《B2B创业型企业的安全运营建设之路》要点：
本文介绍了B2B创业型企业的安全运营建设之路，希望对您有用。如果有疑问，可以联系我们。

作者简介：

卞军军
找钢网 高级信息安全工程师
2015年年底加入找钢网,负责应用安全评估、渗透测试、运维安全基线建设、安全运营等. 前携程高级安全运营工程师(2012.7—2015.9),主要从事源码安全审计、安全漏洞测试,安全产品运营.

前言

本文大致分为以下三点：

• 找钢网的背景和问题；
• 安全运营；
• 安全驱动；
  

  1、说说找钢

  1.1 发展史

我们找钢是在2011年年底成立的,之前也是响应国家“互联网+”号召,加上钢铁的产能过剩,于是我们公司成立了.

找钢网是全产业链的钢铁电商,从买钢材到仓储运输以及一些金融方面,加上智能数据形成了的一个完整的钢铁贸易的生态圈,一开始找钢网是做撮合业务,因为买卖双方渠道是不透明,现在我们也是做自营的业务,就是之前讲过的一些服务我们都可以做到.

规模上,到现在找钢网是有1400多人的大团队,也有一些分公司海外分公司,武汉二级研发中心.

1.2 找钢网B2B特色

相对其他的一些互联网企业来说,找钢网是还是一个偏向传统的 B2B 互联网企业,从两方面可以介绍一下,第一个是从用户来说,我们的用户群体比较集中,另外从业务量来说,我们相对 2C,没有那么大的用户量,另外我们的核心业务是在内网.

1.3 历史遗留问题

总体上,我们找钢网作为一个创业型的企业发展是很迅速的,相对的也有很多问题,这里简单讲一下,起初我们的物理机房很混乱,如上图所示,我想很多初创的公司都面临过这样的情况,还有应用的部署不合理,监控方面不全面等等问题.我们的安全运维建设都是从零到有的一个过程,包括标准化和自动化.

2. 安全运营

下面介绍一下安全运营,找钢的安全也是从零开始建设的.

2.1 安全运营建设的通用公式

首先讲一下安全建设的过程,我也了解了一些其他些企业安全建设的过程,大致总结有四点,我把它定义为一个通用公式.

最开始的是救火阶段,当前优先要解决刻不容缓的问题,比如说我们有一些外部应用遭到了攻击,发现了高危漏洞,甚至造成业务瘫痪了,直接可造成公司形象、经济等损失等.

接下来是建设阶段,救火之后我们做防范建设措施.做建设可以从两点做起,第一个是基础建设,包括办公网络和生产网络,第二个是安全建设,基础建设建设完后我们可以做一些扩展的安全建设,比如从内部的IT的建设,运维的建设扩展得到全公司的业务,跟公司业务结合.

第三阶段是优化阶段,当公司规模发展到一定规模,当前的一些策略,或者是我们现有的一些产品不能满足自己的公司的业务需求,那么进入到一个自研的环节,这一点是根据当前现状去开发满足业务需求的工具和产品,

最后一个阶段产品的对外开放.

2.2 救火系列

之前也说了建设的四个阶段,首先讲一下救火阶段,我是2015年底加入找钢网的,当时第三方安全漏洞平台对爆出了找钢网的一些高危漏洞,那么首要解决这些高危安全漏洞,避免攻击扩大,漏洞修复完成后对存在漏洞的应用做一个整体的安全测试.

安全测试完全之后,接下来就是要让我们的研发人解决这些安全问题,同时也要提供安全解决方案,安全解决方案这可以整合成安全规范,比如针对当前比较常见的或者是基础的安全漏洞,例如 sql 注入、以及常见的逻辑上的问题,提供一个完全的攻击案例和修复方案说.

再来就是对开发人员做安全培训,在一个公司中开发人员的水平也是不一样的,甚至有些开发人员对安全没有接触过,或者可以说没有安全基础的开发人员,对这一类开发人员要做的是先提高他们的安全认知.

我做了一个安全平台,这个安全平台初期的作用是作为安全漏洞的跟踪管理统计,后期会对它扩展,实现对所有安全的统一管理,比如说运维基准建设,自动化巡检以及日志平台的建立,实现自动化预警机制.

2.3 传统的安全体系

救火之后我们需要做一些安全建设方面的工作,安全体系的建设,相对其它互联网企业来说,传统的互联网企业需要做的安全建设项要稍有不同.

我们根据找钢网的现状,从这五大方面做它的建设,包括：基础安全,应用安全,访问控制,运维安全,以及内网安全,为什么把内网安全单独拿出来呢?因为我们核心的业务是在内网,这对我们的业务体系来说是非常重要的.

传统的安全体系架构如上图所示,接下来我们一一讲述.

2.3.1 基础安全

 

 

首先是基础安全,看上图中基础安全中的分类,他包含很多的方面,如网络安全物理安全等等.

做安全建设的时候,大家会参考同行中其他互联网公司怎么做的,我这里要强调的是,参考只是参考,而不是照搬.每一家企业都有自己独特的业务体系,别的企业的不一定完全适用于自己,可以参考自己需要的.

那么我们围绕基础安全分别介绍下具体是如何做的?

• 网络安全

  

首先说说网络安全,这个是做运维的基准.我们做网络安全要切合我们公司的网络架构,以最小的代价能获取最大利益.

安全域划分的原则,南北向业务是最小化的原则,也就是说访问控制分配最小化的权限,这点需要把控好,东西向的业务的需要分割,实现业务隔离.

对于无线安全这块,无线安全也是我们优先需要把控好的一点,我们无线安全是针对内网和外网用户实现访问控制的.

DOS 攻击防御,之前我跟很多专家沟通讨论过这个问题,必须要花钱,也只有多和少的区别.

我们找钢网是 2B 企业,没有 2C 那么大的流量,我们企业对 DOS 防御从两点做起,一个就是运营商帮我们做一些基础的过滤；再来需要采购流量清洗设备,大家需要评估一下你们自己的业务,选择适合你们的自己的产品.

入侵检测,我们没有采购单独的 IPS 防护设备,我们计划是自研轻量级的入侵检测.

• 数据安全

数据安全从三点来说：

第一点是资产的管理,这是数据安全基础,不管要做哪一类的信息安全,你首先要知道我们有哪些数据,有哪些资产,这些数据和资产类型是怎么样的,这些数据等级划分怎么样的.

第二点是数据访问,一个是用户的分配问题,还有一个是访问控制,需要做好这两点.

第三点就是数据安全,一是备份,备份需要做到三方面,本地备份、本机备份、异地备份；数据安全的第二点内容是数据的存储和加密.

• 系统安全

接下来介绍一下系统的安全,上图所列出的,是根据我们当前实际情况定制的,包括：数据库,主机访问控制,操作系统安全,桌面工作站等等.

这个就不一一介绍了,需要强调的一点是,除了运维人员其他人员就不要接触服务器,如果有特殊情况,特殊处理.还有,管理员权限一定要回收,这个是做好系统安全基础.

• 物理安全

物理安全,看看上述这张图,我们有很多分公司,但是我们分公司没有专门配备IT人员.左图是曾经的场景,现在我们实现了右图.这样也便于对一些网络故障的分析和定位.

2.3.2 应用安全

接下来介绍基础安全中的第二块内容,应用安全.

应用是与用户直接交互的,做应用安全不是盲目的,我们需要先了解业务.我们当前的核心业务是什么?保护的对象是什么?了解这些我们才能更明确的去分析业务面临的危险有哪些,再来制定保护策略.

应用安全,我们从三方面去做,应用上线前的安全评估,应用完成后风险测试,应用日志的审计.

安全评估是我目前正在做的事情.我们核心的对外的应用,在 PRD 评审阶段,与产品和研发一起做安全评估,帮助他们在开发的阶段规避一些常见的安全问题.

应用安全风险,这里给大家推荐一个 STRIDE 模型.它对用户身份的仿冒、篡改,数据泄露完整性方面的安全都是有一个很好的解释.这个大家可以在百度上查阅.

最后一个就是日志和审计,根据日志就可以定位有哪些用户访问了我们的应用,他们做了什么事情,可以分析一些风险场景.

2.3.3 运维安全

再介绍一下运维的安全,上述图中描述的是我们目前正在做的.前面也说过,我们初期有一个很混乱的场面,因此我们要做标准化,自动化,信息化,每一家企业要做好运维安全,首先要做好这三点,才能做好后面的管控方面的工作.

自动化这方面,自动化是相当必须的,因为公司不会在同一个岗位配备多个人员,我们都知道运维人员加班加点特别多,做自动化也是必不可少的,可以减轻人工的工作,提高工作效率,像运维操作的流程很多,比如有很多人要申请权限之类,如果每一样都需要人工操作,那么运维人员就不用干别的事了,这充分说明了自动化的必要性,自动化的另一方面体系在监控上,做好更全面更广的监控,可以帮助我们快速发现并定位网络故障.

统一受权,这个是比较关键的,我们使用的是4A的产品,这个产品目前使用下来还是挺不错的.

2.3.4 内网安全

最后一个就是内网安全,对于我们来说是很重要的.所有公司内网安全都是也是必不可少的.

内网安全涉及的点比较多,首先是桌面的安全,从以下几点介绍,进程的控制,补丁管理,内容过滤,资产管理,文件共享,还有软件安装审计等等.

这里面简单说一下安全审计,初期没有一个系统化的管理平台,每一个员工都拥有管理员权限,这会带来很多的安全风险,因为很多员工并不懂安全,不知道他访问的哪些网站,安装的哪些软件会有安全威胁,这就需要我们IT人员做好管控,把普通员工的管理员权限取消.

另一点要说明的是补丁,并不是所有的应用补丁,或者是软件版本更新都需要升级,所谓要不要打补丁,要根据你的业务进行评估,如果对业务有影响,会造成业务或者网络中断,那么就不需更新补丁.

终端安全,包括终端行为监控,资产配置管理,终端远程维护,I/O 接口管理,系统账户监控.

这里不一一阐述了,简单说一下远程维护的必要性,比如很多分公司的员工会上报故障维修,如电脑故障之类,各个分公司配备多个IT人员成本较高,也不现实,那么我们就需要IT人员远程协助分公司员工解决故障了.

防泄密,每一家企业都会碰到的,我们目前还没有一个完整的解决方案,目前能够做的是对员工进行思想教育.

基于准入控制,这个也不用多说,大家都可以理解,你要判断哪些可以接入内网,要满足什么样的条件或需要什么条件能够进入内网.之后我们可以从两大点实现准入,一个是网络的准入,还有一个客户端的准入,应用可以归纳为客户端.网络的准入可以通过 802.1X 协议执行.

VPN 安全有两方面：第一个是管理,另外一个就是配置.管理方面,如权限开通一定要走审批的流程,VPN 日志需要定期分析安全隐患.在配置上需要做的几点,变更管理需要走流程,会话连接数设置,超时设置等等.

源码安全也是很重要的,这个也是我们保护的对象之一,源码的管理难以做到面面俱到,可以从三方面做一些管控,完整性、授权,以及复制和传播,彻底的杜绝泄露我们目前无法实现.

有条件的可以做内网日志,之前看到的一个文章,是阿里如何防止内部员工去泄露信息,它的实现是对内部信息做一个打码或者是加水印处理,水印中保存了用户登录 cookie,一旦泄露可以定位到哪位员工泄露的.

2.3.5 授权和访问控制

在访问控制上,我们现在实现的是身份管理这一块,其它方面也是慢慢做的实现.身份管理,单点登录时一个不错的方案,其它的比如访问管控,流程资源方面可以在实际问题中逐渐扩展.

3. 安全驱动

上面写的运营方面的内容,是根据我们公司实际情况做的一个安全工作.

接下来是安全驱动,这个是比较抽象的东西,比如你要建设的策略、计划,你要推动这些事情怎么落实.现阶段也是我所面临的一个难点,在推动过程中遇到的一些问题,接下来跟大家分享一下我的想法.

3.1 资源分析

推动前先要做好事前分析,人力资源分析,当前你有多少人力可以助力推动这个事情.有多少的支持,又有多少的反对,支持和反对需要做好评估,如果阻碍太大做不下去就可以放弃了.

3.2 救火阶段

那么救火阶段的驱动需要做哪些呢?我个人总结了一些,时时跟踪,主动出击,紧迫盯梢,及时曝光.如果需要配合的人不配合,你可以曝光,至于曝光给谁,当然是上级,也就是可以做主拍板的人.

3.3 日常运营阶段

@H_796_404@

日常的运营阶段,我总结的几点是,首先要明确负责人,定时跟踪,流程约束,松驰有度,另外还要做奖惩的制度.明确责任人很重要,你发现问题了,你要驱动一个策略,要知道事件相关联的人.

之前公司,业务线比较多,组织的变动也带动了业务的变动,有一次我找人就找了两天,这个就是浪费时间的事情.我建议,进入公司时先要熟悉组织架构,自己可以维护一个表,记录每一个业务产品的对应的负责人.

3.4 建设阶段

建设阶段,我们找钢网,安全只有一个人,我们的运维人数也很少,一共就有八九个,人少能做的事情是有限的,你一个人可以做的很少,结合大家一起做的事情就比较多了,比如说结合运维、DBA、IT、基础架构等等,可以站在一个驱动的角度推动,涉及到运维就可以驱动运维人员协助完成,这就是一个相互协作的过程.

3.5 推广阶段&落地

推广落地我这边也总结了几点,首先安全要做好策略运营,还要有一个流程的约束,研发的配合也是跟安全特别相关的,比如说漏洞这一块,你要研发去配合解决.最重要的是要得到老板的支持,所有的推动从上而下可以很快落实,从下而上是比较难的.

3.6 平衡

最后是平衡,我们的公司的以为业务人员跟我说,安全是对我们业务的绑架.我说不是,我们安全是为业务服务的,是为了业务避免损失,包括公司品牌形象的损失和经济的损失.

那么如何去平衡这两者关系,如果安全阻碍了业务的发展,降低了用户体验,造成用户量下降,直接导致经济损失,这个就要安全让步了,但是涉及到原则问题,如果没有做好安全把控,因攻击事件造成公司名誉和经济损失,这个是不能让步的,所以要权衡好,最终的目的是为了让业务做的更好、更安全.

文章来自微信公众号：高效运维