京东618：六年历程步步为营，京东商城的安全保卫战
電商網站在為廣大用戶提供網購便利的同時，在安全方面也不可以掉以輕心。那么作為一家高流量的電商，京東是怎樣做安全防護的？在618備戰期間又需要特別注意哪些事項？京東安全的現狀和未來是怎樣的？為此，InfoQ采訪了京東安全方向第一人李學慶，采訪內容如下。
\\此外，ArchSummit全球架構師峰會深圳站將于2016年7月7日~8日在深圳·華僑城洲際酒店召開，京東商城物流研發部首席架構師者文明策劃了《低延遲系統架構設計》專題，將會為大家分享目前各大互聯網企業在低延遲系統架構設計上都有哪些新思路，歡迎關注。
\\InfoQ： 電商安全有幾個層面？（分類如數據安全、賬號安全、業務詐騙安全）
\\\李學慶：電商安全從大類可分為業務安全、應用安全、系統安全、網絡安全、數據安全、辦公安全。
\\- 業務安全：風控安全、帳號安全、支付安全、交易安全\\t
- 應用安全：網站安全、組件安全、框架安全\\t
- 系統安全：帳號安全、補丁管理、安全加固\\t
- 網絡安全：DDoS攻擊、DNS攻擊、鏈路劫持、DNS劫持、異常行為流量感知\\t
- 數據安全：數據存儲、數據傳輸、數據控制\\t
- 辦公安全：準入（網絡安全）、授權（帳號安全）、內網（系統安全）、設備（終端安全）、流程（安全治理）\
InfoQ：電商網站需要注意哪些安全隱患？（后臺被攻擊？DDos，DNS挾持等等）
\\\李學慶：從電商角度來看，首先要確保外部業務不會出現重大安全漏洞，例如基礎漏洞、管理后臺、弱口令、邏輯漏洞、配置不當等等，對于外部的安全風險做到可控、可快速清除。展開來說，外部業務要建立一套完整的掃描機制，這個掃描機制不是我們傳統的上一套掃描器就可以的，需要我們在基礎掃描引擎上進行擴展，增加端口、后臺監控、banner監控、頁面監控、水平權限監控、爆破探測、應用配置監控、重大漏洞監控等等，然后通過一定的依賴關系進行串聯，形成一套完整的外部監控體系。
\\其次的安全隱患就是通過各渠道導致的數據泄漏問題，如果第一步做到足夠堅固，那由于應用層在外部導致的泄漏風險基本可以降到最低，其他的風險源可以通過數據的走向梳理數據鏈，在關鍵節點做加固、監控、和審計。最后需要關注的是網絡流量問題，也就是DDOS攻擊。對于抗D來說京東通過不同層級分解的方案應對不同類型和量級的流量攻擊，并初步具備流量的溯源能力。當然我們也在把DDOS的演練工作慢慢推向例行，把漏洞導致的DOS和模擬外部攻擊的流量對上線的不同業務進行攻擊測試，也就是后面我們會讓系統上線就具備抗D的能力。
\\\InfoQ：具體到京東的618時期尤其凸顯的安全挑戰？
\\\李學慶： 對于今年618我們早在4月就開始啟動，今年安全團隊也將有近50人規模的安全保障，跨部門對接上百人，我們聯合相關業務板塊共同保障京東商城金融、一號店的PC端、移動端等所有平臺的安全。信息安全部今年落地了10個方向的安全預案，對于重大的安全風險提前進行了安全演練。
\\\InfoQ：能否比較詳細地談談京東的“安全決策蜂窩模型”？
\\\李學慶： 京東安全決策蜂窩模型是為了幫助管理者決策公司安全方向的模型。每個行業的安全方向都是不一樣的，所以我們要有個能夠參考的模型做標準。
\\- 戰略：CXO從年度的戰略方向中需要分析出由于安全風險可能導致的問題，是否需要擴展新的安全技術投入和安全人才的儲備。\\t
- 趨勢：從公司的發展方向聯合公司相關業務部門共同定義出易出現安全隱患的范圍，以及行業內對資產的最新技術和最新漏洞，需要提前從技術角度做好調整。\\t
- 影響：針對出現的安全風險需要快速定義是否為核心業務，內外部分界，漏洞級別。多個緯度進行判斷影響，從而確定決策。\\t
- 特征：特征階段可以通過歷史風險數據去判斷新風險屬于重發還是頻發，是屬于嚴重還是屬于不嚴重典型類。\\t
- 業務：對現有業務進行清晰分級，輔助影響和特征\\t
- 形象：出現安全風險后需要啟動公關、內控、黨委以及公共事務相關進行不同層面的決策\\t
- 價值：所有安全風險價值進行直觀的分析，用價值的形式進行展現。\
InfoQ：能否回顧下京東這六年來走過的路。
\\\李學慶： 到現在為止已經6年頭，一步一個扎實的腳印，一步一個坑的踩了過來。
\\可以簡單的把京東這六年概括為：
\\- 萌芽期（2011年）：
\\t大環境下各家公司對于安全的理解和認識還是一個萌芽階段，京東在11年以前已經在開發的每個環節增加安全的檢查點，例如code review。但整體來說屬于初級，大風險能夠覆蓋。并在我剛去的2個月做了一次大型的安全培訓，培訓場次60余場，培訓人次2000余人，當時最有趣的就是培訓完了大家回去都去把電腦密碼設置更加復雜，但等到第二天有人打電話過來：李老師，我睡了一晚上覺，電腦密碼忘了。到現在，設置安全密碼并定時更換已經成為日常工作中大家最基本的安全常識。\\t - 起步期（2012年）:
\\t2012年開始組建京東的安全部門，當時叫做安全管理部。當年做的最多的就是怎么讓大家把安全因素放到開發中并形成流程，所以當年做的最多的就是規范研發體系的開發流程、開發規范、以及重大漏洞的設計方案。做的最成功的可能就是自己定義了一套應對Struts2漏洞的防御方案，并全部嵌入到了上線流程中。\\t - 成長期（2013年）：
\\t2013年最受行業關注的莫過于撞庫問題，由于前兩年行業中出現的各種數據泄漏，用戶通常的習慣又是在多個網站注冊相同的用戶名和密碼，所以導致很多電商網站出現詐騙、批量刷券的問題。我們通過努力，將撞庫風險降到最低。并于在2013年推出了京東JSRC，聯手行業白帽子一起，幫助京東查缺補漏，直至現在JSRC為京東作出了很大的貢獻。\\t - 發展期（2014年）：
\\t通過3年的積累，我們對于基礎的安全風險已經可以做到可控，14年我們主要聚焦到怎么保障業務上的安全，很多業務上的安全風險通過不同檢測方法、邏輯判斷、智能的識別相對完整的做了體系化。\\t - 對標期（2015年）：
\\t對于公司業務發展迅速、上線系統繁多，我們開始考慮到把現有的很多能力通過平臺化的形式做好管理，提高效率。所以后邊慢慢延伸出來不同緯度的安全管理平臺。\\t - 擴張期（2016年）：
\\t2016年是一個京東安全團隊一個擴張期，職責變得更大，隨著京東業務體量的不斷增長，安全團隊的責任也越來越大，已從幾十人的小團隊到現在數百人的團隊。\\t - 創新期（2017年）：
\\t今年京東信息安全部聚焦的業務和技術范圍更加廣闊。我們開始針對移動痛點的自研解決方案，希望可以開放給行業；不斷提升威脅感知能力；攻防團隊慢慢升級為紅藍對抗；IoT安全方向研究；公有云的安全賦能等等。\
InfoQ：京東應急安全響應中心的工作職責和具體的工作內容包括？
\\\李學慶：京東安全響應中心的工作職責是為京東與白帽子之間搭建一個以安全為中心的溝通橋梁。白帽子可以通過挖掘京東的漏洞、情報、掃描插件、0day提交至京東安全響應中心（http://security.jd.com），京東安全團隊會根據漏洞級別發放等同價值的積分，白帽子可以使用積分兌換想要的商品。
\\自京東安全響應中心開張以來在行業中是首家創辦安全小課堂、開創系列詐騙宣傳活動、首家啟用白帽子為大促保駕護航、京東安全公益以及首家聯合行業SRC共同倡議白帽子懂法、守法單位。
\\\InfoQ：能否給我們講講現在京東的前沿安全趨勢？
\\\李學慶：對于傳統安全廠商來說，京東做安全相關的產品具備的優勢就是場景。我們也在從這個角度看是否可以做些更具有價值的落地產品。
\\脈象平臺：脈象平臺是基于京東的資產平臺（大海）進行的升級改造。大海平臺目前已具有京東重要資產信息，并可隨時獲取最新的資產數據。在前段時間的struts2漏洞大海系統起到了至關重要的作用，快速定位風險范圍，對升級效果的快速檢驗。整體下來比行業修復漏洞至少快了10個小時。針對現有的漏洞定位已經解決的，但對于數據泄漏的溯源、定位還是個很難的問題，特別采用數據關系鏈的思路把數據泄漏問題進行溯源定位。
\\京東脈象平臺分成三層：基礎數據層、關系鏈層、查詢接口層。
\\- 基礎數據層包括京東的基礎資產、資產的安全漏洞、資產的威脅情報；\\t
- 關系鏈層把所有的資產做關聯，從基礎資產類、漏洞類、情報類、框架類、用戶信息類、訂單信息類，每一類都會把相關資產進行關聯，并把路徑展現清晰；\\t
- 查詢接口層通過不同維度既可以定位漏洞影響范圍，同樣輸入泄漏的用戶數據或訂單數據；\
脈象平臺會把相關數據的使用部門、存儲方式、存儲服務器資產、是否出現過安全漏洞、對外服務器是否出現過入侵痕跡，使用人的基本信息（是否為新員工），之后從脈象中定位具體范圍。
\\最后喊句口號：技術引領，正道成功！所有的付出都將成為個人生涯中的一個重要里程碑！
\\\作者簡介
\\李學慶，京東安全方向第一人，618、雙11安全保障總舵手，安全領域中SELC發起者。2011年加入京東商城，擔任公司安全攻防、安全響應以及安全體系規劃建設工作，京東安全響應中心建設及運營等。曾參與京東涉及的所有行業重大漏洞響應、京東相關的安全事件等。2016年帶領安全團隊保障京東安全，間接避免京東損失高達4.3億元。曾根據多年安全行業經驗總結并分享“安全決策蜂窩模型”、“信息安全體系建設三部曲”、“安全行業人才培養計劃”等內容。
總結
以上是生活随笔為你收集整理的京东618：六年历程步步为营，京东商城的安全保卫战的全部內容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 【转】快捷支付详解--比较详细
- 下一篇： 用Bioconductor对基因组注释