1、十年安全路信息安全的從1到10目錄I. 信息安全的從1到10II.運維安全之路III.應用安全之路IV.業務安全之路V. 一起在路上信息安全的從1到10先分類運維安全應用安全業務安全安全合規再摸底訪談掃描烏云定目標同行交流我在哪里我要去哪 里走起招人單點突破預埋伏筆信息安全的從1到10攜程一年時間20 +人成長到40人50%的人員會開發python,Java。運維安全 應用安全 業務安全運維安全工程師，研發工程師web安全工程師，無線安全工程師 安全分析工程師，安全開發工程師安全運營安全運營人員，安全合規服務攜程3000+人的技術團隊。目錄I. 信息安全的從1到10II.運維安全之路 III.

2、應用安全之路IV.業務安全之路V. 一起在路上運維安全定運維安全規范安全域劃分巡檢弱口令、漏洞新增主機掃描日志收集分析蜜罐OSSECAPT防御能否加大入侵難度能否第一時間發現入侵辦公網日志入Storm 規則實時分析數值化反映 當前安全情況ID曰 策略名稱周報報表策酪管理查詢規則管理I策酪名稱me ssageII發生時間臼名單管理用戶管理日志來源- choose -., 狀態- choose-., 開始時間Imessage系統監控操作日志幫助中心 .I附加信息結束時間.,l84516weom到同個帳號登錄失-敗1123022016 05-09 17:47:12帳號(cn1_g l o ba Lc

3、trip_co m Cas t e r 印 ( ! 1.20分鐘內登錄失敗1 2次.1C asterPy (!)tmglog84515we oma祠IP登錄失敗-1.230.22016 05,-0 9 17: 47:1160分鐘內IP120.132.51.31出現21次用戶登錄失敗J-.JIc (! ,.JI .JI ./etc/re.IocaI (! ,tmglog845 14AD同個帳號登錄失敗 ( 8小時）2016 05-09 17:54:11帳旦一氣敗292次廠ad84513AD同個帳號登錄失敗( 8小時）2016 05-09 17:34:01帳號錄失敗800次ad8451.2we o

4、m馴同IP登錄失敗-1.230.22016.105,-09 1 7: 49 :31 匕二淚用 戶登錄失敗邊(!),tmglogJ _/ _./ .1.I.L I / / e tc/re.loca l (!),845 11AD同個帳號登錄失敗( 8小時）2016 05,-0 9 17:2 2:31帳號(exam1次examad84510weom馴同IP登錄失敗-1.230.22016 -05-09 17:16:11分鐘內I 二吐扛百戶登錄失敗tmglogl . c (! ,J.IJ.1./.LIJ ./etc/rc.loca l (!),84509weom剎同個帳號登錄失-敗1123022016

5、 05-09 17:16:12,r. ,. -omroot (!)tmglo_. - - .84508wetm馴同IP登錄失敗-1.230.22016 05,-0 9 17:10 :51- - 錄失敗tmglog1 n 1 n,.,. 1一滬 mvd (! ,而 oowe mvd s (! ),84507weom刮同IP登錄失敗-1.230.22016 05,-0 9 17:05 :126(:失敗tmglog（CtI-xwemvdjs !), l.ctrip_comroot (!)84506weomail同個帳導菩錄共-購1123022016 -05 -09 17:15:12APT監控目錄I.

6、 信息安全的從1到10II.運維安全之路 III.應用安全之路IV.業務安全之路V. 一起在路上安全開發生命周期SDL什么是SDL？Security Development Lifecycle from Microsoft培訓需求分析產品設 計編碼測試維護安全需求 風險識別安全設計 風險分析 威脅建模開發安全手冊 安全工具安全API安全測試 滲透測試安全響應 安全預警安全制度 技術培訓 意識培訓軍事學說法：縱深防御娛樂化解讀：塔防事前管控，抓大放小1.身份鑒別1.1密碼支持1.2賬戶策略1.3輔助安全設備2.授權管理2.1 功能授權3.訪問控制3.1 系統內訪問控制3.2 系統外訪問控制4.系

7、統安全審計4.1 WEB應用訪問日志完備性4.2 用戶認證日志完備性4.3 應用操作日志完備性4.4 后臺日志完備性4.5 日志信息安全存儲5.通信安全5.1 通訊協議5.2 通訊安全認證6.數據安全6.1 用戶數據的輸入與輸出6.2 用戶數據保密性6.3 用戶數據完整性鑒別6.4 用戶數據的存儲7.抗抵賴7.1 原發抗抵賴7.2 接收抗抵賴7.3 數字證書8.軟件容錯8.1 降級容錯8.2 受限容錯9.資源控制9.1 內部資源控制9.2 外部資源控制登錄注冊風險注冊遍歷已注冊手機號允許弱密碼注冊搶注他人手機號繞過短信驗證注冊時可短信炸彈批量注冊注冊處存在SQL注入、跨站腳本、跨站請求欺騙類漏

8、洞注冊時圖形驗證碼可繞過郵箱注冊時驗證值可猜解登錄登錄處可SQL注入登錄處圖形驗證碼可繞過登錄時短信驗證碼各類問題，如正確的短信驗證碼在反回數據包中、爆破、短信轟炸、登錄錯誤提示過于詳細事中自動化，擴大覆蓋面CMDBGit代碼庫JIRADNS服務器監控？我們來點更高大上的黑科技 被動掃描，主動感知開發測試人員第一時間訪問測試環 境新功能URL每一個員工都是安全測試工程師抓住每一個新功能水平權限自動化檢測通過自定義Cookies訪問含有訂單信息的頁面 自動化檢測水平權限問題攻擊可視化通過storm實時抓取攻擊數據 分析“黑客”愛好并反向驗證 網站安全情況自研WAF目錄I. 信息安全的從1到10I

9、I.運維安全之路III.應用安全之路IV.業務安全之路V. 一起在路上業務安全1.掃號撞庫2.廣告劫持3.薅羊毛4.虛占位/庫存5.爬蟲掃號：威脅用戶賬號安全的源頭u 資金盜用u 信息泄漏u 惡意欺詐特征：u IP使用量巨大，可以做到1號1IPu 使用外部社工庫，密碼正確率高u 可以根據安全措施及時更換策略u 設備指紋基本偽造，無明顯特征薅羊毛與風險庫誰是小號？ lting520e RiskRep-風險庫系統手機號手機號 囡詈，有空導入風控侃翌手機號數據弱密碼數據臼名單庫風險數括注冊數據登錄數據領券數捂分數轉換數括計時用戶管理賬戶1111揉作m 口E 豆 E 可E回 mm 口口 口m 口E 豆

10、 E 可m 口m 口口 口m 口E 豆 E 可m 口II)325.253手機類型聯通pllo ne_ lle a de r1 55-4787省份內蒙古城市巴彥卓爾市區號竭編325.25.2移動1 51 3380河北承俜市325 .251聯通1 55-48 44內蒙古卉峰市325:250325 .2的聯通聯通155-4T751 55-47 52內蒙古內蒙古鄂爾多斯市通遼市325:248聯通1 55-492 3胡才七恩施市325.24 7聯通1 55-48 47內蒙古赤峰市32 52 46聯通1 55-4957胡才七孝感市325.245移動1 50 896-4廣東茜名市32.5.2中1聯通1 55

11、-48 4 2內蒙古赤睹市32 5.24 3電信1 5354 63吉林四平市325 .24 2聯通1 55.4841內蒙古赤峰市32 5.241聯通1 55-48 75內蒙古呼衵潔特市325:240325.239聯通聯通1 31 91 711 55-4773河北內縈古邯鄲市鄂爾多斯市m 口 口 口p evio us 圓 234567891011 I 121314151617181920Next共 32525 3 條數據批量領券攔截沉淀惡意手機號 國人常用弱密碼 手機歸屬地分類1000W +2500+32W+上線3個月羊毛黨攔截1,219,341次 爬蟲攔截689,561次每張卷平均價值20，使用率2%，被刷優惠卷損失倍數31219341*20*2%*3=1,463,209 元目錄I. 信息安全的從1到10II.運維安全之路 III.應用安全之路IV.業務安全之路V. 一起在路上抓痛點，接地氣。 有情懷，不收費。你的想法，我來實現Github Scan監控Gith