bilibili 安全团队负责人 吴文灏 - 甲方安全从 0 到 1

2020-02-27 636浏览

  • 1.甲方安全从0到1 SPEAKER / 吴文灏
  • 2.
  • 3.About me • 平名黑客 • 北冥鱼->知道创宇-> • Web安全工程师->安全研究员->安全产品研发->甲方安全 • bug@linux.com
  • 4.content 1 攻防对抗 3业务安全与风控 2 安全体系建设 4 怎么汇报工作?
  • 5.面临的挑战 大而老的系统 DedeCMS（漏洞之王) 各个业务用着不同语言和框架 高速增长 用户数每年翻一翻 私有服务器、员工数翻一翻 用户群体 技术宅，大学僧，小学生 有着用不完的精力,熟悉接口。 从零起步 我入职时，运维2人加个CTO
  • 6.攻防对抗
  • 7.互联网安全残酷定律 1 以绝大多数开发对安全的认知还不轮不到拼技术 2 以绝大多数运维的惰性还轮不拼漏洞 3 以绝大多数公司对安全的重视程度还不至于拼努力 ----长短短
  • 8.
  • 9.捻乱止于河防  上WAF  端口管控,后台管控  业务区域划分  堡垒机  SSO+双因子认证 可控！ 自己搞不定就买买买
  • 10.
  • 11.双因子认证实现方案
  • 12.领导  不太了解和重视安全  帝王级需求  怎么实现我不管,明天功能要上 线 开发&运维  新业务上线,出现了漏洞  服务器扩容,扩出来漏洞  外界披露出的中间件0day  怎么方便怎么来 安全  修业务漏洞代码的不是安全工 程师  登服务器打补丁的执行者不是 安全工程师  基础的东西没做好，查问题麻 烦 形成一个完整的闭环
  • 13.安全体系建设
  • 14.从零开始的大方向 1 不可能永远救火 3 事后的应急处理 2 建立监控能力 4 参（模）考（仿）大厂
  • 15.从零开始的大方向 要做什么？ 定目标 定规矩  运维安全  应用安全  信息安全  业务安全  现在我们能做什么？  要做到什么程度？  怎么做?  代码安全规范  运维安全规范  员工信息安全规范
  • 16.蜜罐 加大入侵难度 第一时间发现入侵
  • 17.安全基线 From WooYun Wiki的备份https://github.com/l3m0n/wooyun-wiki
  • 18.
  • 19.
  • 20.应用安全 渗透测试 落实代码规范 上线前的安全测试 部署WAF 漏洞生命周期管理(SRC) 关注业界动态 事件推动安全！！ 在被外人搞之前 自己先搞了
  • 21.发布流程
  • 22.信息安全 办公网与生产网隔离 机密部门VLAN隔离 信息安全管理的落地 SSO+双因子认证 办公网准入机制 Github爬虫 员工安全意识！！ 老板衡量安全做得好不好 的重要因素
  • 23.业务安全与风控
  • 24.羊毛党  养帐号  领定时礼物  刷直播抽奖  刷直播在线观看数  刷游戏初始帐号
  • 25.羊毛党
  • 26.羊毛党
  • 27.羊毛党
  • 28.羊毛党
  • 29.爬虫党  爬弹幕，爬用户公开资料  做“数据分析”  什么都不做,就是想练习下代码  员工利用爬虫高效完成工作
  • 30.爬虫的危害都有啥  协程+多线程+分布式 == CC攻击  Redis，memcached缓存存满
  • 31.汇报安全工作
  • 32.世界三大难题  欧洲的债务  非洲的难民  中国 的高 还地有一个安全汇报工作
  • 33.漏洞生命周期 SRC、应急响应事件、已知待解决的安全风险 覆盖率 上线前安全测试、安全基线、资产、灰色地带 主动检出率 渗透入侵、常见漏洞、安全测试、薅羊毛、违规员工
  • 34.安全自研 SOC、安全产品 成本 买了什么第三方、投入和效果 数据 有图有表(都要下降趋势
  • 35.