互联网企业安全高级指南读书笔记之安全大环境与背景

技术很重要，但攻防只解决了一半问题，安全的工程化以及体系化的安全架构设计能力是业内普遍的软肋，多数人不擅此道

大多数乙方安全公司的顾问或者工程师其实都没有企业安全管理的真正经验，虽不能把这些直接等价于纸上谈兵，不过确实是乙方的软肋

产品线安全里，一切都会更进一步，不只是像互联网企业那样关注入侵检测、漏洞扫描等，而是从设计和威胁建模的角度去看整体和细节的安全

不想当将军的士兵不是好士兵，虽然有人想走纯技术路线，但是仍有很多人想过要当 CSO。在技术层面，CSO 不会只停留在微观对抗上，而是会关注系统性建设更多一点

企业安全

• 网络安全
• 平台与业务安全
• 广义信息安全
• IT 风险管理、IT 审计&内控
• 业务持续性管理
• 安全品牌营销、渠道维护
• CXO 们的其他需求

任何以安全团队自我为中心的安全建设都难以落地

对乙方而言，你可以在某个单点领域上无限深挖，而不会遇到天花板，因为你始终是在满足主营业务的需求，即使你成为骨灰级的专家啊，公司也会对你在某方面创新有所期待而给你持续发展的可能性

以狭义的安全垂直拓展去发展甲方安全团队的思路本质上是个不可控的想法，筹码不在 CSO 或者 CTO 手中，而是看主营业务的晴雨表

有想法的安全团队在网络安全方面做得比较成熟时会转向平台和业务安全，平台和业务安全是一个很大的领域，发展的好，团队规模可以扩大2、3倍，并且在企业价值链中的地位会逐渐前移，成为运营性质的职能，结合 BCM 真正成为一个和运维、开发并驾齐驱的大职能

互联网行业的安全工作

• 信息安全管理（占 10% 工作量）
• 基础架构与网络安全（占 30% 工作量）
• 应用与交付安全（占 30% 工作量）
• 业务安全（占 30% 工作量）

大部分甲方团队都没有足够的人力去应付产品线交付的数量庞大的代码，没有能力去实践完整的 SDL

互联网企业应对的问题

• 海量 IDC 和海量数据
• 完全的分布式架构
• 应对业务的频繁发布与变更

同时在架构上要关注：高性能、高可用、（水平）扩展性、TCO(ROI)

与传统企业在安全建设上的差别

从安全建设上来看，传统企业的安全建设是：在边界部署硬件防火墙、IPS/IDS、WAF、商业扫描器、堡垒机，在服务器上安装防病毒软件，集成各种设备、终端的安全日志建设 SOC。当然购买的安全硬件设备可能远不止这些，在管理手段上比较重视 ISMS（信息安全管理体系）的建设，重视制度流程、重视审计，有些行业也必须做等级保护以及满足大量的合规性需求

互联网公司一般可分为生产网络和办公网络，即便最近 Google 声称取消内网也是针对办公网络而非生产网络。互联网行业的大部分安全建设都围绕生产网络，而办公网络的安全通常只占整体的较小比重，但是某些传统企业可能完全没有生产网络而只有限公网络，那么网络安全也就变成办公网络的网络安全

互联网企业的生产网络中，安全解决方案基本上都是以攻防为驱动的，怕被黑、怕拖库、怕被劫持就是安全建设的最直接的驱动力。互联网公司基本不太会考虑等保、合规这种形而上的需求，只从最实际的角度出发，这一点是比传统企业更务实的地方

很多标准说到底都是各厂商参与编写，博弈并达成妥协，有利于自己产品销售的代言白皮书，并不是完全站在建设性的角度的，作为乙方给政企客户写解决方案建议书无可厚丰，但在互联网公司做企业安全，生搬硬套某些标准就会闹出笑话来

大型互联网企业安全建设方法论

自研或对开源软件进行二次开发 + 无限水平扩展的软件架构 + 构建于普通中低端硬件之上（PC服务器葚至是白牌）+ 大数据机器学习的方式，是目前大型互联网公司用来应对业务持续性增长的主流安全解决方案

随着 IDC 的规模扩张，安全的成本越来越大，最后被自己巨大的成本”毒死”。对于做惯传统行业解决方案且客户手里都有大把预算的顾问来说，对这一点是没感觉的，几千万元的安全整体方案信手拈来，但是放到互联网中，一旦业务规模成倍增长，这些方案最终都会走入死胡同。不止是成本，如果不能做到兼顾宿主的性能，安全架构随整个业务架构水平扩展，保证高可用性，最终安全措施都会走进死胡同

以安全集成为自身职业亮点的人如果不积极学习，会有很大贬值风险，因为以后不需要堆硬件盒子式的解决方案了，就算堆也不是原来的堆法

很多行业（比如金融）的安全投入很大，但这些解决方案大都是靠花钱就能买来的，而极其复杂的安全建设花钱不一定能买得到，很多都需要自己动手去打造

对于很多实际上依靠业务和线下资源驱动而非技术驱动的互联网公司而言，安全建设去做太多高大上的事情显然是没有必要的

假如乙方公司能推出既能支撑业务规模，又有性价比的方案，甲方安全团队就没必要再去造轮子了

云环境下的安全变迁

安全产品或者解决方案本身需要支持虚拟化、软件化、分布式、可扩展，并且利用大数据和人工智能，利用云端无限的计算和存储能力，缓解传统安全解决方案中数据的离散、单点的计算能容不足，信息孤岛和无法联动等问题

在传统的安全方案中，安全厂商以提供硬件安全产品和安全服务为主，而在云环境下，硬件形式的安全方案会越来越不合拍。与之相比，把竞争力构建在软件层面的安全方案会成为云上的主流