▌安全架構設計必要性

將各個安全系統之間徹底打通，實現信息共享，融合成一套行之有效的安全防護體系，才能有效解決絕大部分安全問題。但是企業需要關注的不僅僅是外部威脅，堡壘往往是從內部攻破的，所以企業內部的安全威脅也不容忽視。從近年來一系列安全事件發生原因總結看，基本都和安全意識淡薄、安全管理不規范密切相關，所以企業在搭建自己的安全防護體系的同時，也要搭建自己的安全管理體系。

但是隨著這些安全系統陸續上線運行后，互聯網的安全架構在逐漸完善，安全能力也得到了很大的提升，但是此時互聯網自己的安全防護體系依然沒有建立起來，各個安全系統由不同安全團隊開發維護，分散在不同的業務線上，各自為戰，依然會遇到很多各個系統獨自無法解決的安全問題。

比如平時為了吸引消費者，互聯網易購經常會送大家很多各類優惠券，也會對一些熱門商品進行限時低價搶購，由于購買價格遠低于市場價格，常常會吸引來大量黃牛薅羊毛。

此時智能數據風控架構就開始起作用了，依賴訪問特征和訪問行為，能夠及時從海量數據里分析出哪些是黃牛請求并進行阻斷驗證，但是黃牛們為了保證成功買到這些低價商品，往往會租用大量服務器并發購買請求，即使請求都被風控識別阻斷，由于這些請求已經到了業務服務器，所有依然會對業務系統造成巨大的負載壓力。

▌安全架構的頂層視圖

據《全球網絡安全指數》數據顯示，“2016年全球互聯網用戶達到35億人，約占世界總人口的一半。到2020年，接入互聯網的終端設備預計將達到120億臺?！痹谌f物互聯帶來便利的同時，網絡安全問題也日益突出。需要開發者們從人工智能、新的架構或者新的設備方面去探索更安全的解決方案。

1 ▏安全組織架構視圖

首先需要明確安全部門的組織架構，互聯網的安全相關部門目前主要分為管理和研發兩大類。由于企業安全不僅包含外部網絡攻擊防護，還包含企業內部安全威脅檢查，所以安全部門非常特殊，必須要有一定的獨立性，否則合規審計、內外風控、漏洞處理、應急響應等工作根本無法開展。

一般互聯網公司大都會成立一個較高級別的安全部門專門負責各類安全事務，因為這樣即方便管理又能減少溝通成本?；ヂ摼W安全管理中心由CTO直接負責，集團所有安全相關事務都由它統一協調，安全研發工作主要由數據云團隊負責，個別子公司因業務需要也會有相對獨立的安全部門。

2 ▏安全防護架構視圖

互聯網的安全部門最初是從網絡運維部門分離出來的，當時部門的工作內容也和安全開發完全無關，主要就是各類網絡設備以及操作系統的安全基線檢查，后來隨著互聯網向互聯網轉型，安全部門才開始承擔起攻擊防護、風險檢測、漏洞處理等職責，逐步開始自研各類安全系統。

由于當時安全工作都是圍繞互聯網易購開展的，而互聯網易購又是一個綜合網上購物架構，所以保護消費者的個人信息和資金安全自然是重中之重，因此互聯網安全防護架構和互聯網智能數據風控架構是最早上線運行的兩個安全系統，之后又陸續開發上線了互聯網安全服務架構、互聯網安全應急響應中心等系統。

所以，互聯網安全防護架構：由離線入侵分析、實時攻擊檢測、大數據分析等模塊組成，主要負責各類常見的網絡攻擊的檢測和防御，是互聯網的第一道安全防線。

3 ▏安全數據風控架構

提供設備指紋、人機識別、敏感信息過濾、風險信息庫等功能，通過靈活的風控智能算法和風險措施保護消費者購物流程安全。

4 ▏信息安全服務架構

主要是為互聯網內部所有系統提供各類安全服務，包括漏洞掃描、滲透測試、系統加固、安全培訓等。

5 ▏安全應急響應架構

主要負責漏洞管理和威脅情報收集，以幫助提升互聯網自身產品及業務的安全性，同時也希望借此加強與安全業界的合作與交流。

▌互聯網安全架構實例

蘇寧內部安全事件的管理已有一套成熟的運轉機制，在漏洞爆出之后，首先由安全管理中心評估此事故威脅程度并確認事故責任人，然后由安全研發中心協助給出解決方案，再由安全管理中心督促事故責任人所在部門修復漏洞，最后由安全管理中心總結本次事故經驗教訓并給予事故責任部門處罰。

▲基于頂層設計的蘇寧互聯網安全架構

因為安全管理中心有考核其它研發中心安全規范的權限，所以這套管理方法還是行之有效的。但是安全問題的源頭還是人，如果僅僅依靠制度規范，肯定是無法解決所有內部安全問題的，甚至可能會阻礙企業發展，因此安全管理部門還應該做好內部員工的安全培訓，尤其是業務系統研發人員，定期進行安全相關培訓和考核，提高所有人的安全意識。

▌總結

互聯網信息安全直接關系到互聯網用戶的信息和資金安全，是一個優秀企業互聯網平臺必須不斷修煉的“內功”。2018年互聯網+進入高點，能否安全保護互聯網海量用戶的信息和資金安全，成為互聯網平臺運營成敗的關鍵之一?；ヂ摼W發展必須始終以信息安全頂層設計為基石，從信息安全組織架構、信息安全防護架構、信息安全風控運營、信息安全服務架構、信息安全應急響應架構等多方面建立了全面頂層設計體系，才能有力保障互聯網用戶信息安全。

想了解更多IT資訊，請訪問中培偉業官網：中培偉業