安全意识

就安全意识的深浅度根因而言，普通民众认为所有利益体的账号密码才是优先保护，其他的不重要，相对比较浅，风险预判力较低；安全人员认为所有涉及可关联的信息均有可能造成安全风险，于是，综合风险预判力、感知力，相对较高；

### 0x01 如何利用钓鱼攻防提升员工安全意识

定期钓鱼测试，手动识别上报一个钓鱼邮件，有奖励；没有报告，并且点击了钓鱼链接，有惩罚。报告给你老板，通知他限期三天以内，参加管理培训，让他通知你三天以内参加防钓鱼培训，结果与 performance 挂钩。

收邮件的电脑别连互联网，安装防病毒，能防御 99% 的 钓鱼邮件了

邮件网关一般都包括反垃圾，防病毒，dlp 等功能，websense 就有 data security

于邮件的客户端链接，pop3 等风险较大，该怎么搞？POP3\ IMAP 微软现在 exchange 默认都不开启了

关于邮箱密码，管理上，教育大家公司密码要独立，技术上，根本不信任人的意识，上双因素

### 0x02 如何做好向上管理？

一直有一个悖论，认为高层不给资源。后来看他们做分析，高层不是不给资源，是他们真不懂你安全在干嘛，要向上汇报的。要真把这些事儿说明白了，不会不给的，所以还是从自身找原因了，我个人觉得这个说法没问题。至少从结果看，那些安全搞得好的，都是向上沟通做的不错的

高层还有一个误解，我前段时间被老板怼，为什么安全 3 个人 无法解决业务风控问题，我当时没有回答上来

那么安全工作的价值量化这块呢？比如直接折算安全止损，那么止损了多少？这个应该如何来换算呢

不好衡量的是区分不出来上了安全措施以后，是因为人家没有攻而算出来的节省还是同比较少了多少攻击带来的节省。譬如薅羊毛

比如上安全扫描，定期扫描的意义何在，减少了主机、网络层面上的漏洞，但是你减少了漏洞老板不关心啊，我们如何来形象化这个东西呢

嗯，群里前段时间聊过了，用阻挡了多少攻击和发现了多少漏洞来说安全价值比较困难。因为不好量化和建立关系

最简单的价值衡量，对比暗网出的同业数据价值+声誉损失+法律惩罚+同业股市跌幅

安全从业者很多都受限于企业文化 管理模式-----这句话我觉得是不是可以商榷一下？安全从业者有时候也是企业文化、管理模式的参与者、改变者。

事件驱动往往最有效，和国内风险教育不到位密切相关。所以我认为CSO或者安全团队的中高层，要对老板树立影响力

一定是自上而下的，老板践行的价值观，以及相应的制度、激励机制才得以形成的文化

从文化上看，无非三种方式，创立公司自建文化，比如白总。第二种加入一个认可的公司，第三种就是有改变文化的能力个机会。

国内因为别的事情走人的概率要比出安全事故走人的概率大多了，与其好好琢磨安全，还不如琢磨别的事情，这些都是社会现状和国情，安全行业还是好的，蛰伏一下，等待更美的春天

改变能改变的，不能改变的就适应，不要把自己搞太累，快乐工作，快乐生活。

### 0x03 如何提升安全话语权？

互联网甲方安全是不是有这样的特点：1、安全汇报简单，讲清楚即可，不需要将PPT重复雕琢（讲故事）。2、安全项目或运营可以本着自己知识储备或创意打法执行到底，不被太多干涉，直到出结果；3、管理相对平行化；

话语权都是用成绩战斗出来的，这个场景更偏中层和小高层，对大高层和董事会一级，多数不是靠战斗出来的，就当前国内企业的文化而言，安全负责人的向上管理能力，决定了你安全部门的地位~两方面的，你不对高层负责，但你需要对你的领导负责，正所谓，将是兵的魂，兵是将的胆

我觉得对高层是安全负责人布局，那我这种干活的就是在安全负责人布局的框架内去做技术支撑

是否迎合董事会的战略方向，能否对内对外创造价值，能否创新挑大梁，光守土一方不够，成熟组织里机会本来就不多，当机会来的时候抓不住

我认为还是安全负责人的视野，以及对自己公司业务的理解更重要。

举个例子，安全在我浪不像 vip 那么强势和牛B，以前大佬云集，虽然未成体系化，也没有什么攻击行为，领导们也没在意我们，只是在申请预算的时候会问这个有什么用，能不能不用，或者相同产品用便宜的行不行

向上管理好的例子就是，我们跟上级领导关系不错，我们会私下汇报一下，这个有什么用，干什么的，必要性是什么，为什么不能使用其它类似的，横向测评报告内容，我们关注内容等...

欠钱总的这个问题：我怎么评价你运营工作好不好，这个很好回答呀，你认为什么叫好，咱们就按照你说的量化一些可评价的指标，然后你看我能不能达成。你认为的好就是目标，你提目标，我作为下属告诉你我能达成你说的目标需要多少资源，你给我就接，你给不起就降低你的好，咱们达成一个什么叫好的线。

安全的目标可不好量化，有的领导就一句话，我就要不能出事，比如 HW 里我就要不能被人攻破。这话怎么接？怎么冒着要资源？

不好量化也要量化呀，不然背锅就别怨别人。不攻破这个目标可以呀，没问题，我告诉你现在我们哪些方便是弱项，哪些弱项最容易攻破，先把这些弱项解决了需要多少资源，相对不那么弱的地方被攻破概率多少，但先不管了，现抓弱项，一定要告诉清楚让领导知道。

那你可以先与其定义被攻破是什么概念；然后根据概念，提出自己的不被攻破的基本资源要求；

如果每次都要被动的由领导提出安全目标和量化指标，那就不要提什么安全语话权了。

不能出事是最基础的 kpi 了……不出事有好几层含义，第一层是没被利用漏洞，第二层是被利用了能“及时”发现处置控制损失在可接受范围内，第一层安全只能兜已知漏洞，这里需要一堆资源来查对外暴露，收敛，修补，第二层需要更多感知的资源和处置的权限和快速执行的流程，也许被攻破你才会发现需要网络溯源需要主机防御需要安全来控出口，但是如果能提前指出和布局，只是因为性价比低被否了，就不会被问早干嘛去了。插个嘴，这一仗打好了，权限地位固定常态下来，安全话语权也就固定下来了，这一仗打败了，那安全做再多别的成绩也吃瘪认栽

其实我说的情况有点抬杠，但是现实中类似的情况其实不少。有些向上管理的工作比具体工作内容本身要重要，还有我觉得，不能出事这个标准既不是高标准也不是低标准，是个完全模糊的心理状态，出了事能抹平也是没出事，领导你有能力。可是有的领导喜欢整点动静，你没出事可是不出彩，那也相当于出事了

这个问题，基本领导都知道永远可以一个接一个问题怼你，就是用来试探安全负责人的深度的

让领导多看看好的同行是啥样子的，多让外部资源（监管，同行，厂商）提升领导对安全的认知和视野，下属直接面对领导总是弱势一些滴，弱势就要多向领导请教，我相信多数领导还是通情达理的。

服务的价值量化一直是比较苦恼的事情，投入的成本有限，期望又高，现在人才价值也水涨船高，想做好还主要是投入。

现在做 ISO 认证，由于市场竞争，很难做的完全独立、中立，我更倾向于选择稍好的机构（做过跨国集团... 老师资质不错）在认证过程中了解他们认证的其他公司做法，基本上相当于咨询了。管理制度化 制度流程化 流程信息化，从事故归因理论来讲，人不可控的因素更多，不稳定性也最大。

### 0x04 有哪些安全事件可以利用？

1、亚马逊防火墙配置失误：美国第一资本金融公司遭数据泄露（1亿美国信用卡客户和600万加拿大信用卡客户个人信息）

2、可公开访问的ElasticSearch：移动贷款客户信息

3、数据库配置不当：万豪数据泄露事件后续：1.23亿美元罚款

4、亚马逊S3桶配置错误，数据管理公司Attunity泄漏了1TB以上企业客户的敏感数据

5、Jenkins错误配置为公开访问：GE航空公司泄露大量凭据等敏感信息

6、数据库集群错误配置导致公开访问：中国猎头公司FMC泄露数千万个人简历以及公司记录

7、可公开访问的ElasticSearch：上海交大泄露上T邮件

8、网站配置不当，修改url即可未授权访问敏感数据，美国金融公司First American网站泄露8.85亿份敏感数据如抵押贷款、税务记录、社会保险号、电汇收据、驾照图像、银行账号和对账单

9、可公开访问的ElasticSearch：数百万巴拿马公民的敏感信息，如四要素和患者信息

10、github：泄露公司源代码造成超百万损失，大疆前员工被罚20万、获刑半年

11、github：Bilibili 后端源代码遭泄露

12、github：华硕内网密码泄露

13、亚马逊S3桶配置错误：Facebook 5.4亿用户记录曝光（明文密码、Facebook账户名称、用户ID、评论、兴趣、关系状态）

14、MongoDB未设置密码：沙特阿拉伯通信APP Dalil导致超过500万用户的个人信息泄露，包括手机详细设备信息、GPS、个人信息

15、MongoDB未设置密码：202,730,434 份国人求职简历泄露

16、数据库未设置密码，深网视界科技有限公司被曝数百万人脸识别泄露，包括身份证信息、人脸识别图像及图像拍摄地点

17、由于阿里云代码托管平台的项目权限设置存在歧义，导致开发者操作失误，造成至少40家以上企业的200多个项目代码泄露