2016年6月24-25日，由51CTO.com主辦的【W(wǎng)OT2016企業(yè)安全技術(shù)峰會】在北京珠三角JW萬豪酒店召開。自2012年以來，WOT品牌大會秉承專注技術(shù)、服務(wù)技術(shù)人員的理念已經(jīng)成功舉辦九屆，不僅積累了大量的專家資源，更獲得了廣大IT從業(yè)者和技術(shù)愛好者的認(rèn)可和好評，并成為業(yè)界重要的技術(shù)分享及人脈拓展平臺。

本次【W(wǎng)OT企業(yè)安全技術(shù)峰會】分為11大技術(shù)主題，分別是企業(yè)安全管理與運維、工控安全與物聯(lián)網(wǎng)安全、大數(shù)據(jù)安全、移動Web與安全、云安全、CISSP開放創(chuàng)新論壇、金融與電子商務(wù)安全、威脅情報與攻擊防護(hù)、漏洞挖掘與分析、安全測試與應(yīng)急處理、技術(shù)管理專場。51CTO.com作為本次大會的主辦方，將通過快速報道、現(xiàn)場專訪與后期視頻等多種形式,向廣大用戶全方位展示這場盛宴。

下面是大會主會場上來自阿里巴巴總監(jiān)陳樹華先生給帶來的主題為互聯(lián)網(wǎng)+帶來的安全挑戰(zhàn)與機(jī)遇的現(xiàn)場演講實錄。

[[167794]]

阿里巴巴總監(jiān) 陳樹華

我在阿里巴巴負(fù)責(zé)整個集團(tuán)業(yè)務(wù)安全相關(guān)的東西，傳統(tǒng)安全更高一個維度，業(yè)務(wù)角度看整個集團(tuán)，淘寶業(yè)務(wù)，支付寶等一系列的互聯(lián)網(wǎng)業(yè)務(wù)。我們面向用戶的時候，我們面向企業(yè)的時候所面臨的一些問題。因為我們在這個過程中。第一是面臨大量的黑產(chǎn)一個攻擊，也面臨著零零散散各種各樣的問題，這個過程當(dāng)中經(jīng)過大量的時間，包括整個互聯(lián)網(wǎng)變革過程中，推進(jìn)的過程當(dāng)中，今天我們發(fā)現(xiàn)安全可能到了一個臨界點，需要新的東西和變革的東西加入進(jìn)去。所以，今天我的分享主題是關(guān)于整個互聯(lián)網(wǎng)引進(jìn)過程中，我們對于安全的一些思考。

今天已經(jīng)有大量業(yè)務(wù)，不光是傳統(tǒng)企業(yè)，還是原有的PC起來的互聯(lián)網(wǎng)企業(yè)，所有業(yè)務(wù)都是繼續(xù)在向互聯(lián)網(wǎng)化被變革，移動互聯(lián)網(wǎng)變革，也是互聯(lián)網(wǎng)變革。不管怎么講，從我們的醫(yī)療、汽車、現(xiàn)在比較熱的網(wǎng)購和支付等，所有這些都是向互聯(lián)網(wǎng)化方向去轉(zhuǎn)變。在這個轉(zhuǎn)變過程中，對于我們今天的互聯(lián)網(wǎng)企業(yè)或者傳統(tǒng)企業(yè)來講，其實都是面臨著一個非常大一個挑戰(zhàn)。很顯然的一點，我們現(xiàn)有的安全解決方案不足以基礎(chǔ)所面臨的問題，下面我們會細(xì)一點講。

隨著整個互聯(lián)網(wǎng)化引進(jìn)過程一個引進(jìn)，我們可以看到，因為在以前剛剛開始的時候，我們安全問題是來自于PC，那個時候只有PC，還沒有網(wǎng)絡(luò)。隨著網(wǎng)絡(luò)誕生之后，安全問題就是慢慢變成一個網(wǎng)絡(luò)安全。

現(xiàn)在先看一下這個平臺上面出現(xiàn)的問題，這個里面都是會存在。比如說，舉一個簡單的例子，我們?nèi)プ鲆淮钨徫?。整個基礎(chǔ)設(shè)施，都面臨著安全問題。在上面一層還是會面臨刷單業(yè)務(wù)，我們會到外面吃飯。很多餐飲軟件里注冊的餐館都會有刷單現(xiàn)象。對于我們來講，就是一個安全問題。大量的人在不同的業(yè)務(wù)里面去做刷信譽(yù)。這個東西就是安全問題。比如說，打車，大家怎么理解？特別是在某打車軟件打價格戰(zhàn)的時候，做安全的人都知道，大量的補(bǔ)貼，幾十億往里面補(bǔ)貼過程中，有多少資金是真正的落到司機(jī)身上？真正落消費者身上，是很小一部分，那時候的打車軟件是沒有安全防護(hù)措施的。

GPS信息偽造。

整個互聯(lián)網(wǎng)業(yè)務(wù)里涉及到大量的資金，以及大量信息。所以互聯(lián)網(wǎng)業(yè)務(wù)發(fā)展造成對于底層，有一個巨大沖擊，可能大家挖一個漏洞，沒有有價值的東西。今天任何一個漏洞，帶來的價值超過我們想象。我們也是可以看到，移動端來看，IOS系統(tǒng)一個漏洞。2015年比2014增長1.28倍。安桌增量更恐怖，黑客對于漏洞熱衷程度非常高。

今天應(yīng)用市場應(yīng)用97%都是有漏洞的，總漏洞量非常大，有1萬5000多，平均每一個應(yīng)用上面達(dá)到87個漏洞，很多都是高危漏洞。這幾個東西增速可以看到，互聯(lián)網(wǎng)業(yè)務(wù)自己本身一個巨大的價值，可以看到系統(tǒng)漏洞這一塊兒，有一個前所未有的一個主力的要求。

再一個，看一下手機(jī)病毒感染情況。我一直做移動互聯(lián)網(wǎng)。這之前互聯(lián)網(wǎng)業(yè)務(wù)起來之前，手機(jī)感染病毒非常的低，大家對于一些病毒本身是沒有什么興趣。但是，隨著整個互聯(lián)網(wǎng)業(yè)務(wù)高峰發(fā)展，出行的量，看一下現(xiàn)在都是翻番的概念。我記得我14年我們就是1千萬量。到今天已經(jīng)4000的樣本，翻的速度非?？?，一年翻幾倍?？匆幌掠脩簦瑥淖约簰呙钄?shù)據(jù)看，18%手機(jī)裝過病毒。還有比較可怕的，95%那個移動熱門應(yīng)用是仿冒，就是一樣的，隨后又涉及到信息泄露，還有偽造一系列的東西。

再看一下，整個互聯(lián)網(wǎng)本身也是有問題。前面講的都是系統(tǒng)，我們看到了，就是端這一塊，還有操作系統(tǒng)本身。但是，對于互聯(lián)網(wǎng)業(yè)務(wù)本身，這個里面自身也是一樣的存在大量的問題。舉一個簡單的例子，我們說的刷單，整個刷單行業(yè)占比交易量非常的大。好多數(shù)據(jù)比較敏感，不好說。我們可以知道，任何都是有刷單需求，不管什么平臺。大廠商允許新設(shè)備，是會允許黃牛參與那個搶貨的過程。所以，一方面有一些企業(yè)本身有需求。另外，虛假注冊，以前我們可能注冊一個郵箱，大家覺得沒有什么意義。如果手上100萬個郵箱，意義非常大。就可以操作很多東西。這個問題是非常非常多，是超過原有認(rèn)知一些問題。

在移動互聯(lián)網(wǎng)業(yè)務(wù)的這些問題背后可以看到，概括了一下，后面有一個黑客產(chǎn)業(yè)鏈群，是一個灰色產(chǎn)業(yè)，是黑白灰都是有?；疑a(chǎn)業(yè)鏈里面大概可以分成產(chǎn)業(yè)鏈上游，中游，下游。上游更多是做技術(shù)相關(guān)的工作，我們今天有大量的驗證碼，提供驗證碼平臺不繞過驗證碼；還有一些人，很多人要買漏洞，整個數(shù)據(jù)就是會產(chǎn)生交易，還有一些病毒軟件，還有一些工具的黑客團(tuán)隊。中游整個定義就是銜接上下游之間，里面主要是存在大量的團(tuán)伙。這些團(tuán)伙一方面是把前面的大碼平臺向下游推進(jìn)，讓他們用起來。相當(dāng)于我們企業(yè)里面的一個角色。經(jīng)過中游的串聯(lián)以后，在我們產(chǎn)業(yè)鏈下游，直接去實施整個做案，包括經(jīng)常說的詐騙電話。在航空公司里面下一單以后，然后就有人打你電話里面，退票，速度非?？臁Ｒ驗檎麄€產(chǎn)業(yè)鏈都是串聯(lián)非常的好，這個是灰色產(chǎn)業(yè)鏈一個狀況。

整體來看，站在我們正常一個互聯(lián)網(wǎng)公司的角度來看，灰色產(chǎn)業(yè)，他們整個分工協(xié)作，包括技術(shù)積累，是非常非常的好。比我們絕大部分互聯(lián)網(wǎng)公司做的好，我們今天很多互聯(lián)網(wǎng)公司一個安全運營人員都是沒有。另外一個方面，我們開發(fā)者是缺乏對于安全基本認(rèn)知，怎么寫一個安全代碼，大部分人不知道。兩個力量對比是非常不對稱，也是導(dǎo)致了什么呢？我們互聯(lián)網(wǎng)業(yè)務(wù)出現(xiàn)大的安全的問題。

對這些問題做一個總結(jié)，回頭來看整個互聯(lián)網(wǎng)業(yè)務(wù)里面存在這么多問題，今天也是有非常多安全公司解決這些問題。我們依然覺得站在阿里巴巴角度講，今天沒有一個好的安全公司來幫我們解決這些問題，我們總結(jié)三點，是非常有挑戰(zhàn)性的。第一，互聯(lián)網(wǎng)業(yè)務(wù)整個業(yè)務(wù)非常長。舉一個簡單例子，拿淘寶舉例子，我們一個淘寶，從用戶下單，要買東西，可能涉及到注冊，下單。這個單留在店鋪那里，最終確認(rèn)定單，然后發(fā)貨，這個時候涉及到快遞流程?？爝f那邊又是一個流程，可能我們自己是感受到買東西付錢，最終收貨。但是，定單信息是非常長的，這個是一個難點。今天安全要防控，所有的點都要防控到。

還是自身舉例，整個過程中，我們買一個東西，網(wǎng)上購物這個過程當(dāng)中可能涉及到店鋪人員，物流人員，還涉及到倉儲人員，店鋪里面涉及到店鋪小二，還有各種各樣的小二，這個小二是不是安全的？這個都是很挑戰(zhàn)。任何一個定單信息，他們要去拿到定單信息要付出很多的代價。所以，涉及人員很多，我們所面臨風(fēng)險越多。大家經(jīng)常聽到的快遞小二把大家的東西拍下來。另外，互聯(lián)網(wǎng)公司角度來看，控制能力非常的弱?？刂颇芰θ躞w現(xiàn)在什么地方？整個互聯(lián)網(wǎng)里面我們是講分享，還有一個是協(xié)作。這個里面是大量是依賴第三方。比如說物流，全部依賴第三方，這個問題不可控。整個系統(tǒng)的質(zhì)量也是沒有辦法去決定系統(tǒng)質(zhì)量。可以提供安全支撐，但是，決定不了它最終結(jié)果，整個控制力度非常的弱。

還有一個挑戰(zhàn)，互聯(lián)網(wǎng)業(yè)務(wù)整個鏈條非常的長，業(yè)務(wù)場景復(fù)雜。這個里面需要對整個技術(shù)面設(shè)計的非常廣。第一，平臺類型多，今天雖然所有的業(yè)務(wù)都是移動互聯(lián)網(wǎng)轉(zhuǎn)型，安桌手機(jī)又分上百種，還有其他的很多。后面還會出現(xiàn)更多的。另外一個，這個里面涉及到技術(shù)很多。我們對于系統(tǒng)研發(fā)人員來講，有IOS研發(fā)，客戶端開發(fā)，云服務(wù)類研發(fā)，所有這些東西對于業(yè)務(wù)來講都是風(fēng)險。另外，我們整體攻防要求非常高。舉一個簡單的例子，比如說，今天很多都是可以提供加固服務(wù)。誰說對支付寶錢包這種超級AP做加固的？沒有一家公司敢這樣說。由于業(yè)務(wù)體量增長，業(yè)務(wù)復(fù)雜性增長，整個應(yīng)用本身。整個環(huán)節(jié)它的復(fù)雜性，一定是成倍往上漲，根據(jù)沒有看透復(fù)雜性。提供不出解決方案。

最簡單的微信，日活已經(jīng)到7億多，涉及到的設(shè)備，從各種各樣的智能設(shè)備開始，人們到各種各樣的手機(jī)，安全企業(yè)是難做到這個能力的。第二，如果這個能力做不到，我們安全能力怎么保證，做完對抗性，其實做不到。

前面談了互聯(lián)網(wǎng)安全里面兩個挑戰(zhàn)，基于這個挑戰(zhàn)，我們做了一個思考是什么？因為我們在阿里巴巴有一點好處，今天我們可以看到的互聯(lián)網(wǎng)，我們基本上自身都是有對于整個互聯(lián)網(wǎng)業(yè)務(wù)，們今天就覺得不管是手淘，還是直播平臺，都是比較好的層次性劃分。這個劃分整個行業(yè)里面沒有劃分過來，我們把它定義成8個層次。從傳統(tǒng)的硬件，系統(tǒng)傳輸，往上就是一些基礎(chǔ)數(shù)據(jù)，對于任何一個應(yīng)用，一個服務(wù)開展都是有具體的基礎(chǔ)數(shù)據(jù)?；A(chǔ)數(shù)據(jù)上面，承載數(shù)據(jù)就是應(yīng)用，可能是瀏覽器，可能是AP，可能是PC端的應(yīng)用。那個應(yīng)用上面就是提供了直接的面對面服務(wù)。今天所有的互聯(lián)網(wǎng)業(yè)務(wù)有一個特點，服務(wù)上就是有帳號，就是有用戶。不管是什么也好，一定可以注冊帳號。完成整個登陸以后，這個就是會產(chǎn)生大量內(nèi)容，這個是今天互聯(lián)網(wǎng)里面，我們大概比較了一下，目前所有業(yè)務(wù)都是8個層次?；?個層次，我們自己在時間上我們有一個思考，在8個層次里面我們也是有相應(yīng)的，我們提出8個層次的一個安全模型。今天針對應(yīng)用層的，會存在一些立項，破解的問題。我們相應(yīng)提高我們自己的安全解決能力。這個模型有一個好處是什么？對于安全問題一個切分比較明確，每一層安全問題有一個切割。另外，對于安全企業(yè)來講有一個好處，這個里面涉及到的技術(shù)，是今天整個安全行業(yè)所有的技術(shù)都是在這個里面涉及到。第二，我們安全公司沒有能力去提供一個完整的解決方案。這個模型基礎(chǔ)上我們可以根據(jù)自己的那個企業(yè)的狀況，我們可以分層提供。針對內(nèi)容，敏感詞的識別或者針對用戶安全阿里巴巴分層提供。

最簡單的，我們提供驗證碼的公司，就是會做人機(jī)識別相應(yīng)的動作。往下就是越來越多，往上公司少一點。大家可以很清楚地看到，我們安全企業(yè)可以有一些新的點。但是，包括整個生態(tài)鏈基于這個模型做自身的解決方案。我舉幾個例子，我們針對這個層次大概講一下架構(gòu)。

基于這個模型，我們自己內(nèi)部針對移動端提供一套解決方案。移動端，我們自己本身提供從檢測到防護(hù)到監(jiān)控這一個完整的鏈路，每一個檢測環(huán)節(jié)提供木馬掃描等一系列的工作，防護(hù)這一塊我們有安全的組件，我們可以跟應(yīng)用加固這些東西?？赡苡幸恍〇|西不完全跟行業(yè)里面的那些可以一一對應(yīng)，比如說安全組件，比較獨特的一些東西。但是，一定是針對我們當(dāng)前業(yè)務(wù)運營問題最有效的一個解決方案，包括互聯(lián)網(wǎng)企業(yè)做參考。就是說，因為所有這些東西一定是基于大量的實踐?，F(xiàn)在已經(jīng)在是那個10來億用戶。

另外，我們會做一些監(jiān)控，這個監(jiān)控就是大數(shù)據(jù)的東西。在我們自己來看，大數(shù)據(jù)不大數(shù)據(jù)，那個東西是最基本的東西，沒有什么好談的。基本上就是基于數(shù)據(jù)做一些前瞻性的風(fēng)險識別。跟我們做的方法差不多的。

這個是移動端提供的一個保護(hù)。

另外一個，針對整個應(yīng)用的開發(fā)一個流程，我們也是提供保護(hù)方法，剛剛講了，就是整個對于應(yīng)用來講，任何一個第三方都是可以采取那一套，這個是內(nèi)部一個，應(yīng)用商運營，這個里面比較多。剛剛開始的階段，這個時候就是做審計，整個業(yè)務(wù)一個開展架構(gòu)階段就是會接入進(jìn)去。我們做完以后，業(yè)務(wù)本身會進(jìn)入到開發(fā)階段，我們會做相應(yīng)的安全能力的一個輸入。整個開發(fā)了以后就是測試環(huán)節(jié)，就是一樣的。應(yīng)用本身就是做自己的測試。我們安全這邊相應(yīng)會做文本的那個應(yīng)用漏洞掃描，包括木馬掃描，包括監(jiān)控。再后面就是上線，然后就是進(jìn)入到一個商業(yè)的監(jiān)控，上線完以后，整個用戶的情況，應(yīng)用在用戶端情況。比如說，破解一系列的動作，都是有數(shù)據(jù)分析做監(jiān)控。這個是阿里巴巴內(nèi)部今天在實施的一套的生產(chǎn)流程，一個防護(hù)。

前面都是講移動跟端上的一個，就是一個模型的架構(gòu)的東西。我們再看一下，跟我們互聯(lián)網(wǎng)業(yè)務(wù)相關(guān)的一些安全問題的一些架構(gòu)?；ヂ?lián)網(wǎng)有前面提的，首先看一下業(yè)務(wù)場景，有抽獎，有秒殺一系列的活動。對應(yīng)有大量的數(shù)據(jù)，比如說，注冊時間，登陸時間，還有涉及到的大量的人機(jī)識別，還有帳號。這些數(shù)據(jù)在我們內(nèi)部，這些活動里面有大量的黑產(chǎn)存在，我們把它行為，包括一些基礎(chǔ)數(shù)據(jù)進(jìn)入到大數(shù)據(jù)分工引擎做統(tǒng)一的識別。統(tǒng)一識別以后我們會出整個結(jié)果，這個是比較粗的一個防控那個描述。

這里仔細(xì)說一下我們對于互聯(lián)網(wǎng)業(yè)務(wù)風(fēng)險一個框架。我們從左邊開始看，最左邊就是所有的業(yè)務(wù)事件，每天處理100億安全事件，一個公司每天都是有100億事件，大概有幾十批安全數(shù)據(jù)，還有安全數(shù)據(jù)這個系統(tǒng)里面扭轉(zhuǎn)。安全事件，通過一步跟同步接口進(jìn)入到處理平臺以后，我們就會做實時計算等等。在這個里面，在計算的同時，我們的風(fēng)險模型做識別。我們靠模型跟規(guī)則是搞不定，我們是會進(jìn)入到后期一個分析中心，那邊會做加工，會對數(shù)據(jù)進(jìn)行分析。加工不了主要基礎(chǔ)風(fēng)險，對于風(fēng)險做進(jìn)一步處理。有一點說一下，所有數(shù)據(jù)最終都是到整個底部。這個是自己內(nèi)部針對上層的，比如說，整個的風(fēng)險，我們基于這一套系統(tǒng)去做。

前面講的，今天把互聯(lián)網(wǎng)業(yè)務(wù)分8個層次，分別會提供8個層次一個安全模型。這樣子，會帶來比較大的問題是什么？安全能力一個割裂，你8個層次單獨防控，一定解決不了所有的問題。因為很多的問題是會跨越層次的，比如說，最簡單的一個，黃牛刷單，涉及到帳號問題。要刷單，我可以發(fā)起那個動作，涉及到活動問題，對于活動規(guī)則的問題。活動規(guī)則這一塊，另外，我要繞過這個人機(jī)策略，如果人機(jī)策略繞不過，搶單基本上搶不了。所以，如果我們緊緊基于8個層次提供安全能力，最終導(dǎo)致什么？很多的復(fù)雜性問題解決不了，每一個層次數(shù)據(jù)不流通。最終就是什么？就是會導(dǎo)致安全問題。8個層次基礎(chǔ)上，我們會做一個加強(qiáng)。這個是一個示意圖，我們會從最底層數(shù)據(jù)到最上面的數(shù)據(jù)，我們會全部融合起來，我們會做計算。

今天為什么做這個分享？我們今天共同做這個事情。對于阿里巴巴，還是比較大。但是，今天處理所有這些問題的時候，一樣就是非常有挑戰(zhàn)。我們有強(qiáng)大的安全團(tuán)隊自己做大量的工作。但是， 大家做起來還是非常的吃力。我也是希望我們安全企業(yè)可以參與進(jìn)來一起做這個方面的建設(shè)。

總結(jié)一下。整個互聯(lián)網(wǎng)業(yè)務(wù)引進(jìn)過程中，發(fā)展到今天，其實我們觀點來看，一定是一個巨大藍(lán)海，跟業(yè)務(wù)安全相關(guān)的東西。因為業(yè)務(wù)安全相關(guān)所有問題一定會對所有的企業(yè)安全能力有一個工作。這個是算整個業(yè)務(wù)安全最底層防護(hù)，這一層做不好，內(nèi)網(wǎng)被滲透，內(nèi)網(wǎng)帳號被泄露，反過來是會對我們產(chǎn)生巨大影響。如果一臺PC滲透，最直接可能就是滲透到我們網(wǎng)絡(luò)。這個是最大的一個災(zāi)難。所以，今天我們業(yè)務(wù)安全。第一，對于傳統(tǒng)的企業(yè)內(nèi)網(wǎng)安全，一系列的安全工作有一個新要求，要做的更好一點，才可以保證業(yè)務(wù)安全。業(yè)務(wù)安全出一個問題，導(dǎo)致那個損失是很大。很多數(shù)據(jù)不好講。

有一個例子，有一家旅游公司，有一個特點是什么？做活動，一定是一天之內(nèi)就下線，為什么呢？因為第二天很多黑客都是進(jìn)來，把紅包都是搶走，這個對于互聯(lián)網(wǎng)企業(yè)來說，安全已經(jīng)成為業(yè)務(wù)一部分，對于業(yè)務(wù)整個發(fā)展也是有非常重要的作用。我希望所有的互聯(lián)網(wǎng)企業(yè)都推動整個業(yè)務(wù)安全一個建設(shè)工作。我的分享就這么多。謝謝。

以上是51CTO.com記者從【W(wǎng)OT企業(yè)安全技術(shù)峰會】一線為您帶來的精彩報道。一大波精彩內(nèi)容報道正在襲來，敬請持續(xù)關(guān)注！