在業(yè)務(wù)發(fā)展走向云端的今天，企業(yè)在快速擴(kuò)張業(yè)務(wù)的同時(shí)，已經(jīng)越來越認(rèn)識(shí)到安全的重要性，并且在這一領(lǐng)域加強(qiáng)投入。而安全不僅牽涉到業(yè)務(wù)安全、資金安全和用戶隱私，而且已經(jīng)影響到企業(yè)的全面運(yùn)營(yíng)。

4月10日，安全寶攜手世紀(jì)互聯(lián)和中國(guó)移動(dòng)互聯(lián)網(wǎng)大會(huì)(CMIC)主辦的“互聯(lián)網(wǎng)經(jīng)濟(jì)下的金融創(chuàng)新和商業(yè)變革——2015互聯(lián)網(wǎng)商業(yè)影響力論壇”在中關(guān)村創(chuàng)業(yè)大街3W 咖啡舉辦。在關(guān)于“構(gòu)建安全的云端業(yè)務(wù)”的圓桌論壇上，嘉賓們對(duì)于安全問題進(jìn)行了深入探討。

　　▲嘉賓熱烈討論互聯(lián)網(wǎng)經(jīng)濟(jì)下安全的力量

因安全摔倒將一蹶不振

安全正在成為互聯(lián)網(wǎng)領(lǐng)域各個(gè)行業(yè)洗牌、格局變化的重要推動(dòng)力。2014年，因安全事故造成比特幣丟失進(jìn)而倒閉的比特幣企業(yè)約有10家，這其中就包括昔日最大的比特幣企業(yè)Mt.Gox。2015年第一季度，比特幣行業(yè)就已經(jīng)至少有5家因?yàn)榘踩鹿蕦?dǎo)致企業(yè)倒閉。

“比特幣行業(yè)正在經(jīng)歷大的洗牌期，但是這洗牌并不是因?yàn)槭袌?chǎng)原因，而是因?yàn)榘踩颉?rdquo;火幣網(wǎng)聯(lián)合創(chuàng)始人杜均表示：“火幣網(wǎng)是比特幣交易所，80%用戶的比特幣用于交易，存儲(chǔ)在交易平臺(tái)上。一旦交易平臺(tái)丟失比特幣，基本上沒有辦法償還給用戶，因此只能倒閉。”

　　▲　沙龍現(xiàn)場(chǎng)爆滿，話題吸引嘉賓認(rèn)真聆聽

不僅僅是在比特幣行業(yè)，其他領(lǐng)域亦是如此。作為互聯(lián)網(wǎng)基礎(chǔ)設(shè)施服務(wù)提供商，世紀(jì)互聯(lián)對(duì)安全也感觸頗深，技術(shù)總監(jiān)趙東生表示：“為應(yīng)對(duì)安全事件，我們也絞盡腦汁，不僅要解決自身的安全問題，還需要幫助客戶解決安全問題。”

安全并不一定能夠給企業(yè)帶來金錢價(jià)值，但卻是業(yè)務(wù)發(fā)展的基礎(chǔ)和保障。正如《中國(guó)信息安全》雜志社副社長(zhǎng)兼主編崔光耀所言：“在互聯(lián)網(wǎng)經(jīng)濟(jì)里，如果安全問題解決不好，企業(yè)一旦摔倒就可能從此一蹶不振。”

安全寶聯(lián)合創(chuàng)始人兼研發(fā)副總裁馮景輝給出的數(shù)據(jù)讓人警醒：“2014年開始，中國(guó)每個(gè)月都會(huì)有1-2次200G左右的DDoS攻擊，幾乎沒有哪個(gè)單一機(jī)房能夠抵擋這么大的流量。而這些攻擊傷害的不僅僅是目標(biāo)企業(yè)，也包括整個(gè)互聯(lián)網(wǎng)行業(yè)和所有互聯(lián)網(wǎng)用戶的利益。”

理想很豐滿，現(xiàn)實(shí)卻很骨感。互聯(lián)網(wǎng)企業(yè)，你該如何保全自己和你的客戶安全?

暗礁險(xiǎn)灘遍布

盡管安全的重要性得到企業(yè)一致認(rèn)同，但是互聯(lián)網(wǎng)永遠(yuǎn)是暗礁涌動(dòng)，各種漏洞、攻擊頻發(fā)，企業(yè)應(yīng)接不暇，仍然會(huì)感覺到手足無措，力不從心。

作為黑客攻擊的主要目標(biāo)，互聯(lián)網(wǎng)金融是時(shí)下這波攻擊風(fēng)暴的漩渦中心。清洗設(shè)備、防火墻、滲透測(cè)試服務(wù)、多層掃描監(jiān)控……面臨諸多產(chǎn)品和服務(wù)，企業(yè)也會(huì)感到無所適從。正如愛投資CTO谷云所言：“比較復(fù)雜的是投入、產(chǎn)出問題，最大的問題在于你在鑄造安全盾時(shí)投入多少錢合適?安全這件事是沒有‘產(chǎn)出’的，但是等你有‘產(chǎn)出’時(shí)候再做策略就已經(jīng)晚了，已經(jīng)被脫庫或者發(fā)生安全泄露。所以企業(yè)需要一個(gè)平衡點(diǎn)，但是如何平衡企業(yè)都難以抉擇。”

即便企業(yè)愿意投入大量資金用于安全建設(shè)策略，也并不意味著安全就唾手可得?；ヂ?lián)網(wǎng)是快速發(fā)展、產(chǎn)品快速迭代的行業(yè)。隨著業(yè)務(wù)不斷發(fā)展，安全架構(gòu)更新往往滯后。TalkingData COO徐懿表示：“隨著數(shù)據(jù)量不斷增長(zhǎng)，我們?yōu)闈M足業(yè)務(wù)需要不斷加設(shè)備，但是因?yàn)樵械募軜?gòu)已經(jīng)不適應(yīng)當(dāng)下情況，導(dǎo)致帶寬資源不足。為此，我們希望安全廠商能夠提供架構(gòu)咨詢方面的服務(wù)，伴隨著企業(yè)的成長(zhǎng)，定期幫助我們梳理和改進(jìn)安全架構(gòu)，以免到了后期架構(gòu)不好改動(dòng)。”

此外，互聯(lián)網(wǎng)具有開放合作的屬性，這意味著了安全與否不僅取決于企業(yè)自身的安全措施是否完善，還取決于合作伙伴的安全狀況。趙東生就表示：“世紀(jì)互聯(lián)在網(wǎng)絡(luò)層安全策略部署成熟，但是在應(yīng)用層、網(wǎng)站防護(hù)上，由于與運(yùn)營(yíng)商合作，因此并不完善。”

讓專業(yè)的人做專業(yè)的事

安全問題，牽一發(fā)而動(dòng)全身。因此，對(duì)于安全，企業(yè)應(yīng)該一直心懷敬畏之心，安全策略做多少都不過分。但問題的關(guān)鍵是怎樣做，才能讓防護(hù)效果最大化。與會(huì)嘉賓觀點(diǎn)一致地認(rèn)為，答案是“采購專業(yè)第三方的安全服務(wù)”。舉例來說，開發(fā)一款WAF產(chǎn)品，3-5個(gè)工程師需要3個(gè)月左右的時(shí)間，但是對(duì)企業(yè)來說，不僅沒有時(shí)間讓你開發(fā)和打磨產(chǎn)品，更重要的是可能根本就沒有專業(yè)的安全工程師。

為了更能適應(yīng)快速變化的產(chǎn)品和業(yè)務(wù)需求，作為資深的安全專家，馮景輝強(qiáng)調(diào)滲透測(cè)試的重要性，并且建議企業(yè)至少每個(gè)季度采購一次滲透測(cè)試服務(wù)。“互聯(lián)網(wǎng)更新迭代很快，每次產(chǎn)品迭代之后都應(yīng)該進(jìn)行代碼安全檢測(cè)，防止SQL注入、XSS跨站等信息滲透型攻擊。因?yàn)楹芏嗝搸飕F(xiàn)象都是源于產(chǎn)品迭代之后新老功能之間的銜接存在問題，存在安全隱患所致。”

此外，為了應(yīng)對(duì)大型的DDoS攻擊，安全寶已經(jīng)在廣東地區(qū)建立了單點(diǎn)防御能力超過100G的清洗中心。馮景輝表示：“客戶遭到攻擊時(shí)只要將DNS切換到安全寶的抗D中心，基本上三到七層的流量攻擊和CC攻擊都可以防御。而為應(yīng)對(duì)大流量DDoS攻擊，除了囤積帶寬做攻防對(duì)抗以外，包括大型互聯(lián)網(wǎng)公司在內(nèi)的企業(yè)都在研發(fā)一些新技術(shù)來對(duì)抗這些攻擊。我們認(rèn)為應(yīng)對(duì)這些攻擊，需要整個(gè)行業(yè)的協(xié)作。”