360譚曉生：構建企業安全防護體系的1234

11月8日消息，由BT傳媒與CSDN聯合主辦的“2014 技術商業500人論壇”上週末在北京舉行，360副總裁譚曉生在大會上作了題為“安全攻防實踐Ÿ安全技術體系”的主題演講，他分別從安全理念、防護體系、安全團隊三方面講述了360的信息安全防禦體系是怎麼建立的，他認為現在流行的安全體系已經從過去靠城牆防禦變成塔防遊戲和立體防禦。

360副總裁譚曉生

譚曉生稱，隨着現代企業互聯網化的加速，安全問題日益凸顯，最近美國索尼電影公司內部系統被黑客入侵以後整個公司不得不斷網處理，完全回到紙筆辦公時代，互聯網化之後企業網絡一旦被被黑客入侵或者控制，後果不堪設想。因此企業需要構建安全防護體系來保護公司網絡和信息系統的安全。

全球範圍內新的防禦思想是建立立體防護體系，需要從安全理念、防護體系、安全團隊三方面協同努力。360作為全球領先的安全公司，通過內部安全防禦體系的建設和實踐，不斷提升安全服務能力，建立起了基於“一箇中心、兩個原則、三個陣地和四個假設”安全理念下的安全防禦體系。以下是譚曉生演講內容節選：

一箇中心：總體防禦。要的是辦公網、數據中心、VPN網絡，如果沒有VPN，你非常危險，如果郵件服務器直接放公網上，郵件系統被搞定的可能性非常大。對360來説，在外網上公司內部任何系統，都是需要經過VPN的，有雙因子認證才能上VPN，經過很多不同的訪問控制。我們有10多個辦公室，80多個數據中心，涉及到國外的數據中心，VPN要求員工出差時隨時能夠接入，收發郵件必須通過VPN。

兩個原則：攻防平衡，自主可控。第一攻防平衡，安全做起來是有代價的，甚至花再多錢都不能做到百分之百安全，要平衡要保護的商業目標的價值是多大、盈利能力是什麼情況，花這麼多錢的情況下，做到儘可能好的防禦。第二，自主可控，我們也買過別人家的安全產品，最近走到了自主可控、自主開發這條路上，自己首先要明白該怎麼防，別人家的東西都是防的組件。

三個陣地：第一道防線：中國邊境線，邊境線是什麼？第一，你的產品，我們有客户端產品，產品在用户機器裏運行時本身有漏洞，就會帶來非常大的問題，你的手機或者你的手環或者家用路由器和汽車控制的東西，這些是是你的產品，這些產品如果有漏洞同樣很要命;第二，對外提供的服務，指Online服務，特指WebService，我們網站是給大家提供服務的，我們每天消耗100G帶寬，有非常多的外部服務，在今天我們面臨的時代，VPN越來越外部化，漏洞非常多;第三，員工，你的員工可能拿手機收郵件，他出差時，他可能在咖啡廳接入了不安全的網絡，你的網絡可能受威脅，邊境線到你的員工級別，你的員工是不是間諜？或者你的員工是不是在別人挾持之下做一些攻擊內部網絡的事情。第二道防線：保衞大城市，包括重要的基礎設施、重要的服務器、重要的業務系統、重要的數據。第三道防線：反潛伏，假設你被搞定了，沒人敢吹牛説自己沒被搞定。反潛伏，假設我被搞定了，有機器被別人控制了，有員工的機器被木馬植入，我怎麼儘早發現？像反間諜一樣，手段無外乎監控、審計、大數據分析等等。

在企業裏，現在做到安全，基本有四個假設：第一個假設，你的系統一定有未被發現的漏洞，這幾年投入的資金越多，挖出來的洞越多，今年估計過一萬沒啥懸念，去年7800多，而且CVE僅僅是一部分洞，外面Web軟件的洞多少呢？我們花三百萬塊錢收39000多個洞，不是某一個網站有那個洞，建站工具就有39000多個洞，一個洞能影響幾十萬個網站，到處都是洞，我們生活在到處都是窟窿的IT世界裏。第二個假設，你的系統可能有洞，這個洞已經有了補丁，由於各種原因，你不能修補，如果你是生產型企業，人家告訴你工業控制的上位機用的是XP，現在發現一個新的漏洞，出了一個補丁，你敢補嗎？補了之後，工業控制系統可能真的不能工作了。第三個假設，你的系統今天已經被滲透了，別人已經潛伏在裏面了。第四個假設，員工不可靠，甚至做安全的員工可能都不靠譜，很多攻擊都來自內部，我們其實是在沙灘上建築防禦攻勢。

一個企業要建立防護體系需要有攻防理念，要想攻擊者所想，還要有合理的安全團隊配置。

我們的防線無外乎這麼幾個，網絡訪問的統一管理平台，第一步首先是准入，員工個人的電腦帶到公司裏是不能用的，不是説通過管理手段不能用，而是通過技術手段不能用，我們員工的電腦首先必須是公司簽發的電腦;二是必須裝了安全軟件才能上網，否則訪問任何東西都給一個提示，説對不起，你的電腦不能上網。

我們在網絡邊界上布了羣流量監聽，我們差不多是100來G帶寬，全部抓包抓下來，長期存儲，反覆運算，用概率找小概率事件，每天大量發生的事是正常的，攻擊是小概率事件，然後建模，試圖找出來網絡威脅。

無線入侵檢測，在公司裏，無線局域網是非常常見的，無線局域網是非常危險的。在公司裏要檢測有沒有人起來非法App，Web安全掃描系統、Webshell白盒掃描系統，兩套掃描器交叉掃描，經驗數據是兩套掃描器重疊掃描概率的90%，有90%洞兩個都能發現，還有10%個洞各自發現。

內部使用工具上，我們要求做安全防範的同事像產品經理一樣，360產品比較講究用户體驗，我們做安全產品時也是這樣的，哪怕內部工具，也要求做的好用。在公司內部，我們本身能得到安全主線的支持，即使這樣，我們還是建了完整的團隊。就像前面李大學講的，做技術支持，其實和商業結合很重要，和商業的關係怎麼處很重要。