|
|
|
|
移动端

京东安全架构师刘刚:电商大促的安全保障是一个复杂的超级工程

在各大电商逐年上涨的营业额和全民购物狂欢的背后,电商平台也面临巨大的安全挑战,比如:漏洞利用、劫持攻击、钓鱼攻击、网络欺诈等。这重重风险之下,电商平台究竟是如何构建自己的安全保障体系的?

作者:杜美洁来源:51CTO.com|2017-12-15 11:39

【新品产上线啦】51CTO播客,随时随地,碎片化学习

【51CTO.com原创稿件】在各大电商逐年上涨的营业额和全民购物狂欢的背后,电商平台也面临巨大的安全挑战,比如:漏洞利用、劫持攻击、钓鱼攻击、网络欺诈等。这重重风险之下,电商平台究竟是如何构建自己的安全保障体系的?本文中,51CTO记者带你走进京东一探究竟,深入了解京东大促背后关于安全的那些事儿。

大促的安全保障是一个复杂的超级工程

“大促的安全保障是一个复杂的超级工程。”在近日举行的GITC全球互联网技术大会上,京东信息安全部安全架构师刘刚向记者表示:“大促期间,出现了任何服务不可用、不安全的事件,影响都非常大。目前,我们主要面临‘三高’和‘三多’的考验。三高是:业务复杂度高、重要性高、风险影响高;三多是:头绪多、不确定因素多、干系人多。”

据悉,京东商城从下单到准备出库就包括首页、购物车、订单中间件、库存中间件等几十个主流程和多个入口。另外,还有用户、价格、评价等强依赖服务,预约、预售、京豆等非强依赖服务。这些复杂并且运转良好的系统,在大流量的冲击下,可能变得极其脆弱。

京东安全架构师刘刚:电商大促的安全保障一个复杂的超级工程

刘刚坦言,京东的业务形态很多。面对挑战,京东信息安全部门不单单要考虑网络、应用层面的威胁,还要考虑配送站、物流的各个节点等。而且,历次大促备战所处的环境、遇到的问题各不相同,不确定因素也多。第三参与人员多,集团内部直接参与保障的安全人员有100多人,间接参与的各部门接口人横跨京东商城、京东金融、京东物流的几十个一级部门,管理的难度很大。

风起云涌 大促之下的“暗战”

在电商大促这场安全攻防大战中,攻击方采用流量劫持、钓鱼攻击、撞库攻击、漏洞利用等多种手段大举进攻。作为守卫方,京东信息安全部采用“兵马未动,粮草先行”之策提早布局,利用安全技术和平台构建安全保障体系严防死守。

自2011年发展至今,京东信息安全团队也在逐步扩大。从账号安全到业务安全,从常见的Web漏洞防护到流量劫持的快速取证,从保证PC端安全到移动端、IoT的安全防护……京东已经具备了标准的防御力,构建了坚实的安全防御体系。

刘刚表示,为了确保大促活动期间的安全,京东积极备战。大促活动前一个多月,京东就进入了“战斗”状态,对整个平台进行测试,并邀请白帽子与第三方安全厂商帮助进行安全测试,做到及时的查漏补缺;在大促期间,利用多个安全技术平台及时响应,处理突发事件;在大促活动结束,总结经验,提升平台整体安全防御能力。

京东自研技术平台,为全民购物狂欢保驾护航

针对备战的具体细节,刘刚从以下三个方面为记者进行了详细的解读:

京东安全架构师刘刚:电商大促的安全保障一个复杂的超级工程

首先,在技术支撑上,京东自研开发了以分布式高并发漏洞扫描、大海资产管理系统、脉象全息化平台为代表的安全防御技术平台。

京东安全架构师刘刚:电商大促的安全保障一个复杂的超级工程

分布式高并发漏洞扫描最大的特点就是发现漏洞“快”,对单个PoC只需3分钟就可把全网资产跑一遍,45分钟可对全网进行一次日常的安全扫描,系统可以支持lua、python等多种语言。可以准确扫描Strtus2漏洞、Spring Boot漏洞、心脏滴血等漏洞。

京东安全架构师刘刚:电商大促的安全保障一个复杂的超级工程

大海资产管理系统的特点是“全”,可实现全量的扫描范围。该系统采用了隐式马尔可夫算法的URL去重、智能多维度关联、基于海量数据的关联处理等多种技术,可以不断采集、动态更新和同步京东的所有资产信息,包括:IP、域名、url,以及资产所属的部门,内网还是外网应用、资产的管理者、联系方式等。

脉象全息化平台的特点则是“早”,可以提前感知安全威胁。该平台解决的问题是,如何尽早的发现漏洞?爆发安全事件后直观影响范围是什么?处理的进度是什么?用什么优先级来处理这些安全事件等。

京东安全架构师刘刚:电商大促的安全保障一个复杂的超级工程

脉象全息化平台通过从内外部的多个情报源获取情报,目前已有50多个渠道对漏洞和舆情进行实时监控,一旦有任何动态,专业的分析团队将会及时响应,分析并编写PoC,然后部署到漏洞扫描器,从大海资产管理系统获取相关数据后就可以快速进行扫描。最终实现从发现漏洞、到处理漏洞、到安全复盘一气呵成,提升安全应急、测试团队等整体工作效率。

此外,在技术上,京东还实现了SDL+安全开发控制,基于京东大促数据墙建立了保障指挥系统,对全站HTTPS进行推广和优化,并通过DDoS攻防平台进行攻击流量的集中监控。

其次,在保障管理上,一方面,京东专门为大促做了一个引导发布,把京东所有涉及到不同层面的内容汇总,比如:安全开发中的的规范、检测方式、联系人、联系方式等。通过引导发布,让所有人清楚每个层面应该怎么做加固。另一方面,对核心资产和涉及的数据进行了梳理,分析存在的风险、攻击路径和可能的利用场景、应对方案、检查手段、监控的数据等。最后,各个业务部门进行全面的检查。此外,京东还结合外部白帽子和第三方的力量,在大促之前规避安全风险,作用非常显著。

再次,在组织和动员上,在日常保障阶段,京东通过各种培训、信息安全月、安全训练营等活动,提高大家对安全的兴奋度。在备战阶段,严格依据项目管理的标准流程,从范围、时间、成本、干系人、沟通等各个维度进行考虑,保证我们整体过程是顺畅的。比如,备战开始前,邀请各个业务部门的接口人参加备战启动会,每周同步备战进展。临近大促时,每天同步一次最新情况,保证所有的资源、技术能力、人员到位。

【51CTO原创稿件,合作站点转载请注明原文作者和出处为51CTO.com】

【编辑推荐】

  1. 专访京东安全负责人晋亮:全面剖析电商安全
  2. Tony Lee:从微软安全专家到京东安全的勇士之路
【责任编辑:蓝雨泪 TEL:(010)68476606】

点赞 0
分享:
大家都在看
猜你喜欢

读 书 +更多

Microsoft SQL Server 2005技术内幕:存储引擎

本书是Inside Microsoft SQL Server 2000的作者Kalen Delaney的又一经典著作,是Inside Microsoft SQL Server 2005系列四本著作中的一本。...

订阅51CTO邮刊

点击这里查看样刊

订阅51CTO邮刊