陈士超（陌陌基础安全负责人）-通过资产风险画像识别企业风险.pdf

1、通过资产风险画像识别企业风险资产风险识别资产风险识别风险画像落地风险画像落地未来建设方向未来建设方向资产风险识资产风险识别别资产风险识别资产分类资产风险识别资产特点01020304危害大资产作为支持业务的基础，一旦失陷，对业务的影响不可估量不停变随着业务需求的变化，资产在满足业务的同时也在不行增删改供应链外部合作、商业采购引入很多不受公司管控的外部资产难掌控安全不是资产的直接管理者，对资产的变化只能是后知后觉资产风险识别资产风险外部风险0DayAPT业务漏洞敏感信息泄漏内部风险自身缺陷错误配置特权蠕变弱口令恶意窃取协议缺陷补丁未修复后门稳定性资产风险识别资产风险01误报多0203资产关联度低数

2、据有效性落后重复的流程重复的步骤组织架构变动失效资产未删除离职交接不彻底耗人力不准确各类CVE漏洞业务特殊需求外部供应链资产资产风险识别如何解决？成本高侵入业务稳定性？资产风险画资产风险画像像02资产风险画像需求目标1.对业务无依赖、无入侵1.不影响业务稳定性2.不打断业务流程2.准确识别资产变化1.端口变动2.域名指纹变动3.配置变动4.代码变动5.CI/CD3.捕捉最新安全风险1.安全检测工具联动2.外部公开漏洞推送3.SRC、内部安全测试什么时间发生的变化？引入或减少多少风险点？影响多少资产？资产风险画像技术架构资产风险画像技术架构资产风险画像风险计算资产风险画像资产链路关联URL处理转

3、发入口Git代码https:/xxx.xx/xxxIP:PortNginx/Other业务机器代码仓库逻辑代码（处理改请求代码所在文件和行数）南北向流量解析东西向流量解析业务部署信息解析代码解析内部各平台API基础安全能力流量解析资产风险画像资产风险画像资产风险画像风险订阅资产风险画像风险订阅未来建设思未来建设思考考未来建设思考更精细的计算专家分累加、求平均、模运算数据量大时查询缓慢动态决策更准确的数学公式提前计算计算方法数学模型未来当前计算效率未来建设思考更通用化的收集解决思路最终目的通用化的数据接入接口标准化数据关联规则定制化开发数量多数据标准查可动态接入的数据处理查询能力存在的问题关注我们安世加 专注于网络安全行业，通过互联网平台、线上线下沙龙、峰会、人才招聘等多种形式，致力于创建亚太地区最好的甲乙双方交流学习的平台，培养安全人才，提升行业的整体素质，助推安全生态圈的健康发展。