但全面爆發(fā)的小程序背后不容忽視安全風(fēng)險。疫情期間，各種各樣小程序集中開(kāi)發(fā)，普遍需要在1-3天的極限時(shí)間完成上線(xiàn)，并快速進(jìn)行服務(wù)功能的迭代和升級。而針對小程序的安全標準又十分嚴苛：確保“0”大型平臺問(wèn)題，“0”數據安全問(wèn)題。尤其是政務(wù)、醫療等公共服務(wù)類(lèi)小程序，不僅面向海量用戶(hù)，還存儲著(zhù)他們個(gè)人的隱私信息，其穩定性和安全性更是不容有失。除此之外，超大規模的小程序還面臨著(zhù)復雜的跨網(wǎng)交換、超出平時(shí)數倍的運營(yíng)壓力，更不必說(shuō)時(shí)刻潛伏的不法黑客攻擊威脅。
為了能讓各類(lèi)小程序更好、更安全地參與到“戰疫”中，騰訊安全整合旗下的安全能力推出“微應急”安全防護方案，通過(guò)一套部署在云端的縱深產(chǎn)品體系和一套覆蓋“事前、事中、事后”全生命周期的安全服務(wù)體系，為小程序提供業(yè)務(wù)安全、運維安全、數據安全、應用環(huán)境安全、安全運營(yíng)等五大保障，從小程序開(kāi)發(fā)階段就嵌入安全基因，保障小程序從上線(xiàn)到運營(yíng)的全生命周期和全體系的安全。
事前的風(fēng)險排查格外重要，如果開(kāi)發(fā)階段沒(méi)做好安全建設筑牢根基，后續的安全防護與在一口爛鍋上修修補補無(wú)異，會(huì )顯著(zhù)增加不法黑客破譯小程序的心業(yè)務(wù)邏輯和算法的風(fēng)險，進(jìn)而將一個(gè)本來(lái)提供口罩預約、疫情查詢(xún)等公益功能的小程序二次打包，插入病毒、流氓廣告等惡意代碼，變?yōu)閲乐匚：τ脩?hù)體驗的作惡工具。騰訊安全“微應急”防護方案可有效支持小程序在開(kāi)發(fā)階段的安全測試、風(fēng)險評估和加固。對于小程序前端代碼的加密，接入該方案的開(kāi)發(fā)者只需將代碼(路徑或文件)傳遞給加密工具，即可實(shí)現字符串加密、屬性加密、調用轉換、代碼混淆等多項保護措施，提高攻擊者分析H5前端代碼邏輯的難度；針對小程序前端和后臺WEB端，該方案提供整體自動(dòng)化風(fēng)險檢測工具，覆蓋前臺代碼安全和API使用規范，以及業(yè)務(wù)CGI和對WEB框架和的安全檢測，基本覆蓋當下主流Web攻擊方式，可以讓開(kāi)發(fā)者在極限開(kāi)發(fā)時(shí)間壓力下，交付符合安全標準的小程序。一旦企業(yè)遭遇了安全事件。騰訊安全專(zhuān)家服務(wù)，可提供入侵原因分析、業(yè)務(wù)損失評估、系統恢復加固、以及黑客溯源取證的安全服務(wù)，減少因黑客入侵帶來(lái)的損失，同時(shí)還可進(jìn)一步提供威脅情報（IoC）查詢(xún)服務(wù)、IP/Domain/文件等信譽(yù)查詢(xún)服務(wù)，幫助大中型企業(yè)客戶(hù)提升現有安全解決方案的防御和檢測能力，并且可以幫助小微企業(yè)以很小的代價(jià)來(lái)享受專(zhuān)業(yè)的威脅情報服務(wù)。安全產(chǎn)品的部署和布防應該和業(yè)務(wù)發(fā)展協(xié)調。騰訊安全身份管控平臺基于零信任策略，可對企業(yè)應用和服務(wù)提供集中管控，統一防控和統一審計，保障企業(yè)應用和服務(wù)更安全、更可靠，讓你的小程序在云上跑更舒暢更安全。具體而言，可信身份令牌給小程序服務(wù)打造一張“安全門(mén)禁”，負責業(yè)務(wù)鑒權、信任傳遞；統一管控平臺全面審計用戶(hù)行為，持續把控環(huán)境風(fēng)險；應用支持智能網(wǎng)關(guān)對接多種業(yè)務(wù)服務(wù)，實(shí)現互聯(lián)互通。與傳統網(wǎng)關(guān)產(chǎn)品相比，應用級智能網(wǎng)關(guān)還可支持特大型機構應用的API集中管理、支持靈活的安全準入控制機制、滿(mǎn)足超大規模性能需求。受疫情的影響，所有企業(yè)上線(xiàn)的新業(yè)務(wù)和應用背后都是壓縮至小時(shí)級別的迭代和開(kāi)發(fā)強度。本就容易在交付的時(shí)間壓力下滋生的安全風(fēng)險，在如此極限的交付壓力下，帶給安全運營(yíng)的壓力可想而知。為此，騰訊安全“微應急”防護方案通過(guò)打造事前風(fēng)險排查、事中應急響應、事后溯源審計的的安全服務(wù)體系，覆蓋小程序開(kāi)發(fā)的全生命周期，大幅降低安全運營(yíng)的壓力，同時(shí)提升精度和效率。騰訊云原生的安全運營(yíng)管理平臺將騰訊安全專(zhuān)家服務(wù)在事前、事中、事后的能力有效融合，實(shí)現了“可視、檢測、響應、預防”一體的安全運營(yíng)體系。安全運營(yíng)中心的安全報表、安全儀表盤(pán)及安全大屏等功能，讓小程序運行安全態(tài)勢可視可感知，提高安全事件處理效率。
基于多年的安全能力積累，騰訊安全建設了全面的漏洞信息庫，同時(shí)安全專(zhuān)家實(shí)時(shí)跟進(jìn)網(wǎng)絡(luò )風(fēng)險動(dòng)態(tài)，第一時(shí)間提供漏洞威脅情報、掃描插件或該工具和專(zhuān)業(yè)處置建議。在小程序發(fā)布前，可以提前避免風(fēng)險暴露，預防入侵；在發(fā)布后，可以檢測小程序相關(guān)的服務(wù)，大幅縮減風(fēng)險潛伏期，降低小程序的整體安全風(fēng)險。為了進(jìn)一步保證小程序的平臺穩定性和業(yè)務(wù)使用連續性，阻擋不正當流量，幫助企業(yè)構建服務(wù)器安全防護體系。騰訊安全“微應急”安全防護方案從用戶(hù)進(jìn)入小程序時(shí)就引入相關(guān)HTTP/TLS的加密，提升加密傳輸的級別，隨即通過(guò)部署DDoS 防護提供全面、高效、專(zhuān)業(yè)的抗D 能力。Web應用防火墻可以高效應對Web 攻擊、入侵、漏洞利用、掛馬、篡改、后門(mén)、爬蟲(chóng)、域名劫持等業(yè)務(wù)安全防護問(wèn)題。此外，騰訊安全用戶(hù)提供黑客入侵檢測和漏洞風(fēng)險預警等安全防護服務(wù)，通過(guò)部署主機安全產(chǎn)品解決當前服務(wù)器面臨的主要網(wǎng)絡(luò )安全風(fēng)險，包括基線(xiàn)核查、密碼破解攔截、木馬文件查殺、高危漏洞檢測等安全功能。同時(shí)經(jīng)過(guò)實(shí)踐檢驗，“DDoS防護+Web應用防火墻+主機安全”三大安全產(chǎn)品的聯(lián)動(dòng)可以在前端阻擋99%以上的攻擊行為，阻擋絕大部分的不正常流量。
對內而言，為了消除運維人員有意或無(wú)意的操作風(fēng)險，通過(guò)部署堡壘機，結合堡壘機與人工智能技術(shù)，為企業(yè)提供運維人員操作審計，對異常行為進(jìn)行告警，防止內部數據泄密。除此之外，騰訊安全“微應急”防護方案針對備受關(guān)注的數據安全問(wèn)題，提供從憑據安全管理、敏感數據加密到數據庫審計和數據備份的能力，為客戶(hù)提供完整的數據安全解決方案，防止數據泄露。
目前，騰訊安全“微應急”安全防護方案已應用在全國200多個(gè)公共服務(wù)小程序中，護航公共服務(wù)的安全。同時(shí)，該方案中的產(chǎn)品及服務(wù)均已在騰訊云官網(wǎng)上線(xiàn)，廣大企業(yè)可自行選購。
本文地址：http://havencoinwallet.com//article/2020/0312/15433.html
