企业安全建设指南：金融行业安全架构与技术实践

本书是金融行业资深信安专家十余年实战经验的结晶，从安全世界观到安全方法论，从安全合规管理到安全技术实践，从移动应用安全、企业内网安全到金融数据安全，全方位介绍如何打造企业安全管理机制和安全技术架构。

本书全面、系统地介绍企业信息安全的技术架构与实践，总结了作者在金融行业多年的信息安全实践经验，内容丰富，实践性强。本书分为两大部分，共24章。*部分“安全架构”主要内容有：信息安全观、金融行业信息安全的特点、安全规划、内控合规管理、信息安全团队建设、安全培训规划、外包安全管理、安全考核、安全认证等。第二部分“安全技术实战”主要内容有：互联网应用安全、移动应用安全、企业内网安全、数据安全、业务安全、邮件安全、活动目录安全、安全检测、安全运营、安全资产管理和矩阵式监控、应急响应、信息安全趋势和安全从业者的未来等。

聂君毕业于哈尔滨工业大学，某证券公司信息技术中心安全总监，曾在招商银行总行安全团队工作9年。参与了多家大型金融企业网络安全建设，积累了丰富的实践经验，牵头起草了多项金融行业网络安全行业标准，主要研究兴趣是异常行为监测、SIEM/SOC、安全运营等。业余时间维护微信公众号“君哥的体历”，贡献了大量技术文章，广受好评。

李燕某大型商业银行科技部门分管信息安全的总经理室成员，具有15年商业银行总行科技工作经验，曾主持过两家商业银行全行信息安全工作，包括信息安全管理和技术规划、ISO27001信息安全管理体系认证、信息安全团队建设、信息安全技术实施等，对信息安全管理和技术体系有深入的理解。

何扬军(xysky)某大型商业银行总行信息技术部数据安全团队负责人。曾在互联网安全团队工作，具有十余年信息安全工作经验，对Web安全、数据安全以及安全运营等方面技术有深入的实践和理解，曾经在《黑客防线》等杂志发表数十篇文章，拥有CISSP、CEH、RHCE等证书。

◆前言◆

自从我从事信息安全职业以来，我一直在甲方从事企业安全建设工作。由于信息技术和安全技术日新月异地发展，我一直在学习之路上奔跑。看过很多书，听过很多演讲，其中大部分图书是零碎的技术点、工具使用和攻击过程演示，少数是属于理论性和学术性的教科书，很少有书籍介绍如何将安全技术更好地应用在不同规模、不同阶段的企业中，即企业安全最后一公里问题。在企业做安全、安全管理和安全技术，都需要通过安全实践去落地，并最终实现安全有效性的提升。

企业的安全负责人关注的重点是如何使企业的安全建设更加有效，以及如何落地，例如安全价值、安全如何保障业务、安全合规、安全总结汇报、安全考核、安全度量、资产管理等。企业安全建设的很多话题和讨论，看起来并不高大上，但却能够解决实际问题，给实际工作带来更大帮助，甚至很多属于“保命”的知识和技能。可是，安全实践这部分很有价值的内容却被市场选择性地忽略了。

企业安全建设中另一个重点是安全运营。企业负责人和IT部总经理经常会问：什么样的安全是安全的？我见过一些企业做安全的过程，部署了各种安全设备，设计了各种安全管理措施和流程，领导也很支持，安全预算和安全人员也都给足，结果还是出了问题，归根结底是安全有效性出了问题。设备部署了，异常告警规则做好了吗？告警正常吗？设备依赖的条件，比如镜像的流量一直正常吗？了解安全保护的业务吗？能看懂告警日志的人有吗……

要将安全性当作可用性来运营，安全才是有效的。目前制约安全运营发展的最大因素有两点：一是缺少特别好的商业化工具，能够结合企业内部的流程和人员，提高安全运营效率；二是一万个安全负责人心中有一万个安全运营思路，没有形成统一的安全运营标准。安全运营这部分很有价值的内容，很遗憾和安全实践一样，也被市场选择性地忽略了。

书本和市场提供不了这些知识和技能，我只能求教于同行。我的从业经历主要在银行和证券，因此每年我都会和行业同仁进行学习交流。除了金融业，我们也向互联网行业公司学习，从中确实获益良多。不同的行业、企业的规模、面临的风险威胁、企业文化和实际需求、安全投入等，其安全建设之路也风格迥异，但做得好的企业都侧重解决实际安全问题，日拱一卒，积极实践，因此愈发坚定我对安全实践和安全运营的探索。

利用工作之余的闲暇时间，我维护了“君哥的体历”公众号和“金融业企业安全建设实践”微信群，将我从业十余年的一些体验和经历分享出来，抛砖引玉，启发更多企业安全负责人的思考和分享讨论，并将有价值的内容沉淀在知识星球（公众号、微信群、知识星球联系方式见文末），为越来越多的人带来一些价值和帮助。

这种分享，我理解为另一种“开源”精神。代码和项目开源很常见，体验和经历开源不多见，尤其是比较体系化地将如何在企业做安全建设的思路和实践开源，需要静下心来归纳总结提炼，在平常繁重的工作任务和需要全身心投入陪伴两个娃的同时，要做好“企业安全建设”这个开源项目，难度和挑战更大。在这个过程中，有如西湖惬意的微风，也有如沙漠般的烈日当头。不忘初心，方得始终。初心易得，始终难守。幸好我遇到了两位志同道合的伙伴，我们彼此共同努力和坚持，克服了各种困难，才有此书的面世。

在某个年纪之前，你可以靠透支身体、小聪明和老天给你的运气，一直取巧地活着。然而到了某个年纪之后，真正能让你走远的是自律、积极和勤奋。人生最美好的莫过于各种经历和难忘的体验，过程虽然比较痛苦，结果都还比较好。如果大家和我一样，在企业做安全中遇到各种颇为“痛苦”的经历，过后你一定会感谢和怀念这份经历的。

本书结构

本书分两部分共24章，读者可以通过浏览目录进一步了解各章的内容。本书介绍了企业安全建设的方方面面，可以当作一本安全工作参考书，遇到问题时，也可以挑选任何所需要章节进行阅读。

第一部分“安全架构”，主要介绍了企业安全建设涉及的领域，金融行业安全建设的一些特点，重点安全管理领域如内控合规管理、外包安全管理等，对安全团队建设、安全培训、安全考核、安全认证、安全预算等进行了深入探讨，有助于读者从企业安全建设者的角度了解企业安全的视角和解决问题的思路。

第二部分“安全技术实战”，主要介绍企业安全建设中的一些安全技术应用实践，包括应用安全、内网安全、数据安全和业务安全等，对一些防护重点如邮件、活动目录、补丁管理、抗DDoS攻击等进行了深入探讨，对安全运营、应急响应和安全趋势以及从业者的未来做了一些开放式探讨。这些有助于企业安全负责人更好地掌握全局，顺势而为。附录中介绍了企业安全技能树等内容，还在持续更新中，有兴趣的读者可以和我们互动反馈。联系方式如下：

邮箱：[email protected]

GitHub：https://github.com/jun1010/secbuild

微信公众号：君哥的体历（jungedetili）

知识星球：金融企业安全建设实践

我从事金融行业已有三十多年，经历了我国金融lT技术的发展和变化全过程。“安全可靠”是银行业的永久命题，它保障了银行信用的基础，全体技术人员时时刻刻为之付出了巨大的努力。互联网和云计算、大数据、人工智能等新技术的发展更加扁平化和立体化，对网络安全提出了新的全面要求。几位作者在银行和证券行业的安全技术领域不断探索实践，后生可畏。出版此书，殊为不易。

—徐连峰，原招商银行技术总监

本书是作者在金融行业多年从事安全工作的总结和归纳，对企业信息安全架构设计和安全技术实践的方方面面做了系统的梳理，实操性很强，干货满满！可以说，本书对金融行业信息安全从业人员和安全负责人都提供了一本行之有效的指南，可为案头常备工具书之一！

—陈建，平安集团首席安全官

信息安全是一项非常复杂的工程，既要有仰望星空的情怀，又要有脚踏实地的力行，这本书的作者们用自己的思考和实践很好地诠释了这一理念。几位作者都有十年以上金融信息安全从业经验，都是各企业的核心骨干，这次能够利用业余时间将这些经验编制成书，非常的难能可贵，自己有幸提前拜读，感悟良多，借此感谢。

—代留虎，招商银行总行安全管理室主管

建设完善的企业安全架构是一个非常艰难的过程，安全从业者的价值观和技术实战水平与企业安全的前途命运是紧密联系的，从安全本质出发，如何树立正确的安全价值观，处理好安全建设过程中的关系，把控安全趋势的发展，本书给予了我们启发和帮助。

—李吉慧，中国民生银行信息科技部安全规划中心副处长

本书是作者基于多年在金融行业网络安全技术管理岗位上的工作经验，针对金融企业的实际信息安全需求编撰的一部极具行业特色的著作。金融是离钱*近的行业，很自然就成为了网络罪犯们实施网络攻击的首要目标，金融企业必须要加强企业信息安全体系建设，才可能在与网络犯罪的对抗中力保业务不受损失。与此同时，金融企业的IT安全团队又往往只能有少量的人员编制，在这种情况下，如何进行企业的信息安全体系架构与团队技术能力提升，往往是困扰团队领导的难题。而本书作者从安全架构出发首先讨论金融企业信息安全建设的一些策略性问题，然后深入到与金融企业业务紧密相关的安全技术实战，*后回到对金融行业安全趋势与安全从业者职业发展未来的分析上。全书内容深入浅出，语言流畅自然，特别推荐给金融行业网络安全从业者研读，可帮助其快速建立起对行业网络安全需求与安全策略的精准把握，以及对网络安全实战技术的全面了解。此外本书也适合其他行业网络安全从业者参考，毕竟金融行业在信息安全体系上的投入与建设理念可以作为其他行业的参照标杆。

—诸葛建伟，清华大学副研究员/蓝莲花战队联合创始人

在国内，具备甲方经验、有防御体系建设能力和实战经验的人才非常稀缺，随着网络安全的重要性日益提升，安全人才市场缺口凸显。本书出版恰逢其时，不仅系统介绍了企业信息安全建设的方方面面，同时作者以多年金融行业的安全实战为背景，给读者带来大量精彩案例，是网络安全从业人员手头不可缺少参考手册。

—董志强，腾讯安全云鼎实验室负责人

本书具有大安全的视野与格局，内容深入浅出，结合实践经验的分享，对大安全的各个方面进行了体系化的总结，理论不散、实践不浮，体现了作者多年的积累与思考，为各类金融企业提供了可参考借鉴的安全框架与实务手册。

—吴树鹏，火币集团首席安全官

任何技术的落地都需要和场景结合起来，安全技术尤其如此。金融行业是对安全需求非常高的，内部的应用场景和需求如何与现有的技术结合非常有参考价值。作者们总结了他们十几年在金融甲方的安全实战经验，让我读后受益匪浅，强烈推荐为金融行业提供安全产品和服务的乙方，以及准备去金融企业做甲方的安全技术人员阅读。

—方兴（flashsky），全知科技CEO

金融行业的本质在经营风险，受到的监管合规管制也*严格。阅读本书，仿佛和作者们进行了一场酣畅淋漓的对话，又好像瞬间吸收了他们的功力，得以窥探金融领域安全实践的冰山一角。不论是大型互联网企业的安全管理者，还是初入行业的新人，本书都具有极大的参考意义，值得细细品读学习。

—赵弼政（职业欠钱），美团基础设施安全负责人

本书非常全面、系统、清晰地从多个维度介绍了企业信息安全建设的方方面面，对其中的主要场景的主要矛盾进行了深入浅出的剖析，既有适合安全管理者阅读的头脑激荡，也有适合安全工程师阅读的实操经验分享，实战价值极高。本书极为适合安全从业者和安全爱好者阅读。

—方勇，腾讯云安全总监

金融行业一直是IT高度发展的一个领域，同时也是数据资产高度集中的一个行业。在这种背景下，相对其他行业，金融行业对于安全的重视程度普遍较高，安全技术和管理能力都更胜一筹。本书系统介绍了金融企业安全建设的方方面面，既有对抗技术，也有管理运营，对于其他行业的安全从业者也具有很好的指导价值。

—兜哥，百度安全基础架构安全负责人，AI安全三部曲的作者

金融行业对于安全的认识相对较早，同时重视程度也较高。作者们将多年在金融企业安全建设上的实践经验抽象成理念和可落地的方式、方法，并对金融行业常见的一些风险场景进行了全面深入的讲解，且有很多可直接落地的干货，对于安全规划、安全团队建设以及安全人员发展等痛点都有独到见解，相信金融行业安全从业者阅读本书后会受益匪浅。

—Feei（止介），美丽联合集团网络信息安全总监

本书是一本兼具安全架构和实战经验的信息安全专业书籍。本书的*作者聂君先生在信息安全产业内工作多年，担任过知名金融机构的信息安全负责人，对甲方信息安全的需求，特别是金融行业信息安全的特点有着深厚的理解，在多年的信息安全管理工作中也积累了丰富的实战经验。本书的内容覆盖很广，从信息安全管理到*前沿的技术实战都有所涉猎，适合信息安全从业人员、金融行业IT从业人员等专业读者。

—萧德纲，启明星辰集团副总裁

本书是一本从甲方视角写的经验总结，读完后受益匪浅。今年上半年我们团队办了一场深度的 Red Team 闭门培训，本书*作者聂君是学员中*一个甲方安全人员，当时他说他希望多吸收攻击者视角的手法，进而促进他们的安全工作。而读了此书，对我来说是大量吸收了防御者视角的经验，对我们以攻促防的安全建设思路来说是一次绝佳的学习机会。再次感谢。

—余弦，Joinsec
Team &慢雾科技联合创始人

许多信息安全的从业者受限于学习和工作的经历，没有机会洞悉信息安全的全貌，对于职业的规划和方向感到迷茫。许多企业的CEO、CTO和信息化负责人重视信息安全但因缺少专业背景和知识，不知道企业安全岗位应该如何设置，安全建设应该如何开展。本书的几位作者在企业信息安全建设，尤其是金融企业安全建设方面有着丰富的实践经验，相信对于希望从事企业信息安全建设的朋友会有很大帮助。

—薛锋，微步在线CEO