《數字銀行安全體係構建》網商銀行信息安全部『EPUB電子書下載』

內容簡介

本書內容來源於網商銀行在信息安全方麵的一線實戰經驗，主要介紹網商銀行作為一家數字化銀行如何進行網絡信息安全體係建設，覆蓋的安全子領域包括：基礎設施安全、業務應用安全、數據安全、威脅感知、紅藍演練等。

本書的內容總體分為六個部分：

第一部分介紹數字銀行安全體係建設的整體架構與方法論。

第二部分介紹默認安全機製，講述如何高效控製所有已知類型的安全風險。

第三部分介紹可信縱深防禦體係，講述如何應對未知類型的安全風險和高級威脅。

第四部分介紹威脅感知與響應體係，講述對於可能發生的威脅如何有效感知和處置。

第五部分介紹實戰檢驗，通過實戰攻防演習的方式講述如何檢驗安全體係的有效性和安全水位。

第六部分介紹安全數智化，講述如何通過數字化、自動化、智能化實現安全工作的高效開展。

作者簡介

負責網商銀行的信息安全工作，涵蓋數據安全、應用安全、基礎設施安全、威脅感知與情報、實戰紅藍演練、安全智能化等方向。團隊成員均是各領域的安全專家，在紅藍攻防、威脅情報、可信計算、隱私計算等領域有較多研究，致力於通過創新安全技術守護用戶的數據和資金安全。未來願景是讓網商銀行成為全球最安全可信的數字銀行，探索數字銀行安全的最佳實踐，助力銀行業數字化轉型。

目錄

第一部分數字銀行安全體係10
第1章數字銀行與安全體係概述11
1.1數字銀行麵臨的機遇與挑戰11
1.1.1傳統銀行的成本挑戰11
1.1.2數字銀行的商業邏輯12
1.1.3數字銀行麵臨的安全風險13
1.2業界典型網絡安全架構14
1.2.1什麼是安全架構14
1.2.2銀行業典型網絡安全架構15
1.2.3互聯網企業典型網絡安全架構16
1.2.4安全業界新思路和新方法17
1.3小結18
第2章數字銀行安全體係架構設計19
2.1重新審視安全體係的有效性19
2.1.1安全目標與方向的正確性20
2.1.2安全責任範圍是否明確20
2.1.3安全體係的合理性與完備性21
2.1.4安全資源投入度與重點風險的重視度22
2.1.5安全能力與風險匹配度22
2.1.6安全能力的持續有效驗證22
2.2數字銀行安全架構設計22
2.2.1數字銀行安全體係建設思路23
2.2.2默認安全：上線前規避已知風險25
2.2.3可信縱深防禦：運行時防護未知風險28
2.2.4威脅感知與響應：預設風險還是會發生30
2.2.5實戰檢驗：防護效果持續充分檢驗30
2.2.6安全數智化：極致的安全加固效率31
2.2.7數字銀行安全整體架構32
2.3小結33
第二部分默認安全33
第3章默認安全及其架構34
3.1什麼是默認安全34
3.1.1默認安全機製34
3.1.2默認安全與SDL、DevSecOps35
3.2默認安全架構36
3.2.1設計目標36
3.2.2設計思路37
3.3小結39
第4章默認安全體係建設方案39
4.1信息安全基線40
4.1.1安全基線設定的目標40
4.1.2信息安全基線結構41
4.1.3安全基線運營體係52
4.2安全資產建設53
4.2.1資產範圍53
4.2.2數據資產55
4.2.3資產數據質量59
4.2.4不可忽視的大數據平台類資產59
4.2.5風險治理、防護與度量60
4.3增量風險管控60
4.3.1變更感知與管控61
4.3.2風險剖析與處置70
4.3.3防護組件默認集成79
4.3.4安全心智運營85
4.4存量風險治理87
4.4.1漏洞自動化處置88
4.4.2常態化風險巡檢92
4.5風險發現體係演進93
4.5.1背景93
4.5.2安全產品的轉變95
4.5.3實現思路96
4.5.4安全團隊間的職能變化103
4.5.5運營實踐104
4.6小結107
第5章默認安全治理應用實踐108
5.1軟件供應鏈安全治理108
5.1.1軟件供應鏈麵臨哪些風險109
5.1.2如何應對軟件供應鏈安全風險110
5.1.3理清台賬119
5.1.4隔離防護120
5.2水平越權漏洞的檢測120
5.3前端安全風險治理127
5.3.1背景介紹127
5.3.2傳統解決思路129
5.3.3默認防護131
5.4小結133
第三部分可信縱深防禦134
第6章可信縱深防禦及架構135
6.1銀行業數字化防禦體係麵臨的挑戰135
6.2國內外新興安全防禦技術簡介137
6.2.1可信計算137
6.2.2安全平行切麵138
6.2.3零信任139
6.3可信縱深防禦概念139
6.3.1可信防禦理念140
6.3.2縱深防禦理念141
6.4可信縱深防禦架構142
6.4.1設計目標142
6.4.2體係架構142
6.6小結146
第7章可信縱深防禦體係建設方案147
7.1建設原則147
7.1.1安全可信147
7.1.2多層覆蓋148
7.1.3自身安全保障148
7.1.4穩定性保障149
7.2建設基線149
7.3關鍵能力建設152
7.3.1基礎設施可信152
7.3.2應用可信154
7.3.3網絡可信160
7.3.4數據使用可信164
7.3.5端安全可信171
7.3.6信任鏈構建174
7.3.7可信策略176
7.4技術保障185
7.4.1安全性保障185
7.4.2穩定性保障187
7.5實戰牽引189
7.6體係演進191
7.7小結191
第8章可信縱深防禦體係應用實踐192
8.10Day漏洞防禦192
8.2釣魚攻擊防禦195
8.3軟件供應鏈風險防禦198
8.4業務數據濫用風險防禦200
8.5高效安全加固實踐203
8.6小結203
第四部分威脅感知與響應204
第9章威脅感知與響應及其架構205
9.1威脅感知與響應麵臨的挑戰205
9.1.1快速演化的多方麵威脅205
9.1.2高昂的威脅對抗成本205
9.1.3巨大的威脅信息偏差206
9.1.4複雜和多變的係統拓撲結構207
9.1.5防不勝防的供應鏈威脅207
9.1.6高時效性的安全要求208
9.1.7自動化過程中的威脅信息丟失208
9.2威脅感知與響應架構208
9.2.1設計思路208
9.2.2能力要求209
9.2.3架構和技術210
9.3小結211
第10章威脅感知與響應體係建設方案212
10.1感知覆蓋212
10.1.1感知數據品類213
10.1.2感知覆蓋的數據流214
10.1.3感知數據質量監控217
10.2威脅識別219
10.2.1威脅場景定義219
10.2.2威脅檢測策略221
10.2.3策略有效性檢驗227
10.3威脅研判228
10.4威脅響應231
10.4.1威脅事件響應步驟231
10.4.2威脅響應能力組成234
10.4.3威脅響應劇本類型236
10.4.4威脅響應能力驗證239
10.5小結240
第11章威脅感知與響應體係應用實踐241
11.1流量攻防241
11.1.1解決方案241
11.1.2效果243
11.2終端失陷243
11.2.1解決方案244
11.2.2效果246
11.3數據盜取246
11.3.1解決方案247
11.3.2效果248
11.4小結249
第五部分實戰檢驗250
第12章實戰檢驗體係251
12.1實戰攻防演練251
12.1.1實戰攻防演練概念251
12.1.2實戰攻防演練流程251
12.1.3實戰演練遇到的問題252
12.2有效性檢驗252
12.2.1有效性檢驗概念252
12.2.2有效性檢驗流程253
12.2.3有效性檢驗遇到的問題253
12.3網商實戰檢驗體係253
12.3.1設計思路254
12.3.2運作機製255
12.4小結256
第13章安全水位評估框架256
13.1安全水位定義256
13.2威脅路徑圖模型257
13.2.1威脅路徑圖模型介紹257
13.2.2威脅路徑圖模型數據結構257
13.2.3威脅路徑圖能力介紹264
13.3安全水位指標265
13.3.1如何評估企業安全水位265
13.3.2安全水位量化關鍵指標267
13.4小結269
第14章實戰檢驗體係應用實踐270
14.1能力、製度和流程建設270
14.1.1能力建設270
14.1.2製度建設270
14.1.3演練流程建設273
14.2紅藍演練發現未知風險275
14.2.1紅藍演練規劃275
14.2.2紅藍演練類型276
14.3檢驗安全能力有效性279
14.4演練複盤281
14.4.1複盤-豐富基礎數據281
14.4.2複盤-橫向指標對比283
14.4.3複盤-縱向指標對比284
14.4.4複盤-關注指標的持續變化284
14.5最佳實踐284
14.6小結287
第六部分數字化與智能化289
第15章安全數智化體係架構290
15.1什麼是數智化290
15.2安全數智化建設思路294
15.3小結297
第16章安全數智化體係建設與應用實踐298
16.1安全運營中心298
16.1.1什麼是安全運營中心299
16.1.2一站式安全運營300
16.1.3產品技術支撐架構306
16.2安全大數據平台307
16.2.1技術架構307
16.2.2數據模型312
16.2.3數據案例314
16.3安全自動化平台315
16.3.1基礎能力317
16.3.2典型場景320
16.4安全智能平台331
16.4.1智能化演進過程331
16.4.2智能基礎能力332
16.4.3安全智能平台336
16.5安全管控平台344
16.5.1安全管控平台345
16.5.2管控能力案例350
16.6小結352
······