前 言
在網際網路+的程序中，一方面網際網路企業越來越多，另一方面由外部環境推動的或自發的安全意識越來越強，對安全建設的需求也越來越多，很多企業都開始招聘安全負責人，不乏年薪上百萬元和幾百萬元的安全負責人職位，但事實是很多公司常年用高薪，都招不到合适的安全負責人，其中的原因有很多，比較客觀的一條就是這個行業所培養的有網際網路整體安全視角的人實在寥寥無幾，而這些人大都不缺高薪，也不缺職位。我在“資訊安全行業從業指南2.0”一文中曾經寫過自2014年開始，安全行業的大部分高端人才都在網際網路行業，為什麼還是有那麼多缺口？細想了一下有幾個方面的因素：
過去，安全并不太受重視，安全從業者的職業發展瓶頸明顯，很多擁有整體安全視角的人離開了安全行業轉去做其他的事情了。
早年在乙方安全公司的人經曆了給客戶從零開始建設安全體系的過程，而後來進入乙方的畢業生，接觸客戶時大都已經有安全體系，無法體驗從0到1的過程并從中學到完整的方法論，很多方法論甚至已“失傳”，有些方法論原本就隻集中在公司總部的一圈人手裡，分支機構除了文檔得不到“大象”。
bat這類企業安全也早已經過安全建設期，後來者分工很細，除了幾個早已身居總監職位的老員工之外，大多數人無法得知安全體系的全貌，很多人離開了bat也說不清自己責任之外的事情該怎麼做。
二三線網際網路企業中，很多團隊所持有的安全體系并不完整，也不是業内最佳實踐，有些甚至就是救火型團隊，更難有體系化的積累。
當下的很多乙方安全公司，在網際網路大潮的沖擊下也面臨着轉型的挑戰，要提供符合時代趨勢的解決方案仍需努力。
在社群，目前大家都熱衷攻防，而不是企業安全建設。攻擊者、乙方、甲方之間仍然存在較大的鴻溝，彼此互相不屑，從社群裡也多半隻能挖掘到一些單點型的防禦手法，即便好學的人訂閱了所有的安全站點和微信公衆号，恐怕也難以學會企業整體安全建設的方法。
基于以上種種原因，我明顯感覺到有一堵牆存在于業界、社群、甲方、乙方、想學習的人和資訊的不對稱之間，我決定動手推倒這堵牆，是以就有了這本書。
首先本書聚焦于網際網路行業的企業級安全解決方案、架構、方法論和建設思路，關于單點技術，市面上已經有很多書，是以本書内容大多不會圍繞單點技術來講，而是希望讀者看完之後找到企業安全整體建設的那種感覺。即便是一個甲方安全工程師，也能從中學到網際網路公司安全負責人的知識和視野，并以此為導航，逐漸積累自己所需要的知識和技能，向更高的層級發展。
對于乙方安全公司的從業者而言，顧問們或許可以從中了解甲方的需求和工作，進而提供更加接地氣的傳遞方案。對于産品設計和研發人員，本書展示的網際網路安全架構有助于拓展傳統安全的思路，不一定能直接複用，但也許能有所啟發。
對于黑客技術愛好者，比較安全的道路仍然是從事安全，不可避免地也要學習這些，進階的滲透和攻擊技巧都需要繞過防禦手段，了解防禦者思維是必須跨過的門檻。
本書同樣适用于想了解企業安全建設的cto、運維總監、研發總監、架構師。但本書内容都假設讀者有一定的基礎，對一些比較基礎的名詞和技術沒有做太多的解釋。
在出版這本書時由于時間和資訊披露方面的限制，寫出來的部分與我們原先期望的仍有不少差距，但另一方面我們希望像網際網路産品的疊代方式一樣，不追求完美，但求盡快面世，是以本書也難免帶着各種bug上線，也歡迎各位讀者的意見或建議。此外，我們計劃在本書的第2版中進一步展開某些話題，并且更加系統化，同時會在業界最佳實踐方面挑戰另一個次元。
最後特别感謝本書的編輯吳怡自我在360工作時便找到我，建議我将網絡中的文字寫成書，讓更多的人能讀到。感謝另外兩位作者江虎（id：xti9er）和胡乾威（id：rayxcp）幫我分擔了很多壓力，使得此書能盡快面世。同時感謝netxfly@小米、職業欠錢@騰訊、clyde@電信雲堤、終極修煉師@唯品會、laintoday@愛奇藝提供的幫助。
<b>目錄</b>
<b>第1章 安全大環境與背景 </b>
<a href="https://yq.aliyun.com/articles/81604" target="_blank">1.1 切入“企業安全”的視角</a>
1.2 企業安全包括哪些事情
1.3 網際網路企業和傳統企業在安全建設中的差別
1.4 不同規模企業的安全管理
1.5 生态級企業vs平台級企業安全建設的需求
1.6 雲環境下的安全變遷 16
第2章 安全的組織 17
2.1 創業型企業一定需要cso嗎 17
2.2 如何建立一支安全團隊 19
第3章 甲方安全建設方法論 22
3.1 從零開始 22
3.2 不同階段的安全建設重點 24
3.3 如何推動安全政策 26
3.4 安全需要向業務妥協嗎 28
3.5 選擇在不同的次元做防禦 29
3.6 需要自己發明安全機制嗎 33
3.7 如何看待sdl 34
3.7.1 攻防驅動修改 36
3.7.2 sdl落地率低的原因 37
3.7.3 因地制宜的sdl實踐 38
3.7.4 sdl在網際網路企業的發展 39
3.8 stride威脅模組化 40
3.9 關于iso27001 42
3.10 流程與“反流程” 43
3.11 業務持續性管理 45
3.12 關于應急響應
3.13 安全建設的“馬斯洛需求”層次
3.14 tco和roi
第4章 業界的模糊地帶
4.1 關于大資料安全
4.2 解決方案的争議
技術篇
第5章 防禦架構原則
5.1 防守體系建設三部曲
5.2 大規模生産網絡的縱深防禦架構 62
5.2.1 網際網路安全理念 62
5.2.2 攻擊者視角 63
5.2.3 防禦者模型 63
5.2.4 網際網路安全架構設計原則 66
第6章 基礎安全措施 70
6.1 安全域劃分 70
6.1.1 傳統的安全域劃分 70
6.1.2 典型的web服務 71
6.1.3 大型系統安全域劃分 72
6.1.4 生産網絡和辦公網絡 74
6.2 系統安全加強 75
6.2.1 linux加強 75
6.2.2 應用配置加強 81
6.2.3 遠端通路 83
6.2.4 賬号密碼 83
6.2.5 網絡通路控制 84
6.2.6 更新檔管理 86
6.2.7 日志審計 86
6.3 伺服器4a 87
第7章 網絡安全 89
7.1 網絡入侵檢測 89
7.2 t級ddos防禦 95
7.2.1 ddos分類 95
7.2.2 多層防禦結構 100
7.2.3 不同類型的企業 108
7.2.4 不同類型的業務 109
7.2.5 服務政策 109
7.2.6 nips場景 110
7.2.7 破防和反制 111
7.2.8 立案和追蹤 112
7.3 鍊路劫持 113
7.4 應用防火牆waf 117
7.4.1 waf架構分類 117
7.4.2 waf安全政策建設 118
7.4.3 waf性能優化 121
第8章 入侵感覺體系 123
8.1 主機入侵檢測 123
8.1.1 開源産品ossec 123
8.1.2 mig 129
8.1.3 osquery 131
8.1.4 自研linux hids系統 135
8.2 檢測webshell 144
8.3 rasp 149
8.3.1 php rasp 149
8.3.2 java rasp 153
8.4 資料庫審計 159
8.5 入侵檢測資料分析平台 162
8.5.1 架構選擇 162
8.5.2 功能子產品 163
8.5.3 分析能力 164
8.5.4 實戰示範 167
8.6 入侵檢測資料模型 169
8.7 資料鍊生态—僵屍網絡 174
8.7.1 僵屍網絡傳播 174
8.7.2 僵屍網絡架構 175
8.7.3 應對僵屍網絡威脅 179
8.8 安全營運 181
第9章 漏洞掃描 182
9.1 概述 182
9.2 漏洞掃描的種類 183
9.2.1 按漏洞類型分類 183
9.2.2 按掃描器行為分類 190
9.3 如何應對大規模的資産掃描 197
9.4 小結 198
第10章 移動應用安全 200
10.1 背景 200
10.2 業務架構分析 200
10.3 移動作業系統安全簡介 201
10.4 簽名管理 202
10.5 應用沙盒及權限 203
10.6 應用安全風險分析 204
10.7 安全應對 205
10.8 安全評估 206
10.9 關于移動認證 206
第11章 代碼審計 207
11.1 自動化審計産品 207
11.2 coverity 208
第12章 辦公網絡安全 216
12.1 文化問題 216
12.2 安全域劃分 217
12.3 終端管理 218
12.4 安全網關 221
12.5 研發管理 222
12.6 遠端通路 224
12.7 虛拟化桌面 224
12.8 apt 226
12.9 dlp資料防洩密 227
12.10 移動辦公和邊界模糊化 228
12.11 技術之外 229
第13章 安全管理體系 230
13.1 相對“全集” 234
13.2 組織 235
13.3 kpi 236
13.4 外部評價名額 239
13.5 最小集合 240
13.5.1 資産管理 240
13.5.2 釋出和變更流程 241
13.5.3 事件處理流程 241
13.6 安全産品研發 245
13.7 開放與合作 246
第14章 隐私保護 248
14.1 資料分類 250
14.2 通路控制 250
14.3 資料隔離 251
14.4 資料加密 253
14.5 密鑰管理 258
14.6 安全删除 258
14.7 匿名化 259
14.8 内容分級 259
實踐篇
第15章 業務安全與風控 264
15.1 對抗原則 264
15.2 賬号安全 265
15.3 電商類 270
15.4 廣告類 274
15.5 媒體類 274
15.6 網遊類 274
15.7 雲計算 275
第16章 大規模縱深防禦體系設計與實作 276
16.1 設計方案的考慮 276
16.2 不同場景下的裁剪 281
第17章 分階段的安全體系建設 283
17.1 宏觀過程 283
17.2 清理灰色地帶 285
17.3 建立應急響應能力 286
17.4 營運環節 288
附錄 資訊安全行業從業指南2.0 290
![nmap –script 使用：nmap-vulners 和 vulscan出現錯誤 ‘/usr/bin/../share/nmap/scripts/vulscan’ found, but will[圖]](data:image/gif;base64,R0lGODlhAQABAIAAAP///wAAACwAAAAAAQABAAACAkQBADs=)