0x00 背景

学习研读了钉钉安全白皮书，将一些关键点记录如下：

0x01 全链路安全防护

1、客户端安全

应用完整性
    重新编译
    加壳保护
    修改指令调用顺序
 环境可信性
    模拟器运行检测
    越狱和 ROOT 检测
    终端进程注入检测
    提供应用沙箱环境
    病毒检测
数据机密性
    安全加密
    安全沙箱
    安全签名
账号安全风控
    阿里巴巴自建的账号安全风控体系
        账号和设备风险、异常行为
    其他扩展的账号安全控制措施
        双因子验证(2FA)、生物特征识别、同事关系识别

2、传输安全

基于 SSL/TLS 协议的私有安全通信协议 LWS
    钉钉端到端的通信链路加密、签名，防止窃听、篡改

3、服务端安全

应用安全
        安全开发生命周期管理体系
            人员培训
            安全需求
            安全开发
            安全测试
            项目发布
            安全运营与应急响应阶段
    数据库安全
        数据库管理平台 iDB
            数据库统一认证、权限管理、数据变更、库表同步以及操作安全审核
         CloudDBA
            系统化、专业化的数据库诊断优化能力
    中间件安全
        分布式权限系统进行身份识别和访问控制

4、 基础设施安全

物理安全
    电子计算机机房设计规范》（GB50174）、《电信专用房屋设计规范（YD5003-2014）
    人员进出机房访问登记
    物理监控巡检层面
    线上业务定时自动巡检和定期人工检查,有效发现异常报警信息
    物理安全指引和操作安全管理规程
网络安全
    异常流量清洗平台监测管控
    不同安全区域
        严格的访问控制和路由策略
        流量分光镜像和 flow 采样
            流量DPI/DFI 分析和监控
主机安全
    管控机制
        剪裁不必要的服务、最小化开启业务所需的服务和端口
    访问管理
        事前预警机制
             SSO 集成 AD 域和阿里安全客户端的 OTP 实现主机登录双因素验证鉴权
            网络层访问控制策略和虚拟安全访问组实现基于 IP 地址和端口的安全控制
            自动化的访问控制策略 review 工具每天检查策略合规情况
        事中检测机制
            主机部署入侵检测 agent
            堡垒机的运维监控以及目标主机日志审计
            镜像漏洞扫描工具直接扫描软件仓库
            基线扫描工具
             APT 对抗
                自研 agent 覆盖办公终端和生产服务器等服务深度集成
        事后响应机制
            安全算法模型，计算钉钉业务云、管、端的异常行为分布以及入侵特征
            漏洞一键止血、未知漏洞快速响应、恶意文件云端查杀、
系统补丁使用 ksplice 实现快速灰度验证和更新

5、数据安全

DSMM 的各项安全要求
     数据产生
        按照数据类型、敏感程度、数据价值等相关属性明确数据分类分级标准
        所有数据按照策略规范要求实施分类管控、分级授权
    数据传输
        面向互联网
            接入统一应用网关
                 TLS 加密以及证书统一管理
        面向内部
            统一接入加密机
                加密机 API 实现不同应用的签名、认证和加密
    数据使用
        钉钉前端应用层面
            涉敏页面全部数字水印处理
        服务端应用层面
            统一接入权限管理系统
                详细说明
        数据库操作层面
            增删改查的操作命令全程监控，操作日志集中存储，操作流量实时分析
    数据存储
        对称密钥算法 AES-256-GCM 实施整库加密保护
        根据用户可信设备信息生成唯一的密钥
        可按需设置用户聊天信息自动销毁
        服务端每个应用采用独立密钥，每个企业密钥各不相同，硬件加密系统统一管理
    数据共享
        对外数据开放共享
            保护用户隐私
            必要性和最小化
            合规性
    数据销毁
        存储介质出数据中心遵照 DoD 5220.22-M、NIST 800-88 标准
        清除数据、磁盘消磁以及物理销毁
    数据安全审计
        全链路风险检测感知体系
            语境分析、行为过滤和专家运营，实时检测
            异常数据访问记录。如登录失败、权限升级、非法访问、敏感数据下载

6、安全运营

反入侵
    大数据安全分析平台
        终端行为日志、网络安全日志、系统运行及入侵检测日志、WAF 防护日志以及网络流量、基线检查等信息
        模式匹配、沙盒分析、机器学习、专家经验等规则
    异常流量清洗平台
        一键处置，保障业务系统的安全性和客户数据的隐私性
红蓝对抗
    计划性进行渗透测试工作
    攻防演练平台
        内置历史攻击数据、漏洞库、基础资产信息和专家经验
    安全众测
        定期邀请 ASRC 白帽子开展
应急响应
    安全事件应急管理平台
        在安全事件发现阶段
             OpenAPI 与黑白盒扫描产品以及威胁情报系统、ASRC 等平台打通
        安全事件处置阶段
            安全应急响应专家 7x24 小时实时响应
            已知类型安全事件
            未知类型安全事件
        安全事件溯源阶段
            按需收集受影响的业务端、管、云的活动日志
            全面还原安全事件发生过程
            针对性的整改加固
            如有需要，配合公检法部门进行立案处理
        安全事件复盘阶段
            定期组织人员进行复盘，总结分析事件根本原因
            针对性提升事前管控、事中检测机制和流程

0x02 安全合规

1、体系建设

依据标准
    《中华人民共和国网络安全法》
     ISO27001、ISO27018、PCIDSS、SOC 2/3、GDPR、TrustE 以及信息安全等级保护等国内外标准和最佳实践
十四个控制域的安全体系
    规范的四级文档架构和可配置的度量体系
    安全流程基本实现线上化，过程数据指标化，运营度量平台化

2、拥抱监管

信息安全等级保护：三级
ISO27001:2013 信息安全管理体系
    信息安全管理体系（ISMS）
    产品研发、业务运营、安全保障、营销推广等全生命周期
    每一位“责任人”按照明确的“规范”、遵守标准的“流程”并输出有效的过程“记录表单”
ISO/IEC27018:2014云端隐私保护标准
    数据收集、使用、存储等必须获得用户授权
    用户对其存储的数据具备完全的控制权和合理的透明度
SOCⅡ安全审计报告
    Report on System and Organization Controls
    报告的内容框架和格式由美国注册会计师协会（AICPA）制定
    企业安全性、过程完整性、可用性、保密性和隐私性相关的服务控制

3、内控审计

安全管理工作的合理性、安全控制措施的有效性
        安全合规团队
            定量和定性的风险评估和安全审计

4、廉正合规

日常业务开展过程
        《商业行为准则》、《员工纪律制度》、《安全红线》等安全规章制度
        发现泄露用户隐私、恶意篡改用户数据、非授权执行违规操作等异常行为
        视情况给予处罚，严重情况下予以辞退处分，并永不录用

0x03 生态安全

1、生态闭环

一体化解决方案
    安全端容器、私有安全加密通道、安全云容器
        
应用市场
    专项治理和持续监测审计

2、安全赋能

第三方应用上线审核流程及标准
         ISV 准入要求以及 PHP、JAVA、H5 等安全开发规范
        第三方 ISV 以及企业开发者建立和培养安全梯队

3、应用监管

微应用在应用市场上线前
    开发者需提交安全测试报告
        钉钉安全专家审核并验收通过
微应用上架后
    授权钉钉安全专家进行安全评估
        符合规范要求的微应用将在钉钉应用市场
        获得安全认证的标签
对第三方开发者上线的微应用
    应用市场异常监控和安全扫描

前文思维导图

下载链接

欢迎大家分享更好的思路，热切期待^^_^^ !

软件安全建设【学习笔记】相关推荐

1. 【信息安全案例】——系统软件安全（学习笔记）

2. 【信息安全案例】——应用软件安全（学习笔记）

3. MIT的学习资料(reading部分)锁与同步学习笔记

   MIT的学习资料(reading部分)锁与同步学习笔记 系统构件题材及问题探讨 锁和同步 目标 了解一个锁是用于保护共有的可变数据 能够认识到的僵局以及知道战略,以防止它 知道监视器模式,并能够将其应 ...

4. springmvc学习笔记--Interceptor机制和实践

   前言: Spring的AOP理念, 以及j2ee中责任链(过滤器链)的设计模式, 确实深入人心, 处处可以看到它的身影. 这次借项目空闲, 来总结一下SpringMVC的Interceptor机制, ...

5. Hadoop学习笔记—20.网站日志分析项目案例（一）项目介绍

   Hadoop学习笔记-20.网站日志分析项目案例(一)项目介绍 网站日志分析项目案例(一)项目介绍:当前页面 网站日志分析项目案例(二)数据清洗:http://www.cnblogs.com/edis ...

6. OpenCV学习笔记（五十一）——imge stitching图像拼接stitching OpenCV学习笔记（五十二）——号外：OpenCV 2.4.1 又出来了。。。。。 OpenCV学习笔记（五

   OpenCV学习笔记(五十一)--imge stitching图像拼接stitching stitching是OpenCV2.4.0一个新模块,功能是实现图像拼接,所有的相关函数都被封装在Stitch ...

7. 【学习笔记】硬件设备选型

   --学习笔记摘自阅读学习<IT基础架构:系统运维实践>章节 [序言] 硬件平台是支撑生产系统运行的基础设施.随着企业的不断发展,应用负载和数据量在日益增加,只有搭建一套性能优良.稳定可靠的 ...

8. [NOTE] WebGoat v8.2.2学习笔记

   [NOTE] WebGoat v8.2.2学习笔记 文章目录 [NOTE] WebGoat v8.2.2学习笔记 前言 CIA 常见编码形式 OpenSSL使用 docker安全 SQL安全 SQLi ...

9. springmvc学习笔记--ueditor和springmvc的集成

   springmvc学习笔记--ueditor和springmvc的集成 前言: 在web开发中, 富文本的编辑器真心很重要. 有电商店铺的打理, 新闻稿/博客文章/论坛帖子的编辑等等, 这种所见即所的 ...

10. 【PMP学习笔记】：二、项目运行环境

    个人学习笔记,仅供参考学习使用,请勿用于其他用途,喜欢就给个三连. PMPBok版本:第六版 (十年一个版本更新,2021年第七版上线) 第六版与第七版的区别:第七版增加了更多敏捷开发的内容,详细见附 ...

最新文章

1. 微软收购 GitHub 两年后，大咖共论开源新生态
2. 捅破窗户纸：如何从过程到对象—For金色的海洋以及所有为面向对象而困惑的Tx...
3. java properties更新_对Java配置文件Properties的读取、写入与更新操作
4. dede中list标签php,dedecms标签中什么表示列表标签
5. leetcode 54. Spiral Matrix | 54. 螺旋矩阵（Java）
6. 博客园中的源代码格式显示
7. SQL注入：5、SQL盲注
8. 世界是数字的读后感：
9. 【转】那些令人喷饭的注释
10. Team Foundation 使用第三方比较工具
11. 输出结果 配置_用单端仪表放大器实现全差分输出
12. Cookie、Kaptcha
13. c语言判断二次函数,知识：六法搞定二次函数解析式的确定
14. Occam‘s razor - 奥卡姆剃刀
15. 人工智能工程师一般需要学什么？
16. 大星星学物联网概览篇-硬件
17. 《图解TCP/IP》笔记
18. 高德地图使用-高亮某块区域
19. 打印报表提示未安装java_解决报表打印各类问题集锦
20. PCL voxelgrid实现

热门文章

1. 第三方支付交易简单流程
2. 小程序智能聊天机器人（二）
3. 什么是SQL注入式攻击，如何去防范SQL注入式攻击
4. paddleocr文本识别模型的训练
5. mysql存储过程出参和入参_数据库mysql存储中的入参出参理解
6. matlab绘图修改字体大小,matlab绘图中设置字体及图片大小
7. Eclipse使用指南
8. lcd1602液晶显示器
9. Win10笔记本电脑硬盘如何分区
10. 2019人工智能企业100强