安全村SecUN

为什么中国网络安全行业需要建立商业评级体系？｜证券行业专刊3·安全村

Thu, 11 Sep 2025 08:46:00 +0800

斯元商业咨询 2025-09-11 08:46 广东

让世界了解中国网络安全科技

在与商业、政府和科技领导者的对话中，我们听到了一个共同声音：世界变得极其复杂。供应链失效、网络攻击、地缘政治紧张局势、制裁和安全问题，这些都在经济不确定性和社会动荡的背景下发生。世界通过技术和贸易、文化和商业相互联系，风险不再孤立存在。

过去几年的网络安全风险事件使我们认识到，互联的世界如何创造新的复合风险。旧的网络安全风险管理方法——单一视角——已不再适用。我们已经看到，世界需要更多元的科技体系，来适应这一新的挑战。

对于领导者来说，理解这一新时期至关重要：只有洞察风险，才能获得超越的机遇。需要建立多元的新思维，不断扩展知识体系和多样化网络安全科技工具，来完善当前的防御体系，应对复合风险带来的挑战。拥有正确的视角，全球的科技领导者不仅可以迎接挑战，还可以预测、适应并最终在这个新时期中繁荣发展。

中国网络安全科技体系在过去数十年的挑战下，不断成长成熟。在当今全球多元化的时代挑战背景下，已经成为不可忽视的科技多样性要素之一。帮助世界了解真实的中国网络安全科技能力，便是斯元的使命。

但中国网络安全科技，与众多中国制造一样，在商业化和全球化的旅程中面临着非同寻常的信任挑战。历史已经证明，无视或回避无助于问题的解决，我们需要用正确的方法和态度，来正面回应。中国网络安全科技商业评级，是时势使然。

为了帮助中国网络安全科技企业向世界呈现最真实的商业能力，建立国际科技领导者和商业合作伙伴的合作信心，斯元推出了「中国网络安全科技商业评级」。

何为商业评级?

斯元通过对中国网络安全科技企业的商业展业实践及市场的反馈相关研究，为行业提供商业评级信息和意见。

斯元所发布的评级是对中国网络安全科技企业整体商业能力的当前意见。斯元将商业能力定义为某实体可能履行其到期的合同、技术和服务支持义务的能力，以及当地市场的接受认可程度。评级并不针对任何其他风险，包括但不限于：市场技术变化风险、国际汇率、法律政策、地缘等引起的波动。

评级原则

斯元承诺将评级方法保持完全开放透明，并欢迎行业多方参与者的监督与反馈。通过统一开放公平的评级流程，从而使服务合作的各方得到公平对待，并保护提交者提供给我们的保密信息。

评级价值

最终用户

商业成熟度评估，辅助招投标决策：在招投标过程中，独立的商业成熟度评估对于理解企业的商业健康、产品力和服务能力至关重要。斯元商业评级报告，对企业的关键商业表现进行了深入分析，为企业用户提供清晰、透明的信息，辅助高效商业决策。

供应商评级跟踪，持续风险管理：甲方通过分析供应商的商业评级，能够更加精确地评估和管理合作风险。这一过程不仅涉及对供应商当前状况的评估，而且涉及到长期的风险预测和管理。商业评级提供了一个参考框架和及时的风险反馈机制，帮助甲方企业制定更加稳健的合作策略和规划，从而有效地降低合作风险。

供应链质量与稳定性的提升：选择具有良好评级的供应商是确保项目服务质量和稳定性的关键。高评级的供应商通常展现出较强的业务能力和较低的风险敞口，这有助于最大化地保障项目的质量，同时确保服务的连续性和稳定性。这减少了因供应商问题导致的项目中断或停滞的风险，增强了项目的整体抗风险能力。

科技厂商

建立正面的商业品牌声誉：在竞争激烈的市场中，企业的商业声誉是其无形资产的重要组成部分。全面的能力评级不仅能够显著提升企业的商业品牌声誉，更有助于在商业合作时展现其财务和业务能力，从而增强其在行业中的竞争力。

加强供应链关系的建立与维护：信息透明度和商业能力评级是选择合作伙伴的关键考量因素。科技企业若能展现出较高的商业评级，将被视为信誉度高、合作风险低的合作伙伴，从而在商业合作中获得优先选择权。

对标行业标准，优化内部商业流程：专业的评级体系，为企业提供了一个与行业最佳实践对标的可靠框架。通过评级框架，企业可以更准确地评估自身的商业成熟度，识别内部流程中的潜在问题。这不仅有助于企业管理层和团队深入理解企业现状，还能促进管理和战略规划的持续改进。

合作伙伴

商业成熟度排名：量化对比工具：评级提供了一种量化和可视化的商业成熟度排名，为合作伙伴提供了客观的数据参考。这使得合作伙伴能够全面了解业内情况，快速做出基于数据的商业决策，并制定相应的合作策略。

提升商业沟通及合作达成效率：信息的公开透明是高效筛选优质合作伙伴的关键。这种透明度不仅有助于快速识别潜在的合作伙伴，而且为双方建立了坚实的信任基础，从而促进合作的快速推进和深化。

增强项目交付和客户满意度信心：选择评级良好的科技企业作为合作伙伴，可以有效降低合作风险，确保项目实施的稳定性和预期成果的实现，达成客户成功。这种信心基于对企业商业表现的深入理解和评估。

长期商业合作的跟踪和评估依据：商业评级为长期合作提供了持续的评估依据。通过对合作企业的商业表现和变动的持续监控，可以及时发现潜在问题，并据此调整合作策略，确保商业运营的可持续性。

评级结果

参与评级服务的科技企业，在服务期内，根据对应级别，获得商业评级报告和商业证书（以中国香港地区商业成熟度评级为例）：

我们期望斯元「中国网络安全科技商业评级」能够为行业提供一种全新的价值视角。

成熟科技领导者与商业伙伴的沟通工具

在商业环境中，评级不仅是商业沟通的成熟工具，更是连接商业市场与科技企业的桥梁。商业评级起源于金融领域的评级机制，其影响力已扩展至品牌价值、企业可持续性和环境、社会及治理（ESG）等多个领域。评级体系的精准运用，能够显著加速中国网络安全科技企业与全球市场的对接，推动商业战略的布局。

中国网络安全科技厂商的全球化指南‍

对于志在拓展国际市场的中国网络安全科技企业，商业评级不仅是一张信用背书，更是一份成长蓝图。面对海外市场的复杂性，传统的象限类市场分析工具往往难以提供足够的指导。评级体系的引入，为科技使用者提供了一个可靠的参考框架，同时为科技提供者指明了成长方向，助力企业在全球化浪潮中稳健前行。

中国网络安全行业的信任风险防范准备

商业评级在中国网络安全行业的应用，是行业自我强化和风险管理的重要手段。正如2021年恒大集团违约事件在地产行业所引发的连锁反应，客观的评级机制对于预防和应对潜在的市场动荡至关重要。通过建立和完善自我评价、调整和优化的机制，中国网络安全行业能够在面对国际市场不确定性时展现出强大的适应力和复原力，确保行业的长期稳定与繁荣。

在一个由日益互联的风险塑造的世界中，做出确定性行动比以往任何时候都困难。商业合作需要超越数据，深入背景；再超越背景，理解意义。斯元提供理解的指南。斯元商业评级帮助商业客户全面了解中国网络安全科技，在多样性中发现机遇，指导前行。依据斯元评级，商业合作者可以获得全面的视角和行动信心，使科技更可信。

斯元致力成为对中国网络安全科技商业化和国际化过程中提供关键洞见的领先来源。全球网络安全风险科技发展比以往任何时候都更复杂。斯元通过丰富的数据信息、资深的专家分析、深度的商业研究和对未来的展望，帮助国际科技领导者和商业合作伙伴快速了解中国网络安全科技商业成熟度，并果断推进业务行动。

中国网络安全行业需要建立商业评级体系。

全球商业市场也将藉此了解我们。

斯元商业咨询

中国香港

作者介绍

Bruce ZHANG，斯元商业咨询创始人，繁星创投合伙人，安全村主编。斜杠中年。

关于安全村文集·证券行业专刊

证券行业自身低时延的业务要求以及业务中断的敏感性给安全防护带来了很大的挑战。专刊汇集了证券基金期货行业网络安全防护的最新经验、成果和解决方案，为大家分享一线安全规划、运营、建设的心得和实践经验。

关于安全村

安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。

投稿邮箱：info@sec-un.org

阅读原文

跳转微信打开

利用ASPM在大型证券企业实现应用运行态安全观测｜证券行业专刊3·安全村

Thu, 04 Sep 2025 08:45:00 +0800

基调听云 2025-09-04 08:45 中国香港

构建更加坚实的安全防线，

背景

证券行业作为金融体系的核心组成部分，拥有独特且复杂的业务系统，包括交易、清算与结算、风险管理等。这些系统直接支撑着证券公司的核心业务运作，其高频率、低延迟、复杂的IT架构和广泛的业务分布，形成了与其他行业明显不同的特殊性。随着数字化转型和金融科技的快速发展，证券公司在提升业务能力和客户体验的同时，也面临着前所未有的网络安全挑战。

复杂的系统架构和开放的业务环境增加了潜在的安全漏洞，尤其是各业务系统之间的交互和数据共享，可能成为攻击者的突破口。高级持续性威胁（APT）等黑客组织利用先进的技术和手段，对证券公司的核心系统进行长期、有针对性的攻击，传统的安全措施难以及时发现和防御。与此同时，业务的实时性要求安全防护同样具备实时监测和响应能力，避免因安全事件导致的业务中断和客户信任的流失。

某大型证券企业意识到，传统安全措施已无法满足其对应用运行态安全的严苛要求，亟需一种能够深入应用程序运行时，提供实时安全监测和防护的解决方案。在保障系统高性能的同时，提升运行时的安全防护能力，成为该证券企业的核心需求。

证券公司的业务特性决定了其对安全防护的高要求，通过对证券行业业务系统的深入理解，基调听云认识到运行时安全观测对于证券公司的重要性和必要性。近年来，国外可观测领域的厂商基于在应用运行时的数据采集与治理优势，开始大力涉足安全领域，特别是运行时安全领域。例如，Datadog收购Hdiv后推出了应用程序安全监控（ASM）产品，Dynatrace、New Relic也相继推出运行时应用程序保护产品。这些产品能够深入应用运行时，实时监测应用程序的内部行为，识别异常活动和潜在威胁，如SQL注入等，提供精准的威胁检测，并在对应用性能影响最小的情况下，提供强大的安全防护能力。

可观测性与运行时安全的结合，为证券行业提供了一条提升安全能力的创新之路，有助于证券企业在激烈的市场竞争中保持竞争优势，保障业务的连续性和客户的信任。基调听云与某大型证券行业客户合作，探索基于可观测性的运行时安全方案。通过统一的数据采集和处理方案，为运维、研发、安全、业务等多个部门提供一致的数据视图，实现降本增效的同时，有效提升业务系统的稳定性。期望通过实时的运行时监测和安全防护，降低系统故障和安全事件的发生概率，促进各部门的协同效率。

本文将深入探讨可观测性运行时安全方案在证券行业的应用与实践，分析其在大型证券企业中的具体落地过程，包括面临的挑战和解决思路，旨在为证券行业的数字化安全转型提供参考和借鉴。

国内应用运行态安全现状

该大型证券行业客户传统的应用安全措施主要依赖于流量层的WAF、主机安全产品和防病毒软件等静态防护手段，然而这些方法在应对现代复杂多变的网络攻击时显得力不从心。随着攻防对抗的逐步深入，防守方开始在端侧使用私有的加密协议，这虽然在一定程度上增加了入侵难度，但也将标准的安全产品如WAF致盲。与此同时，攻击方开始重点关注如内存马等传统安全产品无法覆盖的无文件攻击场景，应用运行态安全威胁在持续上升。

面对应用运行态的安全挑战，该大型证券行业客户最初采用了RASP类型的产品来弥补应用运行时防护能力的不足，但RASP产品的Agent自身的资源占用、Agent稳定性，以及在生产环境出现稳定性故障时如何自证清白等问题成了RASP迟迟不能大规模落地的拦路虎。最终，客户只敢在攻防演练期间，在最外围的部分节点中部署RASP Agent，这成为了RASP类型产品在国内最常见，也是最终的使用形态。

RASP类型的产品在国内出现已经有十余年时间，其主要面临的问题如下：

1.技术壁垒高，行业资源投入不足：

生产环境的Agent需要运行在客户最核心的生产环境系统中，直接入侵到进程中，采集运行时的代码堆栈信息，有较强的入侵性。Agent从开发、测试、配合客户灰度等等环节，都需要投入巨大的技术和售后人力支持。Datadog和Dynatrace是国外基于Agent技术从事可观测性的典型公司，其员工人数在5000人上下。国内可观测性厂商中，仅围绕Agent的产品研发和技术支持的人力少则两三百，多则四五百人。而反观国内RASP产品线，产研团队形态基本以安全厂商的子部门为主，人力投入完全不在一个量级。

2.兼容性差，难以融入现有IT体系：

由于人员投入不足，RASP Agent的兼容性难以保证。RASP的Agent没有经过广泛的部署验证，难以保证与客户原有系统框架完美兼容、难以保证与SkyWalking、Jacoco、EDR等系统的的Agent完美兼容。难以实现相关类的增强，预期的安全防护效果也无法显现。

3.高耸的部门墙难以突破：

在生产环境中部署RASP Agent，除安全部门外，还需要测试、运维部门进行紧密的跨部门协作，然而，RASP的产出却只对安全部门产生价值。如何说服测试部门投入额外的资源进行全面而深入的测试？如何证明Agent的资源消耗在稳定、合理的范围内？如何说服运维部门把侵入性的Agent部署到生产环境中？这其实非常困难，即便在领导推动下进行了第一次测试，后续的应用更新也很难保证能够按时按量进行测试。

更令人担忧的是，这还不是成本最高的环节，Agent成功运行后，生产环境在出现稳定性故障、资源异常占用等问题时，产研、运维部门每次都要多排查一个维度，这往往会要求安全部门及Agent厂商自证清白。久而久之，各部门陷入内耗，部门墙越来越高。

再加上经过成体系的安全防护方案的过滤，进入应用深层的攻击次数较少，RASP的产出比较随机，如果半年时间都没有遇到一次深度的攻击，各部门会逐渐达成共识，并迎来打破部门墙的事件：把RASP下线。

因此，RASP类产品的实际应用效果难以言喻：

1.核心系统部署无望：客户只能接受在特殊攻防演练期间的部分外围节点打开，内部大量的核心系统不会启用。

2.部署难度、沟通阻力大：在生产环境中部署安全Agent，投入资源多、业务风险大，运维、测试部门配合积极性不高。

3.安全能力受限：在各种妥协下，RASP最终只能采集到部分应用的部分运行时数据，不完整、不准确的数据直接影响到了安全产品的安全能力。

基于可观测性的运行时安全解决方案

可观测性（Observability）是指通过系统的外部输出来度量系统内部运行状态的能力，是传统的应用性能监控（APM）演进的下一阶段。可观测性通过五大信号帮助工程师深入了解系统的运行状态、性能和潜在问题，它们包括：指标（Metrics）、追踪（Traces）、日志（Logs）、剖析（Profiles）和转储（Dumps）。该大型证券行业客户与基调听云一起，在APM的能力基础之上，构建了一套完整的可观测性平台，通过一体化的数据采集、数据分析、数据呈现等能力，为应用性能监控、用户体验监控、业务连续性与可用性，以及应用安全提供深度的应用运行时数据。

通过可观测性平台的UniAgent进行统一数据采集与治理，仅需在主机上部署一个UniAgent，无需区分开发语言，该大型证券行业客户实现了自动化的主机、应用程序、组件、服务、数据库等监控对象的指标采集，避免了安全与运维部门重复采集、重复处理数据。通过统一的数据采集、治理、分析平台，大家可以共用一份数据，打破数据孤岛，最终实现跨部门的协同合作，避免了不同部门根据不完整且不同维度的数据分析出完全不一样的结论。在避免了计算资源浪费的同时，也避免了对组织人力资源的浪费。

图：统一可观测性平台全景图

基于可观测性平台的统一数据采集与治理，应用安全态势管理（Application Security Posture Management，ASPM）成为了新一代应用运行时安全的解决方案。ASPM利用可观测性实时采集的生产环境数据，将可观测性与应用安全深度融合，为应用程序的运行状态和潜在安全威胁提供深度洞察，帮助企业及时识别并应对安全风险。ASPM填补了流量层与主机层安全产品之间的防护空白，实时分析应用运行时的安全态势，提供威胁感知、威胁分析、API资产梳理、安全事件阻断等运行时应用安全能力。

更重要的是，ASPM通过利用可观测性收集的数据，无需在生产环境中重新部署安全Agent，只需在现有可观测性平台上一键开启安全功能。这种方式为该大型证券行业客户节省了大量的部署和测试时间与成本，提升了安全能力的部署效率，同时也避免了重复部署Agent为生产环境引入新的风险，避免了部门间的摩擦。

图：ASPM与流量层、主机层安全产品共同构建纵深防御体系

图：ASPM检测原理

ASPM检测原理：

① 恶意用户对应用发起入侵攻击行为

② Agent采集数据并由ASPM通过实时Hook监测进行安全风险分析

③ASPM对访问请求进行追踪分析，精准发现威胁并告警

④采取相应阻断措施，及时中断应用与当前恶意用户的连接

基于可观测性构建的应用运行时安全解决方案ASPM，具备统一的数据采集、统一存储架构、数据的统一利用以及打破部门间数据孤岛等特点。

1.数据的统一采集

在ASPM中，统一的数据采集是核心基础，而此处数据采集的来源是成熟的APM Agent。APM已经是非常成熟的运维产品，经历了多年生产环境的真实考验，其探针技术具备极强的先进性、稳定性，在企业中已有广泛部署。通过数据的统一采集，安全、运维等各部门可以基于同一份数据进行分析，避免了数据重复采集带来的流量、存储和计算上的资源浪费。ASPM通过整合多渠道的数据源，如应用日志、Trace、指标和网络流量数据等，让安全能力全面覆盖应用程序运行的各个环节。通过采用高效的数据采集工具和技术，确保数据的实时性和准确性，并通过数据标准化，统一数据格式与规范，提升了数据的可用性和一致性。

2.统一存储架构

统一的存储架构是实现数据整合与高效管理的重要保障。数据湖仓结合了数据湖的灵活性和数据仓库的高性能分析能力，为企业提供一个统一的数据存储与查询平台，支持对各类异构的可观测性及安全数据提供统一存储和查询接口。在低成本的前提下，实现了海量数据的高效存储与快速检索，确保数据具备良好的可扩展性和可靠性；同时，支持大规模并发访问及实时查询，可满足运行时安全对数据处理的高要求。

3.数据的统一利用

基于数据的统一利用，安全团队能够迅速识别并响应潜在威胁。通过实时数据显示分析，运用流式处理及实时分析技术，对收集的数据进行即时处理，及时发现异常情况和潜在威胁；利用仪表盘等可视化工具，将复杂的数据及分析结果以直观的形式呈现，帮助安全团队快速理解信息并作出决策；整合自动化响应机制，在检测到安全威胁时，能够自动触发防护措施，减少响应时间和人为错误的发生率。

4.打破部门间的数据孤岛

基于全量可观测性数据建立的统一可观测性平台有效打破了部门间的数据孤岛，实现了信息共享与协同工作。安全团队、开发团队和运营团队可以在同一平台上访问并分析相关数据，促进信息共享和协作效率提升；通过细粒度的访问控制策略，确保不同团队在共享数据的同时，有效保护敏感信息不被泄露；通过建立跨部门的协同工作流程，提升对安全事件的响应速度和处置效率，形成闭环式、完整的安全保障体系。

基于可观测性的运行态应用安全能力

基于可观测性提供的全量、准确、实时的生产环境应用运行态数据，ASPM实现了全新的运行态应用安全能力，其中，威胁感知、API资产梳理、安全事件自动阻断等能力表现优异。

1.威胁感知

威胁感知是基于可观测性的运行时安全解决方案的核心功能之一，通过实时监控和分析应用运行中的各种数据，识别潜在的安全威胁。具体包括：

①异常行为检测

利用自研的AI和精细的行为分析技术，精确地识别出偏离常规操作运行模式的异常行为，从而在庞大的数据集中有效甄别出授权用户中潜藏的恶意或非正常活动迹象，利用用户行为散点图清晰可视化地展示用户的异常行为。

②漏洞感知预警

实时感知并预警应用和系统面临的各类攻击行为，包括但不限于SQL注入攻击、远程命令执行漏洞利用、反序列化漏洞攻击、内存马以及WebShell等，通过高度敏感的感知与预警机制，能够迅速洞察并揭示应用系统中的薄弱环节与潜在安全缺陷，确保在第一时间发现并响应安全威胁。

③漏洞自动阻断

自动化漏洞防御机制能够针对应用系统存在的漏洞进行深度监控，一旦检测到有攻击者试图利用这些漏洞进行权限提升等恶意行为，系统会立即触发自动化的阻断与处置流程，有效遏制攻击进程。同时，该机制还具备组件漏洞的自动化修复能力，能够迅速部署热补丁，无需人工干预即可对漏洞进行修补，从而显著降低应用系统遭受成功攻击的风险，确保系统的持续安全与稳定运行。

④0-day防护

ASPM在不修改原有应用程序、不引入新的漏洞的前提下，通过动态加载应用探针，与应用系统融为一体，保障系统的安全性。平台通过Agent获取到程序执行堆栈信息、代码上下文相关的危险函数，可以识别相关的攻击行为，进行自动化处置响应。针对变型的0-day漏洞，在不需要业务停摆的状态下就可以实现安全补丁的自动升级，保证业务系统正常的生产稳定。

2.API资产梳理

①主动API资产梳理

在证券应用中，API（应用程序编程接口）扮演着连接内部系统和外部服务的关键角色。现有的针对应用API梳理方法主要是通过分析请求日志、爆破的方式获取梳理未知的API资产，这种方法梳理API主要依赖于请求和字典的强度，未请求到的API接口，包括后门API接口及管理API接口可能会泄露大量的敏感信息。API主动资产梳理是通过在业务系统启动时，利用Hook机制植入到Servlet容器中，可以截获所有被加载的Servlet和关联的API信息，包括请求路径（URL）、请求方法（GET、POST等）、请求参数、返回数据类型、异常处理机制以及所涉及的类和方法等详细信息。通过对这些数据的实时收集和整理，系统能够无侵入性地、实时地构建出完整的API清单，并以直观的方式进行展示。

②API调用监控

实时密切监控API的调用状况，全面记录其调用频率、调用链路及调用参数、API攻击行为等详细信息，识别不安全的接口和潜在的攻击向量，深度洞察API的使用情况。同时，通过智能分析迅速识别并响应任何异常的API调用行为。

③API风险属性标签

监控API的活跃状态和敏感行为，并自动对其状态和行为打标签，如敏感信息泄露、未授权访问、异常登录、敏感文件读写删除操作、系统级命令执行等高危的API安全事件，让管理者快速理解API的行为，快速定位、分析处置API安全事件。

图：ASPM的API风险属性标签

④接口安全评估

对API接口进行全面的安全检查和识别，以识别并消除API潜在的安全漏洞，如不安全的数据传输、敏感信息泄露、越权访问等。方便业务团队、安全团队清晰地进行API安全风险的整改和收敛。

⑤调用链分析

通过详细的函数级调用链分析，了解API的调用链路和依赖关系，以识别潜在的安全薄弱环节，优化API设计，增强整体安全性。

总结

在证券行业，业务的稳定性和连续性至关重要。为应对日益复杂的安全威胁，基于IT运维系统可观测性的应用安全防护方案已成为券商提升安全保障水平的关键举措。ASPM通过整合可观测性与应用安全，利用统一的Agent，不仅降低了部署和维护成本，还提升了系统的稳定性和安全性。

这种融合的安全防护新模式，使企业能够在现有的可观测性平台上拓展安全能力，及时发现并应对应用层面的安全威胁，保障业务的安全稳定运行。随着信息技术的飞速发展，基于可观测性的应用安全防护方案将在证券行业展现出更大的潜力。不仅能够有效发现和应对潜在的安全风险，还能在确保应用系统稳定性的同时，显著提升业务运营的连续性和可靠性。

探索和应用ASPM等创新技术，将在很大程度上协助券商构建更加坚实的安全防线，为业务的持续健康发展提供有力支撑。

作者介绍

卢中阳，在应用安全、DevSecOps 等领域拥有十年以上工作经验，2020 年创立火线安全，任联合创始人兼 CTO，主导研发并推出了全球首款开源的交互式应用安全测试产品洞态 IAST，已在全球 20 多个国家实现实际落地部署应用。现任基调听云安全事业部总经理，全面负责基调听云安全产品的研发与产品工作，主导推出了国内首款应用安全态势管理产品安云 ASPM。

庞伊良，基调听云内容负责人，拥有 8 年网络安全行业从业经验，曾任职于长亭科技、绿盟科技、火线安全等知名企业。擅长将产品特性与技术原理深度融合，打造高质量的技术内容和解决方案。熟悉网络安全领域的技术趋势和产品应用，能够从技术和业务双重角度挖掘产品价值。曾主笔撰写金融、能源、互联网等多行业的深度客户案例。

刘洪峰，基调听云华北区安全技术经理，拥有丰富的安全技术经验。曾深度参与多个大型甲方客户的 SDL 体系落地建设，与客户紧密合作，从项目需求分析、架构设计到实际实施，全方位支持客户构建和完善安全开发流程。擅长将产品特性与先进技术相结合，引入自动化安全测试工具，帮助客户在软件开发的各个阶段提升安全防护水平，显著提高产品的质量和安全性。

丁威，基调听云高级售前总监，曾就职于行业头部外企大厂，拥有 16 年的软件开发和可观测领域的实践经验，目前专注于为企业 IT 搭建以用户为中心的一体化智能可观测和应用安全平台，通过持续的全栈性能监控和优化，不断提升业务系统的稳定性和高效性运行，帮忙企业加速数字化转型。

关于安全村文集·证券行业专刊

关于安全村

安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。

投稿邮箱：info@sec-un.org

阅读原文

跳转微信打开

立体化运维安全保障关键业务稳定运行--齐治科技助证券客户构建统一运维安全实践｜证券行业专刊3·安全村

Tue, 26 Aug 2025 08:45:00 +0800

原创齐治科技 2025-08-26 08:45 中国香港

意义重大

一、安全挑战

证券行业的IT系统安全及数据资产安全意义重大，关系到业务的稳定运行。当前，证券行业信息系统正在经历几个方面的转型：从传统的集中式系统架构转为分布式架构，从依赖国外技术转为全面自主可控，从封闭式架构转为开放式架构。

随着新技术的不断涌现，系统复杂度的不断增加，IT系统所面临的安全威胁与挑战也随之发生了变化。根据近期安全事件统计，0day漏洞攻击、弱口令攻击、端口扫描攻击等已经成为当前的主流攻击手段。

二、齐治立体化运维安全解决方案

如何通过有效的技术或管理手段，防范上述攻击行为，提升系统安全性，避免或减少安全事故，成为了当前的一项重要研究课题。齐治科技针对当前IT系统面临的安全挑战，结合多年运维安全工作经验，提出立体化的统一运维安全解决方案，从系统、数据库、应用安全管理和特权账号管理多个角度、层次出发，管控IT运维的各个维度，构建完整的运维安全管理体系解决方案。

方案整体架构设计如下：

首先，通过系统层堡垒机、数据库层堡垒机、应用层堡垒机三个维度，构建安全访问通道，通过身份认证、动态授权、访问控制、运维审计等手段，实现对网络设备、操作系统、主机、云上云下资产、数据库、应用系统等各类IT资产的全量纳管，支持各类信创、非信创环境，通过最小化权限控制，提升系统安全性，使运维管理事前可预测，事中可防范，事后可追溯；

其次，通过特权账号管理系统，实现对各类资产用户名口令的统一管控，主动发现如弱口令账号、幽灵账号、提权账号、长期未改密账号等账号风险，并通过主动处置手段，避免账号问题带来的安全隐患；

最后，在应用堡垒机中使用“单包授权”技术，实现系统“隐身”，不对外暴露堡垒机、云管平台等集权系统及应用堡垒机自身的IP地址和端口，避免0day漏洞攻击、端口扫描攻击等安全威胁，收敛攻击面，提升系统安全。

三、方案验证及收益

1、方案实施背景

某证券企业数据中心沿用“两地三中心”架构，IT资产规模数万台，且分布在私有云、虚拟化、容器平台等不同环境中。原本采购的堡垒机产品已经无法满足当前运维安全的需要，主要体现在以下几个方面：

一是原有堡垒机产品为多年前采购的老旧产品，无法满足当前国产化、国密改造、容器化管理的相关要求；

二是原有堡垒机在数据库资产全面安全管理方面，存在一定困难，无法实现库表列级精准权限控制，不支持数据脱敏、数字水印等功能；

三是原有堡垒机在账号管理方面能力不足，无法支持资产账号主动发现能力，在进行批量改密时也存在性能瓶颈，改密速度慢，同时影响堡垒机运行性能；

四是在出现0day漏洞时，堡垒机、云管平台等各类集权系统只能在漏洞发生之后，对已知漏洞进行修复，但对于未来可能发生的0day漏洞以及因此而带来的安全风险无能为力。

2、实施过程

大型攻防演练在即，为一次性解决上述问题，经充分沟通了解后，该证券企业决定采用齐治统一运维安全管理解决方案，在某一数据中心内部进行部署验证。项目实施过程坚持“集中管理是前提，身份管理是基础，访问控制是手段，操作控制是核心，事后审计是保证”的核心思想，以最小化权限为目标，分别部署、配置新一代堡垒机（即系统层堡垒机）、数据库安全网关（即数据库层堡垒机）、应用安全网关（即应用层堡垒机）、特权账号管理系统等产品。为使产品在攻防演练中发挥作用，齐治科技做了充分的调研、沟通、配置、推广等工作，解决了众多影响项目收益的难题。

首先是项目组低估了特权账号系统建设的复杂性，仍然使用堡垒机建设的思路进行项目建设规划，出现了诸如资产信息不全面、账号收集速度慢、批量改密成功率低、系统使用率不高等情况。针对以上问题，该证券企业和齐治科技进行深入探讨并提出了以下解决办法：

1）针对资产信息不全、使用率不高的问题，对各运维团队进行了系统化培训，介绍产品方案和具体使用方法，强调项目建设对于运维安全重要性，明确试点目标及资产纳管范围，确保信息提供的准确性与及时性；

2）利用“自动复核”功能对纳管的资产情况进行自动复核检查，统计异常数据并责令具体负责人限期修改；

3）针对批量改密失败率高的问题，先对现有改密情况进行分类，发现主要是录入信息异常或网络策略问题导致密码错误、网络异常，同时针对部分脚本问题、权限问题进行逐一修复，最终确保所纳管资产100%成功改密。

其次，为实现数据库访问的安全管控，在系统上线前，与该证券企业数据库运维团队进行深入探讨，并根据中国证券监督管理委员会颁发的《证券期货业网络和信息安全管理办法》，对数据访问和运维过程进行规范化、标准化，确保数据访问安全可靠。

数据库安全网关建设思路是以网关形式向前兼容各种数据库主流C/S客户端，向后兼容各种数据库类型，中间做管控的方式，可以在不改变数据库操作员使用C/S客户端工具习惯的前提下，提供Web-IDE的统一数据库管理界面。同时网关形式还可以保证，不论操作员使用的是C/S客户端访问数据库，还是使用Web-IDE访问，都可以实现多因素的身份认证能力，并提供高危命令阻断及告警、库表列级数据权限管理、数据脱敏、数字水印、访问审计等功能，在满足日常数据库运维便利性的同时，全面提升数据库访问安全性，避免删库、数据泄露等风险事件发生。

同时，应用安全网关主要面向堡垒机、云管等集权系统，提供应用层安全防护能力。应用安全网关使用了单包授权技术，用户在通过应用安全网关访问堡垒机、云管平台时，需要先下载客户端软件并申请SPA访问权限，在管理员对终端访问授权之后，才能通过客户端软件登录到应用安全网关平台，并进一步访问被应用安全网关保护的如堡垒机、云管等集权业务系统。为平衡系统使用复杂性和便利性，本次应用安全网关主要用于防护堡垒机自身安全，如有显著效果再考虑对其他应用系统的纳管与防护。

最后，在落地新一代堡垒机系统建设时，除了进行原有堡垒机数据迁移之外，还同时考虑了与现有身份认证平台对接，确保用户身份统一；与ITSM、统一告警平台集成，确保工作流程的一致性和系统安全问题告警的及时性；与特权账号系统联动，确保系统账号密码托管、使用、改密等业务的顺利进行，使相关复杂功能对运维操作人员透明；实现与应用安全网关的一键登录能力，简化运维访问过程。

3、实施收益

齐治统一运维安全管理方案的实施落地，确保了该证券企业数据中心关键业务系统的运维安全，构建了从系统层到数据库层，再到应用层的完整安全防护体系，并建立账号安全管理基线。相关收益具体体现在以下几个方面：

一是在大型攻防演练期间，通过应用安全网关的使用，实现了堡垒机平台的网络隐身。在攻防过程中，攻击者始终未能找到堡垒机这类集权系统，因此也无从利用0day漏洞、口令暴力破解、SQL注入等攻击手段；而日常运维工作人员，通过SPA授权，确保可正常访问堡垒机系统进行运维管理操作；

二是通过本次数据库安全网关建设，对数据库访问行为进行了精细化管理，确保了各类数据库运维用户的访问权限，确保数据库运维操作可审计到每一个具体操作人员和每一条数据库运维指令，真正实现数据库运维可管理、可控制、可追溯，确保数据库访问符合《证券期货业网络和信息安全管理办法》的相关要求；

三是通过特权账号系统建设，有效避免了弱口令账号、长期未改密账号、幽灵账号、提权账号等安全隐患，建立并落实了账号纳管立即改密、周期性自动改密、账号风险自动发现、账号密码工单等账号管理规范，提升系统账号安全。

作者介绍

张俊峰，齐治科技售前技术总监，从事运维安全工作超过 20 年，专注解决用户业务需求和痛点，为用户提供专业运维安全解决方案，有丰富的银行、证券及其他头部客户项目咨询和建设经验。

关于安全村文集·证券行业专刊

关于安全村

安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。

投稿邮箱：info@sec-un.org

阅读原文

跳转微信打开

企业蓝军能力提升初探｜证券行业专刊3·安全村

Tue, 19 Aug 2025 08:45:00 +0800

原创奇安信 2025-08-19 08:45 广东

实战出真知

一、背景

在中国，网络安全领域的“蓝军”概念源自国外军事领域中同名的专业术语。蓝军的起源深深植根于军事实践之中，其核心理念在于：为了构建更加坚固的防御体系，必须主动出击，通过模拟攻击自身的防御系统来揭示潜在的薄弱环节，进而加以强化。这一理念逐渐发展成为一种名为“战争游戏”的演练模式。

在金融领域，这一理念同样得到了广泛应用。许多金融机构纷纷聘请专业的蓝军团队，每年定期开展实战化验证活动，旨在揭示现有防御体系中的漏洞，并验证其有效性。近年来，一些领先的金融机构更是建立了自己的企业蓝军队伍，积极践行“以攻促防”的理念。通过常态化的攻防测试，这些机构在日常工作中不断从攻击者的视角审视自身的防御体系，及时发现并弥补不足。这种检验防御体系的方式被证明是最为有效的，为金融机构后续的安全建设提供了有力的指导。

二、主要问题

近年来，企业蓝军的建设呈现出蓬勃发展的态势，截至2024年，参与实战攻防演习的金融行业攻击队伍数量已突破20支。然而，在金融单位蓝军能力增强的过程中，亦面临诸多挑战与瓶颈。

尽管已明确提出实战化企业蓝军的建设目标，但具体的实施规划、发展路径以及可操作的方案仍显模糊，这严重阻碍了企业蓝军建设的系统性和持续性。

蓝军的职责定位及工作界限不明确，导致日常工作中难以准确界定其职责范围，除攻防演习外，蓝军人员的价值难以得到充分展现。

蓝军人员的选拔标准与能力提升路径不清晰，实战型人才匮乏，且缺乏有效的实践锻炼和训练环境，这直接导致蓝军能力与实战需求脱节，进而影响了团队的稳定性。

在知识库、工具库以及案例库的建设方面存在明显不足，缺乏必要的积累和支撑。

三、解决思路

（一）确立目标，细化企业蓝军岗位职责与成长蓝图。

企业蓝军的组建应深度融合分子公司的精英力量，不仅需履行公司内部的攻防职责，还应积极投身于外部的比赛及攻防演习中。其职责可明确分为日常对内与对外两部分：

1、对内职责

全面渗透测试：包括但不限于上线前的渗透测试、源代码审计、业务框架的深度漏洞挖掘，特别是自研系统平台与底层框架在开发测试环境下的潜在漏洞，以及凭借内网白名单权限，随时进行不通知测试，并将发现的漏洞闭环管理于漏洞管理平台。

内部攻防实战演练：通过高度仿真的攻防场景，持续磨砺防御体系。

攻防项目管理：担任攻防类项目的项目经理，确保项目的顺利实施与高效执行。

安全事件响应与溯源：迅速响应安全事件，进行深度溯源分析，构建坚实的防守屏障。

2、对外职责

荣誉竞赛的参与：代表企业征战国内外顶尖攻防赛事，如网鼎杯、强网杯等，以卓越表现为企业赢得荣誉。

攻防演习的能力展示：作为攻击方参与各类行业、地市级攻防演习，展现企业强大的攻防实力。

品牌影响力的提升：通过参与各类论坛、大会等活动，扩大企业影响力，提升品牌形象。

需强调的是，企业蓝军不应仅满足于渗透测试团队的定位，而应致力于成为一支具备从资产识别、漏洞研究、外围打点、内网横向移动、权限维持到靶标攻陷的全链条攻击能力的APT攻击团队。因此，其成长目标应聚焦于APT攻击能力的全面构建与提升，涵盖基础能力、战术素养、实战经验、工具储备等多个维度。

（二）汇聚名师，打造不同梯队的企业蓝军

攻防课程讲师必须拥有丰富的实战经验，在Web攻防、社工渗透、内网渗透、模拟APT攻击等领域具备了扎实的技术实力。面对不同级别的人员能力提升需求，需要提供自定义组合、有侧重点的课程设计体系。

面向攻防入门人员：强化渗透测试基础，注重工具使用与动手能力培养，以满足企业蓝军的基础工作内容需求。

面向初级蓝军：提升战术素养，建设基础工具库，通过高仿真靶场进行场景化训练，全面提升战术素养、动手能力与团队协作能力，达到独立组队参加攻防演练的水平。

面向中高级蓝军：深化战术理解，强化工具研发与漏洞挖掘能力，提升团队深度配合与实战成绩取得能力。

（三）萃取实战环境，高仿真环境中锤炼实战技能

通过每年超过300场的实战经验总结，从中提炼出实战攻防场景，并在虚拟环境下进行还原，形成独特的训练环境。在模拟场景攻防演练阶段，依据攻防实战的真实案例构建的18套实训靶场环境开展。其中有8个初级技战法靶场，重点训练实战中常见的必备攻击测试基础技战法；6个中级技战法靶场，重点训练与安防设备产品对抗技术，包括杀软、WAF、堡垒机、主机安全、流量监控、容器逃逸等；4个高级技战法靶场，围绕行业特点、网络特征、业务属性、防御能力等建立的综合靶场进行高阶能力综合训练。场景分级和训练重点如下：

靶场拓扑图举例

（四）选工具，工具库助力实战效能跃升

在企业蓝军能力提升过程中，攻防工具的应用是突破瓶颈的关键。鉴于团队规模与运营成本限制，工具积累往往成为企业蓝军的短板。同时，工具免杀、木马维持、功能升级等方面也面临着高昂的运营成本。为解决这些问题，研发了一体化工具平台，通过SaaS服务方式为企业提供高效工具与服务。

该平台将助力企业蓝军在短时间内实现能力飞跃，通过提供丰富的攻防工具与专业的服务支持，解决工具积累不足、免杀与木马维持难题，以及功能升级等方面的挑战。

四、最佳实践

（一）组建初级红队

1.需求与目标

某金融行业单位新成立攻防团队，规划团队岗位职责，并确定了以内部选拔为主，外部招聘为辅的全公司范围人才选拔策略，组建企业蓝军。

以组建攻击队为核心目标，通过网络安全专业人才培训、选拔，寻找有攻防技术功底、有潜质并且有意愿从事攻防技术进行深入研究的技术人员，在2-3年内将队伍塑造成为行业内有一定实力的攻防队伍。

2.能力提升规划路径

2023年侧重单位内部人才选拔，2024年通过实战带训、联合组队以及构建全面的知识库，全方位提升蓝军的实战能力，2025年将更侧重实战及工具库能力叠加，最终可达到中级红队的能力。

3.核心特色亮点

1)人才选拔及评估

针对入围科技人员进行统一的攻防技术培训，通过线上考试完成攻防人才的初步评估，攻击队资深专家亲自面试，综合评估攻击队人员的能力。从Web安全、漏洞利用、主机安全、信息收集、外网打点、权限维持等方面评估，并形成能力雷达矩阵图，最终选拔出有潜力的人员作为一线蓝军队伍。通过每年定期评估人员可持续直观的看到蓝军人员能力变化。

2)实战化训练体系落地

根据年度目标拆解带训计划，采用阶段性带训结合重点攻防场景授课、蓝军靶场练兵及持续能力考核的方式，在掌握理论和方法的同时，通过实战化的靶场环境中进行练兵，确保学员掌握攻击队常用的攻击技巧，最后通过联合组队验证学员实战能力，形成了螺旋式提升攻击队人员能力的方法。

3)建立攻防评估标准

以攻促防已经成为打造企业蓝军的最终目标，从攻击、防护以及工具研发方面，建立攻防能力评价标准，树立能力提升目标，有针对性的提出提升蓝军成员的Web打点、客户端攻防、内网攻防、代码审计、社工、漏洞挖掘等方面的能力标准；在工具侧设计开源工具魔改、自动化工具、权限维持等方面建立能力标准；在数据分析能力方面和应急响应方面建立关联分析、上机排查和溯源的能力标准，打造攻防兼备的能力体系架构。

（二）高级攻击队：大战之前的实战练兵

1.需求与目标

某金融行业单位攻击队近期要参加攻防演习，但实战经验不足，备战时间较短，但是攻击队有一定的实战经验，急需攻防演习前的集训。

借助高仿真的攻防技术模拟靶场环境，结合实操演练与专业指导，帮助攻击队人员在信息搜集、漏洞利用、互联网外网突破、内网拓展、社工钓鱼、漏洞挖掘等方面重点强化，在“大战之前”获取宝贵经验。

2.通过实战化的课程体系拓宽攻防思路

根据攻防演练需求设计了与本次攻防对抗相关的主要内容，具有丰富经验的攻击队专家亲自授课，将课程内容与实际攻防案例结合，启发学员的攻防思路，如下所示：

3.通过实战靶场练兵熟悉攻防组合套路

通过历年国家级攻防演习场景还原，组合各种常见攻击方式，有针对性的、有重点的对参演人员进行训练，达到了快速进入攻击场景，熟悉攻击路线的作用。

结语

数字经济为金融业带来发展机遇的同时，也对金融安全带来了巨大挑战。在国家推进金融安全体系建设的当下，金融机构正积极的将网络安全建设推向一个更加注重实战效能的新阶段。对于证券行业而言，蓝军的培养还需注重实战经验的积累和攻防思路的拓宽，以应对日益复杂的网络安全挑战。未来，随着攻防技术的不断演进，企业蓝军的建设也将持续加强，为证券行业网络安全提供保障，助力金融业在数字经济的浪潮中稳健前行。

作者介绍

奇安信观星实验室成员均为攻防领域的高级技术专家，拥有丰富的国家及省部级攻防演习经验，在各行业演习中名列前茅。实验室通过实战研发了多套技战法和工具，在Web攻防、社工渗透、内网渗透及模拟APT攻击等方面技术扎实、灵活，实战能力获业内高度认可。

李鸣远，奇安信金融行业安全服务专家，负责攻防领域人才培养以及实战化安全运营体系的设计与落地。

盛浩月，奇安信金融行业解决方案经理，有丰富的内容运营及活动策划经验，曾撰写过多项证券行业网络安全相关研究报告。

关于安全村文集·证券行业专刊

关于安全村

安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。

投稿邮箱：info@sec-un.org

阅读原文

跳转微信打开

共筑香港关基安全防线：专家云集，干货满满！｜香港中国网安科技沙龙回顾

Tue, 19 Aug 2025 08:45:00 +0800

喵酱 2025-08-19 08:45 广东

近日，斯元Z-ONE在香港圆满举办了主题为「Exploring China’s CyberTech in the Era of Hong Kong CI in 2026”」的中国网络安全科技专题沙龙。活动吸引了来自香港与内地的网络安全专家、行业领袖、技术厂商与合作伙伴齐聚一堂，在盛夏的香港掀起了一场关于关键信息基础设施（CI）安全与中国网络安全技术出海的思维盛宴。

在开场环节，特邀嘉宾 Syber Couture CEO Dicky WONG 围绕香港 CI 法案的核心要点，深入解析了本地网络安全的现状与挑战，并分享了应对新法规背景下的最佳实践方法。他的发言不仅引发了现场嘉宾的高度关注，也为整场活动奠定了务实与前瞻并重的基调。

随后，来自内地的三家领先科技厂商 RiskRadar、云纷科技以及嘉为蓝鲸依次带来主题分享，内容涵盖从漏洞快速发现与修复，到安全运营模式从被动防御走向主动智能，再到企业 IT 开发与运维的一体化平台构建。每一个分享都切中行业痛点，既有深入的技术剖析，也有可直接落地的解决方案，与会者在聆听中不断记录、思考，并在现场互动中积极发问。

香港作为连接中国与国际市场的重要桥梁，正迎来关键信息基础设施安全建设的战略机遇期。通过这次面对面的交流，中港两地的行业代表不仅加深了彼此对技术与趋势的理解，也在真诚的对话中发现了更多合作契机。茶歇与自由交流时间里，嘉宾们交换名片、延续讨论，现场气氛热烈而充满期待。

不少与会者表示，这不仅是一场信息量巨大的技术分享会，更是一段打开新视野、结识新伙伴的宝贵经历。斯元Z-ONE将继续秉持开放、协作、创新的理念，推动内地与香港在网络安全领域的深入合作，助力更多优质的中国网络安全技术走向国际舞台。未来，我们将持续举办更多高质量的活动，探索“内地技术 × 香港机遇 × 国际视野”的无限可能。

携手斯元，共同出海！

关注「安全喵喵站」，后台回复关键词【报告】，即可获取网安行业研究报告精彩内容合集：

《网安供应链厂商成分分析及国产化替代指南》，《网安新兴赛道厂商速查指南》，《2023中国威胁情报订阅市场分析报告》，《网安初创天使投资态势报告》，《全球网络安全创业加速器调研报告》，《网安创业生态图》，《網安新興賽道廠商速查指南·港澳版》，《台湾资安市场地图》，《全球网络安全全景图》，《全球独角兽俱乐部行业全景图》，《全球网络安全创业生态图》

话题讨论，内容投稿，报告沟通，商务合作等，请联系喵喵 mew@z1-sec.com。

阅读原文

跳转微信打开

报名｜扬帆安全沙龙·2025·上海站

Tue, 12 Aug 2025 08:45:00 +0800

扬帆安全 2025-08-12 08:45 中国香港

913 上海见

在当今全球化的商业格局中，中国企业的出海征程正稳步推进。数字化时代，企业在海外市场面临着复杂多变的安全挑战，多维度的安全护航科技能力已成为保障业务持续发展的关键要素。

作为中国专业聚焦的出海安全社区，扬帆安全精心策划了本次活动，旨在汇聚众多中国出海企业的安全关注者与实践者，共同分享行业最佳实践，深入探讨应对策略，加强互动交流，为企业出海保驾护航。

诚邀中国出海企业甲方安全专家参加本次闭门活动。在这里，您将聆听最前沿的出海安全实战分享，更能结识众多出海同行的安全伙伴，大家携手共进，为企业出海之旅增添助力，共筑安全防线。

9月13日，上海。

期待您的到来。

扫码报名

如需了解更多出海安全内容，保障中国出海企业数字化业务，欢迎加入出海社群。联系我们：global@z1-sec.com

阅读原文

跳转微信打开

傅里叶变换应用--基于证券业务启发的“钓鱼”仿冒管理实践｜证券行业专刊3·安全村

Thu, 07 Aug 2025 08:45:00 +0800

原创天际友盟 2025-08-07 08:45 广东

“钓鱼”网站的“潮汐”规律

关键字：傅里叶变换、“钓鱼”仿冒、预测

傅里叶变换不仅仅在信号领域的应用非常广泛，也是用来处理金融时间序列数据的最常见工具之一，尤其常见于证券行业，例如：股票数据、期货数据、外汇数据等。由于证券行业的金融属性，其网站和银行一样也经常被犯罪分子仿冒，针对受害者进行“钓鱼”。通过对数据分析，可以发现“钓鱼”网站出现的数量和时间往往给被仿冒者带来极大的压力，其规律可以称为“潮汐效应”，即“涨潮”时对对抗资源的需求巨大，而“落潮”时又使得储备资源闲置。因此，追寻网络“钓鱼”的趋势，并合理准备对抗资源，具有很高的研究价值。傅里叶变换则是这一任务的理想工具，利用傅里叶变化和相位领先技术，可以预测“钓鱼”网站出现的趋势，为资源准备提供前置信息。

本文结合实际数据展示了傅里叶变换与相位领先技术相结合在“钓鱼”网站处置资源管理中的实践应用。

傅里叶变换与逆傅里叶变换简介

傅里叶变换（法語：Transformation de Fourier，英語：Fourier transform，缩写：FT）首先由法国学者让·巴蒂斯特·约瑟夫·傅里叶（Jean Baptiste Joseph Fourier）系统地提出，所以以其名字来命名以示纪念。其基本思想是一个函数可以用无穷多个周期函数的线性组合来逼近，从而这些组合系数在保有原函数的几乎全部信息的同时，还直接地反映了该函数的“頻域特征”。它是一种线性变换，通常定义为一种积分变换。

傅里叶变换示意图

By Peppergrower - Own work, CC BY-SA 3.0,

https://commons.wikimedia.org/w/index.php?curid=6007495

如上图，傅里叶变换将函数的时域（红色）与频域（蓝色）相关联。频谱中的不同成分频率在频域中以峰值形式表示。（注：①峰值幅度，②峰间，③均方根（RMS），④波长，θ：红色正弦波和蓝色正弦波的相位差）

对于给定的时间序列，其离散傅里叶变换定义为：

其中：

X(k)是频率域中的表示；

N代表样本点的数量；

K代表不同的频率分量。

“钓鱼”网站的出现数量，可以构建成为基于日期的时间序列组，以下将其称为：信号。信号中的高频部分通常代表了信号（即数据）中的噪声，可以选择合适的阈值，对信号的高频部分进行过滤，过滤掉噪声后的信号y(t) 可以通过逆傅里叶变换（IDFT）恢复：

其中：

X'(k)代表示经过滤波处理后的频率分量。

相位领先技术原理简介

相位领先技术的思想是通过调整信号的相位，使其能够反映出未来“钓鱼”网站出现的数量的变化趋势，为资源协调提供决策依据。假设有两个相关的“钓鱼”网站时间序列函数x(t) 和y(t)，其中y(t) 被认为是 x(t) 的相位领先版本。

相位领先示意图

为了生成 y(t)，对 x(t) 进行如下处理：

执行傅里叶变换：对 x(t) 进行傅里叶变换，得到X(k)；

调整相位角：对于每个频率分量X(k)，调整其相位角。设每个频率分量X(k) 的相位为θk，则相位调整后的频率分量Y(k) 为：

其中，Δθ 为相位偏移量，用于设定所需的相位领先程度；

执行逆傅里叶变换：通过逆傅里叶变换将 Y(k)转换回时域，得到 y(t)。

通过以上步骤得到的结果y(t)就是基于相位领先的趋势函数。

应用示例

以下示例采用真实受害企业数据进行分析并展示，为了使得图形可视化更加良好，因此选用了遭受“钓鱼”网站攻击数据量较大典型企业作为输入数据。针对其他干扰因素，在后续思考一节中将继续讨论。

采用相位领先相关的技术应用目标是预测“网站”钓鱼在未来出现的数量，通过原函数与其导数的相位关系捕捉趋势变化的征兆，以下是对变化趋势拐点的检测的方法和结果展示：

1.提取周期：对历史发生的“钓鱼”网站数量进行整理，并应用傅里叶变换，分析历史数据中较为稳定的数据周期。

2.建立相位领先数据：针对上一步骤生成的正弦函数，执行求导动作，其结果是时间的余弦函数，这一函数用作趋势变化的征兆。

3.发现趋势征兆：观察余弦函数零点的方向变化，当该余弦函数从负转正或从正转负时，即预示“钓鱼”网站的数量变化趋势将出现反转。这种征兆可以为处置资源协调的决策提供较可靠的依据。

4.资源决策：当余弦波的值从负变正（余弦波过零点向上），表示“钓鱼”网站数量可能接近最低值，趋势即将反转向上，这时候应当协调处置资源备用；当余弦波的值从正变负（余弦波过零点向下），表示“钓鱼”网站数量可能接近最高值，趋势即将反转向下，此时可以考虑释放项目资源。

原始观测数据

xx企业出现“钓鱼”仿冒网站数量趋势分析图

原始观测数据（时序80-95）

傅里叶分析（时序80-95）

时间序列	模数	绝对值
80	-2962.673275+1103.026718i	3161.34479
81	-31.245599+1490.671140i	1490.99857
82	-4532.882663-5336.287073i	7001.64159
83	2887.518776-3922.185774i	4870.45233
84	4235.855016-976.014224i	4346.84615
85	3016.894897-3334.598481i	4496.79907
86	2725.139113+254.401283i	2736.98798
87	-1639.771875+2392.428161i	2900.44209
88	-1530.872802-2968.909262i	3340.35833
89	-3518.245217-3603.630584i	5036.28859
90	4398.385874+3261.433866i	5475.65057
91	1470.639328+2425.671323i	2836.66378
92	635.184159+1967.778230i	2067.75484
93	-530.277498-700.121875i	878.273798
94	-4443.195530-1830.421023i	4805.45811
95	5000.661883-4965.181380i	7046.96001

傅里叶分片计算示例（时间序列80-95）

如以上图所示，由于“钓鱼”网站数量的变化并不是严格的周期性变化，因此必须持续分析最新的数据以动态调整主周期和相位。

思考

“钓鱼”网站的出现是动态变化的，尤其是在博弈背景下，即持续地对“钓鱼”网站进行监测，并执行下架操作，将使得“钓鱼”网站的变化趋势更加复杂，为了简化理解傅里叶变化在“钓鱼”网站应对管理中的应用，本文并未在“博弈“场景下进行解读。因此，实践中还应注意：

周期性调整：不法分子可能将新研发的对抗技术投入使用，而其研发周期带有不确定性，因此“钓鱼“网站出现的数量的周期性并不是长期稳定不变的，因此在生成”钓鱼“网站数量时间序列方法时，应坚持采用傅里叶变换方法对其周期性进行动态检测，以确保相位信息的准确性。
延迟问题：相位领先信号可能会出现轻微延迟，保障资源协调决策需要辅助以风险管控思想，即规划合理的风险准备资源，在小型项目中，可以采用一般风险准备资源予以应对，而作为专业“钓鱼“网站的处置机构，还需要制定管理级的风险准备资源，即在不同的项目集之间进行资源准备和协调。
其他：单一的傅里叶变换+相位领先技术是不够的，其使用会受到随机噪声的影响，而随机噪声的分析假设不具备周期性，因此实践应用中还需要结合更多的技术，例如：攻击烈度相对强弱指标分析等。

小结

“钓鱼”网站的“潮汐”规律捕捉，对于专业处置团队和企业而言，是资源协调决策的基础依据。科学管理“钓鱼”网站监测与处置资源，是建立现代化企业的一个典型体现，通过傅里叶变化和相位领先技术，可以有效的组织企业资源，为企业实现敏捷化管理和最大化效率资源比提供了理论基础，该方法已经经过实践检验为有效。

作者介绍

刘广坤，天际友盟技术总监，有着飞行器制造安全系数 3.0 理念的信息安全工作者。

崔领先，天际友盟技术副总监，安全老鸟，沉浸于品牌保护技术研究。

关于安全村文集·证券行业专刊

关于安全村

安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。

投稿邮箱：info@sec-un.org

阅读原文

跳转微信打开

从安全角度分析开发和应用架构变化及其对典型Web漏洞的影响｜证券行业专刊3·安全村

Tue, 29 Jul 2025 08:45:00 +0800

原创国联证券 2025-07-29 08:45 上海

理解漏洞

摘要：信息系统是证券公司实现数字化转型的重要抓手和显性成果，软件架构是系统建设的基础，不断迭代发展的同时又时刻面临安全风险的挑战。本文介绍了基于Java语言的现代Web应用架构演化和开发技术发展，尝试从安全角度分析上述变化对SQL注入、XSS等典型Web应用漏洞的影响，帮助IT从业人员理解漏洞成因，总结当前应用安全现状，为防御漏洞风险提供思路。

关键词：Java Web；开发架构；应用漏洞；金融科技

一、研究背景

随着金融科技发展，证券公司数字化转型进入快车道，证监会等监管单位不断出台各项指导意见及规定，要求证券公司保障充足的信息技术投入，加大IT系统建设，持续加快数字化转型^[^1]。信息系统作为数字化转型的重要抓手和显性成果，在技术发展下呈现出一些自有特点，如B/S模式成为系统架构主流，DevOps敏捷开发逐步推广，Java占据Web应用开发语言的主导地位等。对近年来笔者所在单位（以下简称“单位”）新上线业务系统进行开发语言统计，百分之八九十为Java开发，特别是恒生电子、金证、顶点等行业供应商提供的集中交易、风控、开户见证等证券业务系统，均是Java应用。以恒生电子公司为例，其新一代UF3.0集中交易系统、O45资管交易系统便是基于由Java语言实现的JRES 3.0技术平台进行开发，一定程度上可以认为Java Web应用的安全性直接决定了券商行业信息系统安全性的整体水平。分析信息系统开发和架构发展，研究应用安全漏洞变化，对保障证券公司网络信息安全有着重要意义。

二、技术栈演化

(一) 应用架构

1. 前后端分离

近年来新开发的Java Web应用系统，逐步从传统的MVC单体应用架构全面转向前端以SPA单页面为主，后端以提供API接口为主的前后端分离架构^[^2]。在MVC架构模式下，HTML、JavaScript等前端代码与后端Java代码耦合，需要一同被部署在Tomcat或WebLogic等应用容器内，由后端服务最终输出JSP页面展示在浏览器上。而随着Ajax技术的兴起，前端可以不再依赖于后端便可异步刷新页面，后端通过HTTP接口提供数据服务，前端请求后端接口获取数据并进行页面渲染，前后端仅需要事先约定传输的数据字段和类型等信息，便可各自完成系统开发，实现了前端代码和后端代码的解耦。

2. 微服务

而前后端分离架构的流行，也催生了后端微服务化这种软件系统架构。微服务主要是针对应用后端的一种软件开发架构和组织方法，它将原来依赖关系复杂、不同应用和数据之间互相耦合的大型单体应用拆分为一个个独立的小服务单元，每个服务运行在自己的进程中，完成单一职责，服务之间通过明确定义的API进行通信，从而满足业务快速变化及分布式多团队并行开发的需求。

3. 容器化

由于微服务架构需要构建、测试、部署、运行数十个独立的微小服务，带来环境配置多样、版本管理困难、运维监控复杂等新的问题，所以以Docker和Kubernetes为代表的容器化技术，将应用标准化为可管理、可测试、易迁移的容器镜像，天然适合Java语言下的微服务架构系统，契合快速迭代的开发需求。

（二）开发框架

开发框架的安全性直接关系到应用系统的安全性，2012年爆发的Struts2命令执行漏洞，便是出现在Java后端开发框架上，Struts2是由Apache基金会开源的一个在MVC时期最为流行的开发框架，以Struts为关键字在乌云检索，漏洞记录高达1043条（见图1）。本文主要站在前后端分离应用架构的角度，将Java Web系统的开发框架主要分为前端框架、后端框架与数据库操作框架。

图1Struts2漏洞

1. 前端框架

Web应用系统的展示层主要是HTML、JavaScript、CSS等文件构成，由浏览器最终渲染成用户可以浏览的页面，在MVC时期，应用最广的是以jQuery为代表的DOM方法库和Element UI等组件库，到了前后端分离时期，出现了以React、Vue和Angular为代表的三大前端框架，通过响应式、虚拟DOM等方式，将前端开发工程化、标准化，这些前端框架的广泛利用也极大减少了XSS漏洞的出现。

2. 后端框架

相对于前端框架的多样性，Java Web的后端框架已经发展到较为成熟的时期，Struts2等框架逐步面临淘汰。根据2020年VMWare发布的一项调查报告显示，使用Spring进行开发的应用比例占到86%。Spring家族技术栈包括Spring Framework、Spirng Boot、Spring Cloud、Spring Security等一系列开发技术框架，极大提升了Java开发的效率与安全性，Spring架构的核心是通过依赖注入和控制反转，将实例对象交由Spring容器管理，实现代码解耦。

3. 数据库操作框架

通常Java应用连接操作数据库需要通过JDBC接口，具体的实现由各个数据库厂商提供符合JDBC接口的数据库驱动来完成。由于JDBC存在连接池创建释放频繁、SQL语句硬编码等问题，又出现了数据库操作框架ORM，ORM框架的实质是对JDBC进行了一层封装，通过描述Java对象与数据库表之间的映射关系，自动将Java应用程序中的对象持久化到关系型数据库的表中。当前主流的ORM框架有MyBatis、Hibernate和JPA，ORM框架在应对SQL注入漏洞方面提供了极大的帮助。

（三）组件

1. 代码组件

可以说Java从诞生开始，便是建立在开源生态基础上的，Web框架Spring、JSON序列化库fastjson、日志框架Log4j2、安全认证框架Shiro等，无不是开源项目，开源代码组件的使用，可以让开发者关注于业务代码，而不必关心底层实现。但由于Java Web应用大量依赖这些底层代码组件，代码组件的安全性决定了上层Java Web应用的安全性，可以说代码组件安全已经成为Java安全领域第一大威胁。2015年公布的Apache Commons反序列化漏洞，打开了Java安全的潘多拉魔盒，直接影响了WebLogic、WebSphere、JBoss等应用容器的安全性，2021年的Log4j2远程代码执行漏洞，也影响了Strust2、Solr、ElasticSearch等数千个上层组件的安全。

2. 容器组件

由于Java Web应用架构的演化，SpringBoot框架的大范围使用，应用容器的选择也发生了巨大的变化。MVC时期Java Web项目一般被整体打包为jar或war包，发布在Tomcat或WebLogic等应用容器上，而在前后端分离架构下，前端被剥离单独部署在Nginx等Web容器上，SpringBoot框架封装了Tomcat容器，使得后端项目可以以jar包的形式直接运行，无需开发者另行部署应用容器，这一结果也导致WebLogic、 WebSphere等容器的使用大大减少。

三、典型漏洞态势分析

以上Java Web应用技术栈的演化，影响了如SQL注入、XSS等典型Web漏洞在Java Web应用程序上的展现形式与利用方式，不同类型的漏洞出现的概率相较于传统单体应用同样出现了变化，本文例举了五类Web漏洞，对这些漏洞的发展趋势进行分析。

（一）SQL注入

SQL注入漏洞是将SQL语句插入到应用的输入参数中，到达数据库解析执行，返回语句执行结果^[^3]。攻击者通过SQL注入漏洞可以执行非预期的命令或者获取到不受程序控制的敏感数据，根据OWASP Top 10-2021版的排名，注入漏洞（注：2021版注入漏洞合并了XSS漏洞，本文特指SQL注入）位列第三位，在2017版中该类型漏洞排名第一。Java应用使用JDBC的Statement对象用于执行静态SQL语句并返回生成的结果，当输入参数可控时，攻击者可构造带有危害的SQL语句插入到参数中执行，以下列存在漏洞的代码段为例，当user参数构造为admin’or‘a’=‘a这一字符串，就可以正确闭合SQL语句，绕过password字段的校验查询出admin账户的数据。Java提供了PreperedStatement对象，它的功能是将SQL语句进行预编译，故在查询时外部输入参数将不会被再次编译执行，从而防止了SQL注入漏洞。

注入漏洞在OWASP排名下降的原因，笔者认为可能与数据库操作框架的大范围使用有关。以MyBatis框架为例，在使用MyBatis框架编写SQL查询语句时，需要使用#{}占位符接收参数，用于解析占位符的类为 GenericTokenParser,它的底层真正实现是PreperedStatement对象，所以在MyBatis中用#{}可以防止SQL注入。但对2022年的渗透测试、上线测试等安全测试结果进行分析统计，SQL注入漏洞被发现的比例仍然高达39%，数量似乎没有减少。对SQL注入漏洞点进一步定位分析，发现漏洞主要发生在模糊查询、动态排序、数组参数查询等处，如果开发者在这些SQL处直接使用#{}占位符，会导致MyBatisSQL执行出错，所以开发者会直接使用${}，这在底层属于直接拼接参数的写法，导致漏洞被触发。

（二）XSS攻击

XSS攻击是将JavaScript代码插入到网页中，当用户浏览包含有这些JS代码的页面时，浏览器便会执行JS脚本的一种攻击方法，这些JS代码通常含有盗取Cookie的功能，从而盗取用户身份。在单位近三年的Web应用安全测试项目中，仅发现一例XSS漏洞，XSS漏洞出现概率呈现逐年下降的趋势异常明显，这一变化与前后端分离、三大前端框架的流行有密切关系。在React或Vue框架中，框架会自动使用textContent、setAttribute等浏览器原生API，完成HTML渲染或数据绑定，即使攻击者提交了带有<script>标签的数据，转义函数也会把特殊字符转义成字符实体，以避免其被浏览器解析为HTML标签，防止了XSS攻击。

虽然前端框架帮助开发者解决了绝大多数XSS漏洞，但并不代表XSS攻击不会在框架上出现。React的dangerouslySetInnerHTML和Vue的v-html标签属性，均可以实现将字符串处理为HTML文档并渲染到页面的功能，这些指令在底层调用的是innerHTML方法，一旦开发者在框架中使用了这些指令，同样会引发XSS漏洞（如图2）。

图2Vue XSS

（三）文件上传与WebShell

文件上传漏洞一般指应用程序在上传功能点未对用户上传的文件类型进行检查，导致攻击者可以上传经过特殊构造的脚本文件，在服务端执行，这些脚本文件通常会具备文件管理、目录浏览、命令执行等功能，可以直接控制和修改应用，又称为WebShell，在Java Web应用中主要是JSP格式文件。对于MVC架构的单体应用，由于静态资源和后端代码耦合，Tomcat或WebLogic等应用容器需要负责同时解析静态和动态资源，当攻击者上传一个JSP文件时，应用容器会将JSP页面编译成为Servlet执行。

Java Web的前后端分离架构与SpringBoot框架影响了文件上传漏洞利用和WebShell的形式，一方面静态资源被分离出来单独部署在Nginx等Web容器上，再通过反向代理方式请求后端接口，用户上传的图片或文档被保存在Web服务器上，即使成功上传JSP格式文件也无法被Nginx解析；另一方面，虽然SpringBoot框架支持JSP，但Spring官方并不推荐开发者使用，若要支持JSP需要引入额外依赖，在默认配置下JSP文件被上传至服务端无法被SpringBoot框架内嵌的Tomcat解析，可以说在前后端分离架构下，JSP被使用的必要性大大降低。虽然现代应用面对文件上传攻击的威胁正在减弱，但不代表WebShell就此消失，由于反序列化漏洞、Log4j2漏洞的影响，无文件式“内存马”成为获取应用权限的主要方式，Java的反射、Java Agent等动态特性，使得攻击者可以动态修改或者生成具备特殊功能的class。

（四）访问控制缺陷

访问控制缺陷风险在OWASP Top 10的排名从2017版的第五位上升至2021版的第一位，可见在现代应用架构下，此类风险出现的概率正在变高和更为容易。访问控制缺陷漏洞发生的原因包括应用系统自身的权限设计缺陷、中间件配置错误、不安全的会话管理等。本文主要从应用权限和组件配置两方面分析导致访问控制缺陷风险排名上升的原因。

1）应用系统自身权限设计缺陷。因应用系统自身权限设计缺陷导致的漏洞主要表现为未授权访问、水平越权和垂直越权^[^4]，如无需登录便可调用敏感API获取系统数据；获取不属于当前登录用户的其他用户数据；普通权限用户向上获取管理员权限用户的数据等。在前后端分离架构下，后端服务通常被设计为API接口的形式，一个应用系统可能拥有多达上百个API，这些API若未配置权限校验或权限校验逻辑被绕过，就容易出现漏洞。

2）组件配置错误。根据前文所述，Java Web应用会引用大量的三方组件来帮助开发和监控应用，部分三方组件带有Web UI形式的管理控制台，如果未对管理控制台配置身份认证，攻击者可以未授权访问这些三方组件，获取系统信息甚至执行非法操作，典型的有SwaggerAPI、Spring Actuator、Druid等组件未授权访问。

（五）三方组件漏洞

本文将不是应用系统开发者自行编写，而是通过POM文件等方式引入的依赖称为三方组件，如使用SpringBoot框架需要引入spring-boot-starter-web就是一个三方组件。三方组件漏洞意味着依赖它的上层应用同样面临漏洞威胁，这一漏洞依赖关系在大量使用开源代码的Java Web应用上体现的更为明显，本文以Java反序列化漏洞为例进行说明。

Apache Commons Collections是一个扩展了Java标准库里的集合结构的第三方基础库,提供了很多强有力的数据结构类型并实现了各种集合工具类,被广泛运用于各种Java应用的开发。2015年Commons Collections库被发现存在反序列化漏洞^[^5]，间接影响了许多应用容器的安全性。WebLogic的T3协议是应用容器用来实现RMI调用时的通信协议，通过序列化数据传输方式，远程调用另一台JVM虚拟机中对象上的方法，如图3所示，攻击者向WebLogic的HTTP通信端口发送含有恶意类的T3协议数据，WebLogic的resolveClass方法会直接执行恶意类的readObject方法，触发Commons Collections利用链实现远程命令执行。分析WebLogic10.3.6的安装文件会发现其modules文件夹存在名称为com.bea.core.apache.commons.collections_3.2.0jar包，说明WebLogic10.3.6使用了CommonsCollections库。

图3CVE-2015-4852漏洞原理

四、总结

本文主要介绍了基于Java语言的现代应用架构演化和开发技术发展，并分析了以上变化对典型Web应用漏洞的影响，笔者认为有以下三点现状值得思考：

1）应用系统基础安全性得到提升。得益于底层框架带来的安全机制，现代应用系统安全性相比传统应用有了一些提升，漏洞点更为隐蔽，随处都是SQL注入、XSS等通用漏洞的情况有所改善，风险逐渐转向业务逻辑漏洞；

2）开发者安全意识没有增强。开发框架虽然帮助开发者更容易地开发出更为安全的系统，但并没有让开发者的安全意识得到提高，相反可能影响了开发者对安全漏洞的认识，SQL注入漏洞位置的改变证明一旦失去框架的安全机制，开发者仍然容易写出存在漏洞的代码；

3）安全测试难度变大。面对现代应用，漏洞挖掘变得困难，原有的一些攻击手法可能失效，简单使用漏洞扫描器无法轻易获得漏洞结果，Log4j2等组件漏洞的流行对安全测试人员的代码能力提出更高要求。

作为金融IT从业人员，应当了解上述现状，提升安全意识并采取安全措施，才能在数字化转型中从容应对安全挑战。

参考文献：

温思雅.证券公司数字化转型中的业务与IT融合问题研究[N],证券机构数字化转型与证券科技创新,2020

杜艳美,黄晓芳.面向企业级web应用的前后端分离开发模式及实践[J],西南科技大学学报,2018

基于攻击反馈模型的SQL注入漏洞渗透测试方法[J]，计算机应用与软件,2023

韦峻峰,李耀文.API接口安全运营研究[J],邮电设计技术,2023

巫俊杰.Java反序列化漏洞挖掘与攻击检测方法研究[D],北京邮电大学,2022

作者介绍

赵川，国联证券信息安全高级工程师，CISA，研究方向包括数据分析、应用开发安全、安全运营。

严星宇，国联证券综合及安全负责人，主要研究领域包括金融科技、安全体系、商密应用等。

关于安全村文集·证券行业专刊

关于安全村

安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。

投稿邮箱：info@sec-un.org

阅读原文

跳转微信打开

精选案例·征集启动！｜中国网络安全年鉴 2025

Tue, 29 Jul 2025 08:45:00 +0800

斯元Z-ONE 2025-07-29 08:45 上海

🌟中国网络安全年鉴·2025 🌟

「China Cybersecurity Yearbook 2025 」

案例征集

🎉 正式启动 🎉

‍

尊敬的网络安全从业者：

我们正处在一个充满不确定性的时代，而网络安全无疑是这个时代的关键议题之一。《中国网络安全年鉴（2025）》的编撰，不仅仅是为了记录过去，更是为了探索未来。

本次调研由斯元商业咨询（香港）联合数说安全、繁星创投共同发起，旨在系统梳理中国网络安全科技的发展历程，为行业的国际化拓展和未来研究分析提供坚实的数据基础。

本次调研意义

✅ 回顾与梳理：系统总结中国网络安全科技发展历程，记录行业里程碑

✅ 国际化准备：为本土企业出海及全球市场研究提供基准数据

✅ 前瞻性分析：助力行业趋势预测与商业策略制定参考

本刊为年度正式出版物，本次发布为第一期首版。

我们正站在一个时代的交汇处——中国网络安全产业从本土走向世界。我们诚挚地邀请您参与本次调研，为网络安全的未来留下您的声音。您的经验与洞察，是这个时代最珍贵的注脚。您的每一份思考，都将汇聚成推动行业前行的力量。

——斯元商业咨询（香港）、数说安全、繁星创投

调研内容

参与人群

本调研面向中国网络安全行业各类从业主体，包括但不限于：网络安全企业、行业投融资机构、政府监管机构、终端用户企业（甲方）及其他相关第三方机构。

调研时间

调研截止至2025年7月10日。

已终止。

精选案例

精选案例现正征集中。

截止至2025年 8月20日。

Step 01. 内容提报 - 厂商可提交两类展示素材（任选或组合提交）:

•技术能力展示：包括但不限于创新产品、解决方案的技术架构与核心优势

•实战案例呈现：典型客户应用场景及量化成效说明

Step 02. 专业审核 - 斯元将基于以下维度进行内容评审：

•技术先进性（符合2025年度产业趋势）

•案例典型性（需脱敏处理客户信息）

•行业代表性（优先选择重点领域标杆案例）

Step 03.标准化发布 - 通过审核的精选案例内容，可选择合作发布，并获得：

•精选案例汇总页，统一展示

•精选案例详情页，完整展示

•精装版年鉴（纸质版）赠书

•精选案例证书

说明: 案例征集仅限前期调研阶段已完成《保密协议》及授权文件签署、并按规范要求提交有效调研问卷的参与厂商。详细说明，及发布形式，相关厂商可联系斯元获取。

联系斯元：global@z1-sec.com

关于年鉴

马上扫码，了解年鉴！

阅读原文

跳转微信打开

一项重点工作的里程碑总结

Tue, 22 Jul 2025 08:45:00 +0800

原创 Truebasic 2025-07-22 08:45 中国香港

万字长文，慎入！

儿子今年高考成绩不错，收到了很多朋友的祝贺，在此特别感谢周围每一位朋友的帮助。有很多朋友撺掇着要和我讨教经验，但说实话讲起来内容实在太多，于是挑了一些重点做了点总结。按照我的习惯，这项重点工作干了18年，也是有个里程碑了，也确实需要总结。为了便于大家理解，先把梗概内容列个表。特别声明，这是我们家和父母、诸位长辈朋友的共同成果。

一、道（精神）

总结这18年来带娃的经验教训，就是一句话：带娃如带兵。

在这里我很感老东家中兴通讯对我的培养（还有我老婆单位对她的培养），在这里我学到了很多管理的技巧和方法，并且能够给我实践的机会，让我深刻领会和掌握了团队管理的精髓。我不但在工作中运用这些方法，而且在带娃的过程中也积极运用这些方法（下面很多例子都会讲到）。

带娃和带员工之间唯一的差别，就是你可以选择员工，但是无法选择你的娃。

二、法（总原则）

家长、老师和学校是三角合作关系，在孩子的成长道路上，三者缺一不可，每个角色都很重要。员工的成长道路其实也一样，家庭成员的支持、导师的训导、领导和同事的认可缺一不可。

1、好家长胜过好老师

在三角合作关系中，我始终认为好家长胜过好老师。因为家长和孩子在一起的时间最多、场景最完整，能够对孩子形成最大的影响。那么，在孩子的成长道路上，什么才叫好家长？

（1）家长意见一致

从娃第一天生下来，我妈就教导我们：“在孩子的成长道路上，父母的意见一定要一致，至少在孩子面前要一致；如果有不同意见，等孩子不在的时候或者到房间关起门来说，然后到孩子面前保持一致”。她拿我小时候的例子举例，说曾经有一次她和我爸当着我的面有不同意见，我作为孩子就会敏锐地观察到家长的分歧，就会利用分歧、争取自己的利益。

这个一致还要特别注意的是言行一致，以及家里老人和家长的言行一致，千万不要出现“嘴上一套、行为另一套”“父母一套，老人另一套”的情况。周围很多朋友都发生过自己给娃立了规矩，但是在老人那里就会生生地被破坏掉的情况。为孩子好的话，这种情况下建议不要和老人生活在一起，有能力的给老人在附近安排套房子住下来，没能力的就花钱请个保姆照顾孩子。否则，你贪的便宜都会在孩子身上加倍偿还。

放到团队管理里面，道理一样。明争暗斗的领导们，带出来的员工也一定不健康。

（2）家长以身作则

这个道理就不用多说了。孩子都是有样学样，你说脏话孩子也就说脏话，你胆小怕事孩子也会比较懦弱，你爱好读书孩子就会喜欢读书，你尊重他人孩子也会讲礼貌，你吃饭看手机就没法约束孩子吃饭打游戏。而且这里说的家长是父母双方，但凡有一个人做不到，实际上就是上面说的“言行不一致、家长不一致”。

放在团队管理里面，道理一样。

（3）家长也要持续地学习和成长

对孩子而言，过去、现在和将来，18岁之前拼的都是家长。我儿子的一个足球教练说过一句经典名言：“现在小孩子拼的都是家长的认知和资源”。所以，为了孩子的未来，家长要积极、努力地扩展自己的高质量人脉，认真、有目的地、系统性扩展自己在专业、投资、教育、健康方面的信息和认知，有目的地养成一些优秀的习惯、形成一些认知框架。认知扩展提升了，高质量的资源提升了，孩子的未来才有更多更好的选择。

别的不说，单说一个睡眠障碍吧。认知低的大概就会说“看中医、吃中药调理、针灸”，认知高的就还知道褪黑素、酸枣仁、心态调整、回字深呼吸法、检查和补充羟基维生素D3、刺激副交感神经、运动和肌肉拉伸、合适的枕头、避免过敏源、调整睡眠时间、行为认知疗法、戒手机、肠道菌群调理等方式。

放在团队管理里面，道理也是一样，团队长的能力就是团队能力的天花板。

（4）做不焦虑的家长

我见过、听过太多的娃在学习、成长道路上的问题，绝大部分的根本原因总结下来，就是家长太焦虑（这个结论可能有点片面，请多多包涵）：别人家学了这个，我也得去学；别人家干了这个，我们也得干；别人家的学校有这个，我们学校没有这个，那怎么办；别人家的娃在重点班，我们在平行班，愁啊！

怎么做到不焦虑？我有几个办法。

让爸爸主要带娃。我的观察显示，绝大部分的焦虑是由妈妈（很多还是全职妈妈）、奶奶、外婆造成的，爸爸、爷爷、外公的包容度比女性要大很多。因此让男性主要带娃，可以让孩子更好地面对不确定因素，增强抗焦虑的能力。这里不是否定各位女性在孩子成长道路上的努力，只是针对一些概率现象给出方案。
提升自己的认知和资源。焦虑的本质在于不自信、设立了过高的未来目标，所以持续的学习和提升，可以很好地增强家长的自信心。

放在团队管理里面，道理也一样。天天焦虑、每天觉得自己员工不行、总是抱着负面情绪的领导，员工怎么可能有进步。

（5）投入时间和精力的家长

这个就不用多说了。正如一开始所提到的，家长对孩子的影响最大，就是因为在一起陪伴的时间最长。所以谁的陪伴最多，谁的影响最大，谁的高质量陪伴多，谁的积极影响就最大。前面偷懒、后面吃苦的道理永远适用。

2、好老师胜过好学校

什么样的老师是好老师？爱学生（不管是好学生还是差学生，都会给予积极的认可，并激发孩子的兴趣），认真（关注细节、对每个孩子都有认知和判断）、负责有担当（不把自己的责任转嫁给家长、敢于批评和收拾不守规则的孩子、与家长有良好的互动）。

如果不幸去了一所很一般的学校，那么尽可能给孩子找到一个好老师、好班主任是非常重要的。怎么找，得你自己想办法了。我们带儿子上学而思的那几年，每个新老师的头几节课，老婆都会去听课，通过课堂的表现判断这是不是个好老师，如果觉得不行、立马换班。

即便在一所好学校，也要考察和评估当前的老师是不是好老师。一是因为不是每个好学校里面都是好老师，也是鱼龙混杂；二是老师和孩子也有一个匹配度的问题，同样是个好老师，有的孩子就是起不来，但是换个老师就能起来。

最后就是强调要尊重每一位老师。即便你觉得这个老师不行，少采用投诉的方式解决，多采用沟通、协商的方式解决。

3、好学校能带给我们什么？

好学校能带给我们的是（1）学校牛，在培养学生、训练老师方面有一套成熟、有效的体系和方法；（2）学生素质高，家长素质高，学生和家长会互相影响，互相促进。所以，有条件的话，尽可能进好学校，或者好班级。

放在团队管理里面，道理是一样的。学校就好比是你所在的公司，如果这家公司的人员素质、团队氛围、协作机制不行，那工作在这样的环境下，也是很憋屈的。

4、家校协作

家长、老师、班主任（甚至校长、年级主任）之间都是需要沟通协作的。家长要把自己掌握的情况、存有的问题向老师、班主任反馈，老师也要及时把掌握的孩子的情况跟家长沟通、双方配合。除了家长会之外，家校之间一定还要建立其他的沟通渠道，这样从老师的沟通反馈也能判断学校、老师对孩子的关注度、负责程度。

同时，家校之间要责任清晰、沟通达成一致。比如不能及时、认真完成作业，家长到底要不要管（我的回答是，做作业是老师的事情，没按老师要求做，随便老师怎么处理）？学校对不遵守纪律、要求的学生是否可以有处罚措施（我的回答是，必须有，让孩子早日接受学校的毒打，比走上社会再接受毒打的成本低）？有时候学校布置的作业显然只能家长能干、做不做（我的答案是，偶尔做一下可以，经常性的必须踢回去）？家长对于学校做法有不满意的地方，一定要及时有效沟通，避免学校、老师有误判。

关于有的家长喜欢做家委这件事情，背后的逻辑是非常正常的：家委为班级、孩子做了那么多，得到老师的多一些关注、多一些机会，也是合理的。

5、真诚对孩子

对孩子真诚，这个事情挺难的，真的是要修炼到相当程度之后才能做到。总有一些家长喜欢让孩子听自己的话、少走弯路，尤其对于一些当过领导、见识确实广博、控制欲比较强的人来说。我自己也从这条道路上走过来，转变很难，但并非不可发生。一旦家长修炼完，我觉得孩子的未来就向上打开了。

对孩子真诚，行动上说就是把他当做一个独立的、有意识的个体，对他的观点、诉求、想法平静地、平等地沟通和协商。

6、持续训练、引导、养成目标感

在孩子成长的各个阶段，家长要始终具备强烈的目标感：我这个阶段要帮孩子达到怎样的目标和状态。基于这个目标来训练、引导、养成孩子。人的一生应该要有目标，不同阶段要有不同阶段的目标。如果只是做了很多事情、但是没有一个目标来牵引，这样的成长是不健康、低效率的。

至于什么是目标，正如我在团队管理课程中给同事分享的：目标不是动作，而应该是一个状态，是一个改变、进步、提升之后的状态，是一个用形容词、量词、比较词可以表达的状态。

三、幼儿园和小学阶段

幼儿园和小学阶段，这个阶段基本还是小孩子，以玩为主，在玩中学习、成长。

1、养成好习惯

家长要从小立规矩、讲道理，帮助孩子养成好习惯。从外面玩回来之后要先收拾好东西，吃饭的姿势要端正、不看手机，从学校回来先完成作业再玩，见了老人要先问好。。。这些习惯从3岁开始就要训练。培养习惯的过程中要不断地给予鼓励和表扬，这样孩子才能从这个过程中收获成就感和喜悦。

讲道理这个事情，我曾经一度认为跟孩子、尤其似乎小孩子讲道理很无聊，论逻辑、论信息量、论个头、论音量，小娃娃怎么可能比得过大人。但是我自己的经历表明，讲道理这个做法要坚持，幼小阶段给孩子讲道理，其实是在家长在跟自己讲道理，“该不该给他这个机会尝试，失败了、跌倒了怎么办”，等到孩子有独立、自我意识了，那时才是真的讲道理。

2、早见世面

现在城市里的孩子其实比我们这一代见世面多多了，这一条似乎不是太大的问题，我们从小学开始就保持了每年去一个地方旅游、转转的习惯，也有很多故事和经历，孩子从小就能宠辱不惊，是非常棒的经验。同时我想提醒的是，见世面不但要多去国外转转，也要去中国的西部、乡村、丛林、高山、古建筑转转，多见识见识不同的自然和人文，对孩子的人文熏陶是极为有利的。

3、早接触真实的社会

我儿子在初中阶段遇到一个很有意思的困难，他觉得老师教的那些风花雪月、多愁善感、家仇国恨的情感很虚假，完全无法体会，写作文的时候完全写不出来这种感受，可偏偏中考考的就是这个，实在很头疼。我们对这个现象做了深入思考和剖析，发现一个很严重的问题：其实不是老师教的这些情感虚假，是孩子完全无法体会。孩子为什么无法体会？因为孩子的世界与真实社会（尤其是大人的社会）是几乎割裂的：几家朋友在一起吃饭、社交的时候，孩子们自己在打游戏；家里老人病逝了，总是托口孩子学习重要、不参加葬礼；亲戚朋友的娃结婚了，自己都不太想去、更别说带娃去了；家里七大姑、八大姨的八卦，只跟大人分享，觉得孩子听不懂，从不在孩子面前提起；现在孩子从小没有“大院”这种集体式成长环境，也不知道人与人之间交往应该妥协、尊重、观察、体谅，还有一部分家长总是说“现在的孩子跟我们以前不一样”就开始放纵和放松一些传统的做法，再加上手机、游戏机的侵害。。。于是造成现在的孩子与上一代人的社会严重脱节，长此以往，别说写作文，可能连家族传承、文化传递都要断档。

意识到这个问题后，我们从初中开始就做了调整。但实际上，最好的调整时机应该从幼小开始。从小融入这个社会，才能具备丰富的情感，才能感知到社会上“他人”的存在。

4、多尝试，找到兴趣点

幼儿园、小学阶段在学习方面，不设置强制性的目标。只要大人感兴趣，或者孩子感兴趣的方向，都可以尝试。尝试的核心目的是找到适合孩子兴趣和发展的方向，同时在这个过程中训练孩子的坚韧不拔的精神。在这个方面，找到合适的辅导老师就非常重要了，无论是家长亲自上，还是找校外机构，辅导老师一定要善于激发孩子的兴趣，让孩子在从事这个方向的时候有获得感，才能坚持和持续获得收获。

当然这当中也会遇到一个问题：如果有的课程孩子坚持了一段时间，说不感兴趣、想放弃，怎么办？我们的处理方式是：问清楚理由，结合孩子在前面一个阶段的行为、表现，一起商量个结果出来，并得到孩子的认同。这其中的关键点是“孩子自己要经过相对理性的思考，并认同最后的结论”。

同时理性地对待孩子最后的选择。像我们家在尝试了钢琴、画画、竖笛、乒乓球、篮球、跳绳、游泳之后，最后选择了足球作为自己的体育爱好，也是很魔幻。

5、培养自信、坚强、快乐的性格

孩子在这个阶段，年纪小、遇到各种困难、问题、挫折或受伤，大人很担心受怕，这种心情完全可以理解。但是要知道，人都是一步步从小的挫折、困难或受伤中成长、成熟起来的，如果小时候没有养成很自信、坚强的性格，怎么能指望大了之后就一定能养成呢？这也是我前面提出多数时候让爸爸带娃的主要原因。摔一跤，其实站起来拍拍灰就没事了，如果要上去嘘寒问暖，只会让大人更焦虑、孩子更脆弱。在团队管理中这个道理也是一样的，员工都是从不断的经验教训中成长起来的，如果员工遇到个问题、都要领导出马解决，那员工怎么可能成长？家长一定要记住，做教练式家长，不要做保姆式家长。教练式家长的特征是什么？教你、训练你、鼓励你，而不是做马俊仁那样骂人为主的教练。

从个人观察和经验出发，我非常提倡咱们普通家庭的家长带着孩子，掌握一门有身体对抗的、多人协作的运动技能，比如冰球、足球、篮球；如果做不到，那就让孩子多参加对抗性的体育运动；尽可能少参加比赛型、表演型的运动，比如跳舞、冰滑。这样做的核心目的是（1）增强体魄；（2）训练孩子面对失败的坚强性格，在日常训练中不断经历失败，孩子会收获一个强大的内心；（3）这类运动往往是团队运动，可以提升团队合作能力；现在的孩子从事的团队合作项目太少，团队合作能力普遍偏弱，可以通过这种形式补足。在团队管理中，这个道理也是一样的，如果一个员工在团建中、日常生活接触中很自我，那么大概率也是一个不善于团队合作的人；所以我在面试中通常会问应聘者喜欢什么活动，通过答案基本上也能七七八八判断应聘者的团队合作能力。

四、初中阶段

进入初中阶段，孩子也进入青春期，这个时候的孩子大多很有自己的想法，也开始不满意家长的约束、开始和家长有对抗情绪了。根据我的经验，中考其实是个最重要的分水岭，重要程度比高考还要高。这个时候怎么做？

1、家长的自我修炼

这个时候家长依然是一个教练，但是教练也要不断成长和提升。这个阶段的家长要能够学会倾听、尊重和忍耐。倾听指的是要多倾听孩子的发言；忍耐是指家长自己少发言，尤其是意见跟孩子不一致的时候，更要多听少说；尊重指的是真正从心态和站位上认识到孩子是一个独立的、有主见的个体，愿意蹲下来平视孩子、倾听心声。

同时这里其实还隐藏了一个选择：当孩子处于逆反期的时候，往往和大人的对立情绪很严重、亲子关系紧张，如果处理不当还会影响学习和其他方面，那怎么办？我们家经过了认真的思考和讨论，得出了一个结论：亲子关系和学习进步总得落一头吧，那我们选亲子关系！学习差点归差点，好歹还有个亲儿子！于是我们在后续的相处中就会特别尊重和真诚，慢慢地就发现，亲子关系好了，说话没那么难听了，同时学习也进步了！这其中的道理，有兴趣的话可以仔细琢磨琢磨。

2、找到一个能听进去话的人

青春期的孩子不太愿意听父母的话，有自己的主见，这本身是一个好事。如果孩子听不进去大人的话，要想办法找到一个他愿意倾听意见的人。同学、闺蜜也好，校外辅导老师也好，爷爷奶奶也好，至少得有一个，必要的时候能帮着传传话，挺有必要的。

3、给空间、给指导、早纠偏、树立价值观

作为家长，很多时候会觉得自己走过的桥比孩子走过的路都要多，总觉得孩子的决定这不对、那有问题，也很正常。但是换位思考一下，我们每一个人都是从这个阶段过来的，人都是要吃了苦头、跌了跟头才能成长的。所以不必为孩子的异想天开太过于担心，让他自己去闯吧，家长只要默默地托举、帮助、祝福就好了。对于重大的选择，家长要给予孩子充分的信任和尊重，把自己掌握的信息、自己的认知和判断和盘端出，跟孩子一起商量做决定，或者是听从孩子内心的选择。在团队管理过程中也是一样的道理，当面临选择判断时，作为领导必须要给员工充分的知情权和选择权，重大的选择一起商量，日常的选择让员工自主，这样员工才能在磨砺中不断成长、进步。

初中阶段我们也面临过一个重大选择，就是要不要出国。初二我们第一次拿到了深国交的Offer，考虑到孩子的价值观体系还没完全树立，真要是那个送出去上学、以后再出国，这个娃可能就跟我们没啥关系了，所以最后没有再选择这条路，而是选择在高考体系内逐步培养。我们身边同时有大量这样的案例：初中把娃送出去之后，以后一年能见一次就算烧高香了，而且完全和父母的价值观、生活观相背离，这肯定不是我们想要。

4、强化训练自律能力

所谓自律，其实就是养成好习惯。在孩子的不同阶段，要养成不同的好习惯，这是一个逐渐养成的过程。到了初中阶段，孩子形成自我意识了，开始跟家长对着干的时候，就更需要恰当的方法来引导和训练。越是这个时候，家长越要坚持倾听、尊重和忍耐。

我常年在儿子的书房贴了一副对联，“自律给我自由、做到才是知道”，就是为了不断地提醒他，养成好习惯、做到好习惯，未来的人生更自由，选择更从容。

5、帮他做成事，而不是代替他做事

前面说了家长要学会陪伴和倾听，那么怎么能够让孩子愿意倾听家长的声音呢？我认为核心是从小学到中学这个阶段，家长要摆正自己的位置：帮孩子做成事，而不是代替他做事；让孩子获得成就感，他就会觉得大人还是有点用的，孩子才会愿意听家长的。举我们家的例子：我们在中考阶段帮他分析、设计了恰当的报考策略，孩子最后压线进了深中，他非常有成就感，从此之后就愿意听家长的意见（虽然有时候也不一定遵从）。

这个就是前面说的“教练式家长”的核心要义。让孩子自己系鞋带、准备考试用品、按时起床，并在他完成这些小事的时候给予他真诚的鼓励、认可，让孩子不断有成就感并获得真实的进步。在团队管理方面，员工的成长也是这样的道理，如果工作都是你帮员工做了、奖金也是你拿了，那员工既没有能力成长、也没有收入增加，凭啥还跟着你干？

6、持续激发孩子的内驱力

从初中开始，我们就意识到激发孩子的内驱力是极其重要的，就是一开始讲的目标感。没有恰当的目标，就无法激励孩子产生内驱力，没有内驱力，光靠家长的压迫、引导、训练是无法具备良好的习惯、正确的态度；而只要有内驱力，后面所有的事情都是水到渠成、顺水推舟。

我们激发孩子内驱力的方式很简单，就是跟孩子一起对一个问题开展了持续探讨：为什么要学习？我们家的答案是“为了更好地选择”，这个答案进一步拆解为“有选择的机会”和“有选择的能力”。从未来职业角度而言，选择做外卖员和做科研工作者，但是从应对未来变化的角度来看，科研工作者的机会无疑更好、能力更强；从当前的学习角度而言，进入好学校之后可以考研、就业、出国、创业、工作，进了差学校之后的选择机会可能只有工作。

解决了目标之后，下一个举措就是强化这个认知。我们用自己的案例、身边的案例、别人现身说法等等各种方法，给孩子强化了一个认知：进入好学校、好的单位，和优秀的人在一起，这个优秀的环境会带着你往前走、往上进步；所以我们要进入好学校、好的环境、和优秀的同学在一起，跟他们共同进步。

说实话，也非常感谢深圳高级中学、深圳中学的校长、老师和同学，帮助我们进一步强化了这个认知。孩子在中学阶段，受到老师和同学的很大影响，他的一点点进步都和周围人的影响都密不可分，使得他在高中阶段很进取。

通过持续6年、润物细无声的引导、教育，孩子在目标感和内驱力上有了很好的认知，剩下的举措就是顺水推舟、托举一把。

在团队管理方面，如果给一个员工树立了“自己认可且激动人心”的目标，建立了员工的自驱力，那么剩下的管理动作就只是帮助他达到这个目标，并在这个过程中形成螺旋式上升。

五、高中

1、高质量的陪伴和倾听

高中阶段孩子住校，只有周末回来，瞬间我们就发现提前进入老年生活状态了，虽然自己的时间多了大把，但是和孩子相处的时间只有吃饭和送他上学的短暂空隙了。想到一旦他上大学之后就更难见面了，这个时候我们特别珍惜这些时间，每次吃饭、开车送他上学的路上，都会轻松地聊一聊学校的生活和学习，聊一聊外面的世界和八卦，聊一聊周围的人和故事。这个过程中，如何做到高质量的陪伴和倾听？其实就和面试官面试的时候一样，提出一些精巧的问题，让应聘者多说、多反馈，从倾听的信息中抓取有效信息并做出判断；同时，对孩子给出的反馈要给予真诚的回应、恰当的引导，不要只是一个“嗯”就没有下文了，要知道，孩子愿意跟你交流就已经是天大的福分了。

2、尽早树立对未来的目标

我们家很幸运，孩子在高一高二就基本确定了自己的专业方向（虽然不知道未来是不是一定朝着这个方向走）。即便如此，为了帮他确认这个方向，我动用几乎身边所有的资源，带他在广州深圳周边把相关专业的工厂、公司、研究所、科研机构都走了一圈，就是告诉他“你将来大概率就是在这些地方、干这些事，能接受不”。

在高考填报志愿的时期，我也很多人讨论、交流过类似的问题，有些家长很愁，孩子对未来没有想法，地区、专业方向、国内国外都没有想法，就没法填志愿、做选择。正如我在开头讲到的，“学习是为了什么”，如果长期、艰苦的学习没有办法帮助自己在重大时刻做选择，那说明学习的方向和内容应该有重大的偏差，孩子的学习不应该只在课业上，还应该在课外、在家庭、在生活、在世界、在未来。

3、教高阶的方法、训练高阶习惯

每个阶段要学习每个阶段的方法和习惯。高中阶段，我们重点训练的是（1）总结和复盘；（2）OODA理论：观察-分析-决策-行动；（3）发现问题、分析问题和解决问题。这三个方法我认为可以受用终身。

训练的方法很简单：（1）每周我们和孩子有个30分钟复盘时间，把本周自己的学习、生活、好习惯的训练都回顾总结一下；（2）先专门讲解了一遍OODA理论和解决问题的方法论，然后就是抓住每一件小事，引导、训练孩子把这些理论用一遍。

比如自己出门打车办事，那么什么时候出发、在哪里上车其实很有讲究（尤其早晚高峰），我就要求每次坐车之后要总结：（1）先观察、收集信息，哪里车流量大、哪里有便捷小道、哪些车辆喜欢加塞。。。（2）分析、对比不同的线路和出发时间；（3）按照收益、风险理论，决策选路线A；（4）在下次打车时候采用，并持续观察、分析。按照上面的理论操作3、4遍，对比选出最佳时间和路线之后，做总结复盘。这样就把上面几个理论都能实践一遍。

训练完这些高阶的方法、习惯之后，剩下的基本上就能自我良性运转了。

在团队管理方面，道理是一样的。从普通员工到骨干员工到团队长，所需要训练的技能也是不一样的，要逐级提升。

六、对未来的选择

关于国内理工科高考路线，未来应该怎么选择，我们的认知是这样的，仅供参考：

1、够得着的话，肯定去清华、北大、复旦、交大、浙大；

2、从理工科未来就业方向来看，最后要在产业发达地区、信息发达地区，所以最后的就业大概率选择大湾区、长三角；

3、如果是工科专业，强调实用性，优先选择就读大湾区、长三角；如果没有办法入选，则一定要在本科阶段多在大湾区、长三角实习，开阔视野；

4、如果是理科，偏物理化学、最后要为实用性服务的专业，建议选择大湾区、长三角的高校，这样有机会接触更多的科研场景，视野和格局会很不一样；内地学校最多考虑南大、武大、华中科技、中科大、东南。如果是偏数学方向，选择生活压力不大的一个内地城市，能够潜心做研究，是不错的选择。

5、大湾区优选深圳、香港，长三角优选上海、浙江。

6、现在很多国内高校号称国际化视野、国际化接轨的体制，反正我不太信。老师还是那些老师，教材还是哪些教材，请了2个院士来就敢说自己国际化？呵呵

7、有些家长用当下的就业形势推断孩子的就读专业，在我看来是比较奇怪的做法。要知道孩子未来就业是4-7年之后的事情，这几年之间世界会有巨大的变化。专业方向的选择应该一看孩子兴趣，二看家庭资源，没兴趣、没资源还不如去深职院读个专业，毕业即上班。

8、文科的事情没研究过，就不瞎说了。

剩下的路就靠他自己走了，修炼了18年，也该出去打怪升级了。

关于安全村

安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。

投稿邮箱：info@sec-un.org

阅读原文

跳转微信打开

数据中心旁路流量镜像网建设及应用实践｜证券行业专刊3·安全村

Tue, 15 Jul 2025 09:01:00 +0800

原创申港证券 2025-07-15 09:01 中国香港

重要支撑基础设施

摘要：金融机构数据中心主流系统间的数据通信和业务处理都以网络流量为基础，绝大部分故障和安全态势感知都必然以网络流量为表现。本文以提升数据中心故障、风险处理效率和问题检测分析能力为目标，兼顾投资效益和生产资源利用效率，开展数据中心旁路流量镜像网络建设实践，总结了镜像网层级架构设计，并浅析了流量消费层应用场景。旁路流量镜像采集网从根本上提升了传统运维监控的维度，为安全态势感知、网络性能监控、应用性能监控、流量溯源、业务数据挖掘等上层应用提供了坚实高效的数据传输底座。

关键词：流量镜像网、全流量监控分析、TAP、数据可视化、旁路

一、建设背景

随着技术的不断发展，Fintech正在重塑金融服务的方方面面，数字化转型已经成为金融行业的战略共识，也是未来业务高质量发展的核心驱动之一。数据中心作为金融机构集中处理数字业务的基础设施核心单元，实际承载着金融机构的数字业务处理。日益扩大的数据中心网络规模和日趋复杂的业务应用，带来不断增加的网络运维压力和网络安全威胁。

金融机构主流系统间的数据通信和业务处理都以网络流量为基础，绝大部分故障和安全感知都必然以网络流量为表现，从信息技术各条线联合运维的整体效率出发，传统监控管理方式已经无法满足在复合型场景下的分析需求：

网络侧：传统基于SNMP的监控以单个设备为监控视角的孤岛模式无法进行多维度视角关联分析，也无法有效对数据包穿越设备前后的状态进行对比；

安全侧：由于基于规则的检测技术本身存在滞后属性，导致以“被动防护”、“平衡风险”、“适度安全”为主的传统网络安全防御措施受到挑战，难以适应业务发展与监管的新要求；

应用侧：由于业务和网络的复杂化，传统方式仅从应用日志和通断等维度监控，无法满足以数据流端到端转发路径为视角的全景模式分析长期趋势和跨时间范围的比较。在处理系统异常时，将可能存在故障定位缓慢、业务恢复周期长、访问质量难以统计等问题。

传统监控管理模式需要提升：从孤岛模式提升为以端到端数据流转发路径为视角的全景模式；使用从高层协议视角入手，以数据包为剖析对象的全协议栈流量分析技术，覆盖网络与应用之间的监控盲区；通过采集、处理、转换和存储大规模实时流量数据，通过对流量数据的挖掘分析和二次利用，实现流量侧监控的及时性、有效性和可回溯性。流量可视化分析技术的运用已经成为未来运维的必然趋势。

作为流量可视化的基础，在传统方案中，通常采用交换机端口镜像、分光器等方式从需监测分析的网络中捕获数据包，传递给流量分析系统探针后再进行解码、合成、分析和呈现。当网络规模较大时，需要进行流量分析的链路也非常多，采用传统方案的分析工具需要大量的端口进行流量分发，流量采集层面的复杂度较高；当流量分析工具种类和数量较多时，因传统端口镜像和分光器等方案的流量采集层和流量消费层无法共享流量，造成不同工具所需网络端口、服务器端口等资源均无法共享。

为了科学合理的利用资源，实现对全网网络流量的精准采集、预处理和高效分发，需将企业网络中分散的流量采集和分发层建设成为一个统一的流量采集和分发平台--流量镜像采集网。

二、流量镜像采集网的价值

1、监控分析数据源传输通道

通过镜像网络流量方式采集获取网络基础架构上业务交互的流量，可为网络监控、交易监控、安全监控、大数据、客户行为分析、访问策略需求梳理优化、各类可视化分析平台以及应用扩容、迁移等提供所需的数据源。

2、提高流量数据利用效率，增加监控覆盖范围

统一的网络流量镜像采集网，可以对双中心甚至多中心的分散流量进行合并再处理，降低流量数据采集、存储和计算的成本开销，实现数据中心整体流量数据的按需和统一供给，能让分析工具、探针、安全分析系统集中按需部署在指定的数据中心。可通过增加资源的方式，可覆盖全网节点，包括远端节点、虚拟网和云端。

统一的流量采集调度，可避免因网络设备SPAN port不足，错过找出问题根源的最佳时间或被迫暂停还在进行的分析。

3、提升故障及风险处理效率

通过为NPM（Network Performance Management）、APM（Application Performance Management）、安全监控类NTA（Network traffic analysis）等流量分析平台提供统一的数据源，可消除原有各监控平台存在采集信息来源不一致、信息不对称等问题，提升各类突发事件处置效率，快速定位问题/风险，恢复业务，提高业务连续性水平。

4、降低生产资源消耗，提升监控投资效益

旁路式流量采集监控，可规避对应用性能、稳定性的影响，不消耗应用系统本身的主机资源。同时，集中式部署监控工具，可更好的利用流量类探针的性能，大大减少跨区域探针数量，提升单探针可采集的空间。

三、流量镜像采集网建设实践

1、流量镜像采集网主体架构规划（示例）

图1 流量镜像采集网主体架构（有波分）

如上图所示，一般情况下，完整的流量镜像采集网按功能规划分为如下几层结构：

流量供给层
流量接入层（输入）
流量汇聚及预处理层
流量接入层（输出）
流量消费层（分析工具）

根据全网实际流量大小和各层设备的端口数量及吞吐性能需求，单个数据中心内的流量镜像采集网在物理层面建设根据需求可以选择采用一级架构或“汇聚处理+接入层”的二级架构，流量供给层各采集节点通过流量镜像方式将流量复制传输至流量镜像采集网的汇聚或接入层设备。

1）数据中心之间有波分资源时可按需互传镜像流量

在主备中心有DWDM设备和裸光纤的情况下，流量汇聚层镜像网设备可根据流量消费层分析工具的需求将主备中心流量供给层采集并预处理后的流量传输至对应数据中心，以便流量分析工具对两个中心的流量开展统一分析。

图2 有波分的主备中心镜像流量可按需互传

2）数据中心之间无波分资源时仅传输管理流量

由于DWDM设备及裸光纤费用高昂，并非所有金融机构都在使用，不同数据中心之间可能仅有小带宽专线进行数据传输。此时可以考虑在主备中心部署各自独立的流量采集分发平台，通过小带宽专线传输流量采集分发平台的管理流量以便于管理及控制；流量分析设备可以考虑用探针+统一管理及展示平台方式进行部署，主备中心流量分析系统探针仅接收和处理本数据中心的流量，通过统一管理及展示平台进行管理和展示，小带宽专线仅传输流量分析工具的分析指令和计算结果。

图3 仅有小带宽专线的主备中心流量镜像网

在实际规划中，考虑投资的经济性，流量镜像采集网初期建设可以从南北向流量采集开始，每个数据中心部署满足南北流量和少量东西向流量数量端口的采用一级架构的镜像设备，后期根据更加细化的流量采集和消费需求，逐步扩展流量镜像采集网。

2、流量镜像采集网各结构层级规划

1）流量供给层

流量供给层通过网络设备镜像口/分光器/软件复制方式将业务流量复制传输至镜像流量网络的流量汇聚核心或接入层设备。

流量供给层数据包采集节点（业务网络）

接入层交换机

该采集点根据数据流流向不同分为南北向流量和东西向流量，建议分开采集。

采集南北向流量：

南北向流量主要采集接入层交换机到汇聚层交换机的流量，采集时需根据实际业务网络情况考虑去除业务网络接入层Vlan tag。

采集东西向流量：

东西向流量主要采集同一组接入交换机内连接主机的端口流量，采集时需根据实际情况考虑去除重复数据包。

汇聚层交换机

该采集点主要采集接入层交换机/路由器到汇聚交换机的南北向流量，采集时需根据实际情况考虑去除重复数据包。

核心交换机

交换核心上可以采集到主要网络区域及其他末梢区域之间的流量，此处必然会产生重复数据包，采集时需去重。

出口路由器

通常情况下，出口路由器可采集到本机构与外联机构之间流量、到内部分支机构的流量、广域网/骨干网/互联网线路流量，主要属于南北向流量，采集时需根据实际情况考虑去除重复数据包。

虚拟机Node镜像

通常情况下，因南北向流量可在物理交换机层面采集，此处建议仅采集同一宿主机内东西向流量（同网段），同时在VM上配置过滤策略，仅镜像同网段虚拟机之间的流量，作为物理交换机镜像的补充。

2）流量接入层（输入）

流量接入层（输入）主要用于流量镜像采集网接收业务网中复制传输过来的流量，根据流量数据来源端口速率、数据来源端口数量来合理规划配置接入端口类型和接入端口数量；若流量镜像采集网采用“汇聚处理+接入层”的二级架构，还需考虑接入层至汇聚层设备的端口容量和链路的冗余性，避免因数据源流量超过设备瓶颈或接入层至汇聚层链路出现故障时导致数据包在传输路径上的丢弃，影响后续数据处理分析的准确性和可靠性。

在流量接入层（输入）采集业务接入层交换机流量时，需对南北向流量和东西向流量进行区分：

一般情况下，同一台业务交换机上镜像采集过来的接入层东西向流量（两个不同端口所在服务器之间的通讯）会产生重复数据包，此时需要用到数据包去重功能来保证镜像来源的唯一性。另外，考虑流量镜像采集网建设的经济性，一般“汇聚处理+接入层”二级架构的流量接入层（输入）设备，往往采用不具备高级功能（报文切片、时间戳、报文去重、报文脱敏等功能）的型号，需通过流量接入层（输入）设备对采集过来的东西向流量数据包打上对应东西向流量标签后送往流量汇聚及预处理层或消费端进行去重等后续处理。

3）流量汇聚及预处理层

流量汇聚及预处理层主要用于接收流量接入层（输入）传输过来的流量，并对这些数据包根据消费层需求进行预处理。

流量汇聚层（一级架构则同时为接入层）需根据流量镜像源的数据量，合理规划配置端口容量、速率、端口类型。

流量数据包预处理层，除了常用的过滤、复制、汇聚、打/去除Vlan标签等基础功能外，部分功能需求一般需使用FPGA芯片才能对数据包进行对应处理，这些需求被称之为“高级功能”。受限于FPGA芯片的性能，这些数据包预处理层设备的“高级功能”处理性能往往小于交换性能，在规划时也需纳入考量。常用的高级功能如下：

报文切片
数据包打时间戳
报文解封装
GRE隧道终结
报文去重
报文脱敏
关键字过滤
报文捕获

一般情况下，如果消费端仅仅是NPM系统，可以通过数据包报文切片的方式预处理后再进行流量供给；对于一些包含敏感数据的流量数据包，也应采用数据包报文切片或者报文脱敏的方式进行预处理。

另外，因接收的流量数据包在去重后具有唯一性，当需要根据不同需求分发不同处理逻辑的流量数据包至流量消费层多个消费端时就存在需要提前将流量数据包进行复制。在实践过程中，不同设备处理流量复制的逻辑可能存在不同，部分设备在接收流量时先通过内部环回对流量进行复制后再进行处理，另一部分设备需要额外消耗物理环回端口才能对流量数据包进行复制及后续处理。对于需要额外消耗物理环回端口的设备，在规划初期需额外考虑物理端口的数量问题。

4）流量接入层（输出）

流量接入层（输出）根据不同流量分析工具的需求，对各流量分析工具接收数据的探针/服务器输出预处理及打标签后的流量数据。因输出的流量为处理后的汇聚流量，在规划时需考量接收数据的探针/服务器处理性能和端口容量，避免输出流量超出端口容量或分析工具探针/服务器处理性能，影响分析结果的准确性和可靠性：

当需要输出超过单个端口容量的场景时，可考虑分离部分输出流量至探针的其他端口；

当输出流量超过单个分析工具探针/服务器处理性能的场景时，可考虑横向扩展分析工具探针/服务器。

3、流量镜像网及上层应用规划过程中的注意点

1）端口容量问题

流量接入层（输入）端口容量关注点

在流量镜像网实施过程中需关注流量供给层网络设备端口容量问题，避免镜像源端口总流量带宽超过镜像输出端口总流量带宽从而造成报文丢失的问题，影响上层应用分析结果。

流量接入层（输出）端口容量关注点

在分析工具接收流量设计过程中，同样也需考虑工具探针接收流量的端口容量，避免数据源流量超过工具接收端口总容量从而造成报文丢失的问题。在出现此情况时，可以考虑将数据源流量分散到不同接收端口。

2）流量供给层和流量消费设备的性能问题

在流量镜像采集网设计和建设过程中，需同时关注流量供给层和流量消费设备的性能问题：

流量供给层

采用SPAN方式提供流量镜像时，需考虑流量供给设备在生产过程中的实际负载，避免因资源不足造成流量供给设备异常的情况，本末倒置。旁路式流量镜像网初衷是为了在分析时尽量不消耗生产网的资源，同时建立旁路式分析工具的目的之一也是为了使得相关监控的变更不影响生产。

流量消费设备性能问题

笔者在本次实践过程中发现，流量消费层设备在处理不同协议类型数据包时的性能开销差距较大，主要体现在APM分析工具对于TCP和UDP协议数据包的处理上。因APM需要对同一业务流的数据包前后建立关联关系，在处理UDP数据包时的设备性能开销明显大于TCP数据流。在规划时建议进行充分测试，避免因性能问题造成分析系统探针进程崩溃重启，影响分析系统运转。

3）上层应用探针与管理端的时钟问题

在部署上层流量消费分析工具时，需考虑关注探针和分析管理平台等设备的时钟同步问题，尽量使用统一规划的时钟源，避免探针、分析平台因时钟不同步出现影响分析结果和告警及时性的问题。

四、流量消费层应用场景浅析

经过流量镜像采集网对数据中心流量采集、预处理、汇聚输出，流量消费层不同的流量侧分析工具可以根据各自需求取得对应的打过标签的流量数据进行后续分析。本文仅针对实践过程中相关的网络性能监控、应用性能监控、网络安全流量分析三类常用应用场景进行浅析。

1、网络全流量分析（NPM）应用场景

网络全流量分析系统可帮助数据中心网络管理人员和相关系统运维人员分析网络流量的实时情况，高效定位传输故障，提高数据中心的运维效率，降低数据中心网络管理成本。通过全流量捕获链路上的数据报文，进行报文的全量分析和溯源。以下为常见的几种使用场景：

链路可视化监控场景

-通过对链路的带宽、延时、丢包、重传、会话等多维度指标进行监控以及IPv4/IPv6流量实时对比，可根据预先设定的阈值进行告警和统计报表。

-对关键网元前后流量进行可视化对比，如流量、会话、延时、广播、丢包重传等，及时发现网元本身的异常状态。

自定义业务系统监控场景

-通过对预定义的业务场景分类，可根据不同系统、不同业务场景维度实现自定义监控及针对特定业务系统不同维度的统计报表。

故障场景回溯

-提供报文级别的历史流量场景回溯，提高故障分析的效率和准确性。

2、应用性能分析（APM）

网络应用性能分析系统通过捕获预定义需监测系统的数据报文，解码后通过预定义的业务流量以统计学维度进行关联分析。以下简单列举几个证券公司信息系统监控场景：

周边系统到集中交易系统（恒生）的应用性能监控分析场景

-通过预定义主柜台的各接入组件和内部通讯组件地址及端口，通过流量镜像网捕获相关数据包进行关联分析。

-根据不同周边系统服务器到集中交易系统接入AR或BAR的业务数据流分别计算与分析关键黄金指标：交易量、响应耗时、响应率、成功率。

-根据服务器和系统维度配置告警，当某台服务器或者某个系统发生异常时可第一时间感知。

-可使用上层分析工具，分析同比和环比的信息系统性能，提前感知性能不足的问题。

周边系统调用主柜台功能号的应用性能监控分析场景

-以统计维度统计分析周边系统调用主柜台功能号的相关指标，对于错误调用、失败率较高等异常情况可第一时间感知。

以业务流为视角的全链路跟踪分析（需APM支持解码）

-根据预设的业务流场景，跟踪每一笔业务到达每一个系统节点的情况，对相关业务部门提供业务数据可视化能力输出。

3、安全类全流量分析（NTA/NDR）

安全类NTA/NDR系统通过监控边界和内部安全区域的数据流，深入分析并检测双向请求。相比传统安全设备，它们以旁路部署的方式，结合威胁情报等多种工具，从全景视角和统计维度对潜在威胁进行全面分析及精准定位。

多视角可视化威胁态势感知与降噪：对企业而言，并非所有攻击都值得密切关注。许多攻击并未成功，甚至未构成实际威胁。通过全景视角分析，企业能够更轻松地判断攻击是否成功，从而最大限度地减少无关紧要的警报噪音，提升安全响应效率。

增强失陷主机反连行为检测能力：结合威胁情报与各厂商NTA工具的检测模型，系统能够更有效地检测并定位内网中失陷主机的回连行为，及时发现潜在的安全威胁。

跨长时间维度的可疑与敏感行为识别：通过全量收集并分析数据包，系统能够利用机器学习技术，识别出跨越长时间维度的可疑和敏感行为模式，为企业提供更深入的安全洞察和预警能力。

五、结语

目前金融机构主流信息系统的数据通信和业务处理都以网络流量为基础，网络是信息系统的根基，绝大部分故障和安全感知都必然以网络流量为表现。因此，网络全流量数据是相对最为完整的信息数据来源。

数据中心旁路流量镜像采集网及所承载的流量消费应用系统现已成为金融数据中心业务和网络安全平稳运行的重要支撑基础设施之一。随着数据中心的持续建设和运维管理能力不断提升，科技赋能业务的视角将不断拓展，应急处置能力也将不断提高，在金融业数字化转型改革的浪潮中，为提升金融科技核心竞争力和金融业务发展能力奠定坚实的基础。

作者介绍

苏俊超，目前就职于申港证券，证券行业老兵一名。热爱技术，只要是有帮助的，啥都研究。

关于安全村文集·证券行业专刊

关于安全村

安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。

投稿邮箱：info@sec-un.org

阅读原文

跳转微信打开

开发安全赋能平台实践探索｜证券行业专刊3·安全村

Tue, 08 Jul 2025 08:45:00 +0800

原创华泰证券 2025-07-08 08:45 广东

三叉戟

摘要：随着攻击手段的复杂化和法律合规要求趋严，安全左移已经成为行业共识，可以显著降低修复成本及提高产品安全性。伴随软件开发模式的敏捷化转变和DevOps的流行，DevSecOps相应出现，但机构在落地过程中，普遍面临诸多困难，如安全人员不足、缺少威胁分析工具和安全需求库等，严重影响了应用系统的安全保障效果。本文将介绍开发安全赋能平台的实践探索，以平台为载体整合和重构安全专家多年积累的领域知识、经验、技术、工具和流程，将安全赋能到软件开发的各个阶段，伴随研发流程进行安全风险同步管理，通过自助化、流程化、自动化的平台赋能，减轻机构从事DevSecOps的困难，提高安全效能，快速交付合法、合规，且满足较高安全保障水平的软件产品。

关键词：开发安全赋能平台、DevSecOps、轻量级威胁建模、安全测试编排与关联、数据安全评估内嵌、开发安全度量指标

01前言

随着网络安全威胁日益复杂、攻击方式的快速迭代、法律合规要求的提升以及云原生等技术架构的演进，安全左移不仅是响应这些变化的有效手段，更是现代网络安全战略中不可或缺的环节。通过将安全工作前置，企业能够更高效地预防漏洞，适应未来的安全需求。在软件开发过程的各个阶段，融入安全风险管理，是当前公认有效的应用安全保障方法。实施软件生命周期安全风险管理，由简单的补丁管理思想向全面的软件安全保障体系转变，在软件开发各阶段嵌入安全要素，避免或尽早发现、整改可能的缺陷和漏洞，识别和遵从法律法规和内外部监管要求，以经济、高效的方式提升软件产品的内生安全性。这也是行业对于信息系统“相关安全技术措施与信息化工作同步规划、同步建设、同步使用”的明确要求。

伴随软件开发模式的敏捷化转变和DevOps的流行，DevSecOps概念相应出现，以安全左移为指引，集成于DevOps的流程和工具体系中，从软件开发早期入手，覆盖开发各阶段，避免和减少各类缺陷和漏洞的出现，降低修复成本。

在实践SDL软件安全开发生命周期或DevSecOps时，行业机构普遍面临着诸多困境，如安全专业人员不足、开发人员安全意识与技能薄弱、安全测试工具分散且自动化不足和准确性不高等，严重影响了应用系统的安全保障效果，迫切需要一套以安全专家领域知识、经验为基础，集成软件安全保障技术、工具和流程为一体的软件开发安全建设辅助系统，实现和提高软件系统在应用资产管理、安全需求分析、安全设计、安全实现、安全部署、安全验证和风险评估等阶段和环节的专业化、自动化、工具化和标准化。

本文对开发安全赋能平台进行探索，以平台为载体整合和重构安全专家多年积累的领域知识、经验、技术、工具和流程，将安全赋能到软件开发的需求、设计、编码、测试及部署各个阶段，伴随研发流程进行安全风险同步管理，通过自助化、基线化、流程化及自动化的平台赋能，减轻机构从事SDL/DevSecOps的困难，提高安全效能，快速交付合法、合规，且满足较高安全保障水平的软件产品。

02 关键能力

开发安全赋能平台，目的是基于平台给开发赋能，通过技术、工具和流程，将安全能力融入软件开发生命周期各个阶段，帮助开发团队识别和降低安全风险，同时提升团队的安全意识和效能。开发安全赋能平台应该具备如下关键能力：

2.1 研发过程安全活动内嵌

开发安全赋能平台，将研发过程及安全活动有效的集成到一起，通过平台，在软件研发过程同步开展安全风险管控。以开发安全赋能平台为载体，在研发过程集成的安全活动包括：

计划阶段：安全培训、轻量级威胁建模。

编码阶段：安全编码规范、场景化安全编码案例库。

构建阶段：SAST源代码安全扫描、SCA开源组件安全扫描、移动APP加固、容器镜像安全扫描。

测试阶段：IAST交互式安全测试、DAST黑盒安全扫描、MAST移动安全测试、渗透测试。

部署阶段：生产环境部署验证（安全套件安装检测、主机安全扫描、web中间件等安全基线检测）。

通过开发安全赋能平台，实现研发流程安全活动过程管控，实现SDL/DevSecOps流程、方法、工具及知识库在软件开发全生命周期各个阶段的集成，协助组织打造自己内生安全体系。

在应用系统建设过程中，将安全培训、安全需求、安全实现、安全测试及安全部署等安全活动工程化、自助化、基线化和自动化，简化开发人员参与安全流程的复杂度，降低开发人员的安全技能依赖度，提高安全参与度，从而降低人力成本，提升应用安全运营效能，在不影响产品交付速度的前提下，构建安全合规的产品。

2.2 安全需求库

行业内应用系统都会面临各种不同类型、不同程度的安全风险，包括：法律法规风险、合规监管风险、内容风险、个人隐私和数据安全风险、WEB应用、移动应用和其它新技术应用风险等。通过持续的风险分析活动，可以不断收集、形成、完善安全需求库，以便在具体应用系统建设初期，对照和形成有针对性的安全建设需求列表，做为系统后期详细设计、编码、测试、部署、运行的基础。从而有效地降低应用系统上线后的安全风险，提升应用系统的安全保障能力。

行业普遍适用和关注的应用安全和数据安全需求来源包括四个层面，一是法律法规/国家标准,如《网络安全法》、《数据安全法》、《个人隐私保护法》、《关键基础设施系统保护条例》、《信息系统安全等级保护基本要求》等；二是行业监管法令、指引及技术标准等，如《证券公司网上证券信息系统技术指引》、《证券期货业移动互联网应用程序安全规范》等，通常具有行业强制性，违规成本高；三是公司自有信息安全策略、标准及指南等，以维护公司利益为出发点。四是业界安全最佳实践，如OWASP ASVS、MITRE CVE、CWE、CAPEC等。

将各来源的需求，经过分类、去重后，按统一的方式，编号，入库，确定对应的信息系统场景（即适用条件），形成安全需求库，以便进行自动化的，基于场景的轻量级安全需求分析和威胁建模。

2.3 轻量级威胁建模

威胁建模（threat modeling）是一个主动过程，通过对资产的可能攻击行为的识别，针对性地事先构建出威胁分析应用程序安全性的一种结构化方法，通过识别威胁，定义防御或消除威胁控制措施的一个主动过程。

传统的威胁建模技术包括STRIDE、PASTA、OCTAVE等。传统威胁建模技术中，往往还会辅助采用 NIST开发的CVSS和攻击树分析方法，以形成更加完整的威胁分析与评价系统。

传统的威胁建模流程太重，过于繁琐，对于人工投入要求较高，很难适应业务的敏捷快速迭代开发模式，在实际研发过程中很难落地。对威胁建模过程进行优化，将安全需求分析和架构设计过程结合，实现基于场景化的轻量级威胁建模方法，主要步骤如下：

1）问卷调研。了解系统的关键信息，为后面的攻击面分析及威胁建模做准备。调研问卷主要包括系统架构、使用场景、重要数据、部署方式等。其中系统架构关注统架构图、技术实现方案等，使用场景关注用户场景、用户群体、角色、访问方式等，数据关注是否有敏感数据，而部署关注部署架构及物理资产。

2）场景分析及通用场景库。根据金融应用软件的部分共性特征和证券业应用部分独有特征，总结相关的应用场景。根据用户区分为对客和自有员工，对客场景又划分为业务场景、应用场景和部署场景，自有员工场景划分为办公场景和业务系统场景。

3）安全威胁库。安全威胁库与业务场景关系密切，通常情况下需要通过问卷调研了解系统的关键信息，匹配对应的业务场景，对攻击面分析及威胁进行分析，识别典型的安全威胁，形成业务场景对应的安全威胁库。

以证券网上开户为例进行威胁分析，证券开户业务涉及到账号注册、身份认证、资料上传、视频认证、密码找回等多个环节，识别的安全威胁如下：

4）安全需求库。确定了业务场景，识别系统潜在的安全威胁后，需要进行风险缓释，给项目组提出相应的安全需求。通过构建证券行业安全需求库，实现安全威胁库中的风险都有对应的安全需求及针对性解决方案(安全需求库的建设见2.1)。

5）安全需求基线。基于业务场景和安全威胁库，再匹配对应的安全需求库，既可以输出系统需要满足安全需求基线。匹配方式在开发安全赋能平台中基于规则算法进行自动化匹配。

6）安全设计方案。安全需求的实现，安全团队需要提供相应的安全设计方案。安全设计应遵循安全设计原则，如开放设计、权限分离、最小权限、经济适用、完全仲裁、心理可承受等原则。

研发和系统设计人员根据安全设计方案，在系统建设过程中融入安全设计方案，实现通过设计保证安全。

如上即是基于业务场景化轻量级威胁建模方法的全过程，通过平台实现自动化轻量级威胁建模具体落地。

2.4 ASOC应用安全测试编排和关联

ASOC(“Application Security Orchestration and Correlation”应用安全编排与关联)，结合了ASTO（应用安全测试编排）和AVC（应用安全漏洞相关性）两个方向。ASOC的核心能力是这两个方向核心能力的并集，向上统一管控各类开发安全工具，向下统一对接DevOps各类安全需求，并提供自流程编排能力与工具编排能力，将流程与数据统一管理、非同源安全漏洞的关联分析，重新对漏洞危险等级排序，提供贴合企业业务场景的漏洞修复细节等。

开发安全赋能平台应该具备ASOC能力，主要包含如下功能：

1）扫描工具引擎化编排ASTO（应用安全测试编排）能力。开发安全赋能平台将各类安全扫描工具集成做统一化管理，将各个安全扫描工具设计成众多可插拔独立引擎，由平台统一编排，可自由组合引擎执行扫描任务剧本。

2）扫描策略剧本编排能力。剧本编排在平台中是重要的事件驱动机制，编排剧本能力可以更好的解决不同场景的安全需求。剧本编排必须做到以下几点：剧本场景的选择、剧本执行时间、使用到的扫描引擎组合、剧本执行优先级、可选择的报告模板（内部使用/外部使用）。

3）安全测试集群可视化管理。平台将各个安全扫描工具集群集中统一化管理，在平台中需要呈现出：各个扫描工具扫描节点任务状态、机器健康状态、闲置节点数，忙碌节点数、各类工具扫描度量数值、扫描节点指定场景使用分配等，并且能够在集群资源紧缺时给出应急告警。

4）漏洞统一化中转能力。相关漏洞信息字段由ASOC指定，如漏洞简述、风险等级、漏洞详情、发现时间、修复意见、漏洞来源等，将各扫描工具不同扫描结果统一由平台做统一处理，中转成统一漏洞信息字段。

5）漏洞去重能力。在平台中需要将多种安全扫描工具相同安全问题去除掉，总体上可以按照N元组方式进行去重。例如：对于web接口类的安全问题，N元组设定成（接口名，问题类型，影响参数名）；对于静态扫描扫描类的问题，N元组设定成（文件名，代码行，类名，函数名等），通过以上方式可以较好的解决漏洞重复性。

6）漏洞风险等级重定义。平台中使用到的安全扫描工具（开源/安全厂商）漏洞等级的情况和企业要求修复漏洞情况不同，不同企业对不同漏洞的敏感程度不同，企业不能完全根据厂商扫描工具漏洞等级判断是否紧急修复，而需根据实际漏洞危害情况判断不同危害程度，从而制定卡点修复，延期修复的漏洞黑名单列表，并在平台中对扫描出的漏洞风险做出级别重定义。

7）定制化安全测试报告。平台最终可以提供编排任务中使用到各个扫描工具安全测试报告，总体上分为内部报告和外部报告，内部报告的安全问题较为详细包括代码，payloa等，而外部报告将敏感内容进行脱敏。数据内容不限于不仅报告风险漏洞列表，还需包括工具多轮检测的过程发现的历史问题。

开发安全赋能平台通过ASOC重新定义安全测试工具使用方式，并通过定制剧本方式实现自动化处理工作流，并简化漏洞修复过程，关联和分析结果，并进行集中展示，便于开发人员理解安全问题，分类修复安全问题。平台充当应用开发和安全测试之间的管理和编排层。通过结合漏洞信息、资产信息、威胁情报综合计算出安全风险值，帮助企业识别出高风险漏洞进行优先修复，避免企业把精力浪费在低风险漏洞上。

2.5 开发安全度量指标

管理学大师彼得·德鲁克（Peter Drucker）曾经说过，“你如果无法度量它，就无法管理它”（If you can’t measure it, you can’t manage it），因此，需要引入相关的度量指标对开发安全进行持续度量，客观、全面的体现开发安全赋能平台对当前的安全水位提升效果，横向对比与业界领先水平的差距，提出相关改进措施和制定重点工作，以便进一步提升企业整体信息安全防护和治理能力。

开发安全赋能平台对软件开发的安全架构设计评审、安全工具测试、人工渗透测试及上线前安全部署、漏洞与风险管理、应用系统/API资产安全管理与运营等各个阶段安全措施效果进行相关度量。

安全架构设计评审度量指标包括安全评估覆盖率、安全评估时效性、安全需求遵从率等。安全工具测试(SAST、SCA、DAST、IAST等工具)度量指标包括安全工具扫描覆盖率、安全工具扫描自动化率、安全工具扫描的漏洞误报率、安全工具扫描的漏洞发现率等。人工渗透测试度量指标包括人工渗透测试的漏洞发现率、人工渗透测试的漏洞漏测率、人工渗透测试的信息系统的覆盖率、人工渗透测试的时效性等。漏洞与风险管理度量指标包括漏洞修复时间、漏洞修复率、漏洞风险管控的有效性等。

开发安全赋能平台应该将度量指标可视化展示，提供管理者、开发者、领导者等视图，直观展示开发安全各项度量指标实时反馈。

2.6 数据安全评估内嵌

数据安全评估是指对重要数据、个人信息等数据资产的价值与权益、合规性、威胁、脆弱性、防护等进行分析和判断，以评估数据安全事件发生的概率和可能造成的损失，并采取相应的措施和建议。

面对外部的安全威胁以及监管的合规要求，机构需要通过开展数据安全评估，摸清数据资产情况、基础环境情况并对数据资产进行盘点；开展系统性、综合性、全面性的安全分析，发现数据资产的威胁性和脆弱性，从而更加准确识别安全风险；针对安全风险提出对应解决方案，并结合机构实际情况制定可执行的安全策略与安全目标，实现数据资产在安全的环境下进行有效利用。

通过开发安全赋能平台，将数据安全评估内嵌到应用系统研发流程，主要过程包括建立数据安全技术基线、递进式问卷调查、自动化威胁建模、分段式流程管理、安全验证及风险跟踪，实现数据安全评估基线化、工程化和技术化，实现隐私设计PbD，提升数据合规水平。

2.7 应用系统攻击面基础数据管理

在开发安全赋能平台登记应用相关攻击面资产，包括互联网服务、系统信息、网络信息、主机信息、制品信息、部署拓扑、开放服务、框架组件、API接口等，结合攻击面管理系统，通过互联网空间测绘、内部资产、CMDB等资源的关联汇总，完善应用维度的攻击面信息，嵌入应用生命周期各阶段，标准化、规范化整合攻击面信息，建立准确的应用资产台账，全面覆盖上线前后所有阶段，形成应用资产图谱，支撑风险关联及处置更加精准和迅捷。

开发安全赋平台登记的相关资产信息作为重要的数据源，推动日常攻击面风险运营交叉验证和共同提升。在日常评估过程中，平台中的各种攻击面信息，作为重要的数据源，结合现有线上资产、CMDB等进行攻击面台账的完整性和准确性验证，而相关的攻击面信息（如API等）会在安全评估的时候提供给安全顾问，反向支撑相关信息填报的准确性和后续的渗透测试和各种安全扫描工作，多渠道脆弱性参考，推动风险分析及发现、互联网暴露面收敛等工作。

供应链管理亦嵌入到整个安全流程中，在采购阶段要求供应商签订信息安全补充条款并遵循供应链的相关条例，在安全评估过程中，需要提供供应链的相关内容，包括SBOM清单、供应商信息、应急预案、联系方式、版本信息、当前产品的已知或未修复漏洞等，对接公司供应商管理系统，结合供应链和攻击面管理系统维护相关数据，实现了供应链的准确台账，支持对供应链信息的分类和检索，及时发现并解决存在的供应链风险。

03 开发安全赋能平台落地实践

笔者所在机构自主研发了三叉戟开发安全赋能平台，平台架构如下：

研发过程的安全活动以项目安全评估的形式同步开展，并通过三叉戟开发安全赋能平台进行过程管控，项目组成员必须先通过一系列安全培训课程及考试取得安全BP资质认证后，才可登录平台进行安全评估活动。安全评估流程主要阶段包括调查问卷、轻量级威胁建模、安全测试、数据安全评估、生产验证及评估报告。

调查问卷环节，安全BP需要提供系统的物理部署架构图以及相对应的用户场景、主机/容器资产、互联网资产、WEB-API文档、技术架构、获取方式以及敏感数据使用情况。三叉戟提供了数图联动能力来保障填报数据的一致性,安全专家可将典型的安全推荐的应用系统物理部署架构图设置为模板以供项目组快速选择，这样不仅可以给待建设系统提供安全架构方案推荐，也可以给已建设系统提供绘图方面的参考，不至于无从下手,安全专家可在平台上维护标准架构库。

轻量级威胁建模环节，三叉戟会根据所填资料信息建模分析，自动化匹配安全需求库，输出系统需要完成的安全需求和安全活动。安全需求库承载了安全专家多年的领域知识和经验，每条需求在类别、来源、需求内容、参考实践、代码示例和禁止行为等多方面做了详细描述，在项目组进行系统建设时提供最详细的参考与指导。

安全测试活动项会自动根据系统建模确定是否涉及。安全测试活动项包含源代码安全扫描、开源组件安全扫描、黑盒安全扫描、灰盒安全扫描、移动安全扫描、容器镜像安全扫描以及渗透测试。各种安全测试工具的漏洞在三叉戟中统一汇聚和管理。

数据安全评估环节，将数据分类分级、敏感数据识别、数据安全保护需求分析以及数据安全保护措施验证等数据安全评估活动嵌入安全评估流程，实现隐私融入设计方法PbD。

生产验证环节，三叉戟联动多源检查工具，包括HIDS、CMDB、漏洞扫描器及安全基线检测工具等，实现软件运行环境安全的自动检测与验证工作，包括主机上安全套件的安装情况、主机安全检测及web中间件安全基线检测等。

在评估报告环节，安全顾问在采取了所有可能的风险管理措施后，进行安全剩余风险评级，综合系统架构、运行环境、安全需求和各项检测活动结论，评定系统上线前最终剩余风险级别，形成应用系统安全评估报告。对于剩余风险中高以上的系统，原则上应进一步实施缓解措施，降低风险后再考虑上线。对于有特殊需求的系统，项目组在明确理解系统风险状态的前提下，签署并接受风险，进行审慎上线决策。

04 总结

三叉戟开发安全赋能平台，整合了本机构在SDL/DevSecOps领域多年积累的流程、方法、工具和知识库，已经全面落地并投入使用，每年为数百个应用系统提供全流程安全评估服务，为研发团队快速交付安全可靠的软件提供全面支撑，为公司数字化转型保驾护航。

通过自助化、基线化、流程化及自动化的平台赋能，提升了应用安全运营效能，降低了人力成本。通过轻量级威胁建模将安全需求落实到系统需求分析及架构设计中，通过设计保证安全，实现了应用系统内生安全，提升了应用系统自身主动免疫能力。安全左移，在软件开发早期阶段发现安全缺陷，从源头控制安全风险，极大的降低了漏洞修复成本。通过三叉戟，连接了研发、运维及安全，实现了安全职责共担，打破团队壁垒，提高团队协作效率。

三叉戟目前已经迭代发布多个版本，可以满足日常安全评估需求，但是，还存在一些不足，比如项目快速迭代的安全评估支撑能力不足、项目安全建设运营精细度不够等，因此，未来将持续基于自身用户体验反馈、DevSecOps发展趋势及开发安全领域新技术发展等，在三叉戟中落地更多应用场景，持续优化迭代开发安全赋能平台，不断提升软件全生命周期安全风险管理水平。

作者介绍

江旺&庄飞，华泰证券信息安全中心，以支持公司数字化战略及保护客户金融安全为使命，致力于为公司提供专业化的信息安全支持与服务。秉持务实进取、创新驱动的理念，持续提升团队战斗力，以应对日益复杂的网络安全挑战。

关于安全村文集·证券行业专刊

关于安全村

安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。

投稿邮箱：info@sec-un.org

阅读原文

跳转微信打开

【重磅回归】EnGarde TTX 2025香港峰会 | 董事会与网络战场的双重考验

Wed, 02 Jul 2025 08:45:23 +0800

Ensign 2025-07-02 08:45 马来西亚

背景聚焦2025年3月，香港《保护关键基础设施（电脑系统）条例》正式生效，对能源、金融、交通、医疗等八大关键

背景聚焦

2025年3月，香港《保护关键基础设施（电脑系统）条例》正式生效，对能源、金融、交通、医疗等八大关键行业实施强制性网络安全监管，最高罚款达500万港元。网络安全已从技术议题升级为企业战略要务。

安信资讯安全（Ensign InfoSecurity）年度旗舰活动EnGarde TTX将强势回归香港，诚邀企业安全负责人参加本次深度活动！本次半日闭门活动将围绕新法规落地，为企业高管、IT负责人及网络安全从业者提供实战应对方案——在监管机构或网络攻击者行动之前，助您抢占先机。

活动亮点

实战推演：沉浸式参与基于香港网络新法规的网络危机模拟演练
权威洞见：与行业领袖共议运营技术分析、数据治理与合规要求的融合之道
精英共创：与顶尖企业首席信息安全官、首席信息官及网络安全负责人共商组织防御战略

活动详情

日期：2025年7月15日

地点：香港某五星级酒店

立即报名：https://www.ensigninfosecurity.com/events/engarde-ttx-hongkong-2025

扫码报名

联合呈现

主办单位

赞助机构

支持机构

关注「安全喵喵站」，后台回复关键词【报告】，即可获取网安行业研究报告精彩内容合集：

话题讨论，内容投稿，报告沟通，商务合作等，请联系喵喵 mew@z1-sec.com。

阅读原文

跳转微信打开

基于全网资产台账的一体化攻击面运营管理实践｜证券行业专刊3·安全村

Wed, 02 Jul 2025 08:45:00 +0800

原创山西证券 2025-07-02 08:45 马来西亚

建立一个完善的攻击面管理体系是一个渐进的过程

一、前言

伴随数字化转型的深入，证券行业网络与信息安全所要应对的威胁和安全管理复杂性，出现很多新的挑战。过去多年的网络攻防实战中，以资产安全为核心的指导思想，得到充分验证和普遍重视。自2021年行业研究机构Garter在《安全运营技术成熟度曲线》中首次引入并定义“Attack Surface Management攻击面管理”的两个代表领域，行业逐渐从攻击面视角来分析研究围绕资产的安全运营管理，并成为热点方向。

然而，现有的攻击面管理工具大多侧重于外部攻击面，对内网的安全状况监测较为薄弱，无法提供全局性的风险管理视角。因此，实现内外一体化的攻击面管理显得尤为重要。

本文介绍山西证券通过统一监测内网与外网的资产和脆弱性，结合攻击面扩展情报的实时监测，建立更加全面和立体的安全防御体系。同时，将资产脆弱性分析引入攻击面管理的可视化体系，可更加直观、动态地掌握风险分布情况，从而提升风险感知能力和应急响应速度。

二、思路

调研攻击面管理解决方案，研究证券行业的典型网络攻击面特征和分布，确定攻击面运营管理的主次路径：持续监测暴露面，全面覆盖数字资产和数据资产风险，兼顾新型暴露面风险的治理。强化针对内网安全资产台账的采集和关键信息聚合，构建全网安全资产台账，并以此实现一体化的攻击面管理和治理。

三、主要内容

3.1从攻击面管理到攻击面运营

攻击面管理是一个技术理念，一个舶来物。Garnter侧重于漏洞扫描、风险评估和应急响应等方面，但往往缺乏持续性改进和精细化运营。而攻击面运营则强调对攻击面的全面、持续和精细化管理与改进，包括但不限于暴露面与内网网络资产的梳理、风险评估、威胁情报收集、安全事件处置等具体场景，更应囊括甲方管理视角下，如何评估评价、沟通协同。通过攻击面运营，企业能够更好地掌握攻击面的动态变化，及时发现并应对潜在威胁，确保企业资产的安全。

在攻击面运营的过程中，企业需要建立一套完善的运营流程，包括定期的安全检查、风险评估、漏洞修复、安全事件处置等。同时，还需要借助先进的技术手段，如人工智能、大数据分析等，提升运营效率和准确性。此外，跨部门的有效参与尤为重要，以确保企业全员都能够参与到攻击面运营中来，共同维护企业的网络安全。

综上所述，是甲方企业应对网络安全挑战的重要工具。通过全面识别、评估、监控和应对外部攻击面风险，企业能够提升自身的网络安全防护能力，确保业务的连续性和稳定性。

3.2常态化监测暴露面各类资产，定义安全基线，主抓收敛关键要素

按照业务特征和分类，对暴露面资产监测划分为：已知资产、影子资产、数字资产、数据资产，以及数字媒体账号、数字标记等特殊资产的识别。这其中，针对已知资产监测结果，定期与应用运维管理部门同步应用、域名、IP、端口、登录入口、API、URL等基本台账信息和暴露特征，及时发现下线的应用或需要关停的端口，以及不符合安全要求或未被WAF防护的应用路径。

重点关注影子资产的监测与定位，协调内部核实定位，通告处理，规范云上资源申请、第三方业务合作风险约束条款等。

由于商业组织关系，监测能力需要覆盖公司控股子公司的暴露面风险，通过外部攻击面管理平台的组织暴露监测能力，定期监测子公司的暴露面资产动态，包括域名、ICP备案等关键要素。

由于应用形态和管理场景差异，在内部规范数字类资产的全生命周期管理，针对小程序、公众号、服务号、App等数字形态资产建立统一管理台账和安全基线，利用外部攻击面管理平台周期性监测，重点关注状态变化，并在内部落实协同管理责任，以及合规和安全要求。

3.3数据泄露风险监测

从安全运营视角出发，利用外部攻击面管理平台不仅可以监测开源社区、网盘或文库等渠道发生的敏感泄露，还可以基于数据安全合规性要求，及时发现与数据安全原则相悖的泄露事件。

3.4暴露面运营策略的动态调整

定义安全风险监测对象和目标并不困难，难点在于暴露面安全基线的完整性，监测与处置的优先级，策略的稳定和灵活兼顾等。通过将风险监测与预警、处置联动，组织定期审核安全基线的有效性，由服务商运营人员或我方专职人员动态调整外部攻击面监测平台的任务、监测策略、风险和处置标记等内容。

3.5制定暴露面内部运营闭环SOP

运营，是面向场景的，面向具体过程的，需要有明确的目标方向，做到有的放矢，以终为始。在面临各类安全风险事件时，应建立对应的闭环处置SOP，以出现高危端口为例。

SOP名称	易危IT资产处置流程
事件类别	互联网风险
事件小类	易危IT资产处置流程风险
误报率	低
事件解释	运维人员有意或无意在出口设备上放通了敏感业务访问策略，或者是业务人员未经安全核查或防护覆盖随意申请敏感业务的访问策略，可能被恶意人员利用攻击。需要协同关闭处理，以规避风险。
标准动作	关联岗位角色
	互联网风险运营人员、运维岗、业务岗、研发岗。
	运营责任与运营动作
	每天查看互联网新增IP资产、域名资产、端口变动邮件或通知进行闭环处置。跟踪以往易危IT资产处置情况。双周进行归因分析，主要原因为哪些，往上呈报。
	具体过程及注意事项
	1、核实分析资产承载的业务类型并与业务部门核实使用情况。 1）如与登记用途不符或私自上线的资产48小时内给予整改或关闭； 2）如资产未防护48小时内给予防护覆盖或关闭； 3）如非业务系统48小时内给予关闭或访问限制； 4）如遇到以上三种情况资产责任方表示依然需要开放，运营同事与运维同事必须让业务、研发同事发邮件发送至互联网风险运营人员、运维人员及自身业务上级确认，邮件留底，安全运营人员在《易危IT资产例外表》中增加记录，调整告警策略，以后不告警，case结束。 2、将处置过程，记录在安全运营日报-易危IT资产处置部分。
常见原因	1、防火墙策略数量庞大，历史策略多，不敢乱删。于是加了比较宽松的策略，导致额外放通。 2、运维人员图便利，自行开放。 3、业务、研发人员为方便调试或外部合作数据测试，临时放通，没及时清理，或未授权放通。

通过标准的安全运营SOP，将把内部安全操作流程规范化、体系化，在组织和风险持续变化中不断优化，提升安全的治理能力。

3.6资产台账统一聚合与动态更新

暴露面资产的安全运营管理，最终落实为内网相关区域的IT应用管理、运维和安全管理等场景，我们同时在内网部署攻击面管理平台，通过接口采集整合CMDB、堡垒机等第三方资产台账，以及整合漏洞扫描与风险检测结果，并调度所有漏洞风险检测工具，实现一套平台完成资产采集-风险检测-定期核查。

通过更新重要的内外网应用映射关系，并同步暴露面资产的关键数据，在平台上实现重要资产台账、关键信息、漏洞、脆弱性等监测与治理对象的统一。

3.7利用情报推动资产暴露面和攻击面治理

这属于老生常谈的话题，在实践过程中，除了推动内部关注1Day情报和排查闭环，还利用漏洞情报响应过程，收集关键业务应用的资产信息，例如常用组件、供应链特征等。同时，亦要标定易危资产。何为易危资产？站在攻击者视角审视暴露面，哪些对于攻防价值比较高的资产，或者经常爆发高危漏洞的暴露面应用。比如VPN、OA、开发框架struts、shiro等等，需要基于情报进行高频碰撞，时刻关注暴露面的异动情况。

3.8阶段建设与深化

以成熟度来思考，分阶段补齐能力、场景属性和数据，大致以以下阶段推动建设和运营工作深化。

第一阶段：资产收集。这一阶段的核心目标是全面摸清资产家底，夯实基础。主要开展以下工作：

（1）人工台账建设

梳理现有的资产管理系统、工具和数据源
整合现有CMDB、漏扫、堡垒机等资产数据
建立基础的资产分类分级标准
形成全面的资产底座视图

（2）适配器对接

研发标准化的数据采集适配器
与主流IT资产系统对接
实现资产数据的自动化采集
建立资产数据更新机制

（3）全量测绘

部署内网资产扫描探针
开展周期性的资产探测
发现未纳管的资产
补充完善资产台账

第二阶段：资产管理。在基础夯实的前提下，这一阶段重点提升资产管理的规范性和完整性：

（1）补充属性

完善资产基础信息
补充业务属性标签
添加安全属性标记
建立多维资产画像

（2）全生命周期管理

规范资产变更流程
实现资产状态跟踪
建立资产退役机制
保障数据时效性

（3）数据质量管理

制定数据质量标准
开展数据清洗修正
建立数据校验机制
保障资产数据准确性

第三阶段：资产运营（Operation阶段）。这是资产管理的最高阶段，实现资产安全的持续运营：

（1）覆盖度管理

建立覆盖度评估模型
开展定期覆盖度检查
识别防护盲区和短板
持续提升覆盖深度

（2）高危资产监控

建立高危资产评级标准
实施重点资产监控
开展风险评估预警
做好风险防范处置

（3）内外网资产关联

建立资产映射关系
打通内外网数据壁垒
实现全局资产视图
提升整体防护能力

（4）情报监控

建立威胁情报订阅机制
关注资产相关漏洞情报
开展情报分析研判
及时预警和响应

通过这三个阶段的建设，我们逐步构建起一个“资产可见、风险可控、持续运营”的攻击面管理体系。每个阶段都是前一阶段的深化和扩展，通过不断积累和演进，最终达到资产安全管理的理想状态。同时要注意的是，这个过程并非简单的线性发展，而是螺旋式上升的过程，需要在实践中不断优化和调整，持续提升攻击面管理的深度和广度。

整个建设过程中，我们始终坚持“以终为始”的原则，在每个阶段都要着眼于最终目标，做好统筹规划，既要解决当前问题，又要为未来发展预留空间。通过这种渐进式的建设方案，我们既保证了项目的可实施性，又确保了最终目标的达成。

四、实践思考

4.1项目建设的启示

4.1.1攻击面管理是个系统工程

围绕资产台账开展的攻击面治理工作，就像在现有IT架构基础上进行“搭积木”。这个过程让我们深刻认识到这是一项复杂的系统工程：

统筹全局很关键。需要安全、运维、开发、业务等多个部门通力配合，形成合力。我们通过建立攻击面管理工作组，明确职责分工，定期沟通协调，有效推进了项目建设。

多维度建设缺一不可。除了部署工具平台外，还需要建立管理制度、优化工作流程、提升人员能力。我们在项目中注重技术、管理、运营三位一体的综合建设。

投入产出要权衡。在资源有限的情况下，需要合理分配投入，把握轻重缓急。我们采取分批建设、分步实施的策略，取得了较好的效果。

4.1.2内外网场景差异显著

实践过程中，我们清晰地认识到内外网在安全建设方面存在巨大差异：

目标差异：外网以暴露面收敛为主，强调快速发现和处置风险。内网更注重资产精细化管控，需要长期的过程管理。

时间维度：外网威胁紧迫，需要快速响应。内网建设相对可控，但需要持续投入。

资源投入：外网投入较为集中，见效较快。内网需要长期持续投入，投资回报周期较长。

4.2关键成功因素

分阶段建设至关重要。我们的建设遵循“由易到难、由简到繁”的原则：初期聚焦快速见效，解决明显风险问题，建立基础管理框架，获得各方支持。实践表明这种策略极大地调动了参与各方的积极性。中期夯实管理基础完善制度体系，优化工作流程，提升人员能力。通过制度化建设保障工作持续有效开展。后期实现精细运营，建立运营机制，强化数据分析，持续改进提升。最终达到攻击面管理的成熟阶段。

4.3展望未来

从技术演进方向来看，人工智能的深化应用，在资产发现、风险感知、威胁分析等方面引入AI技术，将大大提升工作效率和准确性。同时提升自动化水平，降低人工操作，实现工具平台的协同联动。

总的来说，建立一个完善的攻击面管理体系是一个渐进的过程。我们需要通过持续的积累和改进，在技术、管理、运营等多个维度协同发力，最终实现资产安全的精细化管理目标。这个过程中既要保持战略定力，也要有策略上的灵活性，不断适应新的挑战。我们相信，只要方向正确、思路清晰、脚踏实地，就一定能够建成一个高效、可靠的攻击面管理体系。

作者介绍

徐渊、薛志勇，山西证券股份有限公司。山证安全团队在历年山西省攻防演习中分别担任防守方、攻击方和裁判员，获得最佳防守个人和最佳防守团队等多项荣誉，在常态化应对和处置网络安全事件中积累了宝贵的实战经验，期待与各位专家在《安全村》纵论网络安全技术，共同进步。

关于安全村文集·证券行业专刊

关于安全村

安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。

投稿邮箱：info@sec-un.org

阅读原文

跳转微信打开

勒索软件防范的探索与实践｜证券行业专刊3·安全村

Tue, 24 Jun 2025 08:45:00 +0800

原创上海证券 2025-06-24 08:45 广东

坚守本质

摘要：勒索软件因其独有特性，使企业在防范过程中面临“难发现、难应急和难恢复”的挑战。本文简述上海证券勒索软件防范工作的思路和相关实践，缓解勒索软件带来的安全风险。

关键字：勒索软件、情报、能力评估、风险排查、应急处置、数据备份

一、前言

勒索软件与病毒、木马、蠕虫、间谍软件、广告软件等均属于恶意软件，但勒索软件因隐蔽性强、破环性大和传播速度快以及恢复难度高等特点，使其在恶意软件中“独树一帜”。

2017年，WannaCry勒索软件的爆发标志着勒索软件攻击的全球性觉醒。这场前所未有的网络瘟疫不仅首次将勒索软件的威胁带入了国际视野，更开启了勒索攻击活动的高潮。自此之后，勒索软件的威胁不断升级，其攻击手法变得更加复杂和猖獗，对全球的网络安全构成了持续而严峻的挑战。

据统计，攻击者在投放勒索软件时，远程桌面入侵、漏洞利用以及弱口令成为其主要的投放途径。近年来，勒索软件所带来的数据泄露风险也急剧增加，从行业划分来看，金融行业一直以来是勒索攻击的重要目标。

为保护企业重要数据和投资者个人信息，支撑企业数字化转型并巩固数字化建设成果，同时兼顾“降本增效”大环境下IT投入有限的现状，本文从中小券商视角出发探讨积极利用企业已有资源持续开展勒索软件防范工作，以期为同行提供有益参考。

二、勒索软件防范的探索与实践

1.面临的挑战

勒索软件因其“独树一帜”的特点，使企业在勒索软件防范过程中面临“难发现、难应急、难恢复”的挑战。

1.1难发现

勒索软件的最初攻击策略主要是通过加密数据勒索赎金，目前则多以威胁泄露数据向受害者施压以获得赎金，主要表现为在加密数据之前先窃取数据，然后以数据公开或售卖等形式对受害者进行勒索。这类策略的改变，使得勒索软件的攻击行为更为隐蔽，并且对受害者构成了更大的威胁。

1.2难应急

勒索软件因其破坏性大且传播速度快，使得应急响应变得极为困难。一旦感染，勒索软件能在短时间内对大量数据造成加密或锁定，导致系统瘫痪或重要信息无法访问。同时，若企业网络架构设计不合理，区域隔离不完善，勒索软件往往能利用同类漏洞在网络环境中迅速蔓延，感染更多的设备，进一步加剧了应急响应的复杂性。

1.3难恢复

勒索软件通常采用高强度的加密算法，而且其变种多样，每种变种都可能采用不同的加密算法或攻击手段，加之系统环境复杂多样，导致现有解密工具的有效性严重受限。此外，数据备份机制的不足或失效，以及勒索软件在加密数据之前删除或破坏备份文件的行为，进一步加剧了数据恢复的难度。

2.勒索软件防范的探索与实践

2.1“知彼知己”

通过多种途径收集勒索软件相关的情报信息，以实现“知彼”的目的。

收集方式和途径包括积极响应各级监管部门发布的风险预警和风险排查通知、充分利用行业网络和信息安全态势感知平台提供的情报，以及参考各大安全厂商的研究报告和威胁情报分享。通过多元化的信息来源和多维度的信息整合，逐步深化对勒索软件威胁的理解，并构建更为全面的、有针对性的防御体系。勒索软件情报信息汇总表（表1）：

表1 勒索软件情报信息汇总表

聚焦两个“有什么”——有什么能力，有什么风险，以达到“知己”的目标。

梳理现有安全资源（安全工具、安全服务等），特别是针对勒索软件及其主要投放途径远程桌面，漏洞和弱口令，需要明确现有的安全资源是否具备对应的识别和防护能力。在《勒索软件情报信息汇总表》基础上，扩展为安全资源能力评估表（表2）

表2安全资源能力评估表

完成评估后，基于现有安全资源的识别和防护能力，针对可能被勒索软件利用的攻击方式形成专项风险排查报告，以弱口令为例（表3），并持续推进相关的整改工作。

表3 弱口令专项排查表

综上，通过“知彼知己” 感知内外部环境，为企业持续开展勒索软件防范工作奠定基础。

当然，在条件许可的情况下，企业也可以建立安全防护工具的有效性验证机制，定期或不定期的针对勒索软件防范的特定场景，对安全防护工具及其安全策略进行有效性验证。查漏补缺，不断强化安全工具防护体系，持续优化安全检测和告警策略，以确保安全防护工作的有效性和及时性。

2.2“未雨绸缪”

依据企业网络安全事件应急管理办法和应急预案，制定并不断完善应急响应操作流程，通过定期演练来缓解勒索软件感染后的应急难题。本文不全面阐述由勒索软件感染导致的网络安全事件的整体应急预案，而是聚焦于应急过程中的技术处置策略与措施。

笔者参照《勒索软件防范应对指南》设计应急技术处置流程（图1），并结合企业现有的安全资源，针对流程中各环节制定对应的处置策略与措施。

图1 勒索软件应急技术处置流程

以“确认感染勒索软件”环节为例（图2），基于本文2.1“知己”章节内容，企业的态感平台、SOC或SIEM中应预先设置监测指标，将各类安全工具的事件汇聚分析，关注存在勒索软件特征的异常流量、异常资源占用等。在排查过程中可较为快速的对“感染未加密”情况进行确认，而非感染后在不同的安全工具中逐一排查，导致应急效率降低。

图2“确认感染勒索软件”环节

再如“网络隔离”环节，除了利用基础设施资源，如拔网线、禁用交换机端口，启用网络防火墙deny策略、虚机网卡禁用等隔离手段外，还应考虑在基础设施资源无法及时到位的情况下，如何有效利用安全防护工具的主机入侵防御、主机防火墙、微隔离等功能提升应急处置效率。

笔者认为，应急技术处置的每个环节都应尽可能与安全资源进行对应。日常安全运营过程中，应定期梳理现有的安全资源及能力清单，及时更新勒索场景下的应急预案，确保在紧急情况下能够迅速、准确调用所需资源。

2.3“有备少患”

针对勒索软件感染后难恢复的问题，通过加强数据备份和验证，强化备份系统的安全管控，以及实施备份区域间网络隔离等策略来缓解风险。

依据《证券基金经营机构信息技术管理办法》和《证券期货经营机构信息系统备份能力标准》，企业确定信息系统备份能力等级，实现相匹配的数据备份能力，其中涵盖数据备份的频率、存放的地点以及有效性验证的频率。在有效性验证方面，还需关注通过虚机备份实现数据备份场景下的虚拟机有效性验证。

随着勒索软件从单一形式演变为多重勒索，备份系统的安全管理级别需要相应提升，应将其纳入整体的安全管控范围，以防止备份系统被攻破后导致数据备份失效。

此外，根据信息系统备份能力等级，数据备份会进行本地机房存放、同城存放以及异地存放，通常会由“两地三中心”实现。鉴于勒索软件传播速度快的特点，企业通过网络隔离，禁止开通RDP、139、445等高风险端口，避免风险在两地三中心之间传导。对于必须开通高风险端口且无法进行补丁更新的情况，则利用主机侧安全产品的主机入侵检测、虚拟补丁等功能来降低风险传导的可能性。

三、总结和展望

在勒索软件防范过程中，安全防护工具的重要性不言而喻。然而，这并不意着单纯通过采购新的工具就可以强化安全防护工具体系。特别是在当前“降本增效”的大环境下，笔者认为更应注重熟悉并掌握现有安全防护工具的能力和功能，通过合理配置和优化，充分发挥其最大效用。

此外，在实践中，我们发现充分利用好现有安全资源，确实可以在较大程度上提升风险的检出率。但考虑到对系统运行的影响，以及人员配合程度、操作复杂度等因素，后续整改工作的实际推进仍然面临较大阻力。为应对这一问题，笔者采用了“控增量，去存量”的策略来推进整改工作。“控增量”是指将勒索软件易于攻击利用的风险点作为系统或主机上线前的强制安全检查项，并将风险点纳入日常的专项安全监测。“去存量”则是遵循“先外围，后核心”的原则，即优先处理外围系统安全风险，逐步向核心系统推进，确保整改工作有序开展的同时，也将对系统运行的影响降到最低。

最后，勒索软件攻击手段不断演变，但网络安全的本质始终不变。坚守本质，针对攻击特性，开展持续的安全运营工作，防微杜渐，才能不断夯实网络安全的基石，有效应对各类新型网络威胁。

参考文献：

1、《2023年勒索软件流行态势报告》 360数字安全|360安全大脑

https://cdn.isc.360.com/isc-cxo/2023_Ransomware_Report.pdf

2、六年间全球十大勒索攻击事件盘点：没有底线全是算计腾讯安全

https://new.qq.com/rain/a/20230512A07TCM00

3、《勒索软件防范应对指南》国家互联网应急中心

作者介绍

孙一伟、崔毅然、陈其乐、吴鹏、张沁怡，上海证券有限责任公司。

积跬步，至千里。

关于安全村文集·证券行业专刊

关于安全村

安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。

投稿邮箱：info@sec-un.org

阅读原文

跳转微信打开