乙個人的企業安全建設之路

2021-09-13 15:05:21 字數 3359 閱讀 4164

如今很多中小型網際網路公司對安全需求不高,安全資源貧乏,領導只重視業務忽略安全,在這種情況下可能安全人員很難立足,推動公司做好安全,從而進入了進退兩難的窘境,目前從事國內某車聯網公司,公司團隊在300人左右,生產伺服器數量在千餘臺級別,業務線冗長,以下給各位介紹一下個人的工作經驗:

該部分為後續工作做鋪墊,所以此部分工作也是十分重要的,首先需要有如下三個圖:

2、拓撲圖:第二步是熟悉網路環境,公司之前也可能採購了一些安全裝置,這些裝置是如何部署的,部署在哪些機房的哪個節點下,會有助於以後故障排查;

3、業務圖:第三部是熟悉業務,這也是最困難的,乙個企業可能有多個業務,每個業務分部在不同的機房與伺服器上,這些就算無法完全梳理透徹,也要有乙個簡單的了解與掌握;

基礎性的工作不難,但瑣碎,比如:週期性安全測試、裝置運維、弱口令審計、外網埠監控、等保測評以及安全策略審批管控等,如何優化做好這部分工作十分重要:

1、策略管控:部分業務進展需要安全部門審批,如果對業務非常熟悉的情況下可以堅持安全性的原則去審批,但往往並沒有那麼熟悉,況且還是乙個人的情況下,可以先放寬條件,日後再逐步縮緊,但不要成為背鍋俠,該提的原則要提前表明,鍋要先扣到業務部門頭上,這樣才方便做事;

2、安全測試:在有限的時間內週期性對重點業務進行滲透測試,每次迭代更新可以選擇性做測試,比如大版本改動時,並且可以將安全測試放在sdl裡面,在sdl階段會介紹我的方式方法,在這不做過多解釋;

3、裝置運維:起初還是需要了解一下安全裝置的,如堡壘機、waf、ips 等,不出問題則罷,一旦影響其他使用者使用如堡壘機,就會比較頭疼,建議提前了解好裝置處故障的「套路」;

4、賬號審計:弱口令是乙個極其簡單而威脅程度又特別高的安全隱患,價效比極高,所以關鍵系統的弱口令一定要排除,必然是放在基礎工作之中的;

5、外網埠監控:埠監控剛開始可以直接用nmap掃瞄,手工肉眼核查,沒有特殊埠開放即可;

6、等級保護:這點不需多說了,都是套路~~~

根據上述基礎工作大致可以看出,某些工作是可以優化的,如果你不優化,自己乙個人無休止的搞下去,要麼公司死,要麼你死。

1、埠監控自動化:外網埠監控每次都手動掃瞄,然後人工肉眼核查是特比low的方式,完全可以靠指令碼自動化完成, python裡面包含了nmap模組,可以返回掃瞄結果,效率雖然比直接使用nmap低一點,但也可以將就,所以第一步就是抽時間寫了自動化的監控指令碼,當然也可以借助巡風這樣的系統去監控掃瞄;

2、弱口令死於初始化:弱口令審計重點把控幾個位置,郵箱、vpn、以及即時通訊軟體(當時我們用的是rtx),其中vpn每次是管理員建立且使用者無法自己修改密碼,一般沒什麼問題;企業郵箱我們在密碼修改功能模組強制新增密碼複雜度策略,弱口令無法通過;rtx已經棄用,並不需要付出太多精力,這樣一來弱口令審計工作也從此消失。

3、安全掃瞄:如今的awvs11已經支援web介面,更加直觀,如果再漢化一下就更加得心應手,既能體現掃瞄結果,還方便各部門人員使用,可以從一台機器上搭建後由各專案組自行去掃瞄測試,會變得更加方便。

乙個人的sdl安全開發周期?是的,沒錯,安全部門僅一人,如何推動?許多大型網際網路公司舉全團隊之力都難以完成的專案,如何乙個人去完成,近期也跟朋友簡單聊過,得到了認可,答案就是「 閹割版的sdl」,國外的東西不要照搬,也未必合適,但思路可以借鑑,下面介紹一下個人的思路:

1、明確目標:要明確自己的目標,什麼是sdl,自己能做多少,要評估出最終的效果,在我看來 sdl簡單概括就是:減少漏洞頻率、降低人力成本。因為傳統的安全測試基本都在上線前,漏洞不斷重複出現,開發人員再重複修改,效率極其低下。

2、團隊支援:其次才是得到各專案組負責人的認可,剛開始大領導支援還好,不支援的話小領導支援一下也不錯,當然要讓他們知道推動sdl的目標是給他們減輕工作量,而不是增加成本。然後從各專案組安排一名 「安全負責人」,這樣很多安全工作的落地對接,業務資訊的收集就比較方便了,並且還安排他們講問題**做整理統計,形成內部的 「 漏洞庫 」,以此作為sdl的基礎。

3、專案選擇:專案選擇也十分重要,有些專案領導壓得緊,別說sdl了,正常的安全測試都做不完就需要緊急上線,這種並不適合你自己去搞sdl,可以選擇乙個迭代沒那麼快,最好週期性的專案最佳。

4、安全負責人核心價值:每個專案組的「安全負責人 」 作為介面人主要兩方面作用:第一是在開發過程中能看到功能的實現方式,可提前避免出現安全漏洞;第二是在開發後修復漏洞時可以協助安全人員歸納總結,提取案例,將修復後的**提取出來供其他專案組參考,這樣無形之中減少了很多溝通與重複擼**的成本,後來發現安全負責人這個概念在唯品會有使用。

5、他山之石:從測試部門「借人」,做功能測試的人員要比安全測試人員更加熟悉業務,這樣其實更容易發現細微的邏輯漏洞,所以跟測試部門強強聯手也是是非必要的,這塊參考京東的一部分做法。

1、所有上線走jira,安全審批後才能上線;

2、安全負責人不會平白無故給你幹活,能在制度績效上為他們謀福利一定要去努力;

3、每月定期召開安全月會,請大領導參加,並將目前的安全問題丟擲來由大領導拍板定奪;

最後來說安全意識,也是貫穿始終的,目前以培訓方式為主,地毯式轟炸為輔,盡30%努力去覆蓋70%的成員就覺得已經成功了,做安全不要總想著100%,實際工作主要是:

1、平台搭建:公司內網搭建資訊保安中心(包含烏雲的映象**、xss跨站平台;攻防演練平台、 awvs遠端掃瞄、以及巡風系統),**都是比較簡單的開源系統,但方便推廣,也比較實用一些,主要是有一種歸屬感,起碼有個平台屬於自己;

2、安全培訓:安全意識培訓可以對公司的人力、財務、新員工等做培訓,偶爾也發幾個釣魚郵件給被培訓的同事(20% 中招概率),都是比較好玩的過程;

3、安全文章:如果公司有內刊的話可以寫幾個安全科普的文章,雖然很多人不看,但領導偶爾閒暇會瞄一眼,不要放過任何乙個角落與機會,包括此文也希望更多中小型企業借鑑推廣,希望提供參考價值。

乙個人的企業安全建設之路

前言 如今很多中小型網際網路公司對安全需求不高,安全資源貧乏,領導只重視業務忽略安全,在這種情況下可能安全人員很難立足,推動公司做好安全,從而進入了進退兩難的窘境,目前從事國內某車聯網公司,公司團隊在300人左右,生產伺服器數量在千餘臺級別,業務線冗長,以下給各位介紹一下個人的工作經驗 一 熟悉環境...

乙個人久了

乙個人久了,會懶得戀愛 乙個人久了,朋友會越重要 乙個人久了,會越來越喜歡聽歌 乙個人久了,會常常忘記帶 乙個人久了,對愛情會越來越挑剔 乙個人久了,會更加勤奮 乙個人久了,除了寂寞點外還是蠻開心的 乙個人久了,會慢慢變得成熟起來 乙個人久了,會比以前更重視更愛父母,更重視親情 乙個人久了,對所有的...

很愛乙個人

外邊的雨依然下著,沒有停的意思 下了兩天兩夜,感覺好悶 這幾天看著男友,很心疼,每天要洗碗,洗衣服 我很聽話不去惹寶貝生氣,醫生不讓我用冷水,我也很害怕 害怕身體因此而跨掉 我們都還年輕 以後的路還很長 這個代價會很大 我也希望這些日子能過的快些,自己的身體能恢復的快些,為此事我們花了一千元,想來不...