企业产品网络安全建设日志3月25

参与推行域名上线安全卡点

背景

未经安全审核的上线动作，对企业的风险首先面临是外部审核的问题，一个企业有各种情况要接受外部的安全审计，各种受雇三方的机构会对公司旗下域名进行安全分析。
有加之最近A团队，像在线业务提交合并服务时，几乎能把能犯的错误都犯了一遍，被我们设计的安全系统给拦截了。
加之一系列的积弊已久的子域名做安全提升动作，均为一个铺垫。
促使大家增加对上线域名动作的安全检查。

处置

我们知道一个东西需要流程，我们采取的是依托devops做了一个域名申报流程。使得安全基线检查成为域名上线前的默认动作。
当然，这种域名的安全基线检查还是非常基础的。
比如常见的证书加密端口风险组件识别一系列。
而远未达到应用深层级别，但是想一下，这是面向一个集团的。如果逐个要达到应用生成级别的话，需要相当的资源。
所以我们采取的策略是设定一个基础的域名安全申请基线，让我们的域名少犯一些非常低级幼稚的错误，和安全风险，降低被第三方识别的概率。

C系云安全认证准备

不能等年尾才做这个动作，需要提前做，所以已经在做前期咨询工作。整个过程可能得四个月才能完成。建设动作三个月，外加审核和制证。
当然，这里面还有宣讲，以及采购过程，这个至少得一个月时间。
这个算起来就是五个月的过程。所以，四月启动大约十月才能结束。而目标如果是年底的话，最低需六月启动。

WAF调试

将最近由若干生产环境和测试环境日志分析出的冲突结果进行了汇总，基于汇总结果，今天对涉及到的策略进行了调整，并逐项验证通过。