作為一個全球性的互聯網出行巨頭，滴滴擁有十萬級服務器規模的龐大IT基礎設施，如何做好企業安全運營是一個非常大的挑戰。在2020 CTIC 網絡安全分析與情報大會上，滴滴安全部負責人秦波表示，威脅情報是滴滴和外部專業能力相互打通的一個重要橋梁，讓滴滴更好地提升了安全檢測的能力。

　　滴滴的威脅情報實踐

　　秦波介紹到滴滴的安全挑戰非常大體現在其業務的特殊性，攻擊者會通過一些手段干擾、破壞來直接獲取利益，或者對平臺公平性造成損害。一方面要保護用戶的數據，比如保護乘客的行程軌跡以及其他個人數據免被利用。另一方面，還要防止司機作弊，比如，避免不具備接單的資格的司機非法搶單，從而影響平臺的公平性并造成資金損失等。

　　除了出行業務以外，滴滴還面臨著物聯網設備方面的安全問題，比如青桔單車、無人車、充電樁以及一些智能交通設施，這些設備存在著被物理手段或者近源攻擊的可能性，從而對業務造成破壞，也損害用戶利益，可能對社會的基礎設施帶來破壞。

　　滴滴的安全技術團隊大約有四五百人的規模。盡管在安全上的投入很大，但仍會感覺不足，秦波表示：“如果完全靠我們自己去識別這些威脅的話，它是有一定欠缺的，因為我們無法把所有流行的攻擊手段、IP、惡意文件都識別出來。而微步在線是專業性的服務，把它引入到滴滴內部來，能幫我們提供外部的能力。”很多時候滴滴的網絡安全建設都依靠自研技術，但是在威脅情報方面，卻采用了微步在線提供的威脅情報服務。

　　秦波介紹，滴滴采用了微步在線的威脅情報API數據服務，它能夠幫滴滴更加快速的去識別檢測到的可疑IP、惡意文件、攻擊手段等，可以幫助滴滴更好的甄別問題，提升安全檢測能力。

　　在秦波看來，情報的作用不僅體現在被攻擊的時候。他表示，在攻擊發生前，通過情報來發現企業暴露在互聯網的資產的脆弱性，并且做到快速摸查、修復、加固;在攻擊正在發生的過程中，情報作為一個重要的檢測手段，可以確鑿地去發現每一個攻擊，在整個過程中做到真實、有效和快速。

　　微步在線最為人所熟知的就是威脅情報，它的威脅情報數據非常全面，而且非常準確，內容也很豐富。所謂威脅情報，它能幫助企業用戶識別出各種網絡威脅，包括識別攻擊手段、識別IP、識別惡意文件、識別黑客組織等等，引入威脅情報就意味著請了一位安全的吹哨人。

　　滴滴看重微步在線技術服務上的先進性，也看到了該服務對于滴滴安全能力方面的價值，雙方聯手以新一代的安全技術加固滴滴整體的安全防護體系，為數億用戶帶來更強的安全感。

　　基于威脅情報的檢測與響應

　　滴滴對于威脅情報的使用方式反映出了大型互聯網公司業務的行業特性。除了提供威脅情報，微步在線在安全技術方案層面還有更多解決方案，讓企業享受到威脅檢測和響應帶來的安全感。

　　在2020 CTIC 網絡安全分析與情報大會上，微步在線技術合伙人趙林林表示，目前很多企業仍在采用傳統的IDS(intrusion detection system-入侵檢測系統)，對網絡威脅進行檢測。

[[349238]]

微步在線技術合伙人 趙林林

　　在實際應用中，IDS動輒成千上萬的海量告警，還有居高不下的誤報率，都令安全人員非常頭疼，其結果就是選擇忽略IDS。最終讓用戶下決心徹底拋棄IDS的原因在于，IDS根據規則告警的策略是一種落后的技術，它很可能檢測不出真正的威脅，而且響應能力很弱。如今，IDS開始被邊緣化，在一些行業條例，比如等保測評條例里已經開始忽略IDS了。

　　趙林林認為，作為新一代流量檢測技術，NDR(Network Detection and Response-網絡的檢測和響應)將會取代傳統的IDS，成為未來企業安全運營能力的標配。與IDS相比，NDR在威脅檢測的有效性、檢測范圍和檢測的復雜度方面都要強得多;在威脅響應方面，NDR把響應提升和檢測一樣的高度。也就是說，NDR能發現問題，也能解決問題。

　　基于NDR理念，微步在線推出了一款重磅產品——TDP(Threaten Detection Platform-威脅感知平臺)，幫助企業從發現問題到處置問題，以閉環的方式做好安全運營。通過TDP，安全運營人員不僅能夠發現新型的網絡威脅，而且可以從網絡威脅的背后分析出攻擊者的戰術、技術和攻擊過程，并對攻擊者做出畫像，從而做出準確、有效的響應。

　　趙林林強調，TDP是一種可以用的起來的安全方案，能做檢測，還能做響應，兩種能力的結合最終能給企業網絡安全運營帶來安全感。這種安全感主要是指能提供檢視安全狀態的能力，從被入侵的那一刻開始，檢測和響應能力就開始發揮作用了，它能讓用戶看到哪些設備被黑了，突破口是哪里，被誰黑了，入侵者具體做了什么操作，是否做了自動處理等多種信息。

　　由于TDP源于微步在線強大的威脅情報能力，因此其產品成熟度也比國內大多數同類產品要高。微步在線在TDP方案中的一些具體做法也經常被效仿，頗有一直被模仿，從未被超越的態勢。

　　微步在線為企業帶來安全感

　　除了對產品的解析之外，在大會后的采訪中，趙林林還分享了一些在互聯網行業的應用案例，例如：

　　某知名互聯網資訊企業，在日常安全運營中發現有一臺服務器被黑客攻擊了，起初用戶并沒有太在意，以為只有少部分服務器被黑了。但是，當部署規模擴大之后，用戶驚訝地發現被黑的范圍其實很大，這才開始意識到自己的系統其實并沒有想象中的那么安全。

　　在嘗試微步在線TDP平臺后，該企業的安全運營人員能夠清楚地看到黑客訪問了哪個目錄下的數據，哪些數據被竊取了，拿走了多少數據，甚至能夠溯源是哪個黑客團體拿走的，許多細節都顯示得一清二楚，這在以前是不可想象的。

　　還有一些互聯網企業，對于微步在線TDP平臺的安全狀況可視化能力印象深刻。因為TDP能夠將黑客的攻擊信息按照時間線進行非常清晰的展示，讓用戶看到很多有價值的信息，從而更好地進行安全運營決策。

　　趙林林在采訪中表示，在客戶的實際測試中，微步在線的TDP平臺有非常出眾的表現，能夠將攻擊信息準確地呈現出來，因此微步在線總能在眾多廠商的競測中勝出。

　　總體而言，面對新型的網絡威脅，檢測與響應已經成為互聯網企業安全的主要建設方向。因此，在安全建設中引入威脅情報，企業可以及時發現威脅，并做出準確、有效的響應。作為威脅發現與響應的專家，微步在線以云端和本地的全面監控，將情報賦能企業傳統安全和業務安全，從而助力企業有效對抗新型攻擊手段和未知威脅，給企業滿滿的安全感。