从安全核心转变看新东方的安全攻略

2018年3月18日，全球最大的社交网络服务网站Facebook被爆出数据外泄，超过5000万用户数据被滥用，导致Facebook股价大跌，市值蒸发360亿美元。

8月3日，全球芯片代工业市场占有额超过56%的台积电遭受WannaCry勒索病毒攻击，造成生产线停摆近三天，直接损失高达17.6亿元。

8月28日，拥有汉庭、全季、宜必思、禧玥等10余个酒店品牌的华住集团被曝出客户数据在网上被兜售，包括140G约5亿条数据信息，涉及用户1.3亿人次，其规模之大、范围之广、影响之深，令人震惊……

近年来，企业遭受网络攻击或出现网络安全事故的新闻一直层出不穷，数不胜数。正所谓“道高一尺，魔高一丈”，随着IT技术不断发展，网络攻击的方式和手段越来越多样，让企业越来越防不胜防。新东方教育科技集团信息安全负责人杨宁对此也深有感触。

新东方安全负责人杨宁

从“以产品为核心”到“以数据为核心”

有着近二十年信息安全从业经验的杨宁告诉《计算机世界》记者，当前，新东方在信息安全领域主要面临着4个难题：

其一，受网络虚拟化和BYOD的趋势影响，企业安全防护的边界越来越模糊，通过网关实现的防护越来越难;

其二，攻击复杂度越来越高，攻击成本和门槛越来越低，黑客工具越来越智能;

其三，由于《网络安全法》、欧盟GDPR的实施，对企业的合规要求越来越高，企业安全合规压力越来越大;

其四，单一的安全检测产品难以应对多态病毒、零日攻击、高级持续性威胁等各类安全威胁。

面对这些挑战，新东方的安全防护思路也发生了转变，从过去以产品和系统为核心，转变成现在以数据为核心。过去安全防护的主要措施是网络边界防护、安全产品部署、安全系统建设、特征检测，现在则是网络解耦+主机防护、安全大数据整合+实时分析、安全能力建设和行为异常检测。

于是，基于自身所处的教育行业特点、公司的业务需求，以及法律法规的合规要求，新东方对信息安全提出了明确的方向：保护知识成果和敏感数据信息不泄露;确保业务运营安全合规;保障核心业务应用安全、持续、稳定运营;实现线上及线下业务应用和活动中的信息安全风险可识别、可管理、可控制。

选对主机安全防护系统

杨宁告诉记者，新东方希望打造一个智能化、可视化、能自服务、能实时感知威胁、能分析攻击过程和确认攻击源、能自动响应攻击处理和拦截的信息安全能力平台。因此，在主机安全防护方面，他主要关注三个方面：

· 系统功能，包括资产管理、风险发现、漏洞识别、入侵检测、基线合规、日志及告警、服务接口集成、入侵事件的误报率和漏报率;

· Agent，包括其支持的服务器操作系统平台、Agent性能及影响、Agent自身的安全、Agent异常监控及响应;

· 厂商及产品，包括技术支持能力、应急响应能力、产品部署模式及价格。

所以，在选型时，除了功能、性能、部署模式必须满足新东方的需求，杨宁还会考虑丰富和有价值的数据输出，以及服务接口的多样性和可集成性。

经过半年的调研，在评估了多个公有云类、开源类和成型的企业端产品后，新东方选择了青藤主机自适应安全平台。杨宁表示，“青藤云安全产品在我们关注的各项功能和性能指标方面表现出众，且部署模式灵活，技术支持也很到位。”

据了解，部署主机安全防护系统主要解决了主机层面入侵发生时的问题：

入侵前：漏洞检测及基线检查弥补了网络漏洞扫描的缺陷。青藤云安全的产品提供了资产统计，便于对主机部署的系统组件、服务、端口、账号进行识别和统计，由于Agent部署的优势，提供了深度的主机及应用漏洞检测和基线检查能力。

入侵中：进行主机系统的实时安全监控，入侵的实时告警和响应。青藤云安全的产品不仅基于特征(WEB和系统后门的识别、本地提权过程识别、暴力破解识别等)防范已知的入侵方法或后门，还能基于异常(登陆异常、操作异常，系统性能异常等)检测防范未知的漏洞或病毒攻击。同时，可以快速部署的蜜罐功能帮助捕获来自内部的蠕虫或横向渗透攻击。

入侵后：系统被入侵后的系统分析和取证，以及应急响应。青藤云安全的主机安全产品，将主机安全入侵事件人工调查取证时间降低了80%，而且入侵过程和行为识别更加精准，很大提升了应急响应的效率。

杨宁补充到：“青藤的主机自适应安全平台不仅为我们在系统入侵防护方面提供了事前的风险识别、事中的监控告警、及事后的分析取证，帮助我们在主机安全层面建立起了一个实时有效的防护体系，还拓展了我们在远程分支机构及公有云端的系统安全防护能力。”

在采访的最后，杨宁表示：“青藤是一家成长中的、年轻的创业公司。在与青藤人接触过程中，能感受到青藤对于用户需求的关注和对产品品质的追求，希望青藤能够在企业安全领域不断创新，帮助客户从复杂的IT环境中建立起更高效、稳定、精准和智能的安全防护屏障。”