阿里安全观:安全该成为系统诞生即有的默认属性 – 作者:Megannainai

一个企业自己做网络安全的成本有多高?

首先,从流程环节来看,这个企业需要有相应的配套安全产品、适配业务的安全标准、还需要相应的安全专家来做相应的策略,进行线上攻防应对。当然,想要取得好的安全业务效果,这些投入不能只是蜻蜓点水,而是需要有“下血本”的打算。

对于本来就不富裕的企业来说,这无疑是雪上加霜。

尽管,资金与人力、能力让许多企业的安全建设进入困境,但几个现状令他们必须选择迎难而上:

首先是来自品牌业务层面的需求,一方面在智能化发展时代,用户对于数据、隐私的需求不断升级;另一方面,犯罪者的攻击手段不断更新,安全事件增加。所以,基于对市场变化需求的满足、自身品牌声誉的维护及业务稳定等需求,新基建安全建设势在必行。

此外,值得一提的是企业内鬼。“日防夜防,家贼难防”,与外来入侵略者相比,内鬼的泄露往往对企业是致命打击。以近期Twitter、思科等企业的内鬼事件来看,内部的安全建设也必须提上日程。

最后,还有来自法律、合规性的规范。从《网络安全法》到数据安全法草案,法律规则已从大方向界定了网络安全相关的标准,而且也从细节上明确划分了责任人。如今,企业出安全事故了,企业会面临处罚,这是非常硬核的驱动力。

图片[1]-阿里安全观:安全该成为系统诞生即有的默认属性 – 作者:Megannainai-安全小百科

新冠疫情及新基建更是催化了上述大环境,企业的安全建设争分夺秒。但巧妇难为无米之炊,由于缺乏经验及资源,大多数企业急需可信、成熟、完整的安全产品解决方案,安全市场需求被进一步刺激。一组数据证实:Gartner预测2020年中国安全市场支出将增长7.5%,达到299亿人民币。

目前,安全市场的产品、服务形形色色,结构日益丰富。多数安全产品较为单一、垂直,不过安全需要整体协同,完整的体系建设会产生更理想的效果。在此背景下,大型互联网企业的经验分享对于安全市场发展的推动来说,显得至关重要。

近日,阿里安全发布了新的安全基建大图及应用安全企业标准。阿里安全的技术专家就该新一代安全架构,向FreeBuf做了详细介绍。这些细节信息,是基于阿里20年的安全经验总结出的“秘籍”,可以为企业的安全基建思路提供新的思考以及更高效的解决方案。

图片[2]-阿里安全观:安全该成为系统诞生即有的默认属性 – 作者:Megannainai-安全小百科

新一代安全架构主要包括安全技术、安全基建和安全运营三层核心。安全技术层是阿里底层能力的集合;安全基建层将能力沉淀为标准的体系和配套的流程、产品,形成中台,通过中台建立可信的应用体系,达到风险预防免疫的效果;安全运营层是直面外部的攻击,利用中台的能力,能够做高效的响应,针对业务做快速的适配,针对风险能够做准确的应对,三层互相配合。

简单来说,阿里安全将多年的经验汇聚并打造了一个“安全专家“,这个专家可以到有需要的企业方传递经验,为企业提供了安全标准与实施指南,企业可以根据自身业务场景做相应的标准挑选,再进行实战。

图片[3]-阿里安全观:安全该成为系统诞生即有的默认属性 – 作者:Megannainai-安全小百科

根据阿里安全高级安全专家林峻的形象比喻,安全基建层相当于是人体的免疫系统,可以做风险预防。其中,“标准“体系的建设是核心,因为只有建立了度量衡,才能更有效地定义、识别及解决问题。在标准的建立过程中,其主要基于自身的实践经验总结,及参考采外部的评估服务,如微软的SDI、BSIMM、等保、openSAMM等。

图片[4]-阿里安全观:安全该成为系统诞生即有的默认属性 – 作者:Megannainai-安全小百科

图说:阿里安全高级安全专家林峻

博取众家之长,其标准涉及了四部分内容:

第一是完整的应用安全流程,将原来分散提供安全服务的产品整合到一站式安全产品“安全服务中心”上,深度结合Devops,做到研发全流程管控。

第二是构建相应的管理体系,包括建立各层的安全组织,还有触达到用户相关规则条例、安全培训,建立用户的安全心智。

第三是度量体系,一方面,将IAAS层、软件供应链、研发过程,运行时环境、流量网关、应急响应、人员等维度的安全水位量化,来评估安全位置;另一方面是规范日常运营执行的细节。

  • 企标层面,需要制定安全红线,打造安全检出产品,并执行“凡有要求必有检出”的要求。
  • 软件供应链层面,主要涵盖隐私、漏洞等风险,形成安全认同的供应链库。
  • 运行时防护,阿里安全自研的RASP产品抛弃了传统大而全的方案,强调解决入侵相关的风险。

第四是安全检测。其白盒产品可以将外部的请求到最后落库整个链路完整串起来。黑盒在扫描的规则上,会有阿里专用的适配规则集。此外还有基于流量的漏洞自动挖掘。整个流程经过层层检测,从源代码扫描、灰盒测试,线上的黑盒以及流量的分析,完成整个检测体系。

俗话说:安全是个动态话题。除了技术不断迭代带来的挑战变化,作为安全领域的重要角色,人也是一个不可忽视的因素。代码是人写出来的,所以人的安全意识与教育上升至关重要。

就像林峻提到的,代码应用网络的风险可以通过技术度量,但人的介入,无论是编码行为还是蓄意入侵,都会令问题更复杂。毕竟技术再灵活也是被动的,而拥有主观意识的人往往是主动而多变的,如攻击方式层出不穷的黑客。

阿里安全在人的层面希望通过意识和能力两个维度去辅助安全建设。其将相关的研发人员分为不同的熟练等级,再适配不同的学习课程,设置安全成长体系,培养他们主动发现风险,解决风险,上报风险的习惯。值得一提的是,阿里安全还联合清华大学发起了安全AI挑战者计划,旨在为未来新基建建设过程中AI面临的安全风险培养人才。

图片[5]-阿里安全观:安全该成为系统诞生即有的默认属性 – 作者:Megannainai-安全小百科

图说:阿里安全资深技术专家铁花

这套方法论,可以支撑缺乏经验和大规模安全产品布局能力的企业,低门槛完成安全防护,提升自己整体安全水位。据透露,安全基建在阿里新零售事业部已经落地,共发现整改了接近300项的风险,线上宣传触达的人数也超有4万人。阿里安全资深技术专家铁花总结表示,这是一套即插即用的标准化安全架构,可帮助社会各界在数字化进程中构建完整的安全基础设施。

解决了令人头疼的安全建设问题,互联网企业的数字化进程又多了一些前进力量。

其实,回归到文章开头提到的问题:为什么许多企业自己做安全难?核心在于此前很多人或者企业意识较为淡薄,所以投入与了解、经验积累几乎为零。近几年,智能化、数字化发展速度非常快,随着技术应用加深,这些当初较为隐性的问题大面积暴露,令人措手不及,无从适应。不过,法律的细节化,加上商业市场的打开,供需市场会逐渐热闹起来。接下来,对于安全意识的引导,拥有丰富经验的企业有必要作为引路人,从产品层面去推动市场教育。

未来,网络安全的状态需要有所变化。铁花表达了自己的愿景:未来安全不只是协同。希望未来在一个系统新生成的时候,安全就是默认的属性,而不是脱离产品与体系存在。的确,截止到目前,整个安全状态还是以问题出现后再去修补为主,然而这种方式只会令自己处于被动位置。如果有一天,安全能成为一种渗透性的意识。成为各岗位人员的共识,成为系统的伴生属性,那么,恶意攻击事件将难以生存。

来源:freebuf.com 2020-09-10 09:51:56 by: Megannainai

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论