第 一部分 數(shù)字銀行安全體系 10 第 1 章 數(shù)字銀行與安全體系概述 11 1.1 數(shù)字銀行面臨的機遇與挑戰(zhàn) 11 1.1.1 傳統(tǒng)銀行的成本挑戰(zhàn) 11 1.1.2 數(shù)字銀行的商業(yè)邏輯 12 1.1.3 數(shù)字銀行面臨的安全風險 13 1.2 業(yè)界典型網(wǎng)絡(luò)安全架構(gòu) 14 1.2.1 什么是安全架構(gòu) 14 1.2.2銀行業(yè)典型網(wǎng)絡(luò)安全架構(gòu) 15 1.2.3 互聯(lián)網(wǎng)企業(yè)典型網(wǎng)絡(luò)安全架構(gòu) 16 1.2.4 安全業(yè)界新思路和新方法 17 1.3 小結(jié) 18 第 2 章 數(shù)字銀行安全體系架構(gòu)設(shè)計 19 2.1 重新審視安全體系的有效性 19 2.1.1 安全目標與方向的正確性 20 2.1.2 安全責任范圍是否明確 20 2.1.3 安全體系的合理性與完備性 21 2.1.4 安全資源投入度與重點風險的重視度 22 2.1.5 安全能力與風險匹配度 22 2.1.6 安全能力的持續(xù)有效驗證 22 2.2 數(shù)字銀行安全架構(gòu)設(shè)計 22 2.2.1 數(shù)字銀行安全體系建設(shè)思路 23 2.2.2 默認安全：上線前規(guī)避已知風險 25 2.2.3 可信縱深防御：運行時防護未知風險 28 2.2.4 威脅感知與響應(yīng)：預(yù)設(shè)風險還是會發(fā)生 30 2.2.5 實戰(zhàn)檢驗：防護效果持續(xù)充分檢驗 30 2.2.6 安全數(shù)智化：極致的安全加固效率 31 2.2.7 數(shù)字銀行安全整體架構(gòu) 32 2.3 小結(jié) 33 第二部分 默認安全 33 第 3 章 默認安全及其架構(gòu) 34 3.1 什么是默認安全 34 3.1.1 默認安全機制 34 3.1.2 默認安全與SDL、DevSecOps 35 3.2 默認安全架構(gòu) 36 3.2.1 設(shè)計目標 36 3.2.2 設(shè)計思路 37 3.3 小結(jié) 39 第 4 章 默認安全體系建設(shè)方案 39 4.1 信息安全基線 40 4.1.1 安全基線設(shè)定的目標 40 4.1.2 信息安全基線結(jié)構(gòu) 41 4.1.3 安全基線運營體系 52 4.2 安全資產(chǎn)建設(shè) 53 4.2.1 資產(chǎn)范圍 53 4.2.2 數(shù)據(jù)資產(chǎn) 55 4.2.3 資產(chǎn)數(shù)據(jù)質(zhì)量 59 4.2.4不可忽視的大數(shù)據(jù)平臺類資產(chǎn) 59 4.2.5 風險治理、防護與度量 60 4.3 增量風險管控 60 4.3.1 變更感知與管控 61 4.3.2 風險剖析與處置 70 4.3.3 防護組件默認集成 79 4.3.4 安全心智運營 85 4.4 存量風險治理 87 4.4.1 漏洞自動化處置 88 4.4.2 常態(tài)化風險巡檢 92 4.5 風險發(fā)現(xiàn)體系演進 93 4.5.1 背景 93 4.5.2 安全產(chǎn)品的轉(zhuǎn)變 95 4.5.3 實現(xiàn)思路 96 4.5.4 安全團隊間的職能變化 103 4.5.5 運營實踐 104 4.6 小結(jié) 107 第 5 章 默認安全治理應(yīng)用實踐 108 5.1 軟件供應(yīng)鏈安全治理 108 5.1.1 軟件供應(yīng)鏈面臨哪些風險 109 5.1.2 如何應(yīng)對軟件供應(yīng)鏈安全風險 110 5.1.3 理清臺賬 119 5.1.4 隔離防護 120 5.2 水平越權(quán)漏洞的檢測 120 5.3 前端安全風險治理 127 5.3.1 背景介紹 127 5.3.2 傳統(tǒng)解決思路 129 5.3.3 默認防護 131 5.4 小結(jié) 133 第三部分 可信縱深防御 134 第6章 可信縱深防御及架構(gòu) 135 6.1 銀行業(yè)數(shù)字化防御體系面臨的挑戰(zhàn) 135 6.2 國內(nèi)外新興安全防御技術(shù)簡介 137 6.2.1可信計算 137 6.2.2安全平行切面 138 6.2.3零信任 139 6.3 可信縱深防御概念 139 6.3.1可信防御理念 140 6.3.2縱深防御理念 141 6.4 可信縱深防御架構(gòu) 142 6.4.1 設(shè)計目標 142 6.4.2 體系架構(gòu) 142 6.6 小結(jié) 146 第7章 可信縱深防御體系建設(shè)方案 147 7.1 建設(shè)原則 147 7.1.1 安全可信 147 7.1.2 多層覆蓋 148 7.1.3 自身安全保障 148 7.1.4 穩(wěn)定性保障 149 7.2 建設(shè)基線 149 7.3 關(guān)鍵能力建設(shè) 152 7.3.1 基礎(chǔ)設(shè)施可信 152 7.3.2 應(yīng)用可信 154 7.3.3 網(wǎng)絡(luò)可信 160 7.3.4 數(shù)據(jù)使用可信 164 7.3.5 端安全可信 171 7.3.6 信任鏈構(gòu)建 174 7.3.7 可信策略 176 7.4 技術(shù)保障 185 7.4.1安全性保障 185 7.4.2穩(wěn)定性保障 187 7.5 實戰(zhàn)牽引 189 7.6 體系演進 191 7.7 小結(jié) 191 第8章 可信縱深防御體系應(yīng)用實踐 192 8.1 0Day漏洞防御 192 8.2 釣魚攻擊防御 195 8.3 軟件供應(yīng)鏈風險防御 198 8.4 業(yè)務(wù)數(shù)據(jù)濫用風險防御 200 8.5 高效安全加固實踐 203 8.6 小結(jié) 203 第四部分 威脅感知與響應(yīng) 204 第9章 威脅感知與響應(yīng)及其架構(gòu) 205 9.1 威脅感知與響應(yīng)面臨的挑戰(zhàn) 205 9.1.1 快速演化的多方面威脅 205 9.1.2 高昂的威脅對抗成本 205 9.1.3 巨大的威脅信息偏差 206 9.1.4 復(fù)雜和多變的系統(tǒng)拓撲結(jié)構(gòu) 207 9.1.5 防不勝防的供應(yīng)鏈威脅 207 9.1.6 高時效性的安全要求 208 9.1.7 自動化過程中的威脅信息丟失 208 9.2 威脅感知與響應(yīng)架構(gòu) 208 9.2.1 設(shè)計思路 208 9.2.2 能力要求 209 9.2.3 架構(gòu)和技術(shù) 210 9.3 小結(jié) 211 第 10章 威脅感知與響應(yīng)體系建設(shè)方案 212 10.1 感知覆蓋 212 10.1.1 感知數(shù)據(jù)品類 213 10.1.2 感知覆蓋的數(shù)據(jù)流 214 10.1.3 感知數(shù)據(jù)質(zhì)量監(jiān)控 217 10.2 威脅識別 219 10.2.1 威脅場景定義 219 10.2.2 威脅檢測策略 221 10.2.3 策略有效性檢驗 227 10.3 威脅研判 228 10.4 威脅響應(yīng) 231 10.4.1 威脅事件響應(yīng)步驟 231 10.4.2 威脅響應(yīng)能力組成 234 10.4.3 威脅響應(yīng)劇本類型 236 10.4.4 威脅響應(yīng)能力驗證 239 10.5 小結(jié) 240 第 11章 威脅感知與響應(yīng)體系應(yīng)用實踐 241 11.1 流量攻防 241 11.1.1 解決方案 241 11.1.2 效果 243 11.2 終端失陷 243 11.2.1 解決方案 244 11.2.2 效果 246 11.3 數(shù)據(jù)盜取 246 11.3.1 解決方案 247 11.3.2 效果 248 11.4 小結(jié) 249 第五部分 實戰(zhàn)檢驗 250 第 12章 實戰(zhàn)檢驗體系 251 12.1 實戰(zhàn)攻防演練 251 12.1.1 實戰(zhàn)攻防演練概念 251 12.1.2 實戰(zhàn)攻防演練流程 251 12.1.3 實戰(zhàn)演練遇到的問題 252 12.2 有效性檢驗 252 12.2.1 有效性檢驗概念 252 12.2.2 有效性檢驗流程 253 12.2.3 有效性檢驗遇到的問題 253 12.3 網(wǎng)商實戰(zhàn)檢驗體系 253 12.3.1 設(shè)計思路 254 12.3.2 運作機制 255 12.4 小結(jié) 256 第 13章 安全水位評估框架 256 13.1 安全水位定義 256 13.2 威脅路徑圖模型 257 13.2.1 威脅路徑圖模型介紹 257 13.2.2 威脅路徑圖模型數(shù)據(jù)結(jié)構(gòu) 257 13.2.3 威脅路徑圖能力介紹 264 13.3 安全水位指標 265 13.3.1 如何評估企業(yè)安全水位 265 13.3.2安全水位量化關(guān)鍵指標 267 13.4小結(jié) 269 第 14章 實戰(zhàn)檢驗體系應(yīng)用實踐 270 14.1 能力、制度和流程建設(shè) 270 14.1.1 能力建設(shè) 270 14.1.2 制度建設(shè) 270 14.1.3 演練流程建設(shè) 273 14.2紅藍演練發(fā)現(xiàn)未知風險 275 14.2.1 紅藍演練規(guī)劃 275 14.2.2 紅藍演練類型 276 14.3 檢驗安全能力有效性 279 14.4 演練復(fù)盤 281 14.4.1 復(fù)盤-豐富基礎(chǔ)數(shù)據(jù) 281 14.4.2 復(fù)盤-橫向指標對比 283 14.4.3 復(fù)盤-縱向指標對比 284 14.4.4 復(fù)盤-關(guān)注指標的持續(xù)變化 284 14.5 最佳實踐 284 14.6 小結(jié) 287 第六部分 數(shù)字化與智能化 289 第 15章 安全數(shù)智化體系架構(gòu) 290 15.1 什么是數(shù)智化 290 15.2 安全數(shù)智化建設(shè)思路 294 15.3 小結(jié) 297 第 16章 安全數(shù)智化體系建設(shè)與應(yīng)用實踐 298 16.1 安全運營中心 298 16.1.1 什么是安全運營中心 299 16.1.2 一站式安全運營 300 16.1.3 產(chǎn)品技術(shù)支撐架構(gòu) 306 16.2 安全大數(shù)據(jù)平臺 307 16.2.1 技術(shù)架構(gòu) 307 16.2.2 數(shù)據(jù)模型 312 16.2.3 數(shù)據(jù)案例 314 16.3 安全自動化平臺 315 16.3.1 基礎(chǔ)能力 317 16.3.2 典型場景 320 16.4 安全智能平臺 331 16.4.1 智能化演進過程 331 16.4.2 智能基礎(chǔ)能力 332 16.4.3 安全智能平臺 336 16.5 安全管控平臺 344 16.5.1 安全管控平臺 345 16.5.2 管控能力案例 350 16.6 小結(jié) 352