数据风控的基础,但这里面也有两个比较重要的因素:

    1. 办公网络是否BeyondCorp化,这给数据风控提供了极大地便利。
    2. 服务化,所有的数据调用皆以API的形式,给日志记录提供了统一的形式。

    数据风控

    在数据安全中,“放之四海皆准”的工作就是数据风控,适用于各类企业,结合设备信息、账号行为、查询/爬(读)取行为做风控模型。对于面向2C用户类,2B第三方合作类,OA员工账号类都是适用的。具体的策略思想笔者打算在后续文章《入侵防御体系建设》中详细描述。

    作者简介

    赵彦,现任美团集团安全部高级总监,负责集团旗下全线业务的信息安全与隐私保护。加盟美团前,曾任华为云安全首席架构师,奇虎360企业安全技术总监、久游网安全总监、绿盟科技安全专家等职务。白帽子时代是Ph4nt0m Security Team的核心成员,互联网安全领域第一代资深从业者。

    关于美团安全

    美团安全部的大多数核心人员,拥有多年互联网以及安全领域实践经验,很多同学参与过大型互联网公司的安全体系建设,其中也不乏全球化安全运营人才,具备百万级IDC规模攻防对抗的经验。安全部也不乏CVE“挖掘圣手”,有受邀在Black Hat等国际顶级会议发言的讲者,当然还有很多漂亮的运营妹子。

    目前,美团安全部涉及的技术包括渗透测试、Web防护、二进制安全、内核安全、分布式开发、大数据分析、安全算法等等,同时还有全球合规与隐私保护等策略制定。我们正在建设一套百万级IDC规模、数十万终端接入的移动办公网络自适应安全体系,这套体系构建于零信任架构之上,横跨多种云基础设施,包括网络层、虚拟化/容器层、Server 软件层(内核态/用户态)、语言虚拟机层(JVM/JS V8)、Web应用层、数据访问层等,并能够基于“大数据+机器学习”技术构建全自动的安全事件感知系统,努力打造成业界最前沿的内置式安全架构和纵深防御体系。

    随着美团的高速发展,业务复杂度不断提升,安全部门面临更多的机遇和挑战。我们希望将更多代表业界最佳实践的安全项目落地,同时为更多的安全从业者提供一个广阔的发展平台,并提供更多在安全新兴领域不断探索的机会。

    招聘信息

    美团安全部正在招募Web&二进制攻防、后台&系统开发、机器学习&算法等各路小伙伴。如果你想加入我们,欢迎简历请发至邮箱zhaoyan17@meituan.com

    具体职位信息可参考这里:https://mp.weixin.qq.com/s/ynEq5LqQ2uBcEaHCu7Tsiw

    美团安全应急响应中心MTSRC主页:security.meituan.com

    展开全文
  • 信息安全保障体系规划目标 信息安全保障体系规划思路 信息安全保障体系规划依据 信息安全保障体系规划内容 ...短期规划-体系框架设计搭建 中期规划-体系框架细化落实 长远规划-体系形成持续优化 专业的安全服务建设
  • 在上期中,我们探讨了中小企业信息安全的现状,并集中阐述了中小企业安全意识、投入能力、技术储备等方面所面临的问题。读罢该文,可能给大家一种在中小企业中实施信息安全步履维艰之感,但事实是否如此呢?可以说...
            在上期中,我们探讨了中小企业信息安全的现状,并集中阐述了中小企业在安全意识、投入能力、技术储备等方面所面临的问题。读罢该文,可能给大家一种在中小企业中实施信息安全步履维艰之感,但事实是否如此呢?可以说答案是否定的,因为在现实中,每个企业的客观情况都不同,我们所谈到的问题只是中小企业相对于较大规模企业的一些弱势,而由于中小企业固有的灵活性和可控性,只要在实施信息安全的过程中对这些问题多加注意,成功地完成信息安全工作还是相当乐观的。下面我们结合中小企业的情况,提供一些适合中小企业使用的安全工作框架和流程。

    设 计
    在我们实施信息安全工程之前,需要制订一套完善的信息安全策略,该套策略是企业信息安全的基础,本文中所讲的信息安全策略不仅指最高阶的要求、描述和方向,也囊括了最细化的解决方案。

    简单来说,企业的信息安全规划主要需要解决两个问题:要保护什么以及如何保护。从使用信息的设备到储存信息的位置,从Internet链接到公司雇员,信息安全工作面向的保护对象其实是相当广泛的,从保护措施来看,也不仅仅是人们惯常所想的权限控制、加密等等,根据信息安全策略的覆盖范围,资料室门锁的配备要求、性能指标、技术类型等也可能成为安全策略的重要内容。

    首先我们需要了解哪些信息资产属于需要保护的范畴,识别被保护对象这个任务可以通过信息分级、风险评估等技术完成。企业可以建立一套信息分级系统,将企业的所有信息资产划分到不同的级别当中,这样就可以相对容易的知道哪些是必须得到保护的(如专利技术和战略规划等),哪些是应该得到保护的(如客户信息和生产成本数据),以及哪些是不需要进行保护的(如产品宣传资料)。在进行信息分级工作的同时,还应该评估所有信息资产所面临的安全风险。信息分级体现了信息资产受到威胁时所造成的影响程度,而风险评估能够使我们了解到信息资产受到威胁的可能性。

    完成上述工作之后,我们会对被保护对象的情况有一个整体而清晰的认识,在这个基础上,我们就可以针对不同的对象设计出相应的安全措施。在设计安全措施时我们需要遵循一些基本原则:信息系统所面临的风险应小于其创造的价值以及在安全上的投入应低于所保护对象的价值;举例来说,企业的客户数据库中保存了所有客户的联系方式及信用卡信息,如果我们不对该数据库进行有效的安全管理,很可能有人通过盗用这些信息进行诈骗,这种风险通常就超过了我们利用这些数据库进行工作所带来的便利,而如果这些数据的综合价值在十万元左右,我们就不应该为保护这些数据购买一套价值二十万元的防火墙,这个投入额度显然远远超过了这些数据的价值,而且单纯的部署防火墙设备只能在一定程度上防止对数据库的恶意攻击而不能阻止员工对数据库的滥用。

    实 施
    在安全实施过程中,主要的工作是进行设施的选择、部署、培训以及开展安全策略教育。安全设施的范畴很广,既有防病毒软件、防火墙、入侵检测系统这样常见的硬件设备,也有AAA、PKI这样的应用解决方案,还包括了授权规划、访问控制这样的安全规程。我们需要根据安全策略中所设计的要求和内容,有效的完成实施工作,为企业的信息安全体系提供稳定的平台。

    对于信息安全实施及相关工作的几点建议是:一定不要在策略完备之前进行实施,这就好像在没有蓝图的情况下进行建筑施工一样,是极端危险并且毫无成功保障的;实施的成功有赖于决策层的支持,如果企业的管理者不能始终如一的支持该项目,那安全工作无异于一纸空谈;安全策略必须在企业中进行充分的宣传,这也是提高企业整体安全意识的重要步骤之一,只有所有的员工都深刻认识到安全工作的重要性,信息安全体系才能够正常的运作;在自身技术资源不足的时候,多征询当地专业信息安全机构的意见,这些机构通常乐意免费提供自己的知识储备和咨询力量,并且本地的机构通常能提供较好的应急响应。

    管 理
    我们在该连载的上篇提到过,安全设施的建立并不是安全工作的终结,在完成了信息安全体系的实施工作之后,相关的管理和维护工作将面临着更大的考验,因为设计和实施工作通常有着较为明确的要求,并且具有较为固定的工作期限,而管理和维护工作则是一个不存在终点的进程,特别是由于中小企业安全意识薄弱和技术储备不足等问题的作用,随着时间的推移,安全系统的控制能力会不断的降低,这需要企业认真的施行安全管理,以保障安全系统的效用。

    信息安全管理规程为应用环境变更和安全事故的响应提供了可参考的架构。任何企业都必须面对应用环境的变化,即使只增加了一个应用程序,或者一个职员的岗位发生变化,都可能对整个安全体系造成深刻的影响,所以变更管理在信息安全工作中起着相当关键的作用,变更管理工作的内容包括及时的识别变更并详细记录相关信息,对变更进行足够的评估,以确定其产生的影响是否会破坏原有的安全策略,如果该变更是可以接受的,我们才能够实现它,并且在实现之前要做好计划,在完成变更的同时,我们需要更新相应的安全策略并完成新策略的培训工作。

    响应安全事故也是信息安全工作中的主要组成部分,安全事故通常是指违反安全策略的行为,可能是信息基础设施被入侵,也可能是某个员工修改了不允许他访问的文档,管理安全事故需要企业的全体员工都清楚的理解和贯彻安全策略,因为对于安全事故来说,时间是非常非常重要的,尽早的识别安全事故的发生能够从很大程度上降低企业的损失,而且全员的良好参与能够有效地减少安全事故的发生几率。为了有效地对安全事故做出响应,应该事先针对安全策略建立起应急响应计划,即使没有足够的技术力量建立自己的应急响应小组,至少也应该在管理规程中标注出发生各种安全事故时,应该采取的步骤和需要联系的人员(包括其联系方式),而且对于重要的信息资产,还应该建立灾难恢复计划,以保证在经历了严重的安全事故后,能尽快的恢复到正常状态,保障企业的业务运行。

    评 估
    除了以上的三个主要步骤之外,信息安全事务中还有一项容易被忽略的工作,那就是安全评估。在很多时候,系统管理员仅仅是定期用自己的扫描器对所有的节点进行扫描,事实证明这样的措施是远远不够的,除了有针对性的进行漏洞扫描之外,所有安全策略中包含的设施都应该被定期检查,而且应该对照当前的安全策略,以合适的频率进行补丁升级,按照系统清单跟踪系统漏洞及其它风险,定期审查安全系统所产生的日志。评估工作的最主要目的就是:尽可能早的发现潜在的问题。

    在短短的篇幅里我们无法表述信息安全实施中的太多细节,而只能结合中小企业的信息安全要求,概略的对信息安全工作的框架和流程进行一番探讨,并希望这些精炼的信息能帮助中小企业的信息安全工作人员更好的规划自己的工作,不断的提升您系统的信息安全水平

    展开全文
  • 企业管理框架

    2019-04-24 14:51:45
    RuoYi是一个后台管理系统,基于经典技术组合(Spring Boot、Apache Shiro、MyBatis、Thymeleaf)主要目的让开发者注重专注业务,降低技术难度,从而节省人力成本,缩短项目周期,提高软件安全质量。
  • 论述了国内外安全文化评价研究现状,从安全文化与安全生产融合发展出发,提出了煤矿企业安全文化评价指标体系的设计原则及设计方法。在此基础上,借鉴"压力-状态-响应"框架模型,建立基于"压力-状态-响应"程式的安全文化...
  • 本制度体系框架所包含的制度模板,基本覆盖了各类合规和监管要求,并参考了主流行业的最佳管理实践,对企业的信息科技管理建设有极大的参考价值。《信息科技管理制度体系框架》总框架图:细分图:1. 信息科技治理2. ...
  • 2 安全指标体系设计原理 2.1 总体设计方法 2.2 等级化设计原则 2.3 体系化设计方法 2.4 标准化设计方法 3 主要内容 第二部分 IP网络安全对策框架 1 概述 2 安全对策框架层次结构和分类 3 安全对策等级划分 4 安全...
  • 国内外数据安全相关法律法规、天融信以数据为中心的安全建设思路,以数据为中心的安全体系架构,数据治理框架,数据安全技术体系,数据安全技术及解决方案介绍等。
  • 面对当下和未来的安全趋势和安全挑战,企业该如何针对性地构建安全防护,安全厂商又为企业提供了哪些解决方案……丁珂在专访过程中,给出了腾讯的解题思路。 来源:界面新闻 记者:陆柯言 疫情期间,暴增的...
  • 企业安全技术架构演进 企业安全运营技术架构 我国关键信息基础设施保护建设白皮书 国家关键信息基础设施应急响应模型 关键信息基础设施保护三化六防挂图作战平战结合一体化指南 郭启全:“三化六防”构建国家网络...
  • utm_medium=referral一、背景Facebook数据泄露事件一度成为互联网行业的焦点,几百亿美元市值瞬间蒸发,这个代价足以在地球上养活一支绝对庞大的安全团队,甚至可以直接收购几家规模比较大的安全公司了。虽然媒体上....

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 60,426
精华内容 24,170
关键字:

企业安全体系框架