互联网企业安全高级指南.赵彦(带详细书签).pdf

本书由业内多位顶级安全专家亲力打造，分享了他们十多年安全行业经验，特别是包括国内TOP10互联网公司在内的大型企业的安全架构实战经验，对如何打造企业级网络安全架构与信息安全管理体系进行了系统化的总结。从技术到管理，从生产网络到办公网络，从攻防对抗到业务风控，涉及安全领域的各个维度，包括了三十多个重要话题，为企业实施符合互联网特性的安全解决方案提供了实战指南。本书分为三大部分：理论篇、技术篇、实践篇，“理论篇”包括安全大环境与背景、安全的组织、甲方安全建设方法论、大数据安全等，“技术篇”包括防御架构原则、基础安全措施、网络安全措施、入侵感知体系、漏洞扫描、移动应用安全、代码审计、办公网络安全、安全管理体系、隐私保护等，“实践篇”包括业务安全与风控、大规模纵深防御体系设计与实现、分阶段的安全体系建设等。 作者简介 　　赵彦（ayazero），华为高端专家，互联网安全领域带头人，目前负责消费者BG云安全整体建设。前奇虎360企业安全技术总监、久游网安全总监、绿盟科技资深安全专家。白帽子时代是Ph4nt0m的核心成员，知名技术社区ChinaUnix第一代安全版版主，国内屈指可数的拥有大型互联网整体安全架构和企业安全管理经验的资深从业者，10年技术管理和团 队管理经验，培养的下属遍布互联网行业TOP10公司，且都是安全部门独当一面的骨干。 　　江虎（xti9er），阿里巴巴集团高级安全专家，目前负责集团生产网安全系统架构相关工作。曾在腾讯、久游等公司任高级安全工程师，主要从事入侵检测、反黑客相关的安全体系建设。近十年的安全工作，是国内少数较完整参与经历了一线互联网公司的安全体系建设历程的资深从业者，并主导了其中重点项目，实战经验丰富。 　　胡乾威（rayxcp），拥有超过10年的安全研究工作经历，曾就职于绿盟、百度等公司。主要工作涉及各类型产品的安全分析和评估，覆盖从设计阶段到二进制分析等各方面，独立发现的安全漏洞涉及各类操作系统、客户端软件和智能设备等。 精彩书评 　　作为网络安全主管，如何满足互联网场景下的快速开发、部署、运营的安全是一件很棘手的事情。本书作者根据自己的实际工作经验，对此进行了比较全面的总结，内容详实，值得参考。 　　——杨勇，华为安全能力中心部长 　　本书内容来源于实践，经过了深入的分析和提炼，升华成为有益的指导和参考，相信不论是CSO还是刚入行的从业者，不论是安全专业人员还是想了解安全的业务人员，都会从本书中获益良多。 　　——李雨航教授，华为首席科学家(网络安全技术专家)，CSA大中华区主席 　　此书凝结了赵彦对互联网企业安全体系建设的思考和经验提炼，覆盖了管理和解决方案，在宏观面阐述了自己的理解和安全观，对安全领域从业者是一份很好的参考资料。 　　——杨勇（Coolc），腾讯云副总裁，腾讯安全平台部负责人 　　本书作者赵彦是安全圈老前辈，在甲方乙方都工作过，有丰富的经验；江虎过去有五年时间是我的同事，为腾讯的安全体系建设做出了重要贡献。本书从理论、技术、实践三个部分入手，基本涵盖了互联网企业安全的方方面面，是企业安全人员的案头必备参考书籍。强力推荐。 　　——胡珀（lake2），腾讯安全平台部总监 　　这本书是我见过的国内*一本系统化的剖析整个互联网企业安全的书籍，如果早几年出现这样的书籍，一定可以让我少走几年弯路，期待这本书能够让更多的安全同行早日找到属于自己的答案。 　　——黄眉，阿里巴巴安全部安全总监 前言 理论篇 第1章　安全大环境与背景 2 1.1　切入“企业安全”的视角 2 1.2　企业安全包括哪些事情 5 1.3　互联网企业和传统企业在安全建设中的区别 9 1.4　不同规模企业的安全管理 12 1.5　生态级企业vs平台级企业安全建设的需求 13 1.6　云环境下的安全变迁 16 第2章　安全的组织 17 2.1　创业型企业一定需要CSO吗 17 2.2　如何建立一支安全团队 19 第3章　甲方安全建设方法论 22 3.1　从零开始 22 3.2　不同阶段的安全建设重点 24 3.3　如何推动安全策略 26 3.4　安全需要向业务妥协吗 28 3.5　选择在不同的维度做防御 29 3.6　需要自己发明安全机制吗 33 3.7　如何看待SDL 34 3.7.1　攻防驱动修改 36 3.7.2　SDL落地率低的原因 37 3.7.3　因地制宜的SDL实践 38 3.7.4　SDL在互联网企业的发展 39 3.8　STRIDE威胁建模 40 3.9　关于ISO27001 42 3.10　流程与“反流程” 43 3.11　业务持续性管理 45 3.12　关于应急响应 47 3.13　安全建设的“马斯洛需求”层次 48 3.14　TCO和ROI 50 第4章　业界的模糊地带 52 4.1　关于大数据安全 52 4.2　解决方案的争议 55 技术篇 第5章　防御架构原则 60 5.1　防守体系建设三部曲 60 5.2　大规模生产网络的纵深防御架构 62 5.2.1　互联网安全理念 62 5.2.2　攻击者视角 63 5.2.3　防御者模型 63 5.2.4　互联网安全架构设计原则 66 第6章　基础安全措施 70 6.1　安全域划分 70 6.1.1　传统的安全域划分 70 6.1.2　典型的Web服务 71 6.1.3　大型系统安全域划分 72 6.1.4　生产网络和办公网络 74 6.2　系统安全加固 75 6.2.1　Linux加固 75 6.2.2　应用配置加固 81 6.2.3　远程访问 83 6.2.4　账号密码 83 6.2.5　网络访问控制 84 6.2.6　补丁管理 86 6.2.7　日志审计 86 6.3　服务器4A 87 第7章　网络安全 89 7.1　网络入侵检测 89 7.2　T级DDoS防御 95 7.2.1　DDoS分类 95 7.2.2　多层防御结构 100 7.2.3　不同类型的企业 108 7.2.4　不同类型的业务 109 7.2.5　服务策略 109 7.2.6　NIPS场景 110 7.2.7　破防和反制 111 7.2.8　立案和追踪 112 7.3　链路劫持 113 7.4　应用防火墙WAF 117 7.4.1　WAF架构分类 117 7.4.2　WAF安全策略建设 118 7.4.3　WAF性能优化 121 第8章　入侵感知体系 123 8.1　主机入侵检测 123 8.1.1　开源产品OSSEC 123 8.1.2　MIG 129 8.1.3　OSquery 131 8.1.4　自研Linux HIDS系统 135 8.2　检测webshell 144 8.3　RASP 149 8.3.1　PHP RASP 149 8.3.2　Java RASP 153 8.4　数据库审计 159 8.5　入侵检测数据分析平台 162 8.5.1　架构选择 162 8.5.2　功能模块 163 8.5.3　分析能力 164 8.5.4　实战演示 167 8.6　入侵检测数据模型 169 8.7　数据链生态—僵尸网络 174 8.7.1　僵尸网络传播 174 8.7.2　僵尸网络架构 175 8.7.3　应对僵尸网络威胁 179 8.8　安全运营 181 第9章　漏洞扫描 182 9.1　概述 182 9.2　漏洞扫描的种类 183 9.2.1　按漏洞类型分类 183 9.2.2　按扫描器行为分类 190 9.3　如何应对大规模的资产扫描 197 9.4　小结 198 第10章　移动应用安全 200 10.1　背景 200 10.2　业务架构分析 200 10.3　移动操作系统安全简介 201 10.4　签名管理 202 10.5　应用沙盒及权限 203 10.6　应用安全风险分析 204 10.7　安全应对 205 10.8　安全评估 206 10.9　关于移动认证 206 第11章　代码审计 207 11.1　自动化审计产品 207 11.2　Coverity 208 第12章　办公网络安全 216 12.1　文化问题 216 12.2　安全域划分 217 12.3　终端管理 218 12.4　安全网关 221 12.5　研发管理 222 12.6　远程访问 224 12.7　虚拟化桌面 224 12.8　APT 226 12.9　DLP数据防泄密 227 12.10　移动办公和边界模糊化 228 12.11　技术之外 229 第13章　安全管理体系 230 13.1　相对“全集” 234 13.2　组织 235 13.3　KPI 236 13.4　外部评价指标 239 13.5　最小集合 240 13.5.1　资产管理 240 13.5.2　发布和变更流程 241 13.5.3　事件处理流程 241 13.6　安全产品研发 245 13.7　开放与合作 246 第14章　隐私保护 248 14.1　数据分类 250 14.2　访问控制 250 14.3　数据隔离 251 14.4　数据加密 253 14.5　密钥管理 258 14.6　安全删除 258 14.7　匿名化 259 14.8　内容分级 259 实践篇 第15章　业务安全与风控 264 15.1　对抗原则 264 15.2　账号安全 265 15.3　电商类 270 15.4　广告类 274 15.5　媒体类 274 15.6　网游类 274 15.7　云计算 275 第16章　大规模纵深防御体系设计与实现 276 16.1　设计方案的考虑 276 16.2　不同场景下的裁剪 281 第17章　分阶段的安全体系建设 283 17.1　宏观过程 283 17.2　清理灰色地带 285 17.3　建立应急响应能力 286 17.4　运营环节 288 附录　信息安全行业从业指南2.0 290 队管理经验，培养的下属遍布互联网行业TOP10公司，且都是安全部门独当一面的骨干。 　　江虎（xti9er），阿里巴巴集团高级安全专家，目前负责集团生产网安全系统架构相关工作。曾在腾讯、久游等公司任高级安全工程师，主要从事入侵检测、反黑客相关的安全体系建设。近十年的安全工作，是国内少数较完整参与经历了一线互联网公司的安全体系建设历程的资深从业者，并主导了其中重点项目，实战经验丰富。 　　胡乾威（rayxcp），拥有超过10年的安全研究工作经历，曾就职于绿盟、百度等公司。主要工作涉及各类型产品的安全分析和评估，覆盖从设计阶段到二进制分析等各方面，独立发现的安全漏洞涉及各类操作系统、客户端软件和智能设备等。 精彩书评 　　作为网络安全主管，如何满足互联网场景下的快速开发、部署、运营的安全是一件很棘手的事情。本书作者根据自己的实际工作经验，对此进行了比较全面的总结，内容详实，值得参考。 　　——杨勇，华为安全能力中心部长 　　本书内容来源于实践，经过了深入的分析和提炼，升华成为有益的指导和参考，相信不论是CSO还是刚入行的从业者，不论是安全专业人员还是想了解安全的业务人员，都会从本书中获益良多。 　　——李雨航教授，华为首席科学家(网络安全技术专家)，CSA大中华区主席 　　此书凝结了赵彦对互联网企业安全体系建设的思考和经验提炼，覆盖了管理和解决方案，在宏观面阐述了自己的理解和安全观，对安全领域从业者是一份很好的参考资料。 　　——杨勇（Coolc），腾讯云副总裁，腾讯安全平台部负责人 　　本书作者赵彦是安全圈老前辈，在甲方乙方都工作过，有丰富的经验；江虎过去有五年时间是我的同事，为腾讯的安全体系建设做出了重要贡献。本书从理论、技术、实践三个部分入手，基本涵盖了互联网企业安全的方方面面，是企业安全人员的案头必备参考书籍。强力推荐。 　　——胡珀（lake2），腾讯安全平台部总监 　　这本书是我见过的国内*一本系统化的剖析整个互联网企业安全的书籍，如果早几年出现这样的书籍，一定可以让我少走几年弯路，期待这本书能够让更多的安全同行早日找到属于自己的答案。 　　——黄眉，阿里巴巴安全部安全总监 前言 理论篇 第1章　安全大环境与背景 2 1.1　切入“企业安全”的视角 2 1.2　企业安全包括哪些事情 5 1.3　互联网企业和传统企业在安全建设中的区别 9 1.4　不同规模企业的安全管理 12 1.5　生态级企业vs平台级企业安全建设的需求 13 1.6　云环境下的安全变迁 16 第2章　安全的组织 17 2.1　创业型企业一定需要CSO吗 17 2.2　如何建立一支安全团队 19 第3章　甲方安全建设方法论 22 3.1　从零开始 22 3.2　不同阶段的安全建设重点 24 3.3　如何推动安全策略 26 3.4　安全需要向业务妥协吗 28 3.5　选择在不同的维度做防御 29 3.6　需要自己发明安全机制吗 33 3.7　如何看待SDL 34 3.7.1　攻防驱动修改 36 3.7.2　SDL落地率低的原因 37 3.7.3　因地制宜的SDL实践 38 3.7.4　SDL在互联网企业的发展 39 3.8　STRIDE威胁建模 40 3.9　关于ISO27001 42 3.10　流程与“反流程” 43 3.11　业务持续性管理 45 3.12　关于应急响应 47 3.13　安全建设的“马斯洛需求”层次 48 3.14　TCO和ROI 50 第4章　业界的模糊地带 52 4.1　关于大数据安全 52 4.2　解决方案的争议 55 技术篇 第5章　防御架构原则 60 5.1　防守体系建设三部曲 60 5.2　大规模生产网络的纵深防御架构 62 5.2.1　互联网安全理念 62 5.2.2　攻击者视角 63 5.2.3　防御者模型 63 5.2.4　互联网安全架构设计原则 66 第6章　基础安全措施 70 6.1　安全域划分 70 6.1.1　传统的安全域划分 70 6.1.2　典型的Web服务 71 6.1.3　大型系统安全域划分 72 6.1.4　生产网络和办公网络 74 6.2　系统安全加固 75 6.2.1　Linux加固 75 6.2.2　应用配置加固 81 6.2.3　远程访问 83 6.2.4　账号密码 83 6.2.5　网络访问控制 84 6.2.6　补丁管理 86 6.2.7　日志审计 86 6.3　服务器4A 87 第7章　网络安全 89 7.1　网络入侵检测 89 7.2　T级DDoS防御 95 7.2.1　DDoS分类 95 7.2.2　多层防御结构 100 7.2.3　不同类型的企业 108 7.2.4　不同类型的业务 109 7.2.5　服务策略 109 7.2.6　NIPS场景 110 7.2.7　破防和反制 111 7.2.8　立案和追踪 112 7.3　链路劫持 113 7.4　应用防火墙WAF 117 7.4.1　WAF架构分类 117 7.4.2　WAF安全策略建设 118 7.4.3　WAF性能优化 121 第8章　入侵感知体系 123 8.1　主机入侵检测 123 8.1.1　开源产品OSSEC 123 8.1.2　MIG 129 8.1.3　OSquery 131 8.1.4　自研Linux HIDS系统 135 8.2　检测webshell 144 8.3　RASP 149 8.3.1　PHP RASP 149 8.3.2　Java RASP 153 8.4　数据库审计 159 8.5　入侵检测数据分析平台 162 8.5.1　架构选择 162 8.5.2　功能模块 163 8.5.3　分析能力 164 8.5.4　实战演示 167 8.6　入侵检测数据模型 169 8.7　数据链生态—僵尸网络 174 8.7.1　僵尸网络传播 174 8.7.2　僵尸网络架构 175 8.7.3　应对僵尸网络威胁 179 8.8　安全运营 181 第9章　漏洞扫描 182 9.1　概述 182 9.2　漏洞扫描的种类 183 9.2.1　按漏洞类型分类 183 9.2.2　按扫描器行为分类 190 9.3　如何应对大规模的资产扫描 197 9.4　小结 198 第10章　移动应用安全 200 10.1　背景 200 10.2　业务架构分析 200 10.3　移动操作系统安全简介 201 10.4　签名管理 202 10.5　应用沙盒及权限 203 10.6　应用安全风险分析 204 10.7　安全应对 205 10.8　安全评估 206 10.9　关于移动认证 206 第11章　代码审计 207 11.1　自动化审计产品 207 11.2　Coverity 208 第12章　办公网络安全 216 12.1　文化问题 216 12.2　安全域划分 217 12.3　终端管理 218 12.4　安全网关 221 12.5　研发管理 222 12.6　远程访问 224 12.7　虚拟化桌面 224 12.8　APT 226 12.9　DLP数据防泄密 227 12.10　移动办公和边界模糊化 228 12.11　技术之外 229 第13章　安全管理体系 230 13.1　相对“全集” 234 13.2　组织 235 13.3　KPI 236 13.4　外部评价指标 239 13.5　最小集合 240 13.5.1　资产管理 240 13.5.2　发布和变更流程 241 13.5.3　事件处理流程 241 13.6　安全产品研发 245 13.7　开放与合作 246 第14章　隐私保护 248 14.1　数据分类 250 14.2　访问控制 250 14.3　数据隔离 251 14.4　数据加密 253 14.5　密钥管理 258 14.6　安全删除 258 14.7　匿名化 259 14.8　内容分级 259 实践篇 第15章　业务安全与风控 264 15.1　对抗原则 264 15.2　账号安全 265 15.3　电商类 270 15.4　广告类 274 15.5　媒体类 274 15.6　网游类 274 15.7　云计算 275 第16章　大规模纵深防御体系设计与实现 276 16.1　设计方案的考虑 276 16.2　不同场景下的裁剪 281 第17章　分阶段的安全体系建设 283 17.1　宏观过程 283 17.2　清理灰色地带 285 17.3　建立应急响应能力 286 17.4　运营环节 288 附录　信息安全行业从业指南2.0 290