科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道汽车之家的安全框架,是如何从0到1搭建的?

汽车之家的安全框架,是如何从0到1搭建的?

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

本期主角:汽车之家 安全团队负责人 纪舒瀚

来源:至顶网安全频道 2017年7月21日

关键字:安全 汽车之家

“别人家的安全”是安全威胁情报(微信ID:Threatbook)近期推出的一档专栏。

合规、管理、构建、应急……安全问题千千万,层出不穷。我们没办法给出这些问题的标准答案,但我们可以用Case Study的形式,让你看看“别人家的安全”。

本期主角:汽车之家 安全团队负责人 纪舒瀚

Q:在你加入汽车之家后,你面临的安全环境是什么样的?

A:我来到汽车之家的时候,正值汽车之家10周年。

一方面,当时的汽车之家对于安全的需求其实是全方面的。那一年正好是各种APP都在运营推广,对于移动上的安全加固就有很强的需求,此外就是对网站的要求,比如网站是否安全,有没有人黑我们,等等。

另一方面,作为一个上市公司,汽车之家合规性的安全需求都已经满足了,但当时汽车之家的安全工作是比较分散的,代码安全相关的,让开发测试去做,运营安全就让运营团队去做……安全的工作是分开的,解决事情大部分是case by case,并没有非常完全地按照体系去建设自己的安全框架。

还有一方面就是其他团队对于安全的了解也不多,比方说新业务上线,技术团队理解的安全就是让我们去帮着测试一下,别被人黑了就完事儿了。基本是这样的。

Q:那么,面对这样的环境,你是怎么开展工作的呢?

A:其实我刚做工作交接的时候,所有的安全问题都是以Excel和Word文档的形式交给我的。所以当时的情况是,安全团队现在有多少工作要做,不知道;有多少风险,也不知道。很多东西都是未知的,挑战可以说非常大 。

所以当时我也没急着开干,我先做了这么几个事:

第一是让整个团队内部了解、认可安全的重要性;第二是了解下公司的工作方式风格;第三是对整个公司现在的业务形态、技术框架、可能存在的安全风险问题的现状摸了一下底。

摸底是在甲方做安全的时候比较独有的一个特征,因为你要了解到整个公司的工作模式是什么样的,这样才能做出更有效的安全规划。

Q:经过一番摸底后,你是怎样设想汽车之家的安全框架的?

A:我当时的想法是我要先做一个三年的规划,三年之后,汽车之家的安全框架能达到什么程度,我心里会有一个预期,根据这个预期再想好每一年要做什么,再去组建团队。

尤其是问题比较多的时候,要先制定一个计划,有节奏地“及时止损”,长期来看就要有一个可持续的计划,比如三年以后的安全状况比现在好在哪里,或者保持安全团队的前沿技术能力等等。甲方安全负责人就像一个老中医,虽然发现很多问题,但是不能case by case就结束了,需要用一整个体系去“调养”,过一段时间你就会发现,之前发生的一些类型的问题,已经被调理好了。

具体来算的话,我们第一年是一个从0到1的过程,首要任务是提高对安全风险的感知能力,所以如果要画出安全的基本框架,就需要明确我们几个网络的边界。我们当时是把办公网、生产网、公网的一些框架明细划分出来了,然后对边界的一些地方去做加固。

在划分和加固边界的同时,我们也着手对公司的资产进行清点,我们用一年多的时间研发了一套Agent,用来部署在终端上。此外,还对安全风险进行了可视化,我们研发了一套可视化的软件,可以通过各个维度去检测业务,了解整个安全风险的现状,这样就不需要再用Excel或者Word文档来记录了。

第二年我们主要是把Agent部署在生产端的服务器上,并稳定运行,通过运行Agent,我们对公司的资产情况了解得更加清晰,对于一些资产死角也进行了清理,解决了一些相应的安全隐患。

今年我们主要就开始在做办公网的安全。因为现在很多入侵生产网的行为都是从入侵办公网开始的,所以需要做风险前置,在办公网里首先把问题发现,也会开始尝试去做一些类似统筹的工作,目前我们在研发TIP(Threat Intelligence Platform),同时会结合SOC和TIP的数据让数据沉淀更有针对性,就变成了汽车之家自建大安全中心的重要组成部分。未来我希望能用威胁情报去匹配我们公司所有的节点,然后定位出哪些点曾经被这个东西去感染过或者是影响过,这样能够精准定位到每一个问题点,把这些信息关联起来的话,就能够量化整个公司的资产情况,甚至能对可能的问题点做出预测,让安全更清晰、智能。

汽车之家的安全框架,是如何从0到1搭建的?

汽车之家的安全框架,是如何从0到1搭建的?

(TIP长什么样呢?看上面)

Q:从刚刚的讲述中,能够发现汽车之家的安全正在从被动防御变为主动监测,这是新的安防趋势吗?

A:之前我们可能去买一些IDS、WAF、防火墙,通过一些硬件、或者是通过完全防御的思维来做安全,只是为了“防防防”,但是防御到一定阶段的话,天花板就非常低了,投入非常多,但是真正带来的产出未必会很高,所以做企业安全,检测和响应会更加重要,比方说我们的服务器是一个黑盒子,我在黑盒子里可以去布很多点来发现问题,根据这些问题我们能够及时报警、自动化处理,这样就形成了一个闭环,跟APT攻击打一个时间战,及时止损。

Q:检测和响应正是Gartner连续三年提出的“自适应安全”中较为重要的两个象限,那么实现自适应安全的难度在哪里?汽车之家又做了哪些自适应方面的实践呢?

A:说到自适应安全就要说威胁情报,很多甲方在做威胁情报,但其实大家可能对情报的做法和理解都不太一样。完全自动化的、人工智能识别风险,要做到非常难。做自适应安全需要土壤,公司体量非常大的时候,业务非常复杂,做起来前期的付出会更多一些。网络环境复杂的话,资产信息都很难搞清楚,而搞不清楚的资产信息将会成为安全框架中最短的那块木桶板。

具体来说,汽车之家做自适应安全,首先需要非常多的监控点,在生产网的异常样本、登录日志、邮件网关、办公网出口流量等各种信息,都需要去做采集。但是实际上,国内的互联网公司很难做到从员工的设备上采集信息,我们去年曾经尝试从员工自己的PC和手机采集,但是预装agent必然会影响员工体验,一定程度上会增加公司的投入。在资产清点完成以后,我们会把威胁情报的体系建立起来,用威胁情报去作为具体操作的准绳。现在的情况是,我们对生产网的一些监控已经有一定的能力了,包括关键配置文件、一些软件我们都会监控,针对信息泄露这一点,我们也已经做了一些防备。

自适应安全我们在尝试去做,聚合内部资产信息和威胁数据,结合模型算法去实施一些自动化的响应工作,以便及时发现风险,为企业止损。此外我们还会订阅一些漏洞信息。所以遇到突发情况的时候我们相对比较从容,比如WannaCry爆发的时候,我们通过运用威胁情报驱动的应急响应机制,对开关域名(Kill Switch)持续监测与更新,有效控制了威胁指数级扩散,为应急响应团队与黑客对抗中赢得了宝贵的时间。从而实现对威胁快速控制与修复,保障企业全网零加密事件。

Q:从您在汽车之家的从业经历来看,您认为现在的安全从业者应该提升自己哪些方面的能力?

A:首先是要提升安全分析能力。多层次的持续监控,包括网络、终端、应用程序和用户活动,这些将不可避免地产生大量数据,没有适当的分析,大数据带来的将仅仅是大噪声。通过以上的内部环境数据、结合外部威胁情报,可以采用多重的分析技术(包括:启发式、统计分析、机器学习、可视化等等),最终提供可操作的“可发现”的能力,让失陷事件更及时地被我们发现。

第二就是威胁情报能力。威胁情报是很多甲方在做的安全项目之一,我认为未来会是一个刚需。它是预测阶段的主要工作,也是防御、检测过程的基础,贯穿整个过程。威胁情报不仅是提供IP、域名、网址、文件等的可信度,更可以使企业深入了解攻击者、攻击目标和攻击方法,进而在如何保护自身系统和信息上获得具体指导。所以,如何利用威胁情报去辅助自己的SIEM、SOC等系统、以及如何提高对威胁情报的响应、处理能力,也是我们需要做的。

第三,如果你是安全团队的管理者,可能还要注意把团队管理和新的安全趋势结合起来。比如汽车之家的安全团队在评定工作中,引入了MTTD(平均检测时间)和MTTR(平均恢复时间)两个指标。

邮件订阅

如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

重磅专题