【金融分论坛】一种提升金融风险管控能力的新兴技术:SRS 赵毅

白帽子

2019/08/04 发布于 技术 分类

2017c3安全峰会  安全 

文字内容
1. An emerging technology to enhance the ability to control financial risks 一种提升金融风险管控能力的新兴技术: 第三方安全评价服务(SRS) 赵毅 谷安天下高级经理 安全值产品总监
2. 一种提升金融风险管控能力的新兴技术 一、第三方安全评价服务(SRS)的兴起 二、从外部视角看金融行业网络安全现状 三、SRS在金融领域的应用场景 四、国内首个第三方安全评价服务-安全值
3. The rise of the third party Security Rating Service (SRS) 第三方安全评价服务(SRS)的兴起
4. Gartner’s new security rating service (SRS) Gartner’s new security rating service (SRS) provide continuous, independent quantitative security analysis and scoring for organizational entities. The services gather data from a variety of public and private sources via passive and active (but nonintrusive) means, analyze the data using proprietary analysis and rate the entities using their own standard scoring methodologies. These tools can be used for internal security reporting and management and for third-party risk management.
5. 20个行业180多个领域6万家企业/机构
6. Analysis of the financial industry cyber security from the outside 从外部视角分析金融行业网络安全现状
7. 从外部视角评价各行业安全状况 分析对象选择: 基于20个行业6万家机构数据中选择网络安全关注度较高、 较流行的10个行业10000家企业/机构。 分析数据: 来自外部100多个安全数据资源,自2017年1月至6月的 安全事件数据。 报告数据来源: 安全值《10大金融领域2017年6月网络安全报告》
8. 10大金融细分领域外部安全威胁分析
9. 金融行业公有云应用现状 • 分析范围内有29%企业使用公有云服务 10大金融领域云迁移比例 共有云供应商分布
10. 关键问题分析:安全漏洞 • CVE-2015-0204 该漏洞是由于OpenSSL库里的s3_clnt.c文件中, ssl3_get_key_exchange函数,允许客户端使用一个弱RSA秘钥,向SSL服 务端发起RSA-to-EXPORT_RSA的降级攻击,以此进行暴力破解,得到服 务端秘钥。此问题存在于OpenSSL版本0.9.8zd之前, 或1.0.0p之前的 1.0.0,或1.0.1k之前的1.0.1 • CVE-2014-0160 (OpenSSL Heartbleed 心脏滴血)在OpenSSL1.0.1 版本的心跳包模块存在严重漏洞(CVE-2014-0160)。攻击者可以通过构 造特殊的数据包,直接远程读取存在漏洞的OpenSSL服务器内存中多达 64KB的数据,极有可能导致网站用户帐号密码等敏感数据被非法获取。漏 洞发现者甚至声称可以直接获取到证书私钥和重要的商业文档。 • CVE-2016-9244 (Ticketbleed)是F5 BIG-IP设备的TLS / SSL堆栈中的 软件漏洞,允许远程攻击者一次提取高达31字节的未初始化内存。 • CVE-2017-7269 开启WebDAV服务的IIS 6.0被爆存在缓存区溢出漏洞导 致远程代码执行,目前针对 Windows Server 2003 R2 可以稳定利用,该 漏洞最早在2016年7,8月份开始在野外被利用。
11. 关键问题分析:网络攻击 Top 10 威胁金融行业的IP地址 • 受到拒绝服务攻击的端口 : 80、4444、443、53
12. 10大金融细分领域安全评价 10大金融领域安全值
13. Application Scenarios In The Financial SRS在金融领域的应用场景
14. SRS在金融领域的应用场景
15. 行业态势分析 为行业主管部门和集团型企业提供行业网络安全态势分析和绩效评估,形成由上至下安全管理的有力抓手。 金融业务与互联网结合的应用越来越广泛,由此 带来的网络安全趋向于复杂化和、多面化、难管 控;越来越多的单位希望将安全工作纳入绩效考 核的内容之一,从而督促安全责任的落实。 传统的评估方法存在很大局限性,一方面通过现 场调查形式只能发现某个时间点的风险状态,无 法提供持续性的安全状态评估,而且结果的准确 性还要取决于被调查者回答的客观性。另一方面 通过渗透、扫描等技术检查需要依赖部署各种检 查设备获取信息,实施成本高、周期长。
16. 第三方风险管理 为风险管理部门提供合作伙伴或供应商的持续监测和安全性评估,加 强数字供应链风险控制能力。 数字供应链是数字经济时代的主要特征,数字化供应商或 者合作伙伴对企业带来的网络威胁不容忽视。为了提高效 率大量的与合作伙伴或者供应商的信息系统进行对接,在 数字供应链中有大量的信息交互,为避免敏感信息泄漏企 业首先需要发现合作伙伴或者供应商的网络安全风险,并 采取不同程度的风险控制,降低带来的第三方风险。 风险管理部门需要能够及时获取对其客观的安全评价报告, 完成风险评估,采用人工检测和调查的方法势必会带来巨 大工作量,并且无法做到及时性和持续性。“安全值”可 Gartner预测: 以保护业务和品牌的完整性,同时对合作伙伴、供应商网 到2020,超过70%的公司(当前是25%)将完全把IT 风险管理集成到企业风险管理中去。 络安全状况进行持续监测。
17. 企业安全评级 为保险公司提供对投保人网络安全、风险等因素进行综合分析, 帮助保险公司快速决断业务办理以及挖掘潜在优良客户。 • 普华永道最近一份报告《Insurance 2020 & beyond: Reaping the dividends of cyber resilience》预测,到2018年,全球网络安全保 险市场将增至50亿美元,到2020年将增至75亿美元。在美国约 有50家保险公司提供专门的网络攻击保险,包括AIG、Chubb和 ACE等保险行业巨头。 • 据报道中国人保财险、众安保险、苏黎世保险、阳关财险、安联 财险、美亚财险等一些国内和外资保险公司网络安全保险正进行 一些探索。 • 随着刚刚实施的《网络安全法》加强对网络安全法律责任和约束。 http://www.pwc.com/gx/en/insurance/publications/ assets/reaping-dividends-cyber-resilience.pdf 企业安全评级报告
18. The first 3rd party Security Rating Service in China-aqzhi.com 国内首个第三方安全评价服务-安全值
19. 国内首个第三方安全评价服务 安全值产品凭借中立的行业定位,整合全球100多个 数据资源,融合多年安全风险管理经验和大数据技术 提供多样化服务。 (https://www.aqzhi.com/) • 安全监管平台 • 企业SaaS服务 • 供应商风险管理平台 • API接口
20. Thank You