中通同安漏洞管理系统

背景

中通作为一家集快递、物流、电商、金融等业务于一体的大型集团公司，近些年业务爆发式增长、it人员飞速扩张，相对的整个安全攻击面也在扩大，企业内的安全漏洞也在增加。 传统的漏洞管理方式使用excel表人工记录并跟踪维护，随着系统及漏洞的增多 ，这种方式暴露出统计困难、跟进困难的问题。这时候迫切需要一个系统来管理整个生命周期。

业内做法

每家公司基本都有漏洞管理系统，但是对于该系统的理解及定位都不太一样。大多数公司只是让研发部门，开发了一个有漏洞录入、追踪、统计等基础功能的系统，少部分公司如宜信的洞察则是集成了资产管理、风险计算、安全知识库等管理模块对整个漏洞的生命周期进行管理。开源漏洞管理系统在一些细节上如接入统一认证，接入权限系统没有接入入口，为了定制化一些功能，需要对开源系统进行二次开发，目前开源的系统不是团队熟练的技术栈，开发成本会增大。

我们的做法

• 将数据同步到安全管理运营平台，向不同层级的人展示安全漏洞情况

• 开发了漏洞处理模块，对产生的漏洞进行线上的录入，分类，复测，归档，统计

• 使用不同种类的通知提醒方式，采用邮件、钉钉、统一认证APP、短信通知，将通知、提醒贯穿到整个漏洞管理生命周期中，让开发及时收到漏洞信息

• 丰富资产管理内容，将域名、组件、中间件、web框架、应用联系人等列入到资产管理中，在爆发出新的安全漏洞时，可以快速定位出存在漏洞的业务并通知业务联系人

结合现有资源及对漏洞管理的理解，开发了同安漏洞管理系统，贯穿整个软件开发生命周期，帮助安全运营人员高效的处理日常的安全漏洞。

图1 漏洞管理系统整体架构图

为我们主要开发了资产管理、安全测试申请、漏洞处理、通知提醒模块。并基于产生的数据，针对不同层级的同事展示整个安全体系中安全漏洞的概况。

资产管理

资产管理模块，是漏洞管理系统的主要支撑模块。一个完善的资产管理模块，可以帮助我们在发现漏洞时快速联系到相关负责人，在爆发新漏洞时快速定位出问题系统。木桶理论是信息安全的一个经典理论，防御要面面俱到，随便漏掉一个点就可能导致全盘崩溃,黑客往往攻击的就是疏忽掉的资产。如果说渗透的本质是信息收集，那甲方防守的要点就是对自身资产的管理。

那么如何做好资产管理模块呢？第一步当然要确定我们要收集的资产有哪些，基于经验我们确定的资产应该有：域名、ip、对外映射端口、帐号、authorized keys、内网端口、进程、软件应用、web框架、组件、rpm、jar包、数据库，以及对应资产所属的人员、部门。

那么如何收集上述这些资产呢？业内主要的几种做法有主动探测、被动流量监测、主机agent、配置管理数据库cmdb。基于现有资源，我们目前采用了主动探测、主机agent、CMDB、资产申请审批。

图2 资产收集

主动探测

主动探测，我们外网主要使用外网安全扫描系统（资产发现模块），内网扫描集成传统的masscan+nmap工具，保证扫描速度及端口服务准确判断。

主机agent

有这方面功能的主要是Hids，开源的ossec和基于osssec的wazuh等项目，如果要放到线上大规模使用需要投入人力研究和维护，目前暂时没有专人做这块。为了弥补这方面的空缺我们购买了商用主机防护，在采购阶段就看中其资产清单的功能，收集的信息包括帐号、authorized、keys、端口、进程、软件应用、web框架、组件、rpm、jar包。以上信息均可以通过api接口获取,可以很好的与资产管理模块进行打通。

CMDB

CMDB(configuration management database,配置管理数据库)，获取应用的基础数据，包含域名应用、ip、负责人等应用基础数据。为了满足安全部门需求，让运维开放了域名解析记录的api，可以实时获取外网新增域名。

资产申请审批

安全测试申请

自主进行安全测试申请

信息安全部门作为甲方中的乙方，安全测试是为集团、业务提供的一项重要安全服务。 随着信息安全侵入业务开发流程，业务部门也越来越重视业务系统的安全性。当开发、产品、QA意识到某些功能或系统存在安全隐患时，可以通过同安漏洞管理系统申请安全测试。

图4 自主进行安全测试申请

图5 安全测试申请列表

强制申请安全测试

系统上线前的安全测试是甲方安全中尤为重要的一环。为了能让安全测试覆盖的更广，漏洞管理系统和星云自动发布平台、质量控制中心打通，将安全测试嵌入系统上线流程中，所有系统发布必须要通过安全测试。

首先由质量工程师在质量控制中心提测，相关数据同步给同安漏洞管理系统，由安全测试人员进行安全测试、漏洞录入，当存在超危、高危漏洞时不修复系统无法发布上线。

图6 安全测试准出流程

漏洞处理

线上漏洞处理

目前中通线上漏洞的主要来源有菜鸟应急响应中心、中通应急响应中心、内部安全测试、外网安全扫描、安全众测。涉及众多集团业务，除了收到集团自身产品的安全漏洞外，还有整个中通生态圈的漏洞，如中通云仓、中通商业、中通快运、大誉国际等。

图7 线上漏洞的处理流程

1.从各种渠道同步漏洞信息

2. 安全人员确认漏洞后，将在系统上提交漏洞，分配安全漏洞

3. 开发确认漏洞进行修复，修复完成后提复测，复测申请必须写明漏洞产生的原因及直接负责人

4. 安全人员收到复测申请验证漏洞，漏洞未修复将驳回并通知

其中根据《中通快递安全风险处理流程》，超危漏洞修复期限为1天，高危漏洞修复期限为2天。如果超过了修复期限将会影响责任部门及个人的绩效考核。每个月还会由安全部门牵头，把产生线上漏洞的部门经理、开发及SQA拉到一起，复盘安全漏洞产生的原因，避免该类事件的再次发生。

系统上线前漏洞处理

系统上线前的漏洞与线上漏洞的处理主要差别在于，系统上线前的超、高漏洞修复期限是上线前，不修复无法上线。

通知提醒

图10  安全测试申请

图11  收到系统上线前漏洞处理邮件

图12  每日进行线上未修复漏洞通知

图13  钉钉通知

漏洞知识库

未来展望

未来我们将继续提升漏洞管理的自动化等级，支持接入第三方漏洞报告平台（如src、补天、漏洞盒子），支持漏洞自动化复测。同时我们还希望将漏洞管理系统开放给生态圈，通过漏洞管理系统输出安全能力，包括简单的易上手的资产收集模块，帮助生态圈内的公司更加快速的收集自己的资产信息，通过共享沉淀的漏洞知识，帮助生态圈内的企业提高安全知识水平。以漏洞管理系统作为输出点为整个中通生态圈进行安全赋能。