建站
咨詢
售后
建站咨詢
新聞中心
隨著淘寶的崛起，我國的電子商務(wù)在呈爆發(fā)式增長，每個電商都從單一化轉(zhuǎn)型為多元化發(fā)展，同時由于電商的交易環(huán)境有著虛擬性和匿名性，安全便成為了成功電商的基石。消費者使用電商進行購買，交易成功便會形成信任，但是當(dāng)電商受到了惡意攻擊，盜取了消費者的信息，甚至對電商本身也造成了直接損失，不僅使電商的信任值會急速下降，還有可能使電商一蹶不振，所以作為電商，應(yīng)該怎樣抵御惡意攻擊呢？
嘉賓介紹
[[167857]]
林鵬，萬達電商 主任安全工程師，目前負責(zé)萬達電商的安全工作
首先了解一下惡意攻擊行為。惡意行為的判斷可分為兩種，一個是傳統(tǒng)互聯(lián)網(wǎng)的惡意行為，另一個是屬于業(yè)務(wù)的惡意行為。傳統(tǒng)的惡意行為指的是惡意攻擊，黑客利用掃描器或者新出的漏洞的exp掃描企業(yè)，而這恰巧也考驗到了工程師應(yīng)急響應(yīng)的能力，對新漏洞的感知能力，以及對攻擊方法的實踐程度。了解了攻擊方法就可以知道相應(yīng)的防御措施，同時也需要比攻擊方更早的發(fā)現(xiàn)公司的漏洞 。
在業(yè)務(wù)方面存在最多的惡意行為就是刷單了，包括惡意注冊、套利、刷單等行為，但是業(yè)務(wù)方面的惡意行為還需要同業(yè)務(wù)交互，得到攻擊方法和行為，再通過技術(shù)進行控制。一直以來各大電商和買賣平臺都存在著刷單的行為，雖然對企業(yè)的購買力造不成那么大的影響，但是卻在降低著客戶的滿意度，達不到企業(yè)的宣傳效果。刷單的情況在互聯(lián)網(wǎng)金融上卻會造成直接的損失，像時下最流行的注冊返現(xiàn)金，如果有人虛假注冊，企業(yè)就必須對虛假情況買單，這便是最直接的損失。針對對抗刷單這個話題 ，在以前的《解析互聯(lián)網(wǎng)金融安全里》邊有過一些說明，這里就不具體展開說了，總之刷單平臺由于利益驅(qū)使，而且刷完這家還可以刷別人家，因此對抗他們是一項任重道遠的事情。
流量算是電商的生存之本，如果有攻擊者針對流量進行分析，又該如何防控呢？HTTPS的方式只能防止大半數(shù)的分析攻擊，更要阻止其不能滲透到內(nèi)網(wǎng)進行ARP嗅探，或者私自接網(wǎng)線到交換機，這是對流量最大的威脅。用HTTPS的方式就一定要使用雙向校驗的基準，不只用來加密還要對服務(wù)端進行驗證。另外從移動端來說，還可以找老版本的沒有做過HTTPS的，雖然有更新的地方，但是不會大規(guī)模的進行改動，因此想完全的防控住分析不太可能，所以要盡量做得好。
電商或多或少都會做對用戶信息的收集，用來確保用戶的后續(xù)購買便捷性，然而用戶也非常在意像住址、聯(lián)系方式，甚至是身份證號這些隱私信息的收集會不會被泄露。林鵬告訴我，飛凡網(wǎng)收集的用戶信息都是保存在自己的服務(wù)器上,并且后續(xù)會對收集起來的用戶信息做更嚴格的硬加密，只要是有關(guān)用戶的相關(guān)隱私信息都會使用加密機進行加密，這樣即使有外界拿到了信息也無法應(yīng)用；從內(nèi)部來講，像營銷活動需要拿到隱私數(shù)據(jù)，這時就會形成一個閉環(huán)，從提取數(shù)據(jù)到銷毀，都要確保隱私信息的不落地，包括對隱私信息數(shù)據(jù)庫的審計，都有著非常嚴密的措施。
飛凡網(wǎng)的安全團隊成立一年多，從填坑式的開始到現(xiàn)在有了一定的規(guī)模，是抓到的安全體系問題堆起來的，現(xiàn)在的首要目標就是把安全防御體系建立起來，將業(yè)務(wù)安全重點提上來。因為開始時不斷被攻破，從而累積起來了不少經(jīng)驗，再加上現(xiàn)在和業(yè)務(wù)部門聯(lián)合起來，一起挖掘數(shù)據(jù)，相信飛凡網(wǎng)的未來一定不容小覷。
本文題目：飛凡網(wǎng)安全經(jīng)理林鵬：電商安全的背后躺著無數(shù)惡意攻擊的尸體
標題鏈接：http://www.5511xx.com/article/cciogio.html
