助力“互聯網+”行動：解讀阿里巴巴的網絡安全
——基于“互聯網+”行動下阿里巴巴集團和螞蟻金服集團信息安全及戰略布局

□ 崔傳楨“

?

助力“互聯網+”行動：解讀阿里巴巴的網絡安全
——基于“互聯網+”行動下阿里巴巴集團和螞蟻金服集團信息安全及戰略布局

□ 崔傳楨“

習近平總書記在第二屆世界互聯網大會上指出：中國正處在互聯網快速發展的歷史進程之中。“十三五”時期，中國將大力實施網絡強國戰略、國家大數據戰略、“互聯網+”行動計劃。

阿里巴巴集團和螞蟻金服集團的安全系統在電商和互聯網金融中目前是規模最大、戰線最長的。其防控體系覆蓋了兩大集團旗下的電商平臺、金融平臺、云計算大數據平臺以及物流平臺等全部業務，領域眾多、內容龐大。阿里巴巴和螞蟻金服集團在數據安全方面也進行了很多嘗試，圍繞數據生命周期，通過建立體系化的防控手段應對數據安全風險，從組織保障、制度流程、技術手段、人員能力等多個層面實現數據安全保障。

阿里巴巴集團和螞蟻金服集團在信息安全方面已經走在了前列。為進一步了解阿里巴巴集團和螞蟻金服集團在信息和網絡安全方面的防控體系及戰略管理，本刊赴阿里巴巴和螞蟻金服總部，與阿里巴巴集團首席風險官劉振飛、安全技術副總裁杜躍進以及螞蟻金服多位安全專家探討、探究阿里巴巴和螞蟻金服的信息和網絡安全。

數據動態化加劇 ：DT時代信息安全的挑戰

在第二屆世界互聯網大會上，習近平總書記指出：中國正處在互聯網快速發展的歷史進程之中。“十三五”時期，中國將大力實施網絡強國戰略、國家大數據戰略、“互聯網+”行動計劃，發展積極向上的網絡文化，拓展網絡經濟空間，促進互聯網和經濟社會融合發展。我們的目標，就是要讓互聯網發展成果惠及13億多中國人民，更好造福各國人民。保障網絡安全，促進有序發展。安全和發展是一體之兩翼、驅動之雙輪。安全是發展的保障，發展是安全的目的。

2015年12月16日，國家主席習近平在考察烏鎮互聯網大會“互聯網之光”博覽會期間，首先來到阿里巴巴集團展臺，駐足了約10分鐘。阿里巴巴集團董事局主席馬云向習近平匯報了阿里巴巴發展的現狀以及對未來的思考。

圖1 馬云向習近平主席介紹阿里巴巴集團情況(圖片來自天下網商)

馬云在現場自任解說員，向習近平介紹了阿里巴巴電商業務的整體情況。依托阿里巴巴平臺，千萬賣家得以向全球4億消費者提供無時差服務，真正體現了“消費的力量”。談到2015年“雙11”全球狂歡節的有關情況時，馬云說，中國需要“新實體經濟”，互聯網為中國經濟形態插上了翅膀，“雙11”當天創下912.17億元交易新紀錄充分展現了中國強大的內需。馬云說，阿里云已完全實現技術自主可控，并且提供了全球首個5K云計算服務。在保證技術領先的基礎上，阿里云也已具備世界級安全能力，每天防御超過數億次Web攻擊，保證全球海量客戶的信息安全。

信息技術上的演進在其本質上是一個對數據依附不斷松綁的過程。而當前云計算和大數據技術的不斷突破正在最大程度釋放數據的流動性和使用價值。數據的流動正在突破系統、組織和地域邊界，成為獨立的生產要素和經濟資源，在智能決策、業務創新乃至社會化協同層面發揮著巨大作用。如果說云計算技術改變了企業IT交付的模式，而隨著越來越多的企業意識到數據的價值，大數據正在改變企業業務應用的模式。

從安全角度來講，數據時代帶來的變革，對于企業的信息安全提出了挑戰。信息膨脹和數據爆炸以及數據流動速率的加快和效率的提高，使企業內部傳統的相對靜態集中的數據處理方式被打破，導致企業的安全邊界也進一步模糊甚至消失。傳統的安全工作通過識別組織的安全邊界針對不同的信息資產(安全對象，包括物理、網絡、系統和應用等)部署靜態的縱深防御的安全控制，防范數據丟失或者內部數據泄露已無法適應數據業務上實時、動態、頻繁的數據流轉的處理特點。

此外，考慮到大數據技術本身對于用戶個人信息保護提出的挑戰，已有的隱私保護框架仍只側重在用戶的隱私權保護，也無法全面覆蓋數據安全的管控需要。其他方面還包括：企業所面臨的外部威脅愈加嚴峻，外部攻擊更加精細化，由以往的窺探性入侵演變為結合多種攻擊手段，有針對性的繞過安全控制，竊取敏感數據的攻擊行為；傳統安全防護方案無法滿足數據業務、技術要求，甚至成為瓶頸，如傳統加解密的防護措施成為實時在線計算性能的瓶頸；實時的數據流動受到了傳統的安全管控機制的限制，如：安全監控、流程審批等存在的局限性；頻繁的數據流轉和交換導致數據泄露管理難度加大，通過二次組合非敏感的數據可能形成敏感數據，造成敏感數據泄漏；新的安全挑戰亟需新的安全解決方案，如通過數據分析所形成更有價值的衍生數據，如何進行敏感度管理；數據加工過程中需要使用大量敏感數據，如何保障數據在加工過程對使用者不可見；分布式的計算節點易被偽冒攻擊，如：欺詐、重放攻擊、DDoS等；數據混合計算，如何確保數據資源在存儲、計算等過程中的安全隔離；數據由于其流動增值的特點，組織之間的數據流動和交換勢必成為大勢所趨，因此企業數據安全不再是自己一家的問題，需要生態鏈各方協同管控。

阿里巴巴信息安全的實踐和防控體系

1 整體概況

在DT時代，數據安全以及數據隱私的保護已成為整個社會、大數據產業發展的前提和必要條件。阿里巴巴在數據安全方面也進行了很多嘗試，圍繞數據生命周期，通過建立體系化的防控手段應對數據安全風險，從組織保障、制度流程、技術手段、人員能力等多個層面實現數據安全保障。 具體到企業中不同的環境、不同崗位與部門，均有明確的職責要求以及安全規范和實踐。

組織保障方面。以淘寶業務為例，阿里巴巴組建了淘寶數據安全委員會，明確淘寶BU數據安全接口人的工作機制，以數據生命周期為框架，對整個淘寶業務的數據安全進行專項治理。在各BU均具有建制完備的數據安全團隊的基礎上，阿里巴巴集團的數據安全工作小組成立，在已有BU接口人的工作機制上，完善三級協同管理機制。目前已形成以公司合伙人兼首席風險官直接負責集團數據安全小組，作為阿里巴巴集團數據安全最高決策機構，承擔管理策略制定、全局風險把控、全面監督執行等工作。此外還設立了專門的數據安全團隊，與每個事業部的安全接口人共同形成了一套完整的、覆蓋全公司各部門的專業數據安全管理體系。

圖2 杜躍進向中央網信辦主任魯煒介紹阿里巴巴安全工作(圖片由阿里巴巴集團提供)

制度設計方面。通過完善規則、落實責任、專業審核、嚴格審計等手段，使阿里巴巴在數據安全管理方面達到同行業領先水平。阿里巴巴制定了包括“總綱”、“對外披露細則”等40多部數據安全執行規范，和數據相關的各項業務和產品都要經過專業數據安全團隊審核，數據安全責任落實到人，對數據使用有嚴格的審計。

技術手段方面。阿里巴巴通過系統化的安全開發管理、專業化的安全運營、體系化的自主技術產品為依托，在技術層面防控內外部數據竊取破壞的風險。在內部防泄露方面，通過對海量數據進行自動化分級和標識、對網絡本身進行級別劃分、建立數據操作的專用環境、研發部署各個環節的數據泄露監控產品、建立對產品和人員的數據安全審計平臺等方法綜合防范內部風險。

人員能力方面。對數據安全崗位的能力需求進行梳理，通過多種多樣的形式對崗位人員的能力進行培養和跟蹤，確保專門崗位的人員具備相適應的能力水平。

防止外部入侵方面。采取了整套措施。如在集團層面設立反入侵重大專項強化能力、采用國際領先的全生命周期安全管理技術提升整個系統的安全性、組建專門的高水平技術對抗隊伍持續進行自身產品漏洞挖掘和入侵測試、通過廣泛的社會途徑收集產品漏洞和威脅情報、優化整個網絡結構減少攻擊途徑、部署自主研發的系列安全產品、全面啟用通信加密防止網絡竊聽和劫持、建立專業的威脅情報團隊進行攻擊溯源分析等。

全球率先實現了電商、阿里云全站https化。阿里巴巴集團已經完成了淘寶天貓、阿里云等站點的https改造和HSTS保護，https可保證用戶從瀏覽器到服務端的鏈路是加密安全的；HSTS (HTTP strict transport security)通俗地說就是“一次https永久https”，防止被中間人對https的跳轉劫持(SSL-strip)；在淘寶天貓首頁，對舊版瀏覽器用戶給出友好的升級引導和推薦，使用戶更容易地解決安全問題，從此安全便捷地體驗網上購物的樂趣；阿里巴巴旗下UC瀏覽器已加入更多安全特性，例如反釣魚、反劫持、首頁保護、默認瀏覽器保護、搜索引擎保護、瀏覽器醫生智能修復等。

生態安全。在廣泛互聯的世界里，別人不安全，自己也可能被影響。阿里巴巴成立了針對中國電商生態的“ISV安全聯盟”，研究推出相關的安全標準，借助社會化的力量，共同提升ISV(獨立軟件開發商，為國內主流電商網站和平臺上的商家提供軟件服務)的安全意識和能力，減少這些環節的用戶信息泄露風險；阿里巴巴還在大量專業論壇介紹自己的數據安全經驗，幫助業界提升安全水平；阿里巴巴還將自己長期實踐形成的經驗和積累整理成可以對外提供的產品和服務，以阿里聚安全的品牌對外推出，用自己的安全能力幫助更多的企業。

2 阿里巴巴神盾局

阿里巴巴集團安全部——“神盾局”職責范圍很廣，在阿里巴巴龐大的交易系統背后，為保障用戶的權益做堅實護盾。主要工作包括以下幾類：保護知識產權，即打假；保護賬戶安全，主要防止虛假注冊；保護交易安全，主要防止交易欺詐、惡意差評、敲詐勒索和炒信；保護信息安全和禁限售排查；保護隱私防止信息泄露；保護數據安全；大數據風控等等。

杜躍進表示：“阿里安全要做保護用戶最關切的安全——包含購物、交易、支付、侵權、金融、防數據泄露、反欺詐、反假貨等全交易鏈條；致力于打造應用層的安全生態環境，面向終端用戶也面向行業企業、涵蓋終端打通云端，通過多維度大數據構建誠信體系。”

阿里110上線后，可直接受理網購欺詐案件。阿里110一站式舉報區別于平日的淘寶客服投訴，消費者在淘寶平臺上遇到惡意賣家或被騙取財物，發現賬號異常或被盜，遇到信息泄露或釣魚網站，都可以通過這個平臺快速舉報并保護賬號安全。對于很多用戶擔心的遺失電子設備后的賬號安全問題，或是在公眾場合登錄過淘寶，也可以通過這個平臺同時讓所有設備賬號下線，取消登錄記錄。舉報受理之后的每一步處理情況用戶都可以直接在后臺查看，信息更加透明公開；涉及金額較大情節惡劣的案件，由“神盾局”工作人員直接向公安機關舉報并立案，縮短了投訴處理流程。

阿里錢盾新功能：可識別真假手機以及翻新機。阿里錢盾是阿里安全推出的免費手機安全軟件，除了提供病毒查殺、騷擾攔擊、內存清理手機加速、WIFI監測等基礎功能之外，重點是向用戶提供從淘寶交易到支付寶全流程的保護。

報告顯示，移動互聯網病毒規模不斷增長。2015年度阿里聚安全共查殺病毒逾3億次，18% 的Android設備感染過病毒。阿里聚安全病毒樣本庫顯示，2015年度新增病毒1005萬，月均漲幅12%；數據顯示廣東用戶感染病毒最多，占全國總感染量的14%，其他感染量靠前的還有江蘇、浙江等。

通過阿里聚安全的數據分析，發現18個行業的Top10應用，95%都存在仿冒軟件，平均每個應用有66個仿冒，且大部分都有惡意扣費行為，建議用戶在官方渠道下載正版軟件；此外2015年，詐騙事件層出不窮，短信如“積分兌換”，“銀行客戶端升級”，“車輛違規”，“老公出軌”等，誘導用戶安裝短信攔截木馬進一步行騙。短信攔截木馬全年感染200萬用戶，并已形成社工、木馬開發、多渠道傳播、洗錢分贓等一條完整的非法產業鏈。

據阿里聚安全2015互聯網安全年報顯示，漏洞數量也急劇攀升， Android系統漏洞以10倍的同比增長、iOS系統漏洞同比上漲128%，97%熱門應用存在漏洞風險。

在萬物互聯的時代，至2015年全球連接到互聯網上的設備達到49億臺，物聯網安全隱患已初現端倪。 年報顯示，80%的物聯網設備暴露了硬件調試接口極易被黑客利用；而90%以上的固件存在安全隱患，并對物聯網產生嚴重威脅。94%傳統Web安全漏洞同樣影響物聯網云端Web接口，如跨站腳本、文件修改、命令執行及SQL注入等。

阿里聚安全數據風控年報還披露了由“黃牛”、“打碼手”、“羊毛黨”組成的專業化黑產團伙，通過上下流的復雜鏈條環環相扣、緊密協作，嚴重破壞商業活動。黑產從業人員數據量巨大，分布在產業鏈各個環節，產業規模達數千億。

3 信息安全防控體系

隨著網絡與信息技術的普及發展，互聯網已深入社會、經濟、文化、政治的方方面面，成為與網民生活息息相關、全新的文化生活空間，極大地影響了人們的生活、行為方式及價值觀念，也對現有的法律、道德體系形成挑戰。網絡空間中存在的暴力、色情、欺詐、非法商品，為社會帶來嚴重的負面影響，侵害人們的身心健康。

經過多年發展，阿里巴巴集團業已建立基于大數據和云計算、面向未來的立體信息安全防控體系。

阿里巴巴集團十分重視與社會各界間的合作，構建了由各級網絡主管部門、行業協會、第三方企業、社會公眾共同參與的安全防控體系。其中，阿里巴巴集團安全部牽頭成立了國內首個互聯網安全志愿者聯盟，9年間累計參與15億人次，僅2015年舉報各類網絡違法違規線索260萬余條，開展的公益項目連續獲得中國青年志愿服務項目銀獎。

為提高網絡信息安全防控效率，阿里巴巴集團成立了打擊網絡欺詐、侵權、假貨、炒信、賬號安全的專門團隊，與信息安全防控體系形成共振，聯合打擊網絡違法違規的全鏈條活動，取得了良好的效果，極大地震懾了網絡違法違規分子，維護了安全、和諧的平臺環境。

阿里巴巴集團不僅重視商品信息發布后的監測，還非常重視信息發布前的檢測防范，形成事前與事后相結合的全面防控手段。如在商家注冊、開店、認證環節進行防范，努力將不良分子阻斷在平臺之外，做到了事前防范。阿里巴巴集團建立了文本過濾、圖片識別、風險審核的內容安全監控體系，全面覆蓋文本、圖片、音頻、視頻等不同信息類型，能有效識別網絡不良信息內容，降低用戶違規風險。

4 信息安全防控體系的三大變化

阿里巴巴集團成立16年以來，始終注重網絡信息安全。但隨著網絡技術的發展，網絡信息安全形勢發生了重大變化，阿里巴巴集團信息安全防控體系也隨之進行了多次調整，其中最突出的三大變化為：

1)從被動管控過渡為主動防控

傳統的信息安全防范措施是被動的防控體系，其效果受用戶行為的制約，治標不治本，運動式、周期性、反復化違規現象明顯。為此，阿里巴巴集團信息安全部門變被動管控為主動防控，深入灰黑產業進行摸排，了解灰黑產業鏈條和“生存”現狀，進行精準、精確、精致化打擊，開展違法違規的源頭治理，極大地提高了信息安全防控效果，減少了二次違規率。另一方面，阿里巴巴集團信息安全部門積極主動開展網絡信息安全宣傳活動，引導廣大網民自覺遵守法律法規，通過對網民進行網絡信息素養教育，倡議網民自覺維護網絡環境，減少違法違規信息的生產發布。

2)從線上打擊演變為線上線下相結合

網絡空間是虛擬的，但運用網絡空間的主體是現實的，許多網絡違法違規行為的根源在現實社會中，僅作線上防控并未從根源上解決問題；加之網絡賬號注冊十分便捷，線上治理對網絡違法違規分子的震懾有限。為此，阿里巴巴集團在確保用戶信息安全的前提下，通過網絡化用戶行為分析，結合異常交易記錄監控，確定違法犯罪行為，實現案件線索輸出，配合執法機關打掉了一批網絡犯罪分子。

3)加強對大數據、云計算的應用

隨著互聯網技術的發展，數據正在以比以往任何時候更快的速度增長，人類社會將全面由IT時代邁向DT時代，數據在各種業務類型中應用越來越多。阿里巴巴集團信息安全防控也更多地借助大數據、云計算、深度學習等技術，全面監測用戶行為、交易記錄異常狀況，實現違法違規行為的自動識別。

阿里云的安全

1 阿里云的架構

阿里云創立于2009年，是中國最大的云計算平臺，為全球200多個國家和地區的創新創業企業、政府機構等提供服務。阿里云致力于提供最安全、可靠的計算和數據處理能力，讓計算成為普惠科技和公共服務，為萬物互聯的DT世界提供源源不斷的新能源。阿里云在全球各地部署高效節能的綠色數據中心，利用清潔計算支持不同的互聯網應用。目前，阿里云在中國(華北、華東、華南、香港)、新加坡、美西等地域設有數據中心，未來還將在美東、歐洲、中東、俄羅斯、日本等地設立新的數據中心。

展望國際，云計算成為近年來發展的持續熱點。美國、英國、德國、韓國等世界發達國家無不把云計算發展作為國家戰略的一部分，與過去追求規模與速度的發展方向不同，各國開始謀求高效率、高質量的發展戰略。各跨國大型企業也在關注云計算發展動態并及時調整公司發展策略，亞馬遜在不斷改進公有云服務的同時將視線轉向混合云領域；IBM為應對云計算對服務領域的巨大變革，在過去一年時間內大力斥資云計算等領域的投資發展；微軟大力部署數據中心建設，并將云計算作為數據庫產品的重中之重。

作為國內最大的公共云計算服務提供商，阿里云為客戶提供穩定、可靠、安全、合規的云計算基礎服務，獲得了Freebuf 2015互聯網年度“安全云”稱號。

合規是檢驗云服務商安全能力的基本方法。阿里云擁有ISO 27001認證和信息安全等級保護測評三級評定，是全球首家獲得CSA STAR云安全國際金牌認證的云服務供應商，首批獲得工信部數據中心聯盟組織的可信云認證等多項權威合規資質認證。

阿里云計算平臺設計、架構和實現是安全的，符合國際和中國國家標準。

阿里云分布于全球的10余個數據中心建設均滿足GB 50174《電子信息機房設計規范》A類和TIA 942《數據中心機房通信基礎設施標準》中T3+標準。阿里云基礎設施層面的物理與環境方面，包括物理邊界控制、訪問、人員管理、供電以及溫控等嚴格遵從國內外數據中心建設標準。與此同時，阿里云采用多地域多可用區架構，多線BGP網絡接入，每個云數據中心均部署了強大的DDoS防護措施，確保服務的可用性。

阿里云對生產網絡與非生產網絡進行了嚴格的安全隔離和訪問控制。使用自動化監控系統對云平臺網絡設備、服務器、數據庫、應用集群以及核心業務進行全面實時監控。阿里云的內部運營采用了嚴格的身份與訪問管理，使用統一的賬號管理和身份認證系統管理員工賬號生命周期，細粒度的權限管理和訪問控制。阿里云在生產網絡邊界部署了堡壘機，辦公網內的運維人員只能通過堡壘機進入生產網進行運維管理。堡壘機的審計也是實時的。

阿里云為客戶提供云加密服務，通過在阿里云中使用經國家密碼管理局檢測認證的硬件密碼機，保護云上業務數據的機密性。借助加密服務，客戶可以實現對加密密鑰的完全控制和進行加解密操作，經過加密的數據，即便是阿里云運維人員也無法讀取。

此外，阿里云提供云盾以及三方安全解決方案，防止黑客入侵。與加密服務配合，可以確保云端數據的安全。

阿里云為客戶提供經第三方權威測評及認證機構現場審核過的云服務。這些測評和認證可以為客戶提供更多有關阿里云制定的安全策略、流程和程序、實施的安全控制措施以及安全運營的信息。

2015年阿里云與淘寶、天貓等構建的“混合云”支撐了“雙11”912億元的交易額，每秒交易峰值達14萬筆；10月Sort Benchmark公布2015年排序競賽最終成績：阿里云用377s就完成了100TB的數據排序，在含金量最高的2項比賽中，打破全部4項世界紀錄；在匈牙利布達佩斯舉辦的2015世界電信展上，阿里云獲得了以“真實技術能力和社會影響力”為評判標準的2015世界電信展卓越企業獎，成為本次展覽上唯一獲此獎的中國企業。

2 阿里云安全國際認證和云安全服務(CSA STAR)

阿里云已獲得全球首張云安全國際認證金牌(Cloud Security Alliance’s Security Trust and Assurance Registry，CSA STAR)，這是英國標準協會(簡稱 BSI)向全球云服務商頒發的首張金牌，也是中國企業在信息化、云計算領域安全合規方面第1次取得世界領先成績。云安全國際認證是一項全新而有針對性的國際專業認證項目，旨在應對與云安全相關的特定問題。其以 ISO/IEC 27001認證為基礎，結合云端安全控制矩陣(cloud control matrix，CCM)的要求，運用BSI提供的成熟度模型和評估方法，為提供和使用云計算的任何組織，從溝通和利益相關者的參與，策略、計劃、流程和系統性方法，技術和能力，所有權、領導力和管理，監督和測量5個維度，綜合評估組織云端安全管理和技術能力，最終給出“不合格、銅牌、銀牌、金牌”4個級別的獨立第三方外審結論。

阿里云已取得ISO/IEC 27001國際認證。ISO 27001是一項被廣泛采用的全球安全標準，采用以風險管理為核心的方法來管理公司和客戶信息，并通過定期評估風險和控制措施的有效性來保證體系的持續運行。為了獲得認證，公司必須表明它有一個系統的和持續的方法來管理信息安全風險，保障公司及客戶信息的保密性、完整性和可用性。該認證的取得不但驗證了阿里云云端技術框架、內部管理矩陣同國際信息安全最佳實踐的符合性，同時也是對阿里云云產品和服務從設計到交付的透明度、云安全服務的自動化運營服務模式的肯定。

3 阿里云安全解決方案：以游戲行業為例

2015年上半年，中國游戲市場實際銷售收入達到605.1億元人民幣，同比增長21.9%。行業快速發展的同時，互聯網環境的安全形勢日益嚴峻。地下黑色產業鏈越發成熟，利用攻擊手段進行惡意敲詐、行業對手的惡意競爭、游戲虛擬環境中各種價值誘惑、行業鏈條中的利益欺詐等等，都成為阻礙行業正常發展的安全問題。

對于游戲行業而言，有下列幾個典型的安全問題：游戲服務不可用DDoS：利用空連接、假人攻擊、流量攻擊、CC攻擊等多種方式攻擊游戲服務器，導致游戲服務的登錄、場景、戰斗等服務不可用。游戲是典型的對可用性要求非常高的應用，特別是MOBA、MMO和棋牌類游戲，哪怕延時過大都會對游戲玩家造成影響，更不用說服務直接癱瘓，玩家會迅速流失。破壞游戲平衡性——外掛：外掛是游戲中常見的作弊方式，使用者通過外掛能夠獲得怪物秒殺、自動回血、無限金幣等很多超能力，極大地破壞了游戲的整體公平性。網絡游戲的魅力在于營造了一個類似現實的虛擬世界，如果虛擬世界中失去了公平，就會引起玩家的失望和憤怒，進而迅速流失。賬號安全及流量作弊——欺詐：大量注冊小號，獲取新號獎勵和大量金幣，再設法轉給大號；利用自動化工具，通過掃庫撞庫等方式進行盜號；利用模擬器等運行游戲進行流量作弊，獲取非正常利潤；將游戲APP反編譯加入間諜軟件、后門木馬再重新打包，盜取玩家的驗證碼、資金和流量等。游戲的生態世界非常復雜，里面有研發、推廣、運營、渠道、充值、玩家等等多個角色，多個環節都可能存在為獲取超額利益而進行的欺詐行為。

針對以上挑戰，阿里云提出了以云計算平臺為基礎的游戲行業安全解決方案。

1)解決方案架構解讀

高防IP防御全局類服務。全局類服務(如登錄服務、充值服務等)一旦出現故障就會影響到游戲的全部玩家，因此需盡力保證全局性服務的高可用，建議使用高防IP進行防御。高防IP服務具備超海量攻擊清洗能力，曾成功防御全球最大的453G DDoS攻擊，同時可將源站隱藏，保證正常的業務請求不會受到影響。

ESN防御大區類服務。ESN(安全網絡)是一種全新的多節點網絡安全防御服務，全部節點均位于BGP網絡中，避免了跨運營商的延時問題，且每個節點提供攻擊防護能力；支持APP端使用SDK接入，每個端基于設備唯一標識進行Hash獲取防護節點IP，使得攻擊者無法掌握所有防護節點，大大增加攻擊成本；使用SDK后會對整個鏈路通信進行加密，可以實現對正常玩家和異常攻擊進行區分(很難批量模擬正常流量)，防御難度大大降低。

聚安全加固游戲APP。外掛制作通常是通過分析角色信息、怪物結構、背包結構、技能結構等，逆向回溯出游戲明文發包函數，根據明文發包函數調用關系及報文信息，分析出打怪、購買物品等游戲功能函數(甚至逆向出明文數據包)，從而實現定點掛機、自動打怪等。而且現在很多數據在通信時都進行了加密，因而反編譯APP獲取源代碼結構、破解數據包加密算法成為了制作外掛的第1步。聚安全是阿里巴巴針對移動安全的整體技術解決方案，通過內置安全SDK和APP加殼的方式，可以嚴格保護開發者密鑰和用戶數據等；對Java代碼和so文件指令進行混淆、保護Dex文件被破解；可針對APP調試行為進行實時檢測，杜絕對APP的破解和逆向分析企圖。

識別游戲業務中的各種業務欺詐。通過云盾反欺詐服務，可以識別和防御可能存在的垃圾注冊、暴力破解和撞庫行為；如果APP運行在模擬器環境中，可被準確檢測到；可全面掌握全網的手游APP仿冒應用分布情況和安裝設備數，進行重點打擊和下架處理。

滲透測試評估入口安全性。可以針對游戲通行證驗證系統、充值類接口、渠道SDK接口等Web類服務，通過模擬黑客攻擊的方式，進行專業的滲透測試，評估出可能存在的重大安全漏洞。

2)解決方案特點和優勢

海量DDoS攻擊防護能力。阿里云高防IP服務提供電信、聯通和BGP接入，可防御超過450G的大流量DDoS攻擊；同時高防IP服務提供了業界最大規模的7層應用防護集群，CC攻擊防護性能達到1000WQPS以上。

大型游戲全應用防護能力。大型游戲應用的架構復雜，對外直接提供服務的各類登錄服務、戰斗服務、場景服務等可能就達數十甚至上百個IP；同時由于Local DNS存在TTL緩存時間，DNS的流量牽引方式并不適合大型游戲的DDoS防護。而ESN的SDK接入和BGP節點特性，非常適合大型游戲應用，可以通過配置多個ESN獲得大型游戲的全應用防護能力。

完美解決手游外掛問題。阿里聚安全創造性地開發了安全組件SDK+安全加殼的技術，這種內外結合的方式可以對手游進行有效保護。目前阿里聚安全移動安全整體方案除了應用在手淘、支付寶、天貓等阿里自有APP業務，還擁有了諸多外部客戶，目前無一例APP被破解，很好地保護了企業和用戶的安全。

全面的防黑和反欺詐能力。游戲架構中的Web應用和接口不多，但卻往往涉及到錢和資金，是游戲最重要卻又最薄弱環節。通過阿里的專家滲透測試服務，可以有效評估這類應用的安全性。此外，通過云盾反欺詐服務，可以有效識別在用戶注冊、賬戶登錄、渠道推廣等多個環節的欺詐作弊行為，顯著降低無效的市場費用投入。

杭州電魂網絡科技股份有限公司成立至今，短短6年間已成為國內最具實力的網絡游戲研發及運營企業之一。電魂網絡使用了阿里云盾的多項安全服務，對電魂網絡旗下多款游戲進行了DDoS、CC和黑客入侵等多項防御，有效地保護了電魂網絡游戲平臺的安全，保障了數百萬玩家的輕松、暢快的游戲。

阿里綠網與威脅情報

1 阿里綠網對客戶的價值：可以應對各種信息安全運營的難點

阿里集團安全部擁有沉淀多年的阿里生態管控和阿里云用戶安全服務經驗；通過阿里綠網，將安全管理能力輸出，共建互聯網內容安全生態圈。

阿里綠網依托于阿里巴巴的全生態體系，擁有海量的特征樣本及豐富的數據模型分析經驗，基于云計算平臺，能對海量數據進行快速檢測。 阿里綠網是智能化檢測的創新，從被動的幫用戶處理違規信息轉變為用戶主動排查信息，培養了用戶管理主動網站內容的習慣。要說清楚的是，“阿里綠網”并不是一個網站，也不是手機下載的APP，而是一個專注內容識別的安全產品，是網絡色情等違規信息的“過濾器”，是網站“站長”、“版主”、管理員們的得力助手。

2 威脅情報

網絡空間的安全形勢日趨嚴峻，既有國家對抗在互聯網上延續，也有現實犯罪的網絡化遷移。整體而言，網絡空間的安全由點狀隨機分布的事件逐步向立體化的威脅過度。傳統的安全體系和思路越來越難適應發展與安全互相約束的要求。

阿里巴巴作為一個定位為世界級的商業基礎設施的互聯網企業用戶，威脅情報有非常現實的業務需求；除了針對大公司擔憂的APT攻擊，阿里云基礎設施的保護、用戶的信息泄露、黑色灰色產業的各類情報，都是阿里威脅情報需要積極獲取并支撐其他安全團隊展開行動。這些基于實際業務需求的威脅情報探索，對威脅情報體系的建設有非常重要的參照價值。

阿里巴巴從業務需求出發，需要的這些威脅情報，無論線索或信源都有很多需要來自外部，這些都需要與政府和其他安全廠商展開積極的威脅情報合作。希望能夠逐步磨合出一個威脅情報合作和交換的體系，形成多方的共贏。

阿里聚安全開放平臺

互聯網蓬勃發展，催生眾多創新業務，互聯網安全也面臨前所未有的挑戰。阿里聚安全是一個面向企業和開發者提供互聯網業務安全解決方案，全面覆蓋移動安全、數據風控、內容安全、實人認證等多個維度，與全社會共享阿里巴巴的專業安全技術和能力。

1)大數據和多維度引擎確保移動業務安全

基于阿里巴巴多年積累的安全大數據和多維度安全風險分析引擎，阿里聚安全為客戶提供風險發現、安全防護和持續監控三大模塊的產品及服務。

阿里聚安全通過安全掃描和安全評估組件來提供風險發現服務。安全掃描組件采用的木馬檢測引擎是最年輕的AV-Test冠軍；而安全評估組件采用靜態污點分析和動態模糊測試結合的技術，最大程度地覆蓋應用中潛在的安全漏洞，可以幫助客戶快速定位漏洞，并對其進行定級、分析和修復。

在防護能力方面，應用加固和安全組件使得阿里聚安全具備應用級和代碼級的雙重保護能力，形成內外結合的防護體系，能夠抵御逆向分析、二次打包和動態調試等攻擊。值得一提的是，該安全組件是業界首家支持所有主流移動平臺的安全SDK，經歷了數個億級應用和多次“雙11”活動的嚴酷考驗。

針對上線后的應用，持續監控模塊提供了全流程的風險管控服務，以可視化的方式為企業實時監測各類風險。

2)數據風控解決方案讓黑灰產遠離企業

許多互聯網業務都是黑灰產眼中的“肥肉”。黑灰產的介入不僅侵犯商業利益，還嚴重干擾用戶的正常使用，而且極有可能拖垮整個業務平臺，給企業造成毀滅性災難。阿里聚安全提供了完整數據風控解決方案，不僅可以實時識別并阻止惡意行為，而且保證正常用戶的行為不被打擾。阿里聚安全業務風控解決方案為企業商業系統的健康發展提供了高質量的保障，在企業和黑灰產之間構筑了一道堅不可摧的銅墻鐵壁。

3)內容安全“守護神”凈化網絡空間

2015年，北京三里屯優衣庫不雅視頻事件、快播公司涉黃事件、百度貼吧事件、斗魚“造人”在線直播事件在社交平臺上傳播極廣，造成了極為惡劣的社會影響的同時，也引發了企業對“內容安全”的思考。

阿里巴巴的內容安全產品基于多年的管控經驗建立了完整的風控和分析體系，將輿情情報沉淀為樣本并優化算法，提升了信息安全檢測能力。

阿里巴巴擁有業界頂尖的安全和算法專家團隊，支持阿里巴巴各業務平臺每日上億的圖片檢測與分析，可提供完備的內容檢測服務，如智能鑒黃、違禁圖像識別、圖文識別、文本識別等。

依托于阿里巴巴生態的環境，阿里聚安全進行了精細化的場景管理，并將場景化概念應用于服務的各個環節，將每個場景下的檢測做到極致。

另外，阿里聚安全還打造了社會化審核平臺，建立完善的樣本管理體系。借助互聯網志愿者的社會化標注力量，為綠網的算法迭代、圖片審核提供了強大的助推力。

阿里聚安全可以有效地凈化網絡環境，為企業的內容安全保駕護航。

4)實人認證——線上線下完全一致

為保障用戶身份真實有效和持續一致，并建設網絡誠信體系，阿里巴巴的網絡身份認證從一開始就不斷升級。從最初的實名登記升級為銀行打款認證，再到手持身份證認證。現在，淘寶賣家開店認證已全面升級為實人認證。

目前，阿里聚安全實人認證是全網唯一通過公安部與工信部認可的在線手機發卡認證方案。

同時，阿里聚安全以生物識別、無線安全技術為支撐，保障實人認證有效性。目前，阿里巴巴人臉識別技術已在實際場景中大規模應用，實戰中相關性能指標在FPR(false positive rate)0.1%情況下，TPR(true positive rate)達96%，識別準確率遠遠超過人體肉眼識別。

5)“一站式”解決方案助力企業業務

阿里聚安全還為企業用戶提供了“一站式”方案，既有適合大多數企業的通用型解決方案，也有針對細分行業的解決方案。阿里聚安全的通用解決方案完整覆蓋了企業業務開發的整個過程。

在設計階段，提供安全流程培訓服務；在開發階段，接入高強度的安全組件；在測試階段使用自動化的漏洞掃描和兼容性測試；業務上線前，再進行應用加固；上線后，則持續對發布的應用進行仿冒監測、運行環境監測和攻擊行為監測。在發現仿冒應用和攻擊風險時，阿里聚安全還提供情報服務和應急響應。

而對于已經上線的業務，阿里聚安全也提供漏洞掃描和安全評估服務。

除了通用解決方案，阿里聚安全還推出了行業解決方案，涵蓋電商、醫療、金融以及手游等領域。

阿里聚安全平臺體系

阿里聚安全平臺擁有基于硬件、系統、傳輸、數據、應用、服務、用戶、內容的8層安全模型如圖3～5所示：

圖3 實現全鏈路防護體系：8層安全模型圖

圖4 全面輸出互聯網業務安全能力：大數據風險引擎圖

圖5 阿里聚安全平臺

1)金融類應用面臨的安全風險

目前各家金融機構爭相推出各自的應用軟件，其中各熱門應用均遭到不同程度的入侵攻擊或二次打包等威脅。 金融類應用主要面臨的安全風險是：黑客通過破解客戶端邏輯，偽造客戶端請求，篡改用戶交易流程的手段，竊取用戶資金的交易安全風險；通過反調試、注入、界面劫持、釣魚木馬等手段導致敏感信息泄露的風險；黑客通過對正版應用進行二次打包，插入廣告、病毒等惡意代碼后重新發布，竊取用戶數據、威脅賬戶資產，影響用戶權益的信譽安全風險及第三方開發商進行金融類應用開發時，開發過程中的安全問題無法很好監控的流程安全風險。

針對金融類應用的安全風險，阿里聚安全以“風險發現—安全增強—規范開發全流程“的模式為金融應用提供全方位、多層次的安全保護。

2)風險發現：漏洞深入排查，仿冒應用全網覆蓋

在風險發現中，阿里聚安全提供漏洞掃描和仿冒監測服務。漏洞掃描服務可幫助金融應用開發者迅速發現應用中的漏洞，及時有效防止用戶信息泄露和資金損失。仿冒監測服務能夠監測數百個渠道、網盤、論壇等全網范圍內的仿冒軟件，為正版應用開發者提供仿冒軟件的信息，防止用戶因下載仿冒應用而導致的資金損失。

通過風險發現方案，金融應用開發者可及時發現應用中存在的安全問題，進而采取安全增強措施提高安全等級，減少損失。

3)安全增強：安全組件、應用加固并行合作，共保金融安全

安全組件SDK從代碼層面貫穿編譯的整個過程，保護應用的業務安全。具備安全存儲、安全加密、安全簽名、安全檢測等功能特點。阿里聚安全提供SDK類型的安全組件供開發者進行接入，通過實現多層次的安全機制打造安全沙箱環境來防止應用被黑客或木馬所攻擊。服務端提供應用安全監控服務，幫助開發者了解所發布應用的安全狀況與安全趨勢。

應用加固服務針對安裝包直接加固，無需二次開發。應用加固增加了應用邏輯的分析成本，使得攻擊者無法使用手動或自動化工具快速獲取應用邏輯。并且防惡意篡改，防內存竊取，防動態跟蹤和注入等風險。

4)流程規范：ASDL流程安全開發，避免安全風險

阿里聚安全為金融類應用提供完整的安全開發流程規范，通過在軟件開發生命周期的每個階段執行必要的安全控制活動或任務，避免設計缺陷、邏輯缺陷和代碼缺陷，保證軟件在開發生命周期內的安全性得到最大的提升，真正做到從應用產生的源頭來避免安全風險。

螞蟻金服集團的信息安全

螞蟻金服集團首席執行官彭蕾說，在從事金融業務的過程中，螞蟻金服秉持“穩妥創新、擁抱監管、服務實體、激活金融”的發展方針，建立了一整套完善的風險和安全管理體系，嚴格管理各類風險，保障業務穩定安全運行。

螞蟻金融服務集團(以下稱“螞蟻金服”)起步于2004年成立的支付寶。2014年10月，螞蟻金服正式成立。螞蟻金服以“讓信用等于財富”為愿景，致力于打造開放的生態系統，通過“互聯網推進器計劃”助力金融機構和合作伙伴加速邁向“互聯網+”，為小微企業和個人消費者提供穩健的普惠金融服務。螞蟻金服旗下有支付寶、螞蟻聚寶、網商銀行芝麻信用、螞蟻金融云等子業務板塊。

成立集團以來，螞蟻金服業績閃亮：芝麻信用公測、招財寶破千億、余額寶規模超7000億、成立螞蟻達客、開辦網商銀行等，加上支付寶和螞蟻小貸，已成為一個橫跨支付、基金、保險、銀行、征信、互聯網理財、股權眾籌、金融IT系統的互聯網金融集團。螞蟻金服目前擁有超過4.5億互聯網支付用戶，超過2億理財投資用戶。各個子品牌間分工協作，分層滿足用戶不同層次的金融服務需求，形成完整的產品矩陣。在全力推進業務發展的同時，螞蟻金服集團一直在建立和完善自身的信息安全體系，目前螞蟻金服集團已經通過國際信息安全管理體系認證，獲頒ISO 27001:2013信息安全管理認證證書；該標準被公認為全球最權威、最嚴格，也是全球最被廣泛接受和應用的信息安全領域的體系認證標準，通過該認證標志其信息安全管理已進入國際化標準水平；一方面為企業選擇螞蟻金服提供信心和放心的保障，更從第三方角度證明了螞蟻金服集團的信息安全管理能力；同時，螞蟻金服在安全能力建設方面不斷深耕，除了ISO27001信息安全管理體系認證之外，還通過了4項安全相關認證：一是支付業務認證。二是公安部等級保護認證。2011年12月，支付寶完成了相關信息系統的定級，并通過了公安部等保3級認證。三是安全檢測認證。2007年，螞蟻金服首次獲得信息系統安全保障一級認證，并于2010年、2014年均通過復評。四是PCI-DSS。支付寶按照國際標準PCI-DSS 對用戶信用卡數據進行保護，建立信用卡數據中心、改造信用卡業務系統、建立/健全配套信息安全基礎設施、信息安全策略、信息安全管理規范制度等。 自2009年起，支付寶逐年通過了國際支付卡行業的PCI-DSS最高級別(Service Provider Level 1)的認證。

此外，螞蟻金服深知信息安全工作中人的重要性，制定了一系列制度流程來規范內部人員的操作行為，提升信息安全意識；制定了《數據安全管理規范總則》和《數據分級規范》等制度，建立了嚴格的數據分級標準，以風險為本的指導原則，對所有存量數據按風險等級(機密、敏感、內部、公開)進行管理;建立了獨立的數據安全風險監督平臺及團隊，根據數據安全管理規范，對所有數據操作行為進行監督和審計，把數據使用的安全責任落實到人；頒布了《螞蟻金服員工信息安全行為規范》及《螞蟻金服商業行為準則》，并要求員工每年必須通過認證考試，把對員工的信息安全意識教育落到實處。

螞蟻金服旗下的支付寶，有超過4.5億實名用戶。其中農村用戶超過6000萬，為370座城市提供綜合服務超過4000項。技術方面，目前，支付寶的峰值處理能力已經達到8.59萬筆/s。此外，圍繞線下的消費與支付場景，支付寶錢包還推出“未來醫院”、“未來商圈”、“未來出行”等計劃，拓展不同應用場景。在業務發展過程中，螞蟻金服持續加大研發投入，實現了數據存儲和處理核心技術去IOE，確保技術底層自主和安全可控；設立數據決策小組等專門機構，建立健全數據安全組織保障；完善數據安全保護規則，持續提升數據和用戶信息保護水平；與全國91個地市級公安機關緊密協同，以數據為線索，打擊黑灰產業，推動線下打擊專案151起，抓獲涉案犯罪嫌疑人452人，顯著改善了安全生態。

螞蟻金服的自主可控技術、分布式金融架構、異地多活的容災體系達到世界領先水平，嚴格保證業務連續性，并且可以支撐業務的可持續發展。2012—2014年連續3年，支付寶系統的可用率都在99.99%以上，沒有進行過一次停機維護。機房建設時，按標準進行選址，嚴格出入管理、電力供應、消防、溫濕度控制等，避免機房基礎設施出現異常導致業務故障。同時，螞蟻金服也在持續加強業務過程中的安全管理。

在實時交易監控方面，風險管理中心對所有的交易進行7×24h實時監控，從多個維度分析交易風險，并對風險交易進行有效處置。風險管理中心開發并部署了80多套風控模型、8000多條風控規則，通過實時智能風控系統用于可疑交易的識別和處理。

在安全認證方面，螞蟻金服不斷探索互聯網環境下的安全認證機制，建設了傳統模式和互聯網模式結合的核身平臺，旨在用平臺化的思路，集成傳統的和創新的安全產品，為不同應用場景提供可定制化、可運營的解決方案；并利用平臺大數據的優勢，通過數據分析、數據建模，從賬戶認證提升到自然人的認證。

核身平臺已經實現或接入的產品有：PKI體系產品，如數字證書，支付盾；一次性校驗類產品，如密碼，短信，OTP；生物特征類產品，如指紋，人臉；大數據類產品，如KBA(knowledge based authentication)；以及證件類、銀行卡綁定等等。

目前已經服務于支付寶、網商銀行、螞蟻聚寶、手機淘寶等APP，覆蓋支付、理財、O2O、信用、賬戶管理和實名認證等業務。

其中生物識別和大數據安全產品正在被大規模的使用，人臉識別已經服務于1000萬以上用戶；在指紋認證方面，螞蟻金服從2014年開始進行指紋支付的研發，并聯合華為、三星、中興、中國信息通信研究院等單位聯合組建了互聯網身份認證聯盟，該聯盟以標準化的形式推出了生物識別技術在互聯網金融上的解決方案。目前有30多家廠商加入了該聯盟，這些廠商涉及到芯片廠商如ARM，MTK等；手機廠商如三星、華為、中興等；以及其他的行業上下游企業。該聯盟大大地提升了行業的協同效率，目前已經有50多款手機應用了IFAA標準。

結 語

阿里巴巴集團和螞蟻金服集團，經過多年的積累，從基礎防護到大數據、阿里云、阿里綠網、阿里移動安全到威脅情報，已經形成了專業、嚴密的生態系統安全防護體系。阿里巴巴和螞蟻金服的安全體系目前還是重點為兩大集團的經營和產品及用戶提供服務與支持，在沒有利益驅動下，阿里巴巴和螞蟻金服的信息安全做得比較深入系統，也為阿里巴巴集團和螞蟻金服集團這兩大全球前列的互聯網公司提供了強大的安全保障。

鳴謝：阿里巴巴集團安全部總監王麗君女士、政府事務專家李斌先生為本文提供支持。

崔傳楨

《信息安全研究》雜志執行主編，主要研究方向為國家戰略、財政金融管理與創新、網絡空間安全、戰略與管理創新。cctz@vip.sina.com

Internet +”Power: Analyze the Network Security of Alibaba —The Information Security and Strategic Layout of Alibaba and Ants Gold Dress on the Basis of “Internet +” Background

Cui Chuanzhen