信息安全技术日益重要，安全是生命的保障和发展的驱动力。缺乏安全的企业就像缺水的鱼，难以游弋到胜利的彼岸。8月20日,在上海凌空SOHO12携程举办了第二届携程信息安全沙龙。参会者们满心期待，如约而至，会场座无虚席。

      会议开始前先由携程信息安全总监凌云致开幕辞。

      伴随着阵阵掌声，沙龙活动正式开始。

      张亮——携程技术保障中心信息安全部资深信息安全工程师。在携程负责web安全、网络安全、安全研发等工作，专注于高性能、大流量以及大数据下的安全工作。

      首先由张亮分享《云WAF与大数据分析实践》，他详细介绍了互联网公司常见的web安全层面的痛点，各种应用安全的需求无法防护，0day的应急响应等，并且列举了想要防护时所必须面对的难点，最终技术选型为基于云的Web应用防火墙。

      在构建过程中，分别围绕规则源、部署、日志处理等方面进行闭环设计，形成各自的数据落地方式。并通过镜像流量的实时计算、防护日志的机器学习分类，分别来提高该系统的拦截率和降低误报率。

      目前该系统已成熟稳定的运行，每天防御十亿级别的请求，每次处理的时延均在单位毫秒级，在每天拦截数十上百万的攻击同时保证误报率低于千万分之一。而且计划将来进一步提高自动化效率，通过机器学习和实时计算，能够做到无人值守，自动识别可疑访问。

      方斌——唯品会高级信息安全工程师，现在在唯品会主要负责内部产品安全跟VSRC。

      本次方斌以《浅析唯品会产品安全加固方案》为主题分享，主要介绍在唯品会快速发展的电商企业里，产品安全上推广SDL的一些方法跟碰到的问题及解决方案。

      他提出在建立的《产品设计与开发 安全红线》的基础上来解决最根本的安全问题，加大SDL环节中产品需求设计的安全参于度，减少人工评审时间，加大安全架构设计等。

      闵杰——携程信息安全高级工程师，5年以上的业务安全从业经验，长期参与一线的黑产对抗。现主要负责携程的安全画像体系，大数据行为分析，生物识别验证码体系的建设。

      下午一开始由闵杰做了《携程业务安全前生今世》的分享，首先他就携程目前遇到的一些业务安全问题以及行业内安全现状做了解说，并根据目前携程的现状，将携程的前端验证码、后端风控、离线黑产平台做了一一介绍。

      同时谈到了即将完成的生物验证码及实时离线融合的风控防御体系，最后他提到了携程将来业务安全的愿景，将用户体验和安全融合在了一起，安全并非一定会是体验的敌人，也需要让携程的用户去感受到他们在日常使用携程过程中，安全一定是会得到保障的，从而拉近用户和公司之间的距离。

      李文吉——点融网高级安全工程师，五年以上安全经验，现主要关注于业务安全，用户行为建模，安全开发，以及实际的安全架构。擅长WEB安全、渗透测试，日志分析等。
      第二场李文吉就现在互联网金融的潜在风险作出了分析，并结合甲方的身份给大家讲述了实际遇到的问题。接下来，他给大家讲述了作为甲方，如何面对、解决这些潜在的风险。
      他从WEB安全，业务安全，安全管理等方面，介绍了点融现在在做的一些事。从自建WAF到业务安全引擎，再到员工本身的风险，为大家祭出了一些方案。

      周军-去哪儿网安全工程师。 目前主要负责公司漏洞分析、运维安全、风险监控和相关平台建设等工作。

      茶歇之后，周军所分享的《去哪儿网 ELK 安全监控中心的踩坑与实践》，介绍去哪儿安全团队面对各种安全监控场景，使用 ELK 技术搭建安全监控中心，如何采集并集中管理各种安全数据，通过统计分析，利用特征匹配和时序统计等方式，对不同场景的风险事件实现自动化监控，做到风险事件的及时发现和响应。

      探讨借助 Kibana 实现数据的可视化分析，实现直观展示抽象的风险事件。议题同时穿插技术实践过程中的踩坑经验，对与会者在相关技术下的探索实践很有借鉴意义。

各位分享嘉宾、与台下的信息安全爱好者在提问环节互动中进行了探讨交流。携程信息安全部的同事与台下的朋友也在万众期待的抽奖互动中，碰撞出友谊的火花。

本次沙龙最有趣的事，还多了不少“CSRC买家秀”感谢各位对携程信息安全沙龙的支持~

      通过本次沙龙增进了大家和携程的友谊及信息安全的合作，2016年携程信息安全沙龙圆满落幕！

沙龙ppt下载链接：

http://share.weiyun.com/cb4e49cb58b1d4682bea4a7a59048491

文章原文链接:https://www.anquanke.com/post/id/84434