前 言
在互联网+的进程中，一方面互联网企业越来越多，另一方面由外部环境推动的或自发的安全意识越来越强，对安全建设的需求也越来越多，很多企业都开始招聘安全负责人，不乏年薪上百万元和几百万元的安全负责人职位，但事实是很多公司常年用高薪，都招不到合适的安全负责人，其中的原因有很多，比较客观的一条就是这个行业所培养的有互联网整体安全视角的人实在寥寥无几，而这些人大都不缺高薪，也不缺职位。我在“信息安全行业从业指南2.0”一文中曾经写过自2014年开始，安全行业的大部分高端人才都在互联网行业，为什么还是有那么多缺口？细想了一下有几个方面的因素：
过去，安全并不太受重视，安全从业者的职业发展瓶颈明显，很多拥有整体安全视角的人离开了安全行业转去做其他的事情了。
早年在乙方安全公司的人经历了给客户从零开始建设安全体系的过程，而后来进入乙方的毕业生，接触客户时大都已经有安全体系，无法体验从0到1的过程并从中学到完整的方法论，很多方法论甚至已“失传”，有些方法论原本就只集中在公司总部的一圈人手里，分支机构除了文档得不到“大象”。
BAT这类企业安全也早已经过安全建设期，后来者分工很细，除了几个早已身居总监职位的老员工之外，大多数人无法得知安全体系的全貌，很多人离开了BAT也说不清自己责任之外的事情该怎么做。
二三线互联网企业中，很多团队所持有的安全体系并不完整，也不是业内最佳实践，有些甚至就是救火型团队，更难有体系化的积累。
当下的很多乙方安全公司，在互联网大潮的冲击下也面临着转型的挑战，要提供符合时代趋势的解决方案仍需努力。
在社区，目前大家都热衷攻防，而不是企业安全建设。攻击者、乙方、甲方之间仍然存在较大的鸿沟，彼此互相不屑，从社区里也多半只能挖掘到一些单点型的防御手法，即便好学的人订阅了所有的安全站点和微信公众号，恐怕也难以学会企业整体安全建设的方法。
基于以上种种原因，我明显感觉到有一堵墙存在于业界、社区、甲方、乙方、想学习的人和信息的不对称之间，我决定动手推倒这堵墙，所以就有了这本书。
首先本书聚焦于互联网行业的企业级安全解决方案、架构、方法论和建设思路，关于单点技术，市面上已经有很多书，所以本书内容大多不会围绕单点技术来讲，而是希望读者看完之后找到企业安全整体建设的那种感觉。即便是一个甲方安全工程师，也能从中学到互联网公司安全负责人的知识和视野，并以此为导航，逐步积累自己所需要的知识和技能，向更高的层级发展。
对于乙方安全公司的从业者而言，顾问们或许可以从中了解甲方的需求和工作，从而提供更加接地气的交付方案。对于产品设计和研发人员，本书展示的互联网安全架构有助于拓展传统安全的思路，不一定能直接复用，但也许能有所启发。
对于黑客技术爱好者，比较安全的道路仍然是从事安全，不可避免地也要学习这些，高级的渗透和攻击技巧都需要绕过防御手段，了解防御者思维是必须跨过的门槛。
本书同样适用于想了解企业安全建设的CTO、运维总监、研发总监、架构师。但本书内容都假设读者有一定的基础，对一些比较基础的名词和技术没有做太多的解释。
在出版这本书时由于时间和信息披露方面的限制，写出来的部分与我们原先期望的仍有不少差距，但另一方面我们希望像互联网产品的迭代方式一样，不追求完美，但求尽快面世，因此本书也难免带着各种bug上线，也欢迎各位读者的意见或建议。此外，我们计划在本书的第2版中进一步展开某些话题，并且更加系统化，同时会在业界最佳实践方面挑战另一个维度。
最后特别感谢本书的编辑吴怡自我在360工作时便找到我，建议我将网络中的文字写成书，让更多的人能读到。感谢另外两位作者江虎（ID：xti9er）和胡乾威（ID：Rayxcp）帮我分担了很多压力，使得此书能尽快面世。同时感谢netxfly@小米、职业欠钱@腾讯、clyde@电信云堤、终极修炼师@唯品会、laintoday@爱奇艺提供的帮助。
目录
第1章 安全大环境与背景
1.2 企业安全包括哪些事情
1.3 互联网企业和传统企业在安全建设中的区别
1.4 不同规模企业的安全管理
1.5 生态级企业vs平台级企业安全建设的需求
1.6 云环境下的安全变迁 16
第2章 安全的组织 17
2.1 创业型企业一定需要CSO吗 17
2.2 如何建立一支安全团队 19
第3章 甲方安全建设方法论 22
3.1 从零开始 22
3.2 不同阶段的安全建设重点 24
3.3 如何推动安全策略 26
3.4 安全需要向业务妥协吗 28
3.5 选择在不同的维度做防御 29
3.6 需要自己发明安全机制吗 33
3.7 如何看待SDL 34
3.7.1 攻防驱动修改 36
3.7.2 SDL落地率低的原因 37
3.7.3 因地制宜的SDL实践 38
3.7.4 SDL在互联网企业的发展 39
3.8 STRIDE威胁建模 40
3.9 关于ISO27001 42
3.10 流程与“反流程” 43
3.11 业务持续性管理 45
3.12 关于应急响应
3.13 安全建设的“马斯洛需求”层次
3.14 TCO和ROI
第4章 业界的模糊地带
4.1 关于大数据安全
4.2 解决方案的争议
技术篇
第5章 防御架构原则
5.1 防守体系建设三部曲
5.2 大规模生产网络的纵深防御架构 62
5.2.1 互联网安全理念 62
5.2.2 攻击者视角 63
5.2.3 防御者模型 63
5.2.4 互联网安全架构设计原则 66
第6章 基础安全措施 70
6.1 安全域划分 70
6.1.1 传统的安全域划分 70
6.1.2 典型的Web服务 71
6.1.3 大型系统安全域划分 72
6.1.4 生产网络和办公网络 74
6.2 系统安全加固 75
6.2.1 Linux加固 75
6.2.2 应用配置加固 81
6.2.3 远程访问 83
6.2.4 账号密码 83
6.2.5 网络访问控制 84
6.2.6 补丁管理 86
6.2.7 日志审计 86
6.3 服务器4A 87
第7章 网络安全 89
7.1 网络入侵检测 89
7.2 T级DDoS防御 95
7.2.1 DDoS分类 95
7.2.2 多层防御结构 100
7.2.3 不同类型的企业 108
7.2.4 不同类型的业务 109
7.2.5 服务策略 109
7.2.6 NIPS场景 110
7.2.7 破防和反制 111
7.2.8 立案和追踪 112
7.3 链路劫持 113
7.4 应用防火墙WAF 117
7.4.1 WAF架构分类 117
7.4.2 WAF安全策略建设 118
7.4.3 WAF性能优化 121
第8章 入侵感知体系 123
8.1 主机入侵检测 123
8.1.1 开源产品OSSEC 123
8.1.2 MIG 129
8.1.3 OSquery 131
8.1.4 自研Linux HIDS系统 135
8.2 检测webshell 144
8.3 RASP 149
8.3.1 PHP RASP 149
8.3.2 Java RASP 153
8.4 数据库审计 159
8.5 入侵检测数据分析平台 162
8.5.1 架构选择 162
8.5.2 功能模块 163
8.5.3 分析能力 164
8.5.4 实战演示 167
8.6 入侵检测数据模型 169
8.7 数据链生态—僵尸网络 174
8.7.1 僵尸网络传播 174
8.7.2 僵尸网络架构 175
8.7.3 应对僵尸网络威胁 179
8.8 安全运营 181
第9章 漏洞扫描 182
9.1 概述 182
9.2 漏洞扫描的种类 183
9.2.1 按漏洞类型分类 183
9.2.2 按扫描器行为分类 190
9.3 如何应对大规模的资产扫描 197
9.4 小结 198
第10章 移动应用安全 200
10.1 背景 200
10.2 业务架构分析 200
10.3 移动操作系统安全简介 201
10.4 签名管理 202
10.5 应用沙盒及权限 203
10.6 应用安全风险分析 204
10.7 安全应对 205
10.8 安全评估 206
10.9 关于移动认证 206
第11章 代码审计 207
11.1 自动化审计产品 207
11.2 Coverity 208
第12章 办公网络安全 216
12.1 文化问题 216
12.2 安全域划分 217
12.3 终端管理 218
12.4 安全网关 221
12.5 研发管理 222
12.6 远程访问 224
12.7 虚拟化桌面 224
12.8 APT 226
12.9 DLP数据防泄密 227
12.10 移动办公和边界模糊化 228
12.11 技术之外 229
第13章 安全管理体系 230
13.1 相对“全集” 234
13.2 组织 235
13.3 KPI 236
13.4 外部评价指标 239
13.5 最小集合 240
13.5.1 资产管理 240
13.5.2 发布和变更流程 241
13.5.3 事件处理流程 241
13.6 安全产品研发 245
13.7 开放与合作 246
第14章 隐私保护 248
14.1 数据分类 250
14.2 访问控制 250
14.3 数据隔离 251
14.4 数据加密 253
14.5 密钥管理 258
14.6 安全删除 258
14.7 匿名化 259
14.8 内容分级 259
实践篇
第15章 业务安全与风控 264
15.1 对抗原则 264
15.2 账号安全 265
15.3 电商类 270
15.4 广告类 274
15.5 媒体类 274
15.6 网游类 274
15.7 云计算 275
第16章 大规模纵深防御体系设计与实现 276
16.1 设计方案的考虑 276
16.2 不同场景下的裁剪 281
第17章 分阶段的安全体系建设 283
17.1 宏观过程 283
17.2 清理灰色地带 285
17.3 建立应急响应能力 286
17.4 运营环节 288
附录 信息安全行业从业指南2.0 290
