陳士超（陌陌基礎安全負責人）-通過資產風險畫像識別企業風險.pdf

《陳士超（陌陌基礎安全負責人）-通過資產風險畫像識別企業風險.pdf》由會員分享，可在線閱讀，更多相關《陳士超（陌陌基礎安全負責人）-通過資產風險畫像識別企業風險.pdf（21頁珍藏版）》請在三個皮匠報告上搜索。

1、通過資產風險畫像識別企業風險資產風險識別資產風險識別風險畫像落地風險畫像落地未來建設方向未來建設方向資產風險識資產風險識別別資產風險識別資產分類資產風險識別資產特點01020304危害大資產作為支持業務的基礎，一旦失陷，對業務的影響不可估量不停變隨著業務需求的變化，資產在滿足業務的同時也在不行增刪改供應鏈外部合作、商業采購引入很多不受公司管控的外部資產難掌控安全不是資產的直接管理者，對資產的變化只能是后知后覺資產風險識別資產風險外部風險0DayAPT業務漏洞敏感信息泄漏內部風險自身缺陷錯誤配置特權蠕變弱口令惡意竊取協議缺陷補丁未修復后門穩定性資產風險識別資產風險01誤報多0203資產關聯度低數

2、據有效性落后重復的流程重復的步驟組織架構變動失效資產未刪除離職交接不徹底耗人力不準確各類CVE漏洞業務特殊需求外部供應鏈資產資產風險識別如何解決？成本高侵入業務穩定性？資產風險畫資產風險畫像像02資產風險畫像需求目標1.對業務無依賴、無入侵1.不影響業務穩定性2.不打斷業務流程2.準確識別資產變化1.端口變動2.域名指紋變動3.配置變動4.代碼變動5.CI/CD3.捕捉最新安全風險1.安全檢測工具聯動2.外部公開漏洞推送3.SRC、內部安全測試什么時間發生的變化？引入或減少多少風險點？影響多少資產？資產風險畫像技術架構資產風險畫像技術架構資產風險畫像風險計算資產風險畫像資產鏈路關聯URL處理轉

3、發入口Git代碼https:/xxx.xx/xxxIP:PortNginx/Other業務機器代碼倉庫邏輯代碼（處理改請求代碼所在文件和行數）南北向流量解析東西向流量解析業務部署信息解析代碼解析內部各平臺API基礎安全能力流量解析資產風險畫像資產風險畫像資產風險畫像風險訂閱資產風險畫像風險訂閱未來建設思未來建設思考考未來建設思考更精細的計算專家分累加、求平均、模運算數據量大時查詢緩慢動態決策更準確的數學公式提前計算計算方法數學模型未來當前計算效率未來建設思考更通用化的收集解決思路最終目的通用化的數據接入接口標準化數據關聯規則定制化開發數量多數據標準查可動態接入的數據處理查詢能力存在的問題關注我們安世加 專注于網絡安全行業，通過互聯網平臺、線上線下沙龍、峰會、人才招聘等多種形式，致力于創建亞太地區最好的甲乙雙方交流學習的平臺，培養安全人才，提升行業的整體素質，助推安全生態圈的健康發展。