個(gè)人數(shù)據(jù)保護(hù)實(shí)踐2143

歐盟l

一般數(shù)據(jù)保護(hù)條例中國(guó)l網(wǎng)絡(luò)安全法l

消費(fèi)者權(quán)益保護(hù)法l民法總則l電子商務(wù)法韓國(guó)l

個(gè)人信息保護(hù)法案加拿大個(gè)人信息保護(hù)法案?jìng)€(gè)人信息保護(hù)和電子文件法美國(guó)l

格雷姆-里奇-比利雷法案lHIPPAl

兒童在線隱私保護(hù)法案l

加州消費(fèi)者隱私法案從全球來(lái)看，超過(guò)80%的發(fā)達(dá)國(guó)家/地區(qū)以及超過(guò)80個(gè)國(guó)家/地區(qū)已經(jīng)頒布和實(shí)施了隱私保護(hù)法規(guī)。印度l

信息技術(shù)法案l

個(gè)人數(shù)據(jù)保護(hù)法案-草案巴西l

通用數(shù)據(jù)保護(hù)法案

ll《一般數(shù)據(jù)保護(hù)條例》（GDPR）是一項(xiàng)綜合性的數(shù)據(jù)保護(hù)法，將于年5月25日生效。本法適用于控制或

處理歐盟居民數(shù)據(jù)的任何組織，無(wú)論其地理位置。GDPR合規(guī)實(shí)踐

數(shù)據(jù)延理原則

GDPR介紹72亞時(shí)響應(yīng)用新權(quán)利4%04020103GDPR合規(guī)實(shí)踐

攜程GDPR合規(guī)思路亞旁場(chǎng)景Article44~50數(shù)據(jù)處理活動(dòng)Article30數(shù)據(jù)主體權(quán)利Article

15Article

17Article21GDPR合規(guī)實(shí)踐隱私影響評(píng)估Article35事件響應(yīng)Article33

Article34攜程GDPR合規(guī)實(shí)踐數(shù)據(jù)保護(hù)官Article370504跨境數(shù)據(jù)傳輸

02030106攜程作為網(wǎng)絡(luò)運(yùn)營(yíng)者的落地重點(diǎn)?第二十一條：國(guó)家實(shí)行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度?第二十四條：用戶評(píng)論實(shí)名制要求?第四十一至四十四條：個(gè)人信息安全要求網(wǎng)絡(luò)安全法合規(guī)實(shí)踐

隱私政策數(shù)據(jù)安全等級(jí)保護(hù)實(shí)名認(rèn)證內(nèi)容安全網(wǎng)絡(luò)安全法合規(guī)實(shí)踐

注冊(cè)認(rèn)證

綁定手機(jī)

實(shí)名認(rèn)證組件

隱租政策4敏感信息通用原則

4敏感信息分類分級(jí)

敏感信息是指公司和員工從法律要求，社會(huì)義務(wù)等層面上要求得到保護(hù)的數(shù)據(jù)，該類數(shù)據(jù)只能在公司內(nèi)部或某些授權(quán)合作方使用，一旦被泄露和破壞會(huì)對(duì)公司運(yùn)營(yíng)、客戶利益、公司財(cái)務(wù)和聲譽(yù)造成影響，可能導(dǎo)致違反法律法規(guī)和客戶隱私侵犯，引發(fā)外界對(duì)企業(yè)的信任危機(jī)以及遭受法律制裁。

敏感信息安全規(guī)范生成

訪問(wèn)

傳輸

顯示

存儲(chǔ)

銷毀

保密協(xié)議

加密傳輸

掩碼顯示

授權(quán)記錄

權(quán)限回收銀行卡號(hào)

安全問(wèn)題手機(jī)號(hào)賬戶名身份證號(hào)

用戶自主

生成

后臺(tái)應(yīng)用

生成

定期銷毀

存儲(chǔ)介質(zhì)

禁止供應(yīng)商維修

加密

密鑰定期

更新支付密碼

有效期優(yōu)惠券

行程信息禮品卡卡號(hào)郵箱支付金額持卡人姓名THANKS

項(xiàng)目方式講解WAF建設(shè)

十年以上的安全從業(yè)經(jīng)歷l

在支付公司負(fù)責(zé)過(guò)企業(yè)安全建設(shè)l

當(dāng)前在宜人貸負(fù)責(zé)安全架構(gòu)，完成辦公網(wǎng)安全產(chǎn)品、WAF產(chǎn)品建設(shè)

ll在安全廠商、百度做過(guò)安全研究l

需求l

方案設(shè)計(jì)l

技術(shù)實(shí)現(xiàn)

WAF基礎(chǔ)功能

WAF擴(kuò)展功能

WAF運(yùn)營(yíng)后臺(tái)

功能和性能測(cè)試l

經(jīng)驗(yàn)總結(jié)

需求

?擴(kuò)容，商業(yè)盒子產(chǎn)品必然會(huì)面臨的問(wèn)題

；?擴(kuò)展，商業(yè)WAF產(chǎn)品通常只具備傳統(tǒng)web安全防御能力，很難與其他安全產(chǎn)品有效聯(lián)動(dòng)、形成合力

我們遇到了哪些問(wèn)題？商業(yè)產(chǎn)品的擴(kuò)容、擴(kuò)展問(wèn)題安全團(tuán)隊(duì)能力輸出，內(nèi)部的影響力擴(kuò)容：業(yè)務(wù)體量增加，解決擴(kuò)容問(wèn)題外部的安全品牌建設(shè)擴(kuò)展：業(yè)務(wù)風(fēng)控提前，與風(fēng)控、反欺詐系統(tǒng)聯(lián)動(dòng)真實(shí)的需求是什么？隱性需求業(yè)務(wù)上需求真實(shí)需求

方案設(shè)計(jì)

WAF產(chǎn)品功能組成與風(fēng)控和反欺詐系統(tǒng)聯(lián)動(dòng)CC防御、反爬蟲(chóng)和會(huì)話分析數(shù)據(jù)分析、情報(bào)數(shù)據(jù)傳統(tǒng)WEB安全防御報(bào)表、日志、健康狀況管理數(shù)據(jù)分析平臺(tái)管理、告警查詢配置管理、規(guī)則管理WAF的運(yùn)營(yíng)平臺(tái)WAF的擴(kuò)展功能WAF的基礎(chǔ)功能

WAF的基礎(chǔ)功能WAF的運(yùn)營(yíng)后臺(tái)NGWAF廠商商業(yè)WAFLua-resty-wafWAF的擴(kuò)展功能modsecurity云WAF產(chǎn)品云WAF產(chǎn)品CloudFlareNGWAF廠商N(yùn)GWAF廠商

數(shù)據(jù)總線（消息隊(duì)列）流處理服務(wù)（WAF擴(kuò)展功能）拿

拿

拿

拿 計(jì)數(shù)服務(wù)會(huì)話分析業(yè)務(wù)安全接入

數(shù)據(jù)分析服務(wù)傳統(tǒng)web安全防御!流量接入調(diào)度設(shè)計(jì)–框架和數(shù)據(jù)流圖狀態(tài)系

統(tǒng)業(yè)務(wù)系統(tǒng)請(qǐng)求流量

231技術(shù)實(shí)現(xiàn)

配置服務(wù)器timer

同步規(guī)則服務(wù)器寫(xiě)入執(zhí)行流程1.利用nginx(openresty

)

，解析流量2.配置信息、規(guī)則、黑白名單由運(yùn)營(yíng)后臺(tái)同步到redis3.利用LUA在各個(gè)執(zhí)行階段分段處理①在init-worker階段定時(shí)同步redis數(shù)據(jù)②在access階段執(zhí)行規(guī)則判定和動(dòng)作執(zhí)行③在header階段將sessionid寫(xiě)入cookie

，以便后續(xù)流程的多維分析④在body階段執(zhí)行敏感數(shù)據(jù)過(guò)濾⑤在log階段完成日志的輸出WAF基礎(chǔ)功能vs商業(yè)WAF產(chǎn)品WAF基礎(chǔ)功能規(guī)則執(zhí)行消息隊(duì)列白黑名單過(guò)濾狀態(tài)系統(tǒng)查詢告警日志輸出

規(guī)則

pushpull

Redis規(guī)則集合pulll

規(guī)則來(lái)源①

Modsecurity規(guī)則集提?、?/p>

商業(yè)WAF規(guī)則③

宜人貸自積累的行業(yè)內(nèi)規(guī)則WAF基礎(chǔ)功能

-規(guī)則推送l

規(guī)則推送①

規(guī)則評(píng)估②

Timer執(zhí)行③

Redis寫(xiě)入運(yùn)營(yíng)后臺(tái)流處理服務(wù)LUA模塊規(guī)則評(píng)估規(guī)則線下生成

l

規(guī)則執(zhí)行效率①

systemtap-toolkit工具調(diào)優(yōu)正則②

先匹配字符串，匹配后再執(zhí)行正則匹配WAF基礎(chǔ)功能

-規(guī)則優(yōu)化

計(jì)數(shù)服務(wù)會(huì)話分析服務(wù)數(shù)據(jù)分析服務(wù)業(yè)務(wù)安全接入情報(bào)數(shù)據(jù)服務(wù)WAF擴(kuò)展功能

-流處理服務(wù)流處理服務(wù)

（

Flink

+

CEP）采用流計(jì)算方案-實(shí)時(shí)消費(fèi)消息隊(duì)列

對(duì)接各個(gè)微服務(wù)-擴(kuò)展性消息隊(duì)列狀態(tài)系統(tǒng)查詢規(guī)則服務(wù)器配置服務(wù)器

傳統(tǒng)WAFvsWAF擴(kuò)展WAF擴(kuò)展功能

-

為什么選擇Flink？1、純流式系統(tǒng)2、高吞吐3、內(nèi)置CEP復(fù)雜事件規(guī)則引擎

①

布隆算法是一種高效利用空間的概率數(shù)據(jù)結(jié)構(gòu)，用于檢測(cè)一個(gè)元素是否屬于一個(gè)集合；②

優(yōu)點(diǎn)：實(shí)現(xiàn)簡(jiǎn)單，占用空間小，速度極快③

缺點(diǎn)：有一定的誤差WAF擴(kuò)展功能

-計(jì)數(shù)服務(wù)l標(biāo)準(zhǔn)Bloom

Filter&Counting

Bloom

Filter

狀態(tài)系統(tǒng)

獲取or生成SIDSID狀態(tài)寫(xiě)入

按SID做狀態(tài)查詢

LUA模塊

流處理服務(wù)

SID寫(xiě)入會(huì)話標(biāo)識(shí)消費(fèi)會(huì)話分析①

SID合法性校驗(yàn)②

指定域名的上下文分析③

相同SID下的基礎(chǔ)安全規(guī)則觸碰次數(shù)④

Session封禁，不傷IPWAF擴(kuò)展功能–會(huì)話分析會(huì)話分析消息隊(duì)列序列分析計(jì)數(shù)服務(wù)

會(huì)話分析

流處理服務(wù)

l

業(yè)務(wù)安全提前做，觸碰如下規(guī)則寫(xiě)入狀態(tài)系統(tǒng)，為后續(xù)業(yè)務(wù)風(fēng)控提前準(zhǔn)備數(shù)據(jù)①

請(qǐng)求IP的情報(bào)信息②

請(qǐng)求IPor設(shè)備指紋的請(qǐng)求頻率計(jì)數(shù)③

請(qǐng)求IPor設(shè)備指紋的訪問(wèn)時(shí)段規(guī)則

WAF擴(kuò)展功能–狀態(tài)系統(tǒng)識(shí)別生成對(duì)外輸出數(shù)據(jù)分析平臺(tái)泛安全系統(tǒng)狀態(tài)系統(tǒng)情報(bào)數(shù)據(jù)服務(wù)計(jì)數(shù)服務(wù)系統(tǒng)健康狀況監(jiān)控多級(jí)配置，靈活降級(jí)域名接入，規(guī)則管理告警查詢，報(bào)表輸出運(yùn)營(yíng)后臺(tái)

告警日志寫(xiě)入告警日志寫(xiě)入運(yùn)營(yíng)后臺(tái)日志和告警日志處理服務(wù)KAFKA流處理服務(wù)健康狀況查詢LUA模塊告警查詢報(bào)表查詢告警日志

狀態(tài)日志

功能和性能測(cè)試延時(shí)CPU負(fù)載30條規(guī)則測(cè)試50條規(guī)則測(cè)試無(wú)規(guī)則測(cè)試經(jīng)驗(yàn)總結(jié)

l

安全團(tuán)隊(duì)，特別是中小互聯(lián)網(wǎng)公司的安全團(tuán)隊(duì)，在研發(fā)安全產(chǎn)品的過(guò)程中需要規(guī)避一些問(wèn)題：①

產(chǎn)品化，一個(gè)拿到生產(chǎn)環(huán)境使用的產(chǎn)品，健壯性、易用性、擴(kuò)展性缺一不可②

項(xiàng)目制，分工明確，有計(jì)劃，這往往是大多安全團(tuán)隊(duì)比業(yè)務(wù)研發(fā)團(tuán)隊(duì)欠缺的③

好產(chǎn)品是迭代出來(lái)的，要抗的住壓力，耐得住寂寞④

需要充分的需求分析、設(shè)計(jì)、評(píng)審⑤

需要足夠多的測(cè)試⑥

需要具備產(chǎn)品、研發(fā)、數(shù)據(jù)分析、安全運(yùn)營(yíng)能力⑦

創(chuàng)造比破壞困難的多

團(tuán)隊(duì)①

寧漏報(bào)不誤攔，影響業(yè)務(wù)的鍋背不起②

規(guī)則的數(shù)量和復(fù)雜程度影響到nginx的性能，規(guī)則和性能需要達(dá)到一種平衡③

WAF屬于典型的CPU密集型系統(tǒng)，95%的攔截發(fā)在在10%的規(guī)則上面，重點(diǎn)規(guī)則需要重點(diǎn)優(yōu)化④

規(guī)則和業(yè)務(wù)匹配，就是說(shuō)java后臺(tái)就別上php的一些規(guī)則了l

縱深防御和安全數(shù)據(jù)分析①

WAF產(chǎn)品做為流量入口，需要和其他安全系統(tǒng)聯(lián)動(dòng)，形成合力，重點(diǎn)解決真正危害業(yè)務(wù)的攻擊行為②

把機(jī)器學(xué)習(xí)算法模型作為規(guī)則的有效補(bǔ)充

規(guī)則策略和縱深防御l

規(guī)則策略/openresty/openresty-systemtap-toolkit/wiki/Bloom_filter/wiki/Hidden_Markov_model/blog/high-throughput-low-latency-and-exactly-once-stream-processing-with-apache-flink

參考資料THANKS

?定期爆破和社工庫(kù)比對(duì)密碼?通過(guò)1password對(duì)所有工作中用到的密碼進(jìn)行管