內容簡介
該書內容來源於網商銀行在信息安全方面的一線實戰經驗,主要介紹網商銀行作為一家數位化銀行如何進行網路信息安全體系建設,覆蓋的安全子領域包括:基礎設施安全、業務套用安全、數據安全、威脅感知、紅藍演練等。該書的內容總體分為六個部分:第一部分介紹數字銀行安全體系建設的整體架構與方法論,第二部分介紹默認安全機制,講述如何有效控制所有已知類型的安全風險,第三部分介紹可信縱深防禦體系,講述如何應對未知類型的安全風險和高級威脅,第四部分介紹威脅感知與回響體系,講述對於可能發生的威脅如何有效感知和處置,第五部分介紹實戰檢驗,通過實戰攻防演習的方式講述如何檢驗安全體系的有效性和安全水位,第六部分介紹安全數智化,講述如何通過數位化、自動化、智慧型化實現安全工作的有效開展。
圖書目錄
第 一部分 數字銀行安全體系 10
第 1 章 數字銀行與安全體系概述 11
1.1 數字銀行面臨的機遇與挑戰 11
1.1.1 傳統銀行的成本挑戰 11
1.1.2 數字銀行的商業邏輯 12
1.1.3 數字銀行面臨的安全風險 13
1.2 業界典型網路安全架構 14
1.2.1 什麼是安全架構 14
1.2.2銀行業典型網路安全架構 15
1.2.3 網際網路企業典型網路安全架構 16
1.2.4 安全業界新思路和新方法 17
1.3 小結 18
第 2 章 數字銀行安全體系架構設計 19
2.1 重新審視安全體系的有效性 19
2.1.1 安全目標與方向的正確性 20
2.1.2 安全責任範圍是否明確 20
2.1.3 安全體系的合理性與完備性 21
2.1.4 安全資源投入度與重點風險的重視度 22
2.1.5 安全能力與風險匹配度 22
2.1.6 安全能力的持續有效驗證 22
2.2 數字銀行安全架構設計 22
2.2.1 數字銀行安全體系建設思路 23
2.2.2 默認安全:上線前規避已知風險 25
2.2.3 可信縱深防禦:運行時防護未知風險 28
2.2.4 威脅感知與回響:預設風險還是會發生 30
2.2.5 實戰檢驗:防護效果持續充分檢驗 30
2.2.6 安全數智化:極致的安全加固效率 31
2.2.7 數字銀行安全整體架構 32
2.3 小結 33
第二部分 默認安全 33
第 3 章 默認安全及其架構 34
3.1 什麼是默認安全 34
3.1.1 默認安全機制 34
3.1.2 默認安全與SDL、DevSecOps 35
3.2 默認安全架構 36
3.2.1 設計目標 36
3.2.2 設計思路 37
3.3 小結 39
第 4 章 默認安全體系建設方案 39
4.1 信息安全基線 40
4.1.1 安全基線設定的目標 40
4.1.2 信息安全基線結構 41
4.1.3 安全基線運營體系 52
4.2 安全資產建設 53
4.2.1 資產範圍 53
4.2.2 數據資產 55
4.2.3 資產數據質量 59
4.2.4不可忽視的大數據平台類資產 59
4.2.5 風險治理、防護與度量 60
4.3 增量風險管控 60
4.3.1 變更感知與管控 61
4.3.2 風險剖析與處置 70
4.3.3 防護組件默認集成 79
4.3.4 安全心智運營 85
4.4 存量風險治理 87
4.4.1 漏洞自動化處置 88
4.4.2 常態化風險巡檢 92
4.5 風險發現體系演進 93
4.5.1 背景 93
4.5.2 安全產品的轉變 95
4.5.3 實現思路 96
4.5.4 安全團隊間的職能變化 103
4.5.5 運營實踐 104
4.6 小結 107
第 5 章 默認安全治理套用實踐 108
5.1 軟體供應鏈安全治理 108
5.1.1 軟體供應鏈面臨哪些風險 109
5.1.2 如何應對軟體供應鏈安全風險 110
5.1.3 理清台賬 119
5.1.4 隔離防護 120
5.2 水平越權漏洞的檢測 120
5.3 前端安全風險治理 127
5.3.1 背景介紹 127
5.3.2 傳統解決思路 129
5.3.3 默認防護 131
5.4 小結 133
第三部分 可信縱深防禦 134
第6章 可信縱深防禦及架構 135
6.1 銀行業數位化防禦體系面臨的挑戰 135
6.2 國內外新興安全防禦技術簡介 137
6.2.1可信計算 137
6.2.2安全平行切面 138
6.2.3零信任 139
6.3 可信縱深防禦概念 139
6.3.1可信防禦理念 140
6.3.2縱深防禦理念 141
6.4 可信縱深防禦架構 142
6.4.1 設計目標 142
6.4.2 體系架構 142
6.6 小結 146
第7章 可信縱深防禦體系建設方案 147
7.1 建設原則 147
7.1.1 安全可信 147
7.1.2 多層覆蓋 148
16.1.2 一站式安全運營 300
16.1.3 產品技術支撐架構 306
16.2 安全大數據平台 307
16.2.1 技術架構 307
16.2.2 數據模型 312
16.2.3 數據案例 314
16.3 安全自動化平台 315
16.3.1 基礎能力 317
16.3.2 典型場景 320
16.4 安全智慧型平台 331
16.4.1 智慧型化演進過程 331
16.4.2 智慧型基礎能力 332
16.4.3 安全智慧型平台 336
16.5 安全管控平台 344
16.5.1 安全管控平台 345
16.5.2 管控能力案例 350
16.6 小結 352
作者簡介
負責網商銀行的信息安全工作,涵蓋數據安全、套用安全、基礎設施安全、威脅感知與情報、實戰紅藍演練、安全智慧型化等方向。團隊成員均是各領域的安全專業人才,在紅藍攻防、威脅情報、可信計算、隱私計算等領域有較多研究,致力於通過創新安全技術守護用戶的數據和資金安全。未來願景是讓網商銀行成為全球安全可信的數字銀行,探索數字銀行安全的best實踐,助力銀行業數位化轉型。