企業安全之如何在保證業務的同時作好安全

「活動頁面必定要在七夕當天上線。」
「活動已經安排好，頁面按照計劃在製做，準時上線沒問題。」
「業務系統更改須要通過咱們安所有門測試才能夠上線。」
「這個活動頁面是有時效性的，七夕當天必需要上線，安全測試完，活動都結束了，先上線再說，否則，活動期間業績完不成。」
「咱們發出去的1千個優惠券，怎麼一會兒就被搶光了，並且，咱們真正的用戶都反應說沒搶到。」
「又是羊毛黨，頁面有個漏洞能夠批量刷優惠券，用戶如今說咱們耍猴，優惠券根本搶不到。」
「安所有門請解釋一下。」
安所有門：「我太難了......」

上述情景在不少企業會遇到，企業都是以業績爲主，業務部門是賺錢的部門，安所有門是燒錢的。除了大型電商公司外，企業通常以業務部門的要求，優先考慮，安全工做要在不影響業務部門正常運轉的狀況下開展。如何在保證業務的同時作好安全，是企業安全建設須要考慮的重要環節。

1、制定安全工做方針

凡事預則立，不預則廢，安所有門首先要作的，是制定一份安全工做方針，方針中除了總體安全建設外，還應包括業務部門和安所有門配合工做部分：
1）安所有門會擬定安全工做流程，包括安全測試、基線加固、補丁更新等，列舉每項工做須要業務部門配合的部分、對業務運行可能形成的影響，流程與業務部門肯定，達成一致，如：系統上線前、迭代更新前，須要預留充分的安全檢測時間給安所有門。具體測試時長，收集業務部門、安全測試人員要求後由領導決定。
2）業務部門應該配置完善的灰度測試環境，保證灰度、真實環境如出一轍。
3）業務系統升級迭代工做計劃，須要安所有門派人蔘與，避免設計階段帶來安全隱患，如：儘可能減小互聯網暴露面，減小漏洞較多的中間件、框架的使用。
4）資產變動狀況及時與安所有門同步，包括新資產下線，舊資產廢棄等，保證安所有門平常檢測的資產是全面的。

2、二者之間的平衡

用戶交互性較高的系統，很難既作到安全又不影響用戶體驗，舉個栗子：某網銀系統沒有驗證碼，安所有門判斷存在暴力破解的風險，業務部門認爲，每次都要輸入驗證碼，會影響用戶體驗。這時候須要平衡業務與安全，作個取捨，安所有門須要列舉不一樣場景下存在的風險，業務部門列舉同場景下用戶體驗的影響，由老闆作取捨。

同時，安所有門也須要從業務的角度出發，輸出對業務系統影響最小又保證安全的方案，老闆但願能解決問題的下屬多過只知道拋出問題的下屬。

相似的方案包括：
1） 前幾回輸入不須要驗證碼，輸入次數過多，才須要輸入驗證碼。
2） 業務邏輯漏洞容易被羊毛黨利用，形成嚴重的經濟損失，修復能夠採用session機制等方式，跟進每一個用戶的狀態。
3） 創建完善的風控系統，遏制羊毛黨，不影響真正、優質用戶使用系統。
4） 不易修復的漏洞，若是上線時間緊的話，先輸出緊急抑制方案，如Struts2漏洞，先關閉相應的功能，臨時修復。漏洞不能利用，業務不影響使用，後面再考慮升級框架。同時，網絡中使用流量監控的方式，發現系統運行期間，互聯網破壞行爲。
5） 錯誤提示頁面友好化，如：「您訪問頻率太快，請稍後訪問。」等。

3、安全事件處理

是個博弈的過程，沒有一直勝利的將軍，安全工做歷來都是，平時看不到工做效果，出事了才知道安全的做用。安全事件也反應了前期安全工做中的疏漏，安所有門能夠藉助事件，推動以前無法推動的工做。如如下場景：
某單位業務系統，管理員常常映射高危端口到互聯網，方便在家裏遠程辦公，安所有門一直無法收集互聯網開放的端口，以及弱口令控制。有一次單位中勒索病毒，大量服務器、數據庫被加密。經查實是管理員映射3389端口到互聯網，破解口令進入服務器後，在內網大量散發勒索病毒。安所有門藉此事件，向單位發佈安全生產管理要求，互聯網開放端口必需要通過安所有門審覈，全部服務器統一使用堡壘機登陸，杜絕弱口令行爲等等。

安全與業務是對冤家，不打不相識，懂得技術，撩得業務，纔是合格的甲方安全。

做者：雨水 | 安全服務PM ，X安全特邀專家

最大的榮譽感是把售前大咖們吹的牛落地實現。

轉載請聯繫X安全受權，感謝關注，歡迎安全行業大咖投稿。