小青對(duì)話時(shí)間

 

　　安小青：首先請(qǐng)陳總介紹一下，易寶支付公司概況、業(yè)務(wù)模式和信息化歷程？

 

　　陳斌：易寶支付是硅谷的創(chuàng)業(yè)公司，2003年開始在硅谷創(chuàng)立，之后為了做中國的業(yè)務(wù)，在2003年的時(shí)候，回到了中國，我們最開始只是說要做移動(dòng)支付，后期在2006、2007年，一直到2009年這段時(shí)間也開始做其他的像在線支付，線下支付這種業(yè)務(wù)，易寶在2010年拿到了央行的支付牌照，之后業(yè)務(wù)發(fā)展一直很穩(wěn)健，我們是全牌照公司，在在線支付、線下支付、互聯(lián)網(wǎng)支付、移動(dòng)支付、基金支付、跨境支付等方面，都有自己的積累。我們的特點(diǎn)是聚焦在行業(yè)深入方面，像航空、旅游、保險(xiǎn)、政府、教育，還有電商都是我們比較深入的行業(yè)。每年我們能交易兩萬億上下的交易額。

 

　　安小青：陳總擁有豐富的海外經(jīng)歷和多年架構(gòu)經(jīng)驗(yàn)，能否簡單跟我們講述下目前中美在網(wǎng)絡(luò)安全上差異主要表現(xiàn)在哪些方面？我們應(yīng)該采取什么樣應(yīng)對(duì)措施？

 

　　陳斌：網(wǎng)絡(luò)安全是整個(gè)互聯(lián)網(wǎng)行業(yè)當(dāng)中一個(gè)比較受關(guān)注，也是比較特別的一個(gè)領(lǐng)域，互聯(lián)網(wǎng)從90年代開始大規(guī)模使用以來，網(wǎng)絡(luò)安全在世界各國都有了各自的發(fā)展情況，各國有各國的情況，中國和美國的情況主要差別在于中國在互聯(lián)網(wǎng)技術(shù)的應(yīng)用方面走得比較遠(yuǎn)，走得比較快，比如說在移動(dòng)支付的應(yīng)用方面，我們會(huì)比美國快很多，美國現(xiàn)在還是用信用卡在做支付，而不是用手機(jī)做支付。

 

　　另一方面就是美國在互聯(lián)網(wǎng)技術(shù)的底層方面會(huì)比較有深入的積累和更多的投入，大家也都看到了，像我們主要的網(wǎng)絡(luò)安全和信息安全的廠商，經(jīng)常會(huì)看到像美國公司，以色列公司，像CheckPoint，在零幾到2010年這段時(shí)間獨(dú)領(lǐng)風(fēng)騷，后來PaloAlto也是引領(lǐng)防火墻行業(yè)里面的發(fā)展，在應(yīng)用上，中國走得比較前，基礎(chǔ)研發(fā)上美國走得比較靠前，但是在互聯(lián)網(wǎng)的整個(gè)安全復(fù)雜性和復(fù)雜的態(tài)勢上，中國比美國更加復(fù)雜，就是說如果再退幾年來看，我們?cè)诨ヂ?lián)網(wǎng)上經(jīng)常會(huì)看到像DDoS，各種留后門，各種Hacking等不良的行為，在美國因?yàn)榉芍贫炔灰粯樱麄冊(cè)谶@方面做得多一點(diǎn)，相應(yīng)會(huì)少一點(diǎn)，其他的國家除了中國以外也有很多這種信息安全上的問題。

 

　　總結(jié)一下，復(fù)雜度上，互聯(lián)網(wǎng)安全，中國所要面對(duì)和應(yīng)付的復(fù)雜性會(huì)比美國高，但是在技術(shù)的基礎(chǔ)程度，投入和研發(fā)上，美國比中國多，研發(fā)得更深入。基于這個(gè)情況可以看到中國在互聯(lián)網(wǎng)應(yīng)用安全防護(hù)會(huì)比美國更加有經(jīng)驗(yàn)，因?yàn)楫吘菇?jīng)歷的事情比較多。

 

　　安小青：眾所周知，易寶支付是中國支付行業(yè)的先行者，而信息安全一向是支付行業(yè)的監(jiān)管重點(diǎn)。那么在《網(wǎng)絡(luò)安全法》實(shí)施后，給整個(gè)支付行業(yè)帶來什么樣影響和變化？

 

　　陳斌：易寶支付是非常注重網(wǎng)絡(luò)安全、數(shù)據(jù)保護(hù)、個(gè)人隱私的保護(hù)，一方面是因?yàn)槲覀児緩墓韫冗^來的時(shí)候，就比較多繼承了很多硅谷公司的基因，對(duì)保護(hù)比較強(qiáng)調(diào)和重視，另一方面是在《網(wǎng)絡(luò)安全法》沒有正式實(shí)施以前，是一些自發(fā)的行為，覺得信息安全是交易的保障，交易比較順利的完成，比較成功的完成，整個(gè)公司想健康發(fā)展，交易的安全一定要做好，我們有自發(fā)的行為，本身有這種比較完善的信息安全體系，就是說從人到策略，到資產(chǎn)的盤點(diǎn)和分類，到具體的保護(hù)措施，一直到技術(shù)層的前端，中間的處理和后端的保護(hù)都是比較全面的。

 

　　但是信息安全法出來之后讓我們有了一個(gè)更好的規(guī)矩去遵循，有據(jù)可循了，在保護(hù)的力度，保護(hù)的對(duì)象，保護(hù)的范圍上，有了更加清楚的界定，《網(wǎng)絡(luò)安全法》對(duì)我們是一個(gè)非常好的利好的因素，我們是歡迎的。

 

　　安小青：早在2005年您就參與了易寶支付第2代系統(tǒng)設(shè)計(jì)、研發(fā)等流程，請(qǐng)您介紹下易寶支付面臨安全挑戰(zhàn)或者威脅主要來自于哪些方面？

 

　　陳斌：剛才在個(gè)人介紹的時(shí)候沒有提到說我2005年回來過，當(dāng)年在硅谷，像我們幾位創(chuàng)始人唐彬、余晨，我們是熟悉的，他們回來初創(chuàng)公司之后，2005年我回來了一年多，主要是主導(dǎo)第二代系統(tǒng)的設(shè)計(jì)和研發(fā)工作，也包括我們的信息安全制度，體系的建設(shè)，信息安全人才的培養(yǎng)，和其他的，像運(yùn)營和技術(shù)運(yùn)維體系的建立和人才的培養(yǎng)招聘。因?yàn)槲易约杭依锏脑颍种匦禄氐矫绹ゼ尤胫Z基亞，去做諾基亞的互聯(lián)網(wǎng)方面的事情。二代系統(tǒng)在那個(gè)時(shí)候研發(fā)成功，一直到2012年，2013年左右，都是易寶主力的交易系統(tǒng)，后期我們又做了新的迭代，這個(gè)就不去詳細(xì)說了。

 

　　在網(wǎng)絡(luò)安全方面，我們面臨的情況，主要是幾個(gè)情況，一個(gè)是說易寶是一個(gè)聚焦在2B的領(lǐng)域，為企業(yè)提供支付復(fù)雜的綜合解決方案的支付廠商，我們所連接的，像我在前面提到，有航空公司，保險(xiǎn)公司，后面我們會(huì)聯(lián)系到網(wǎng)聯(lián)，銀聯(lián)，各種銀行，甚至是人民銀行的系統(tǒng)，這些連接比較多，不像一般電商，打開門對(duì)外就業(yè)就好了，我們需要廣泛連接各方面，這些就需要我們特別關(guān)注網(wǎng)絡(luò)上連接的安全性，比如說各種數(shù)據(jù)的傳遞，什么時(shí)候要用加密的，加密到什么程度，是不是能滿足安全的要求，這是一個(gè)方面，復(fù)雜的情況。

 

　　第二方面就是我們所處理的交易都是涉及到資金，涉及到錢的，所以安全要求的程度比一般的互聯(lián)網(wǎng)公司要高一些，比如是做網(wǎng)游的，交友社交的，處理的是個(gè)人信息，當(dāng)然也很重要，但不是像我們既處理了個(gè)人信息，又處理了卡號(hào)，信息，他的金融信息，他的資產(chǎn)信息，所以呢，這就要求我們采取一種全面的防范措施，不論是在網(wǎng)絡(luò)的前端，還有中間處理端和數(shù)據(jù)存儲(chǔ)端，要全面防護(hù)，也包括內(nèi)外網(wǎng)，現(xiàn)在不做區(qū)分，就是內(nèi)外網(wǎng)的安全度，一樣都要求高，沒有什么DMZ，沒有什么可信區(qū)，在缺省的情況下都需要足夠的安全程度。這是第二方面。

 

　　再一個(gè)方面是我們的數(shù)據(jù)在經(jīng)過2003年到2018年，15年的發(fā)展有很大的體量，每年交易的數(shù)據(jù)在我們這邊都會(huì)有積累，積累的數(shù)據(jù)一定要把它保護(hù)好，否則的話，會(huì)帶來個(gè)人信息和賬戶信息的泄露，這方面也是一個(gè)比較復(fù)雜的情況，就是我們要在大量復(fù)雜的現(xiàn)實(shí)交易的數(shù)據(jù)和歷史數(shù)據(jù)方面，都要采取足夠的力度，這樣才能保證交易的安全。這是我們的復(fù)雜情況。

 

　　安小青：請(qǐng)陳總介紹一下易寶支付的安全網(wǎng)絡(luò)架構(gòu)吧。

 

　　陳斌：網(wǎng)絡(luò)安全的架構(gòu)整體上應(yīng)該說和普通的互聯(lián)網(wǎng)公司類似，但是我們比較特別的地方，就是剛才我提到了，我們是TotalDefense，全面防護(hù)，除了正常的前面有防火墻，有IDS，有防DDoS的，中間在交易處理的時(shí)候，包括不同服務(wù)器之間的調(diào)用，不同的應(yīng)用之間的調(diào)用，要是加密，要求端對(duì)端加密，比如一個(gè)POS機(jī)，從信息進(jìn)到POS機(jī)，卡號(hào)進(jìn)到POS機(jī)，直到后端處理，全面要加密，全面要在這個(gè)安全的狀態(tài)下處理。還有后端的數(shù)據(jù)庫和大數(shù)據(jù)平臺(tái)，要求照著PCI的標(biāo)準(zhǔn)，該進(jìn)行脫敏處理的，進(jìn)行隔離的都要進(jìn)行隔離，數(shù)據(jù)的使用，采取嚴(yán)密的授權(quán)制度，比如說哪類數(shù)據(jù)需要哪個(gè)程度的授權(quán)，最后是授權(quán)會(huì)到副總級(jí)的，包括我，包括我們負(fù)責(zé)數(shù)據(jù)平臺(tái)的副總裁，都要親自去檢查這個(gè)數(shù)據(jù)的敏感度和使用的合理性，比如說央行到我們這里來檢查工作，我們要配合，就要提供一定的準(zhǔn)確又要保護(hù)個(gè)人信息的數(shù)據(jù)，要做相應(yīng)的配合。

 

　　安小青：當(dāng)下網(wǎng)絡(luò)威脅形勢嚴(yán)峻，各種未知威脅或高級(jí)威脅層出不窮。易寶支付是如何應(yīng)對(duì)0Day漏洞或APT攻擊？如果方便的話，可以通過一個(gè)具體事例進(jìn)行說明。

 

　　陳斌：我們應(yīng)對(duì)這種攻擊是幾個(gè)方面，第一是說基于全面防護(hù)理念，我們會(huì)對(duì)所有的應(yīng)用代碼進(jìn)行黑盒測試，白盒測試，代碼一旦提交進(jìn)入生產(chǎn)系統(tǒng)，會(huì)對(duì)整個(gè)應(yīng)用交易發(fā)生的所有鏈條進(jìn)行監(jiān)控，比如說一個(gè)交易從前端進(jìn)來了，前端接收了之后這個(gè)定單我們處理，到下一層，每一個(gè)環(huán)節(jié)我們都要體現(xiàn)在日志上，甚至直到說每一個(gè)主機(jī)，處理的主機(jī)上都會(huì)采取相應(yīng)的措施，處理的過程記錄下來，另外根據(jù)我們以往的經(jīng)驗(yàn)，碰到的這種攻擊的模式，我們會(huì)檢查出來，采取預(yù)防措施。舉個(gè)例子，我們?cè)?jīng)在去年，下午三四點(diǎn)鐘發(fā)現(xiàn)有一些試探的腳本在運(yùn)行，這種腳本運(yùn)行，根據(jù)我們長期的經(jīng)驗(yàn)判斷，應(yīng)該是大規(guī)模DDoS的前期試探，我們當(dāng)時(shí)就快速采取一些措施，準(zhǔn)備好預(yù)防DDoS攻擊的策略，很好地避免了DDoS攻擊。

 

　　安小青：保持系統(tǒng)高可用性是金融企業(yè)安全防護(hù)底線之一。業(yè)務(wù)數(shù)據(jù)就是黃金，而服務(wù)器作為距離數(shù)據(jù)最近的位置，易寶支付在保證數(shù)據(jù)安全和主機(jī)安全方面都采取了什么樣安全措施？

 

　　陳斌：對(duì)金融服務(wù)行業(yè)來講，系統(tǒng)的可用性是極其關(guān)鍵的，因?yàn)槟愕慕鹑诜?wù)，人家要來用，要么是來取錢的，要么是來付錢的，要么是來到你這邊借貸的，這個(gè)服務(wù)是要用的時(shí)候，要馬上出現(xiàn)，不能說用的時(shí)候系統(tǒng)沒了，可用性對(duì)我們要求極高，易寶的底層系統(tǒng)，包括數(shù)據(jù)庫，基礎(chǔ)的網(wǎng)絡(luò)，應(yīng)用服務(wù)器，數(shù)據(jù)庫，大數(shù)據(jù)平臺(tái)，都要求在4個(gè)9以上，這么高的可用性，其中一個(gè)很重要的保障就是安全，安全既是說確保我的數(shù)據(jù)，剛才提到數(shù)據(jù)像黃金一樣很可貴，黃金一樣就要相應(yīng)的保護(hù)措施，不能被人家把我的黃金拿走，除了保護(hù)它，讓他不去被泄露，不去失去價(jià)值以外，更重要的是回到前面說的可用性上，如果數(shù)據(jù)不存在了，或者數(shù)據(jù)被泄密了，這個(gè)交易會(huì)受到大的影響，所以可用性會(huì)降下來，安全上我們認(rèn)為是網(wǎng)絡(luò)的安全保障是整體的系統(tǒng)可用性保障的一個(gè)重要的部分，就是不僅僅是保護(hù)，是說保護(hù)的不僅僅是數(shù)據(jù)，更多地是保護(hù)你的服務(wù)，在我需要的時(shí)候是可以拿到的，這也符合我們整個(gè)信息安全的理念，叫CIA，A就是Ability，既要保證機(jī)密性，不可篡改，也要保證可用，我要用的時(shí)候存在。

 

　　安小青：在安全產(chǎn)品選型方面您會(huì)考慮哪些問題？

 

　　陳斌：我們?cè)诎踩x型方面主要是基于自身整體的防護(hù)考慮，根據(jù)需要在不同的環(huán)節(jié)選用不同的產(chǎn)品，比如說選防火墻，選VPN加密設(shè)備，選堡壘機(jī)，選POS機(jī)前端的加密設(shè)備，既要滿足國家對(duì)這方面一些強(qiáng)制的要求，也要滿足我們企業(yè)整體的全面防護(hù)要求，以青藤為例，去年底采購的主機(jī)自適應(yīng)保護(hù)（安全）系統(tǒng)，就是為了彌補(bǔ)我們的一個(gè)環(huán)節(jié)，就是在主機(jī)的保護(hù)上有一些不足，之前的主機(jī)系統(tǒng)保護(hù)更加是靠系統(tǒng)管理員，系統(tǒng)管理員把不太常用的服務(wù)關(guān)掉，把一些端口關(guān)掉，把一些不必要的用戶，密碼，用戶名去掉，讓系統(tǒng)的內(nèi)核更有內(nèi)聚力，減少這些沒必要的麻煩，或者沒必要的漏洞，更多是從這個(gè)角度出發(fā)。后來我們發(fā)現(xiàn)這個(gè)是不夠的，比如說當(dāng)系統(tǒng)出現(xiàn)了應(yīng)用級(jí)別問題，比如說應(yīng)用上的GVM，或者是Apache，容器出現(xiàn)bug的時(shí)候，bug可以直接到底層系統(tǒng)調(diào)資源，會(huì)造成更大的損失，當(dāng)調(diào)底層服務(wù)的時(shí)候，如果底層是基于簡單的操作系統(tǒng)加固的方法，是不夠的，所以我們后期就采用了青藤的系統(tǒng)，主要是采集信息，采集完信息之后，做綜合處理分析，如果發(fā)生這種可疑的，或者是有威脅性的一些蛛絲馬跡，我們可以及早采取行動(dòng)，確保我們的系統(tǒng)不受到影響。

 

　　安小青：最后，陳總來評(píng)價(jià)一下青藤以及青藤的主機(jī)自適應(yīng)安全平臺(tái)吧！

 

　　陳斌：經(jīng)過一年時(shí)間的使用，我們感覺青藤在這方面做的還是很專業(yè)，他們也在這個(gè)領(lǐng)域里面相當(dāng)于說補(bǔ)足了，至少是易寶支付在這方面的空白，就是說我們對(duì)主機(jī)系統(tǒng)的安全防護(hù)的不足，他們采取的手段和系統(tǒng)的整體設(shè)計(jì)也是比較合理的，就是說Footprint，對(duì)我機(jī)器的負(fù)載影響很小，可以很輕量，感覺不到說青藤Agent在我系統(tǒng)上運(yùn)行，會(huì)對(duì)我系統(tǒng)產(chǎn)生多么大的CPU和Memory的影響，基本不太有感知，但是效果還是比較明顯，就是當(dāng)系統(tǒng)有這些蛛絲馬跡的時(shí)候，除了能采集信息以外，可以把數(shù)據(jù)送到一個(gè)中心的管理平臺(tái)去分析和處理，應(yīng)該是我認(rèn)為青藤在這方面的工作還是這個(gè)領(lǐng)域比較領(lǐng)先的，應(yīng)該是做金融服務(wù)，如果你想讓你的主機(jī)比較安全，可以試著考慮用這類的服務(wù)。