智库说 | 乐信刘志诚：从数据安全到业务安全的进阶之路

与智者同行，为行业赋能。

FreeBuf咨询TTSP智库作为行业安全专家聚集区，旨在聚合每一份安全中坚力量，以促进网络安全行业技术创新和知识布道为价值导向，凝聚智者力量，思维碰撞、经验共享，共创安全聚合新力量。

FreeBuf咨询TTSP智库专家乐信集团信息安全中心总监刘志诚，在2021数据安全与数据治理高峰论坛上分享了议题《从数据安全到业务安全-业务安全进阶之路》。本文对其分享内容进行梳理和展示。

乐信集团信息安全中心总监刘志诚

以下是刘志诚的现场分享实录：

在实际的业务场景中，你会发现安全做到一定程度后会越来越关注跟业务相关的东西。数据安全是和业务最直接相关的，安全重点是为了保护数据。

做完数据安全之后，逐渐考虑业务安全怎么做，它和传统业务风控之间的关系是怎么样的？

数据分类是怎么分的？

大家比较关注的国家出台标准规范、行业标准规范，还有我们自己的实际经验。

数据分类

如果你从事互联网行业，你最关注应该是个人敏感数据。因为国家监管和个人隐私保护的需求越来越旺盛。

公安、通信管理局等部门都在关注APP安全、数据采集、权限管理，这些都跟个人数据相关。

第二个是业务数据，如果你是传统业务，你关注的可能是业务数据本身。

第三个是商业数据，我们一些传统的数据安全解决方案，重点就是解决这方面的一些问题。

很多人谈到数据的生命周期管理，例如采集、传输存储、处理、使用、分享、处置这些环节。

有一点大家可能会忽视，就是收敛环节。如果你是互联网业务，那么收敛是一个非常关键的问题。例如，你有很多业务在存储数据，特别是个人敏感数据，是分散存储还是集中存储；在微服务架构下，对敏感数据调用和API接口如何处理？

我们对整个数据的安全如何保障？

数据安全的保障架构

从技术手段上看，第一是合规要求，要看数据的采集和保护是不是合规。

另外要具备检测和监测能力，你能不能监测到数据风险问题？监测的目的是为了预警，需要你真实地掌握数据安全的全景，要明白风险在哪里，治理效果怎么样。

还涉及到审核和调查。在传统的数据生命周期里，我们都在内部处理数据，但是现在互联网业务环境中，数据不仅是内部，因为你会有合作伙伴。以电商为例，所有商户、物流之间的数据交互，都涉及到用户数据分享的问题。在分享环节，数据的安全怎么保障？如何保证所有合作伙伴在数据安全上不会出问题，要考虑用技术手段实时监控接口和数据分享处理的过程。

再举一个例子，互联网业务都有短信验证码登录或短信业务提醒服务，在这个环节你的短信供应商就面临重大风险，你能保证你的数据不会泄露，但你不能保证合作伙伴的。所以审核合作伙伴的能力也是非常重要的。

除了审核，还有调查。出现数据泄露后，如何溯源、追查，如何监控到问题来源就需要调查。审核调查都是为了形成闭环，能得到系统性的结论，更好地呈现数据安全效果。具备了这些环节，才算构建了一个数据安全的保障体系。

总结一下，我们说数据安全，除了平常看到的标准规范、最佳实践，还需要注意采集合规，传输存储收敛加密、分享控制、风险监测、对合作伙伴的准入和审核机制。

业务安全怎么做？

我们做业务安全要围绕的资产是什么？主要关注两点，一是账号，二是交易。交易包括所有的业务动作和行为。

业务安全重要的是关注漏洞，资产的漏洞其实是欺诈，欺诈会带来账户和交易风险，欺诈则主要来自黑灰产。

我们对安全首先关注的是风险治理，风险被定义之后，我们关注的业务安全要做什么事？怎么能检测出来风险？

这就需要有一个动态监测机制来监测业务安全问题，能够对业务安全问题进行处置、报告，能够体系化地展现实际的业务安全水平。

除了这些措施之外，我们还要有一个完整的机制和相应的团队，要具备处理这些业务安全问题的方法，有方法论指导，有相应的工具产品和平台，有相应的流程和运营体系来支撑你做好这件事情。

风险识别、处理措施和的管理体系才能构成完整的业务安全。

在业务安全中，互联网业务的账户安全，第一是身份问题，例如身份证号码、手机号码、人脸识别，这是判断用户是否是真实用户的关键特征。

第二是用户环境，例如IP地址、地理位置信息以及用户访问业务的终端是pp还是浏览器。

还有用户的行为、访问时间、访问频率。以上这些是我们从账户安全角度考虑，要通过这些特征建立识别模型，可以检测和监测欺诈用户访问业务，并做相应的安全处理。

交易安全这一块，我们是关心的是业务逻辑问题。你的业务行为本身是不是由真实的用户账户产生的，而不是一些机器人访问带来的行为，用户的访问路径是什么，终端环境和访问方法是什么。

现在我们业务系统都是微服务接口模式，用户在访问的过程中，是针对一个接口还是针对有业务逻辑接口的模式，这其实是我们要关注的一些重点参数。

另外还要关注账号是不是被盗用，它是交易安全这方面的重点。

所以我们说业务安全要做成一个纵深的防御体系，要具备以下几点。

业务安全的纵深防御体系

第一个是预警能力，当业务风险或者账户和交易欺诈行为进入系统时，你要有能力去预警。预警来自于你的检测和监测能力，它依赖的是情报体系。比如说手机号码，哪些是黑灰产掌控的号码，这些号码本身是不是有风险？还有IP地址的标签和特征。这些第三方情报为你的检测和监测能力提供依据，是为了预警。当然，你通过检测和监测能力也会采集到相应数据，提升情报的质量。这里面会涉到内部的关联分析，然后再做到相应的可视化，可以体现你整个业务安全的技术体系。

第二个是处置能力。我们需要的是实时的处理能力，处理能力包括几种：第一是阻断，通过前面的分析能够及时发现高风险行为用户，这样我们就可以直接把它拒掉。第二是业务蜜罐，让用户在受监控的环境内，我们可以分析用户行为和账号，为整个业务安全提供情报。第三是我们增强校验的手段和方法。我们可以在业务环节增加人脸识别来确保用户的真实性。这是根据你判断的风险程度来采用不同的手段。

为什么在业务安全体系要做到实时处置？这问题其实来源于有多少真实的业务流量。

从流量角度上分析，第一关就是防火墙，ids、ips可以从网络层阻断一批恶意流量，这一步我们会处理比较多的攻击流量。

第二关是WAF层，这批流量就是一些常见的跨站、SQL注入等外部应用安全风险阻断。

第三关是非系统用户产生的流量，不管是黑灰产控制的用户还是假冒欺诈用户，他们想进入我们的业务系统，但他们不能产生业务价值，所以我们也要阻断这一部分流量。

从我们的经验分析，大概有3%的流量是业务安全风险流量，它不是真实用户产生的流量，但它是在我们业务系统之内产生的。它除了给你带来性能和系统上的损耗之外，不会产生任何业务价值，特别是重大促销活动的时候，比例可能还会更高。所以这也是我们为什么要提业务安全。

以上这些刚刚都讲到了。预警需要什么？需要数据源，它来源于你的情报体系、监测能力和分析能力。

在处置环节，当你不能完全判断它是一个高风险时，例如你只有50%的把握时，可以增加业务层的验证机制，比如通过刷脸来提高它的门槛。

如果你有70%或80%的把握，可以让他在沙箱、蜜罐里面去跑整个业务流程，观察他的行为特征和实际业务交易特征，然后再去做准确判断。100%判断被黑灰产控制的账号，或非业务用户，我们就可以直接去阻断。