2020滴滴网络安全峰会-PPT学习

=Start=

缘由:

通过公布出来的PPT回顾一下前段时间参加的2020滴滴网络安全峰会的内容,也借此机会大概学习了解一下滴滴在做企业安全的一些大体思路和做法。

正文:

参考解答:

大会分为安全攻防、数据安全、业务安全三大平行论坛,总体来看安全攻防和业务安全论坛的干货最多,下面借着PPT里的内容大致简单整理一下我从中学到的内容。

一、安全攻防论坛—知攻升防,切磋共创

云原生场景下的攻防思路转换

01 动力:合规 or 攻防
02 成本:安全左移
03 本质:运行时安全
04 原生安全:云安全下半场

【推荐】移动端数据防泄露技术

01 甲方移动安全面面观
APP安全
• 越权访问
• 拒绝服务
• 信息泄露
• ……
IoT安全
• 硬件越权
• 拒绝服务
• ……
安全合规
• 敏感数据
• 敏感权限
接口安全
• 接口签名
• 挑战应答
业务风控
• 薅羊毛
• 反作弊
移动DLP
• 内部APP
• 外部APP

02 移动端的不同 – BYOD
root权限 vs. 个人隐私
移动办公 vs. 数据外泄

03 数据防泄漏技术
MDM
安全手机
APP改造

监测通过以下手段的数据外泄:
• 复制粘贴——hook复制粘贴API
• 截屏录屏——Android:可阻断;iOS:可监视,不可阻断,截图上传审计
• 文件转发——hook系统API,加密文件
• APP备份——hook写文件API,落盘加密
• 水印防拍摄——重绘底层view

04 后续方案
技术30% + 运营管理70%
OCR识别 -> 内容审计 -> 数据泄露告警 -> 制度流程 [->循环往复]

滴滴SDL体系建设

05 关于如何做好SDL我的几个观点【观点比较实在

  • 一开始不要研究多么牛逼的技术和工具,先把覆盖率搞上去
  • 做好资产建设,资产不清楚是很多问题的根源。
  • 工具不在多、技术不需要多牛,对标问题是关键。
  • 建立有效的指标评价体系,保证运营的有效性
  • 做好漏洞和事件的持续复盘、改进,发生事件不一定是坏事
  • 技术栈的复杂度、代码来源的多样性、互联网业务高频迭代给SDL带来了极大的挑战,内部扫描发现漏洞不是唯一的手段,也要多依赖安全培训、网络隔离、内外部蓝军、白帽子等其他手段。

二、业务安全论坛—砺剑铸盾,安全共进

【推荐】电信网络诈骗治理工作探讨

电信网络诈骗犯罪图谱 – 超赞,明晰易懂

难打击违法成本低,处置障碍大,轻罪惩戒难
缺协作(自己公司/企业内部可能统一,但是涉及到其它平台的账号时,处理起来捉襟见肘)
治理缺少体系性

涉诈情报共享
涉诈人员处置
反诈技术研究
公众反诈宣传

强对抗认证能力建设
C端服务能力建设-涉诈举报
灰产治理平台建设
安全数据流通能力

业务安全黑产情报洞察之猫池

从【断卡行动】说起。。

业务黑灰产情报体系闭环建设

具体的PPT没放出来,但现场听的时候还挺好。

智能设备标识的困境与出路

智能设备标识困境
设备标识解决方案
灰黑产治理(通过BAS下网络结构的探测分析,能够高效预测任意IP的秒拨风险,这个能做的企业不多。。。)

【推荐】滴滴智能风控平台探索实践

面临的风控场景
风控技术体系
智能风控平台的探索演进 – no perfect, but suitable
遇到的挑战
实践经验与心得

易用性:低技术门槛,是平台快速推广应用的关键
通用性:业务场景通用适配,不重复造轮子
可视化:风控处理链路长且复杂,让运行状态可视化很重要
实时安全攻防:快感知-快识别-快止损,尽可能缩短黑产攻击时间
一切都围绕着数据:数据是风控的弹药,数据标准化,数据运营比数据建设更难
模型不是万能的:策略与模型相互辅助,白猫黑猫,抓到老鼠就是好猫

三、数据安全论坛—赋能行业,共创发展

【推荐】数据安全技术体系建设实践

01 挑战 (合法合规 & 企业发展)
· 面对的问题
· 要达成的目标
02 方法 (那张Gartner的Do & Don’t图很赞)
· 数据安全架构
· 技术体系建设
03 实践
· 数据感知、管控能力建设
· 自动化审计能力建设
· 数字水印能力建设
04 方向
· 持续迭代 面向未来

滴滴信息安全文化建设

企业安全的真正短板在于人
信息安全部发展到一定阶段挑战在于影响力
先知道,再记住?

初期:透传规范要求(知道怎么做 -> 不得不做)
后期:信息安全在身边(了解重要性 -> 愿意做)

正向宣贯,负向提升,演练检验

外部安全感的研究;内部安全满意度瓶颈的跨越 是行业共同的难题

参考链接:

PPT下载|2020滴滴网络安全峰会
https://mp.weixin.qq.com/s/lkiPLHWECzuQ-0batCSkOg

=END=

声明: 除非注明,ixyzero.com文章均为原创,转载请以链接形式标明本文地址,谢谢!
https://ixyzero.com/blog/archives/5057.html

《2020滴滴网络安全峰会-PPT学习》上的3个想法

  1. 2021西湖论剑·网络安全大会 安全:数字化改革之根基 / 数字时代下的电信网络诈骗及防范
    https://vipread.com/library/topic/3489
    `
    一切网络诈骗发生的条件,都是信息对称逆转

    快递信息泄露 – 四通一达等各类快递数据
    社交论坛 – 朋友圈、微博等发送当天的状态、未来的计划等
    公共Wi-Fi – 星巴克、餐厅的免费Wi-Fi等
    通讯录泄露 – 非法、违规APK获取手机通讯录等
    账单票据 – 丢弃的车票、机票等
    问卷抽奖 – 街头抽奖问卷,朋友圈测试问卷
    黑客入侵窃取泄露 – 历年数据泄露事件,例如开房数据、肯德基数据、外卖数据等
    电商卖家信息泄露 – 京东、淘宝店,房产、汽车销售,医院、妇产科等等

    隐私窃取+数据泄露

    ==

    在电信网络诈骗面前

    我们每个人都不能置身事外

    遇到骗局如何才能不上当

    最简单有效的办法就是

    不予理会并及时报警

    希望大家一定要提高警惕

    从随手标记诈骗

    到守护家人安全

    多一个人

    就少一个人受骗
    `

发表评论

您的电子邮箱地址不会被公开。 必填项已用*标注