互聯網金融安全“走鏢人”

董莉

網貸平臺可以說是在互聯網上運送黃金的錢莊，安全廠商扮演的就是保駕護航的角色，安全寶是如何走鏢的？

互聯網金融大熱，快速催生了眾多“網上運送黃金的錢莊”，P2P的迅猛發展也帶來了行業風險的高速聚集。由于做的是“錢生錢”的生意，因而網貸平臺也成為黑客眼中的“肥肉”。不斷有P2P網貸平臺被“打劫”的消息也讓安全廠商這個“鏢局”有了新生意。

“我們是在安全江湖上走鏢的，大家運黃金，我們干苦力活，幫助大家走好這個鏢。”安全寶CEO馬杰比喻道。

互聯網金融業務豐富，復雜得就像是一座城堡有無數門窗、無數入口。即便你守衛好前門和后門，仍然不能保證安全，因為還有天臺、地下室等各個渠道可以潛入。互聯網金融的安全風險包括資金安全威脅、用戶信息安全風險、黑客勒索攻擊甚至同業惡意競爭等多方面。

“安全不是商業模式，但是沒有安全就沒有商業模式。沒有信息安全作保障，一切創新都將成為泡影。”馬杰認為，安全風險無處不在，它可以全方位影響一個公司的運營。

像黑客一樣思考

據世界反黑客組織透露，在很長一段時間內，P2P網貸平臺仍將是全球黑客攻擊的首要目標，安全已成為其最致命的風險。2014年，有近100余家P2P行業平臺遭受攻擊，其中不乏有因黑客攻擊而癱瘓的P2P行業平臺。

2014年1月9日，人人貸宣布獲得1.3億美元融資的話音才落，官網隨即遭到黑客攻擊，從1月8日晚間起一度無法訪問。人人貸的安全服務提供方正是安全寶，當時安全寶方面稱，已經通過技術手段追蹤并聯系到了黑客，該黑客承認受到人人貸競爭對手的指使，對其進行持續4天的DDoS攻擊，確保其官網癱瘓，同時該黑客透露該競爭對手為此次攻擊出價5萬元。在成功發動攻擊后，該黑客曾向人人貸勒索5000元。

據介紹，DDoS攻擊為流量型攻擊，是指黑客通過發送大量訪問請求占用大量網絡資源，來阻塞網站的網絡通道，導致網站不能正常訪問，但理論上不會造成數據泄露。安全寶相關技術人員透露，黑客號稱以每秒40GB的速度沖擊人人貸的服務器，不過實際測試發現攻擊流量遠未達到這一規模。

的確，雇傭黑客對競爭對手進行DDoS攻擊、CC攻擊在互聯網金融領域早已是公開的秘密。“這種暴力型流量攻擊目的是讓用戶無法訪問你的網站，讓你沒辦法開門做生意。這里面有互相的惡性競爭，也有直接來自黑色產業鏈的勒索。”馬杰說。

與傳統金融機構相比，P2P平臺的安全技術力量是一塊短板，很多平臺漏洞較多。黑客的攻擊也讓P2P及相關的互聯網金融公司成本驟增。

與黑客交鋒過的人人貸越發注重安全問題。人人貸副總裁藍晏翔表示，互聯網安全威脅一部分來自于產品本身，比如基礎架構、產品研發和系統運維方面，另一部分則來自于信息安全，包括內部和外部信息安全。此外，安全風險還包括金融安全，主要來自于支付和交易的環節，如何識別出壞的客戶和具有風險的交易等。

藍晏翔覺得，絕大多數安全問題都是源于開發工程師過度自信，為了盡快更新迭代產品，程序開發之后草率上線，致使很多不起眼的漏洞造成很嚴重的后果。

就互聯網金融行業的安全水平相對較低的原因，馬杰認為主要表現在：一是安全意識還不夠，甚至為了提高信息透明度，很多敏感數據直接展現出來了。二是IT技術薄弱，快速做業務而缺乏專業的安全人才。三是IT基礎架構設計不盡合理。四是行業發展快，系統更新過程中程序上線前審核不夠嚴格，漏洞百出。五是運維平臺大都很新，精細度不夠，沒有良好的運維體系。

針對互聯網金融平臺，安全寶的網站安全服務貫穿了事前、事中和日常安全維護。首先是事前檢查網站有沒有存在漏洞。安全寶的滲透測試服務是在用戶的授權之下，完全模擬黑客的行為，對客戶網站進行入侵嘗試。“幫助用戶理解黑客是如何思考的，比黑客更早發現問題”。另外，網站每天的訪問量不小，這里面既有正常的訪問，也夾雜有流量型攻擊，“我們幫助大家過濾掉攻擊訪問”。再有，對黑客的滲透型攻擊進行實時阻斷。

定制規劃服務

現在的安全廠商基本分為產品型和服務型兩種。產品型公司適合規模較大，有自己強大運維團隊的公司。如果沒有強大的運維團隊，安全產品買回去之后如果用不好，不能及時更新規則就成了一個擺設。既懂業務又懂網絡安全的人才薪水一年要幾十萬元，由此安全成本隨之飆升。而互聯網金融企業大多是新創公司，更適合選擇服務型的安全公司。

在服務類安全廠商中，既有像360一樣提供普適安全服務的平臺，也有提供個性化定制的服務型企業。安全寶更傾向于幫助特定的企業客戶做好一對一的服務。

從創立開始，外界對安全寶的認識一直甚少，其實它不但是李開復創辦的創新工場唯一安全領域的投資項目，還是中國目前唯一一家由BAT聯合投資的安全公司。

安全寶的創始人馬杰是安全領域的老兵，在瑞星做了10年的反病毒工作。10年的經歷讓他意識到——安全用戶教育的成本是極高的;另外，安全事件自然會發生，你只要等著就行了。所以安全寶的策略是把產品做好等著市場自然成熟。比較“幸運”的是，從馬杰他們開始做安全寶的時候，安全事故層出不窮，用戶已經意識到了安全的重要性，到2014年安全事件出現暴漲，“這些事件本身在教育用戶，我們的任務是做好服務，為用戶提供安全上的保障。”

與此同時，基于對安全產品和行業發展趨勢的判斷，安全寶在誕生之初規劃了三點發展路徑：第一是用替身模式代替傳統的保鏢模式。所謂替身模式就是安全寶作為中間代理，所有的IP地址都指向安全寶，黑客無法直接看到最終的IP地址。這樣做是因為大多數安全事故并不是由于黑客攻破了安全設備，而是繞過了安全防護系統。第二，將傳統的軟硬件結合模式轉變為基于云的安全服務模式。第三，為打破傳統設備同質化競爭格局，將提升服務作為贏得客戶認可的重點。“無論客戶半夜幾點出問題，我們都有人接電話，為用戶提供應急響應，實時阻斷黑客滲透，為客戶修復漏洞和安全隱患。”

在中國互聯網帶寬特別貴，如果想自己買帶寬來解決流量型攻擊的問題，成本很高。安全寶花了大量資金建立了非常大的流量清洗中心，幫助客戶應對DDoS攻擊，攤薄成本。更多的工作在于日常，安全寶會每天監測新發安全事件，升級規則并推送到前端服務上，幫助客戶過濾漏洞存在的風險。

為積累自己的技術和實力，從2011年成立到2013年，安全寶一直在免費做業務。2014年一季度正式開始面向大客戶做收費業務。“之前雖然也把收費業務公布在網站上，從來沒有向用戶推薦過，前三年我們的收入很低，基本上沒有，但在2014年就直接做到幾千萬元的收入規模。”馬杰介紹說，這一部分收入全部來自于比較有實力的互聯網公司，下一步，安全寶會將定制化產品的服務向中小型企業推廣。

很多互聯網金融平臺忙于跑馬圈地，多是在碰到安全事件需要緊急處理時，才會想起跟安全廠商合作。馬杰認為，2014年發生了很多的安全事件，也提高了大家的安全重視程度。2015年互聯網金融行業的發展將趨于成熟，企業在安全和風控方面的水平將直接影響用戶的選擇。