电商黑马网,电商创业第一站。微信公众号:dianshangheima ;微信私人号:dianshangw

京东安全架构师刘刚:电商大促的安全保障是一个复杂的超级工程
2017-12-15 16:00   |来源:未知 |点击:

  创业项目优选 好项目来A5招商 ,点击入驻!

  在各大电商逐年上涨的营业额和全民购物狂欢的背后,电商平台也面临巨大的安全挑战,比如:漏洞利用、劫持攻击、钓鱼攻击、网络欺诈等。这重重风险之下,电商平台究竟是如何构建自己的安全保障体系的?本文中,51CTO记者带你走进京东一探究竟,深入了解京东大促背后关于安全的那些事儿。

  大促的安全保障是一个复杂的超级工程

  “大促的安全保障是一个复杂的超级工程。”在近日举行的GITC全球互联网技术大会上,京东信息安全部安全架构师刘刚向记者表示:“大促期间,出现了任何服务不可用、不安全的事件,影响都非常大。目前,我们主要面临‘三高’和‘三多’的考验。三高是:业务复杂度高、重要性高、风险影响高;三多是:头绪多、不确定因素多、干系人多。”

  据悉,京东商城从下单到准备出库就包括首页、购物车、订单中间件、库存中间件等几十个主流程和多个入口。另外,还有用户、价格、评价等强依赖服务,预约、预售、京豆等非强依赖服务。这些复杂并且运转良好的系统,在大流量的冲击下,可能变得极其脆弱。

  

京东安全架构师刘刚:电商大促的安全保障一个复杂的超级工程

 

  刘刚坦言,京东的业务形态很多。面对挑战,京东信息安全部门不单单要考虑网络、应用层面的威胁,还要考虑配送站、物流的各个节点等。而且,历次大促备战所处的环境、遇到的问题各不相同,不确定因素也多。第三参与人员多,集团内部直接参与保障的安全人员有100多人,间接参与的各部门接口人横跨京东商城、京东金融、京东物流的几十个一级部门,管理的难度很大。

  风起云涌 大促之下的“暗战”

  在电商大促这场安全攻防大战中,攻击方采用流量劫持、钓鱼攻击、撞库攻击、漏洞利用等多种手段大举进攻。作为守卫方,京东信息安全部采用“兵马未动,粮草先行”之策提早布局,利用安全技术和平台构建安全保障体系严防死守。

  自2011年发展至今,京东信息安全团队也在逐步扩大。从账号安全到业务安全,从常见的Web漏洞防护到流量劫持的快速取证,从保证PC端安全到移动端、IoT的安全防护……京东已经具备了标准的防御力,构建了坚实的安全防御体系。

  刘刚表示,为了确保大促活动期间的安全,京东积极备战。大促活动前一个多月,京东就进入了“战斗”状态,对整个平台进行测试,并邀请白帽子与第三方安全厂商帮助进行安全测试,做到及时的查漏补缺;在大促期间,利用多个安全技术平台及时响应,处理突发事件;在大促活动结束,总结经验,提升平台整体安全防御能力。

  京东自研技术平台,为全民购物狂欢保驾护航

  针对备战的具体细节,刘刚从以下三个方面为记者进行了详细的解读:

  

京东安全架构师刘刚:电商大促的安全保障一个复杂的超级工程

 

  首先,在技术支撑上,京东自研开发了以分布式高并发漏洞扫描、大海资产管理系统、脉象全息化平台为代表的安全防御技术平台。

  

京东安全架构师刘刚:电商大促的安全保障一个复杂的超级工程

 

  分布式高并发漏洞扫描最大的特点就是发现漏洞“快”,对单个PoC只需3分钟就可把全网资产跑一遍,45分钟可对全网进行一次日常的安全扫描,系统可以支持lua、python等多种语言。可以准确扫描Strtus2漏洞、Spring Boot漏洞、心脏滴血等漏洞。

  

京东安全架构师刘刚:电商大促的安全保障一个复杂的超级工程

 

  大海资产管理系统的特点是“全”,可实现全量的扫描范围。该系统采用了隐式马尔可夫算法的URL去重、智能多维度关联、基于海量数据的关联处理等多种技术,可以不断采集、动态更新和同步京东的所有资产信息,包括:IP、域名、url,以及资产所属的部门,内网还是外网应用、资产的管理者、联系方式等。

  脉象全息化平台的特点则是“早”,可以提前感知安全威胁。该平台解决的问题是,如何尽早的发现漏洞?爆发安全事件后直观影响范围是什么?处理的进度是什么?用什么优先级来处理这些安全事件等。

  

京东安全架构师刘刚:电商大促的安全保障一个复杂的超级工程

 

  脉象全息化平台通过从内外部的多个情报源获取情报,目前已有50多个渠道对漏洞和舆情进行实时监控,一旦有任何动态,专业的分析团队将会及时响应,分析并编写PoC,然后部署到漏洞扫描器,从大海资产管理系统获取相关数据后就可以快速进行扫描。最终实现从发现漏洞、到处理漏洞、到安全复盘一气呵成,提升安全应急、测试团队等整体工作效率。

  此外,在技术上,京东还实现了SDL+安全开发控制,基于京东大促数据墙建立了保障指挥系统,对全站HTTPS进行推广和优化,并通过DDoS攻防平台进行攻击流量的集中监控。

  其次,在保障管理上,一方面,京东专门为大促做了一个引导发布,把京东所有涉及到不同层面的内容汇总,比如:安全开发中的的规范、检测方式、联系人、联系方式等。通过引导发布,让所有人清楚每个层面应该怎么做加固。另一方面,对核心资产和涉及的数据进行了梳理,分析存在的风险、攻击路径和可能的利用场景、应对方案、检查手段、监控的数据等。最后,各个业务部门进行全面的检查。此外,京东还结合外部白帽子和第三方的力量,在大促之前规避安全风险,作用非常显著。

  再次,在组织和动员上,在日常保障阶段,京东通过各种培训、信息安全月、安全训练营等活动,提高大家对安全的兴奋度。在备战阶段,严格依据项目管理的标准流程,从范围、时间、成本、干系人、沟通等各个维度进行考虑,保证我们整体过程是顺畅的。比如,备战开始前,邀请各个业务部门的接口人参加备战启动会,每周同步备战进展。临近大促时,每天同步一次最新情况,保证所有的资源、技术能力、人员到位。


上一篇:一景互动CEO翁孝清:让中小企业有机会拥抱数字营销
下一篇:没有了

友情链接