第1章 報告介紹

1.1 概述

近年來，零售業蓬勃發展，規模持續擴大，業態不斷創新，網絡零售快速發展，在技術升級與消費升級驅動下，新零售應運而生;新零售強調通過大數據和互聯網重構“人、貨、場”等商業要素形成新的商業業態。

我國擁有13億的消費人口，如何推動零售業持續、穩定、健康的發展是社會各界共同關心的課題。在以信息技術為驅動力，滿足消費者多樣性購物體驗、“線上+線下”相結合的的新零售模式下，業務信息、個人信息、支付信息等都全面實現了采集網絡化、信息共享化、支付通用化。在國家網絡安全工作的深入推廣、個人信息保護的高壓態勢下，敏感數據、個人隱私保護成為全社會關注的重點，報告通過對“新零售”生態鏈上下游企業和“消費者信息”的關系，選擇了8個重要的環節，對在國內從事各環節業務的主流企業進行采樣，包括：

• 電商平臺30家：用戶線上消費的入口，國內主流電商平臺;
• 大型商超20家：線下綜合類大型賣場、超市(部分也開展互聯網轉型);
• 消費品牌40家：消費者購買的國內外品牌生產廠商;
• 數字廣告30家：提供營銷數據分析和程序化廣告投放的服務企業;
• 運營服務30家：為品牌主提供線上店鋪運營和客戶服務外包的服務企業;
• 三方支付30家：擁有支付牌照的第三方支付公司;
• 物流倉儲35家：主流的倉儲及配送服務企業;
• 信息技術30家：提供公有云服務的云計算服務提供商。

為了解“消費者隱私”在新零售生態內的安全狀況，報告對以上8類共計245家“新零售”上下游企業在2018年618期間的互聯網資產、安全事件和脆弱性這三類數據進行計算分析，洞察產業鏈生態中的薄弱環節與主要網絡風險。

618大促始于2009年，源于京東店慶月。隨著促銷的常態化，618逐漸演變成全民購物節。每年的618大促對于新零售企業來說，都是一次大考。我們作為中立性網絡安全與風險服務機構，認為此期間的數據更具代表性，更加體現新零售行業的網絡安全狀況，因此，我們將本報告數據采集時間定為2018年4月1日-2018年6月20日。

1.2 名詞解釋

• 安全漏洞：主機操作系統和安裝的組件存在的嚴重的高危漏洞，會使服務器遭受病毒或黑客入侵，引起信息泄露或篡改。
• 網絡攻擊：企業在互聯網上的應用系統或網絡遭受到DDOS拒絕服務攻擊，包括TCP攻擊或UDP攻擊的報警信息，拒絕服務攻擊通過流量攻擊的方式攻擊系統或網絡，過大的攻擊流量會引起服務中斷。
• 垃圾郵件：組織郵箱服務器被列為垃圾郵件發送域，一旦被反垃圾郵件設備攔截，將導致用戶可能無法正常使用郵件。
• 惡意代碼：來自國內外安全廠商的惡意代碼檢測結果，系統可能已經被植入后門、病毒或者惡意腳本。
• 僵尸網絡：組織服務器被攻破，被當做“肉雞”不斷向外部發起掃描或者攻擊行為，服務器主機可能被入侵，存在后門被遠程控制。
• 黑名單：域名或者IP地址被權威黑名單機構列入黑名單，用戶的正常網頁訪問可能被瀏覽器攔截或者IP網絡通訊被防火墻阻斷。

第2章 “新零售”八大領域安全矩陣

2.1 八大領域安全風險值概況

注：安全值越低則風險越高

通過數據分析可以發現在八大領域取樣的企業中，數字廣告類企業平均風險值最高為723;消費品牌企業平均風險值最低為394;在《網絡安全法》、歐盟GDPR法案對個人隱私保護強烈態勢下，一直崇尚精準營銷的數字廣告行業安全工作受到了挑戰，雖然在“新零售”的八個領域中表現最佳，但723分在全國各行業中屬于偏低水平，安全能力提升空間還很大。而消費品牌企業則更加側重于產品生產、營銷，對安全工作的投入較少，394分體現了這一點。

圖中紅色曲線代表了八類企業近一個月安全狀況的趨勢圖，其中可以看到物流倉儲及大型商超類在近一個月來安全值增長最快，其他行業也均為增長趨勢。

2.2 八大領域安全值四維評價

為了能夠深入研究行業互聯網風險狀況及關聯，我們采用RSTP四維評價模式，從風險值、資產規模、風險趨勢、流行度等角度的數據分析了各領域風險狀況及其內在關系。從上表可以看出八大領域中電商平臺的互聯網資產規模最大，物流倉儲風險值較上月增幅較大，同樣訪問流行度最高的行業為電商平臺，也意味著電商平臺采集的個人信息最多。

名詞解釋：

• 風險值(R)：Risk，評分區間(0-1000分)，風險越高R值越低。
• 資產規模(S)：Scale，評分區間(0-10分)，機構的資產數量越多S值越高。
• 風險趨勢(T)：Trend，評分區間(±1000分)，當月與前一月R值變化趨勢。
• 流行度(P)：Popular，評分區間(0-100分)，被訪問次數越多P值越高。

2.3 八大領域資產S-R風險相關關系分析

為了研究資產數量對網絡風險的影響，我們根據表中的數據繪制了象限圖：

從圖中可以看出，抽樣企業的風險值隨著資產數量增多而降低，圖中虛線代表了平均資產數量及平均風險值;我們認為位于第一象限的三方支付是風險值最高的領域，在單位資產中風險均分較高;而作為資產數量最多的電商平臺及消費品牌則風險值最低，說明互聯網資產的增多一定程度上增加了互聯網暴露面，為企業帶來了更多的互聯網風險，企業必須采取更加科學的體系完善安全工作。

我們為了分析八大領域資產的詳細情況，將互聯網資產分為域名資產、主機資產、IP資產、云資產等幾個維度進行統計結果如下：

注：信息技術主要指“云計算”提供商，本次分析并未涵蓋用戶資源池IP地址

從表中可以看出，域名數最多的為電商平臺，平均每家電商有7個線上域名;主機數最多的是物流倉儲領域;IP資產最多的則是為企業提供云服務的信息技術類企業;其中提供運營服務的企業云資產比例、遷移比例均為最高，運營服務為很多商家提供售前、售后的外包服務，工作性質基于網絡開展較多，接觸的業務數據較為敏感，需要重點考慮其風險狀況。

2.4 八大領域流行度P-R風險相關關系分析

為了研究訪問流行度和網絡風險的關系，我們根據表中的數據繪制了象限圖：

從圖中可以看出，電商平臺訪問流行度最高;圖中虛線代表了平均訪問量及平均風險值，從風險趨勢來看，訪問流行度較高的三方支付、大型商超、消費品牌及電商平臺的風險值均較低;訪問流行度代表著企業互聯網業務系統的訪問頻率及用戶規模，越是活躍的業務系統重要性越高，但目前的安全風險卻最高。

第3章 “新零售”八大領域網絡風險分析

3.1 “新零售”八大領域網絡風險概況

我們從安全漏洞、網絡攻擊、隱私保護、惡意代碼、僵尸網絡、IP黑名單等六個維度的網絡風險數據對采樣企業做了分析。

根據上表發現，2018年初至618結束，消費品牌企業面臨的互聯網風險最高;88%的消費品牌企業出現安全漏洞;龐大的線上業務量使電商平臺遭受DDOS攻擊占比達到77%;大型商超的隱私保護問題高達100%;惡意代碼、僵尸網絡風險相對發生率較低，數字廣告的企業惡意代碼及僵尸網絡的發生率極低;其中消費品牌38%的企業出現惡意代碼，電商平臺為27%，一旦企業發生惡意代碼或僵尸網絡事件，都可能導致業務中斷事件;目前提供云服務的信息技術類企業整體已有17%的企業存在IP地址被列入國際黑名單中，收錄國際黑名單的安全設備將會阻斷黑名單中IP地址的通訊，對線上業務的開展造成很大不良影響;同時消費品牌企業高達20%的互聯網業務平臺被列入黑名單，特定瀏覽器將無法正常訪問這些平臺。

3.2 “新零售”八大領域安全漏洞詳情

3.2.1 “新零售”八大領域安全漏洞概況

我們分析了八大領域安全漏洞的整體情況統計如下：

由上表可知，2018年4-6月，“新零售”各類企業出現漏洞共計16780個，其中三方支付、消費品牌兩類企業出現的安全漏洞占比最高;電商平臺、消費品牌平均漏洞數量最多。所有企業發生漏洞的概率高于67%，漏洞數量多于65個;高危漏洞一直都是危害業務系統正常運行、導致數據泄漏的元兇。

就目前來看，“新零售”企業的漏洞問題非常嚴重，說明新零售企業整體對于互聯網應用系統的安全漏洞缺乏有效管理、修復機制，容易被攻擊者利用，可能會對新零售企業的業務安全和用戶敏感信息造成威脅;作為供應鏈的整體信息流參與者，不光自己的漏洞，來自第三方的漏洞危害同樣會危及到自身業務系統，建議新零售企業在做好內部漏洞管理的同時也要加強第三方企業漏洞風險管理。

3.2.2 采樣企業中最常見安全漏洞一覽

3.2.3 常見漏洞統計與描述

CVE漏洞比較容易被攻擊者利用，會為攻擊提供更便利的途徑，對新零售企業的信息系統威脅較大，需要根據各種漏洞的特點實施修補。

3.3 “新零售”八大領域網絡攻擊詳情

3.3.1 “新零售”八大領域網絡攻擊概況

我們分析了“新零售”八大領域在2018年4-6月遭受DDOS攻擊網絡攻擊情況統計如下：

我們發現，電商平臺、消費品牌企業遭受DDOS攻擊的數量占比較大，企業占比高于60%;三方支付類企業遭受DDOS次數最高，平均達到820次;信息技術類企業遭受DDOS攻擊的平均流量高達12G，遠高于其他領域;大流量、高密度的DDOS攻擊會對企業的線上服務造成極大不良影響，這類企業應當使用流量清洗類服務以應對異常的大流量攻擊，而遭受攻擊頻繁的企業在使用上述方法的同時，應對發起攻擊次數高的可疑IP地址實施控制。

3.3.2 采樣企業常見攻擊統計與描述

3.3.2.1 DDoS攻擊詳情

詳見下表：

根據上表結果，TCP半連接攻擊占據網絡攻擊的主要部分，對于這種類型的DDoS攻擊，可通過縮短SYN響應時間或設置SYN Cookie過濾TCP包等手段來實施。對于UDP放大攻擊，可以通過限制UDP包大小，或建立UDP連接規則來達到過濾惡意UDP包，減少攻擊發生的效果。可根據企業自身的詳細情況選擇合適的解決方案。

3.3.2.2 惡意代碼詳情

我們同樣研究了惡意代碼對八類企業的影響：

從統計結果來看，消費品牌類的惡意代碼比例高達15%，而電商平臺及物流倉儲類企業的惡意代碼比例也高達8%，其中電商平臺平均每個主域名下惡意代碼數量居然達到45個，數字廣告類的惡意代碼數量則明顯較少;惡意代碼的產生原因多樣，建議企業多關注外部威脅情報數據，盡早發現惡意代碼鏈接，盡快處理惡意代碼以免影響到頁面的正常訪問。

3.4 訪問流行度Top10企業網絡風險分析

我們排列了訪問流行度最高的十家企業，分析了其中網絡風險發生概率較大的企業如下：

我們可以看到，這些企業不光訪問流行度較高，資產數量相對也較高;淘寶的惡意代碼數量高達556個，支付寶遭受的網絡攻擊高達9374次，惠普、京東的安全漏洞均高于200個，幾乎所有的企業都有信息泄露的風險;這些都是國內外知名度較高的企業，資產數量眾多、用戶范圍龐大，一旦出現安全事件都會給企業和消費者帶來巨大的損失。

3.5 資產數量Top10企業網絡風險分析

我們選擇了資產數量最多的十家企業分析了其網絡風險的情況：

從表中可以看出中通作為資產最多的企業，網絡風險主要來自于網絡攻擊，作為資產數量龐大的支付寶與聯想也同樣遭受著網絡攻擊的苦惱，光環新網、金蝶則網絡漏洞數量龐大。

3.6 互聯網威脅最大的十家企業網絡風險分析

為了識別企業安全狀況較差的核心原因，我們統計了互聯網威脅最大的十家企業，將我們可以采集到的風險進行分析處理：

可以發現，網絡攻擊及安全漏洞是導致分值較低主要原因，但是惡意代碼、信息泄露發生的概率較高也不可忽視;十家企業六個風險維度幾乎都受到了影響。

第4章 報告總結

“新零售”與我們每個人的生活息息相關，電商交易系統不僅存有海量的用戶敏感數據，而且直接涉及到資金交易。

從分析數據可以看出，零售行業面臨著多種多樣的安全威脅，安全漏洞、網絡攻擊、垃圾郵件、惡意代碼、僵尸網絡、黑名單等風險無時無刻不威脅著“新零售”生態鏈的各個環節企業，不光電商平臺、三方支付平臺需要加強信息安全管理，物流倉儲、大型商超、運營服務、數字廣告等企業也應該加強安全體系建設降低安全風險。

從分析的結果來看，問題普遍較為嚴重的消費品牌一直是我們關注的盲區。其實作為產品的直接生產者，生態鏈的重要環節之一最需要建立完善的安全體系，不光要合規合法，更要時時關注安全動態、安全事件。

因此，“新零售”各個環節企業安全水平體現在能否快速響應網絡攻擊，做到快速識別風險、及時修補漏洞、提升員工安全意識以及積極引入威脅情報數據、完善網絡安全防范機制等方面。

第5章 數據支持

本報告由“安全值”團隊基于大數據分析結果提供，如需要更多、更詳細的數據請與安全值取得聯系。

安全值是國內首個安全評價服務(SRS)，面向企業提供免費評估服務，訪問安全值網站(https://www.aqzhi.com/)，獲取企業自身安全評估報告。

【本文是51CTO專欄作者“”李少鵬“”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】

戳這里，看該作者更多好文