12月8日消息，由BT傳媒與CSDN聯(lián)合主辦的“2014 技術(shù)商業(yè)500人論壇”上周末在北京舉行，360副總裁譚曉生在大會(huì)上作了題為“安全攻防實(shí)踐 安全技術(shù)體系”的主題演講，他分別從安全理念、防護(hù)體系、安全團(tuán)隊(duì)三方面講述了360的信息安全防御體系是怎么建立的，他認(rèn)為現(xiàn)在流行的安全體系已經(jīng)從過(guò)去靠城墻防御變成塔防游戲和立體防御。

圖一：360副總裁譚曉生

譚曉生稱，隨著現(xiàn)代企業(yè)互聯(lián)網(wǎng)化的加速，安全問(wèn)題日益凸顯，最近美國(guó)索尼電影公司內(nèi)部系統(tǒng)被黑客入侵以后整個(gè)公司不得不斷網(wǎng)處理，完全回到紙筆辦公時(shí)代，互聯(lián)網(wǎng)化之后企業(yè)網(wǎng)絡(luò)一旦被被黑客入侵或者控制，后果不堪設(shè)想。因此企業(yè)需要構(gòu)建安全防護(hù)體系來(lái)保護(hù)公司網(wǎng)絡(luò)和信息系統(tǒng)的安全。

全球范圍內(nèi)新的防御思想是建立立體防護(hù)體系，需要從安全理念、防護(hù)體系、安全團(tuán)隊(duì)三方面協(xié)同努力。360作為全球領(lǐng)先的安全公司，通過(guò)內(nèi)部安全防御體系的建設(shè)和實(shí)踐，不斷提升安全服務(wù)能力，建立起了基于“一個(gè)中心、兩個(gè)原則、三個(gè)陣地和四個(gè)假設(shè)”安全理念下的安全防御體系。以下是譚曉生演講內(nèi)容節(jié)選：

一個(gè)中心：總體防御。要的是辦公網(wǎng)、數(shù)據(jù)中心、VPN網(wǎng)絡(luò)，如果沒(méi)有VPN，你非常危險(xiǎn)，如果郵件服務(wù)器直接放公網(wǎng)上，郵件系統(tǒng)被搞定的可能性非常大。對(duì)360來(lái)說(shuō)，在外網(wǎng)上公司內(nèi)部任何系統(tǒng)，都是需要經(jīng)過(guò)VPN的，有雙因子認(rèn)證才能上VPN，經(jīng)過(guò)很多不同的訪問(wèn)控制。我們有10多個(gè)辦公室，80多個(gè)數(shù)據(jù)中心，涉及到國(guó)外的數(shù)據(jù)中心，VPN要求員工出差時(shí)隨時(shí)能夠接入，收發(fā)郵件必須通過(guò)VPN。

兩個(gè)原則：攻防平衡，自主可控。第一攻防平衡，安全做起來(lái)是有代價(jià)的，甚至花再多錢都不能做到百分之百安全，要平衡要保護(hù)的商業(yè)目標(biāo)的價(jià)值是多大、盈利能力是什么情況，花這么多錢的情況下，做到盡可能好的防御。第二，自主可控，我們也買過(guò)別人家的安全產(chǎn)品，最近走到了自主可控、自主開發(fā)這條路上，自己首先要明白該怎么防，別人家的東西都是防的組件。

三個(gè)陣地：第一道防線：中國(guó)邊境線，邊境線是什么?第一，你的產(chǎn)品，我們有客戶端產(chǎn)品，產(chǎn)品在用戶機(jī)器里運(yùn)行時(shí)本身有漏洞，就會(huì)帶來(lái)非常大的問(wèn)題，你的手機(jī)或者你的手環(huán)或者家用路由器和汽車控制的東西，這些是是你的產(chǎn)品，這些產(chǎn)品如果有漏洞同樣很要命;第二，對(duì)外提供的服務(wù)，指Online服務(wù)，特指WebService，我們網(wǎng)站是給大家提供服務(wù)的，我們每天消耗100G帶寬，有非常多的外部服務(wù)，在今天我們面臨的時(shí)代，VPN越來(lái)越外部化，漏洞非常多;第三，員工，你的員工可能拿手機(jī)收郵件，他出差時(shí)，他可能在咖啡廳接入了不安全的網(wǎng)絡(luò)，你的網(wǎng)絡(luò)可能受威脅，邊境線到你的員工級(jí)別，你的員工是不是間諜?或者你的員工是不是在別人挾持之下做一些攻擊內(nèi)部網(wǎng)絡(luò)的事情。第二道防線：保衛(wèi)大城市，包括重要的基礎(chǔ)設(shè)施、重要的服務(wù)器、重要的業(yè)務(wù)系統(tǒng)、重要的數(shù)據(jù)。第三道防線：反潛伏，假設(shè)你被搞定了，沒(méi)人敢吹牛說(shuō)自己沒(méi)被搞定。反潛伏，假設(shè)我被搞定了，有機(jī)器被別人控制了，有員工的機(jī)器被木馬植入，我怎么盡早發(fā)現(xiàn)?像反間諜一樣，手段無(wú)外乎監(jiān)控、審計(jì)、大數(shù)據(jù)分析等等。

在企業(yè)里，現(xiàn)在做到安全，基本有四個(gè)假設(shè)：第一個(gè)假設(shè)，你的系統(tǒng)一定有未被發(fā)現(xiàn)的漏洞，這幾年投入的資金越多，挖出來(lái)的洞越多，今年估計(jì)過(guò)一萬(wàn)沒(méi)啥懸念，去年7800多，而且CVE僅僅是一部分洞，外面Web軟件的洞多少呢?我們花三百萬(wàn)塊錢收39000多個(gè)洞，不是某一個(gè)網(wǎng)站有那個(gè)洞，建站工具就有39000多個(gè)洞，一個(gè)洞能影響幾十萬(wàn)個(gè)網(wǎng)站，到處都是洞，我們生活在到處都是窟窿的IT世界里。第二個(gè)假設(shè)，你的系統(tǒng)可能有洞，這個(gè)洞已經(jīng)有了補(bǔ)丁，由于各種原因，你不能修補(bǔ)，如果你是生產(chǎn)型企業(yè)，人家告訴你工業(yè)控制的上位機(jī)用的是XP，現(xiàn)在發(fā)現(xiàn)一個(gè)新的漏洞，出了一個(gè)補(bǔ)丁，你敢補(bǔ)嗎?補(bǔ)了之后，工業(yè)控制系統(tǒng)可能真的不能工作了。第三個(gè)假設(shè)，你的系統(tǒng)今天已經(jīng)被滲透了，別人已經(jīng)潛伏在里面了。第四個(gè)假設(shè)，員工不可靠，甚至做安全的員工可能都不靠譜，很多攻擊都來(lái)自內(nèi)部，我們其實(shí)是在沙灘上建筑防御攻勢(shì)。

一個(gè)企業(yè)要建立防護(hù)體系需要有攻防理念，要想攻擊者所想，還要有合理的安全團(tuán)隊(duì)配置。

我們的防線無(wú)外乎這么幾個(gè)，網(wǎng)絡(luò)訪問(wèn)的統(tǒng)一管理平臺(tái)，第一步首先是準(zhǔn)入，員工個(gè)人的電腦帶到公司里是不能用的，不是說(shuō)通過(guò)管理手段不能用，而是通過(guò)技術(shù)手段不能用，我們員工的電腦首先必須是公司簽發(fā)的電腦;二是必須裝了安全軟件才能上網(wǎng)，否則訪問(wèn)任何東西都給一個(gè)提示，說(shuō)對(duì)不起，你的電腦不能上網(wǎng)。

我們?cè)诰W(wǎng)絡(luò)邊界上布了群流量監(jiān)聽，我們差不多是100來(lái)G帶寬，全部抓包抓下來(lái)，長(zhǎng)期存儲(chǔ)，反復(fù)運(yùn)算，用概率找小概率事件，每天大量發(fā)生的事是正常的，攻擊是小概率事件，然后建模，試圖找出來(lái)網(wǎng)絡(luò)威脅。

無(wú)線入侵檢測(cè)，在公司里，無(wú)線局域網(wǎng)是非常常見的，無(wú)線局域網(wǎng)是非常危險(xiǎn)的。在公司里要檢測(cè)有沒(méi)有人起來(lái)非法App，Web安全掃描系統(tǒng)、Webshell白盒掃描系統(tǒng)，兩套掃描器交叉掃描，經(jīng)驗(yàn)數(shù)據(jù)是兩套掃描器重疊掃描概率的90%，有90%洞兩個(gè)都能發(fā)現(xiàn)，還有10%個(gè)洞各自發(fā)現(xiàn)。

內(nèi)部使用工具上，我們要求做安全防范的同事像產(chǎn)品經(jīng)理一樣，360產(chǎn)品比較講究用戶體驗(yàn)，我們做安全產(chǎn)品時(shí)也是這樣的，哪怕內(nèi)部工具，也要求做的好用。在公司內(nèi)部，我們本身能得到安全主線的支持，即使這樣，我們還是建了完整的團(tuán)隊(duì)。就像前面李大學(xué)講的，做技術(shù)支持，其實(shí)和商業(yè)結(jié)合很重要，和商業(yè)的關(guān)系怎么處很重要。