开发者社区> 晚来风急> 正文

解决方案 | 打造DT时代互联网金融行业的安全基石

简介: 本文讲的是解决方案 | 打造DT时代互联网金融行业的安全基石,对于一个超万亿规模的互联网金融市场来说,繁荣的背后是纷乱和惨烈的竞争。在这个硝烟弥漫的战场上,总可以找到黑客的影子。
+关注继续查看

本文讲的是解决方案 | 打造DT时代互联网金融行业的安全基石,对于一个超万亿规模的互联网金融市场来说,繁荣的背后是纷乱和惨烈的竞争。在这个硝烟弥漫的战场上,总可以找到黑客的影子。

万亿市场

从2013年起,互联网金融行业崛起,到了2015年,P2P网贷、股权众筹和PE等诸多模式的卷入,促成了一个异常繁荣、纷杂甚至于混乱的超万亿规模的市场。

互联网金融市场有多大?我们以P2P网贷一个垂直行业为例,据零壹财经预测,2015年P2P网贷行业全年新发放贷款额极有可能远超5000亿。P2P圈内的预测则更为乐观,借贷机构认为2015年的市场规模将达到1万亿-2万亿。

那么,这块1万亿的大蛋糕有多少家企业/机构在分食呢?根据零壹研究院数据中心的另一项监测数据,截止2015年7月31日,国内仅P2P网贷平台就已超过3000家(仅包括有线上业务的平台)。

image

竞争与讹诈

如果将互联网金融行业与游戏行业来做一个横向对比,“竞争”绝对是一个关键的共性特征。与游戏行业不同的是,互联网金融行业的竞争更加复杂和惨烈。上文中提到的3000家P2P企业不仅要面对同行间的激烈搏杀,还要面对股权众筹和PE机构的不断渗透和业务蚕食。

谈到竞争,在互联网的大环境下,就不可避免的提到众多互联网行业竞争背后的黑客攻击。在互联网金融行业崛起之前,一方因业务竞争雇佣黑客对其竞争对手对网站系统发起攻击的事件多出现在游戏行业。一般来说,雇凶者的攻击目标相对明确。进入2015年后,除了游戏行业仍旧维持较高的攻击事件发生率之外,互联网金融、电商、旅游甚至贵金属行业都发生了众多类似的黑客事件。与此同时,被攻击目标也从单一对象演变为几家甚至几十家存在竞争关系的企业。

除了以竞争为背景的黑客攻击之外,敲诈勒索也是黑客攻击的另一个重要动机。在游戏行业,黑客对游戏公司收取“保护费”是一个非常普遍的现象。对于拒绝缴纳“保护费”的游戏,黑客通常会以DDoS攻击的方式干扰甚至中断游戏业务。这个趋势也在向包括互联网金融等行业领域拓展——毕竟互联网金融企业看上去更有钱。

回顾十余年的发展,黑客产业已逐渐实现了服务规范化、商业化和产业化。规范化体现在很多黑客服务条款明确,明码标价,同时保质保量。商业化体现在清晰的盈利模式以及完备的渠道建设。而产业化则表现为在漏洞发现、工具开发、人员培训、攻击实施、情报共享和营销推广等细分领域的分工和协作,同时与其他黑色产业,如地下钱庄、赌博,形成了紧密的利益链条。下图是某黑客组织的DDoS攻击报价页面,可以很明显地看到,黑产收费已经非常平民化:

image

事实上,较上面的国外价格,国内报价普遍更为便宜,例如DDoS攻击的购买价格已经不到200元/Gbps。

总之,和游戏、电商等互联网行业所面临的挑战一样,黑产已经成为阻碍互联网金融行业健康发展的重要威胁之一,也是互联网金融行业用户必须要面对和解决的。

威胁与困扰

对于互联网金融用户来说,一个可用的、可靠的以及可以充分保证通信隐私和数据安全的网络平台是其互联网业务的基础。

首先,可用性是互联网业务的基础和必要条件,没有可用性,其他一切都无从谈起。其中,对互联网业务可用性威胁最大的是DDoS攻击。DDoS攻击的初衷就是尽可能地对被攻击目标造成最大程度的资源破坏,导致用户无法获得网站的正常服务。根据阿里云云盾安全团队统计,阿里云云盾每天防护近千次DDoS攻击,其中有不少是针对互联网金融用户的。DDoS攻击已经成为对互联网金融业务可用性最大的安全威胁。

其次,可靠性也是业务正常访问的决定性因素。单点故障是最常见的可靠性风险。小到一个云服务器或负载均衡系统,大到一个数据中心都可能因为单点故障引发业务在一定时间段内的不可访问。此外,网络也可能存在单点故障,问题不仅仅体现在单链路上,同时也可能因为网络规划不合理导致业务隐患。例如,当前大部分CDN功能都是针对静态内容(静态网页、图像和流媒体数据等)。对于一个存在大量交互或内容更新的网站,在设计网络可靠性的时候只考虑到CDN对静态内容的保证而忽视了动态内容,那么网站的动态部分本身就会存在单点——一旦源站不可访问或访问缓慢,会影响到整个网站业务的正常交付。

最后,网站业务的隐私性不仅仅体现在网站平台上数据的隐私保护,同时体现在用户访问网站业务过程中,即在链路层面的通信安全。黑客对互联网业务的隐私破坏一方面通过入侵网站,完成对信息对窃取,同时也可能通过诸如DNS劫持等手段,从链路上以中间人的方式获得网站用户的隐私数据。

上述安全风险涵盖从网络到服务器系统再到应用和数据的各个层面,形成了对包括互联网金融在内的互联网全线业务全方位立体化的威胁,这就要求防护一方必须建立相对应的体系化防护方案。

解决

互联网已经从IT时代进入DT时代。云计算、大数据等新技术的引入,使得互联网业务的安全防护同样取得了突飞猛进的发展。在DT时代,安全依靠数据,没有数据的安全就像沙滩上的建筑。

阿里云云盾是面向DT时代的全新安全解决方案,是满足互联网金融业务可用性、可靠性以及隐私安全需求的基石。大数据安全分析平台每天处理超过10TB的数据,结合云计算技术和威胁情报系统,实现云到端和端到端的完整覆盖。防御体系如下图所示:

image

“云端”安全一方面体现在服务器系统层面的安全防护上。另一方面体现在对云端应用和数据库的防护。云盾安骑士是一个完整和全面的云服务器防护方案,不仅包含对云服务器的内部脆弱性(漏洞、配置、端口等)的快速定位、修复,同时可以对包括暴力破解、后门木马等外部威胁迅速发现和阻断。应用防火墙一方面可以实时拦截诸如SQL注入、XSS等对Web应用的入侵,同时保护云端数据库的安全。

阿里云云盾新近推出的弹性安全网络(以下简称ESN,Elastic Security Network),是一个面向广大互联网用户提供的基础的网络安全服务,也标志着阿里云云盾“云-管-端”完整解决方案的形成。

image

ESN打通了从“云”到“端”的完整链路加密。通过SDK方式,将安全防护直接嵌入开发者的应用客户端,这样一来,即建立了一个安全加密隧道。基于客户端身份指纹识别,IP白名单认证中心等安全鉴别手段做到了之前无法做到的安全防护级别。一方面有效的解决了移动业务包括CC、UDP等DDoS攻击的“老大难”问题,另一方面实现了端到端的通信加密,避免了DNS劫持等中间人攻击,实现了全链路的业务加密。

在中间层面,即“管”的层面,ESN一方面通过动态CDN功能的灵活调度,解决了动态内容在网络层面的单点可靠性风险。另一方面ESN基于可动态扩展的弹性资源池,实现秒级IP切换,扭转了长期以来被动防御的局面,极大提升了攻击一方的技术挑战和资源成本——攻击一方必须随时跟上防御一方的步伐,否则连攻击目标都找不到。此外,对于互联网金融业务可用性威胁最大的DDoS攻击,ESN背后的高防数据中心单节点的防护能力为300Gbps,多数据中心联动防护可以获得更高的防护带宽。

态势感知是阿里云云盾即将在9月份上线发布的基于云计算、大数据分析以及威胁情报系统的全新SaaS服务。这项服务定位在安全管理上,是一款安全管理“神器”。云盾态势感知平台基于阿里云大数据安全平台,与阿里威胁情报中心数据对接,将整个防御体系均衡地分布在检测、分析以及防护上,打破了传统以防护为主的安全理念,让安全真正实现全程的“可见、可管和可控”。从管理角度上讲,也是第一次让用户将黑客攻击(包括源头、目标、过程)看得清清楚楚,还原攻击全过程,让用户全面、快速、准确地感知过去、现在以及未来的安全威胁。

最后,专家服务主要包括渗透测试服务,安骑士云托管和DDoS高防专家服务。我们知道,安全攻防背后是人的对抗。对于绝大部分互联网金融企业来说,建立一支具有专业技能的全天候安全攻防团队是非常不现实的。阿里云云盾安全团队的前身是阿里安全团队,由国内最优秀的安全维护和专家组成,先后为包括淘宝、天猫以及阿里云在内的阿里巴巴集团业务的安全运营提供了全天候的防护工作。云盾安全专家团队服务包括渗透测试服务,恶意样本收集、取证、分析、溯源,处理安全告警、入侵分析和进行必要的策略配置,以及实际的攻击阻断操作。显而易见,云盾安全专家同样贯穿在网络安全、服务器安全以及数据安全三个层面,同时覆盖是事前(检查和预警)、事中(防护)和事后(取证和追溯)的全过程。

原文发布时间为: 八月 31, 2015
本文作者:aqniu
本文来自云栖社区合作伙伴安全牛,了解相关信息可以关注安全牛。
原文链接:http://www.aqniu.com/tools-tech/9931.html

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
一文看懂区块链技术安全,在安全行业区块链又有什么用
区块链技术自身尚处于快速发展的初级阶段,现有区块链系统在设计和实现中利用了分布式系统、密码学、博弈论、网络协议等诸多学科的知识。
1939 0
《React Native移动开发实战》一一2.3 React Native的JSX解决方案
本节书摘来自华章出版社《React Native移动开发实战》一 书中的第2章,第2.3节,作者:袁林 著 ,更多章节内容可以访问云栖社区“华章计算机”公众号查看。
1039 0
阿里云云安全中心入选Gartner CWPP全球市场指南 为客户提供一体化安全解决方案
这次入选的阿里云云安全中心就是这样一款集主机安全、容器安全和安全运营管理中心为一体的解决方案。通过一个平台实现集中式安全管理,不仅可以做好主机层面的反病毒、防勒索、防黑客等基本安全防护,而且可以实现从安全加固、威胁检测、到调查响应、主动防御为一体的自动化安全运营闭环,让企业里的安全运营人员从海量告警中解放出来,同时帮助云上缺乏专业安全运营人员的客户自动修复安全问题,实现全方位默认安全防护。
5600 0
在线教育行业,不可不知的阿里云中间件实战秘笈
基于开放的技术标准、理念和实践,云原生已经成为企业数字化转型的最短路径。中间件作为云原生的核心支点,凭借种类丰富、接入简单、稳定高效的核心优势,已经成为在线教育企业业务稳定、效率提升的“法宝”。 阿里云中间件正在以全面领先的技术、产品和最佳实践,引领在线教育进入新的阶段。
1934 0
2009年信息安全行业值得注意的十大趋势
尽管出现了全球性经济衰退,明年信息安全将仍然是最重要的IT投资领域,因为安全威胁和缺陷越来越多了。据国外媒体报道称,下面是明年值得关注的十大安全技术和发展趋势:     1、端点安全定义的发展:有分析师称反病毒软件已经消亡,我持反对意见,端点安全正在发展成不断变化的安全解决方案中的一项功能,这正是Sophos今年收购数据安全厂商Utimaco的原因。
874 0
新零售安全解决方案
本文整理自2017云栖大会-成都峰会上阿里云安全专家王晓东的分享讲义。讲义主要分享了针对新零售领域日益增加的安全威胁,如何通过等级保护建设进行安全防护。并分享了阿里云云盾在安防领域的案例和经验。
1774 0
阿里云推出全球应用加速解决方案,快速提升跨域应用访问体验
近日,阿里云全球加速产品推出全球应用加速等多个新特性,融合云安全DDoS高防与WAF的安全防护能力,结合云解析智能DNS与GTM全局流量调度,保障企业全球应用部署的高质量、高安全、高可靠。另外邀请到在线互联网教育机构—豌豆思维,进一步分享了他们使用全球加速的经验。
696 0
has been modified since the precompiled header问题的几种解决方案
有时候不小心就报了这个错误,在以下步骤中,只有没解决问题的情况下,才继续往下操作: Clean工程 按住option键,再次Clean(Clean Build Folder.
713 0
Intellij IDEA 乱码解决究极方案和一些常见问题
Intellij IDEA 乱码解决究极方案和一些常见问题
76 0
+关注
9379
文章
243
问答
文章排行榜
最热
最新
相关电子书
更多
OceanBase 入门到实战教程
立即下载
阿里云图数据库GDB,加速开启“图智”未来.ppt
立即下载
实时数仓Hologres技术实战一本通2.0版(下)
立即下载