新東方安全構建實踐：以產品/系統為核心到以數據為核心

作者：陳廣成

說起新東方，很多人並不陌生，它以語言培訓為核心，業務涵蓋了教育培訓、教育產品研發、教育服務等方面，服務對象覆蓋了學前、中小學、高中、大學、在職員工等眾多人群。

不過作為一家教育培訓機構，新東方在信息安全保護上卻有著很多行業體會不到的苦惱，那就是保護數據安全的重要性，其中主要包括培訓教育的知識成果和敏感的客戶信息，這兩者可視為一家教育培訓機構開展業務的核心。

在北京中關村，這里遍布著大大小小的各類教育機構，競爭激烈，誰能提前一步獲取用戶數據，誰就優先掌握了競爭優勢。事實上，由於教育機構競爭環境導致的數據販賣、通過非法手段獲取數據的事情發生並不稀奇。

作為一家大型綜合性教育科技集團、中國大陸首家海外上市的教育培訓機構，新東方面臨的數據安全保護挑戰巨大。新東方教育科技集團信息安全負責人楊寧告訴記者，新東方每月遭受的應用層攻擊（如掃描、SQL注入等攻擊嘗試）高達上千萬次。除了面臨外部攻擊風險，內部數據泄露也是巨大的潛在風險之一，在電商、銀行、電信等行業由內鬼導致的數據泄露事件屢見不鮮。

所以，保護數據安全是楊寧工作的重中之重。另外，也許是源於對數據安全的重視，至今新東方部署到公有雲環境中的業務都不包含核心業務，新東方根據業務應用的重要程度依次劃分為P1-P4的等級級別，P1自然是最核心的業務，例如網上報名系統等。因此，P1-P3前三類業務均是部署在由3個萬兆環網互聯的私有雲數據中心中。

信息安全防護從「以產品/系統為核心」到「以數據為核心」

可以看出，保護數據安全是一家教育培訓機構信息安全工作的核心要務。在新東方信息安全建設的早期階段是以部署產品、系統為核心，楊寧稱之為救火式的安全體系。然而，以產品/系統為核心的安全不能提供全面的安全保護、難以應對各類安全威脅，尤其是隨著防護邊界越來越模糊、攻擊複雜度越來越高，這種防護思路漸漸失效。

並且隨著合規要求的監管政策越來越高，例如國內的《網路安全法》、歐盟GDPR等法規要求實施生效。內外部環境下，新東方開始轉變信息安全防護思路，也就是「以數據為中心」。楊寧將這種轉變總結為4個能力建設：網路解耦+主機防護；安全數據整合；安全能力建設；行為異常檢測。

這其中的關鍵在於圍繞數據安全事件的全鏈條防護，在事件發生之前：能夠做到很好的評估+預防，識別風險；事中：進行實時的監控、分析和告警，及時發現問題；事後：提升應急響應和處置的效果。

要達到這樣的目標，主機安全防護變得異常重要。圍繞主機安全，新東方主要關注三個方面：

系統功能：包括資產管理、風險發現、漏洞識別、入侵檢測、基線合規、日志及告警、服務接口集成、入侵事件的誤報率和漏報率；

Agent：包括支持的服務器操作系統平台、Agent性能及影響、Agent自身的安全、Agent異常監控及響應；

廠商及產品：包括技術支持能力、應急響應能力、產品部署模式等等。

圍繞這樣的要求，新東方在公有雲類、傳統企業級類的主機安全產品，以及開源的OSSEC 產品中進行了評估和調研，最終新東方選擇了在功能和性能指標方面表現出眾、且部署模式靈活的主機安全防護系統，以對數據資產、狀態、關鍵活動等進行感知、分析和監控。

建立起一個實時有效的防護體系

利用主機安全防護系統，新東方在主機安全層面建立起了一個實時有效的防護體系，並拓展了在遠程分支機構及公有雲端的系統安全防護能力。入侵前：漏洞檢測及基線檢查，彌補了不帶信任憑證漏洞掃描的缺陷；入侵中：做到主機系統的實時安全監控，入侵的實時告警和響應；入侵後：進行系統被入侵後的系統分析和取證，以及應急響應。

目前，利用這套系統，新東方將主機安全入侵事件人工調查取證時間降低了80%，而且入侵過程和行為識別更加精準，提升了應急響應的效率。

並且基於此，新東方正在搭建安全私有雲平台，以保障集團400多業務應用的運行。楊寧表示，目前信息安全私有雲平台在不斷建設完善之中，安全服務能力平台將會以私有雲的模式為集團各業務提供自服務。他談到這套安全能力平台的特性包括：智能化、可視化、自服務、威脅實時感知、自動響應攻擊處理和攔截等。在圍繞安全平台的選型方面，除了功能、性能、部署模式必須滿足需求，新東方更關注豐富和有價值的數據輸出，以及服務接口的多樣性和可集成性。

目前，新東方的信息安全架構覆蓋了信息安全治理、信息安全管理、信息安全技術、信息安全經營4個層面。信息安全要保障企業的信息資產不受損害，涉及的範圍從物理環境、人員、系統、應用及數據等眾多領域。

在楊寧看來，對於企業尤其對於新東方這樣的教育培訓機構來說，安全和業務的關係已經不僅僅是保障、支撐、引領業務的關係，而是共生共存的關係。

新東方的目標是將安全能力融入到企業的每一條業務線，每一個業務應用中去。從而保護知識成果和敏感數據信息不泄露，確保業務經營安全合規，保障核心業務應用安全、持續、穩定經營，做到線上及線下業務應用和活動中的信息安全風險可識別、可管理、可控制。

-END-

至頂網