案例 - 知名快消企业的API安全治理之道

数字化趋势下，快消企业几乎把大部分业务包括核心业务都搬到了线上，并越来越依赖API整合大量系统，实现业务彼此之间的交互。但同时，通过API获取数据的攻击也越来越受到黑客的欢迎，传统安全产品在应对新型API攻击时也逐渐力不从心。

为了解决API面临的各种安全风险与挑战，弥补传统安全产品的不足，瑞数信息推出瑞数API安全管控平台（API BotDefender），从API的资产管理、敏感数据管控、访问行为管控、API风险识别与管控等维度，体系化保障API安全。

目前，瑞数API安全管控平台（API BotDefender）已成功应用在多个快消企业中，其中不乏行业头部企业。以下为两个典型的快消企业API安全治理实践案例。

案例一

某知名餐饮零售连锁企业

某知名餐饮零售连锁企业，拥有过亿的全球用户，其线上应用日活已超3000万。该企业基于行业领先的IT建设，采用了主流的动静分离架构，核心业务都在API接口上，同时为了保证业务安全，很早就部署了传统API网关、WAF、风控等安全产品。

然而，该企业已有的API网关更多是在鉴权层面起到作用，缺少API安全层面的发现和管控。部署的传统WAF基于规则库，则对于该企业来说是个黑盒子，只能看到拦截效果，无法透视业务威胁，也无法从业务角度进行安全分析。而风控产品，由于缺乏和安全平台的联动，无法帮助该企业识别恶意行为。

因此，该企业采用了瑞数API安全管控平台（API BotDefender），以对API安全进行全方位的管理和保护。部署后，通过瑞数API资产管理功能，该企业很快发现了一批未被清点、临时接口未关闭的API资产；通过API异常行为管控功能，更发现了大量异常行为和背后的异常账号设备，并实施了批量封堵处理。

例如，该企业采用一种线上下单、店内取货的模式，经瑞数API安全管控平台溯源发现，某用户的手机号码在24小时内就连续下单超过50次，这显然不符合正常用户的使用逻辑。同时，瑞数API BotDefender还发现涉及这种异常行为的设备高达230个，其中有80个设备在1小时内使用了5个以上的账号进行下单，总共涉及1540个手机号——这些传统安全产品无法识别的异常行为，都在瑞数API BotDefender平台上清晰地展示出来，并能够被实时拦截。

此外，除了API资产管理和API异常行为管控功能，瑞数API BotDefender还为该企业提供了全生命周期的API安全能力，不仅覆盖OWASP API Security Top10的攻击防御，并且通过API业务威胁模型，可以快速应对诸如爬虫、撞库等一系列API的业务安全攻击，为该企业的API安全提供了全面防护。

案例二

某知名保健美容零售连锁企业

某知名 健康 美容零售连锁企业在全球拥有数千万活跃会员，其庞大的业务体量，使得该企业一直将信息安全作为其IT建设中的重中之重。为了保护线上业务安全，该企业自2017年起一直采用瑞数动态应用保护系统 Botgate，对大量机器人攻击行为、薅羊毛、安全攻击等行为进行了有效防护。

随着该企业更多的业务交易从线下转移到线上，数字化营销程度不断深入，微信小程序成为其开展业务和营销活动的主要线上渠道之一，API接口数量随之快速增长，通过API接口发起的攻击也越来越多。攻击者试图通过API越权访问会员信息，批量获取用户隐私信息，这让该企业意识到应迅速加强API防护。

2020年，该企业在原有的瑞数动态应用保护系统基础上，扩展了API BotDefender模块，补充API防护能力， 在以下四方面获得了立竿见影的效果：

数字化浪潮中，快消企业必须面对愈加复杂的网络安全环境，与黑产进行持续升级的对抗。瑞数API BotDefender作为API防护的创新方案，基于瑞数独有的“动态安全+AI”核心技术，能够为快消企业建立完整的API资产感知、发现、监测、管控能力，有效保护企业的业务安全和数据安全。

通过案例分析增加信息量，对先验概率进行修正，从而提高决策者对未来可能性的把握，达到降低决策风险的目的。那么下面是我整理的网络营销成功的案例分析，就随我一起去看看吧，希望能够有所帮助。

网络营销成功的案例分析一

华为：缩小经营单位，打“班长的战争”

华为最近组织的变革做得比较多，任正非提出，“简化组织管理，让组织更轻更灵活，是我们未来组织的奋斗目标”。华为最近所做的一个大的改革，就是提出“班长的战争”。华为将从中央集权变成小单位作战，“通过现代化的小单位作战部队，在前方去发现战略机会，再迅速向后方请求强大火力，用现代化手段实施精准打击”，这就是所谓班长的战争。

要实现这种改革，就是要建立子公司的董事会。过去华为为什么要中央集权呢?就是要组织集团冲锋，因为我们火力不够，即企业的资源不够，所以得把整个企业的资源集聚在一起形成强大火力去冲锋。那么现在不一样了，现在企业的品牌资源、资金资源、客户资源都有了，这时候就需要变阵，要把集中的权力下放，企业的一些重大经营决策就要下放到子公司董事会，而不再是集团的董事会来。

强调“班长的战争”，并不是说班长可以为所欲为，而是需要资本的力量监督，需要董事会来监督班长。所以任正非提出，我们既要及时放权，把指挥权交给一线，又要防止一线的人乱打仗，监控机制要跟上，所以要建立子公司董事会，由子公司董事代表资本实现对经营者的监督。

任正非认为 企业管理 要学部队，他认为部队的组织机构是最具有战斗力的。像美军早就把作战单元变成旅，以旅为单位，作战能力更厉害。美军内部还在改革，未来的方向是作战单元有可能从军直接管到营，一个班的火力配置要达到一个旅级的配置，以后炮火就是跟着你的班长，提高一线的综合作战能力。

缩小作战单元，让前方听得见炮火的人指挥战争，提升一线的综合作战能力，总部变成资源配置和支援的平台，这是华为组织变革的一个趋势。

所以华为现在提出要简化组织管理，让组织更轻更灵活，五年以内逐步实现让前方来呼唤炮火要缩减组织层次，缩小规模，几个组织合并成一个组织，进行功能整合，以便于快速响应前方的呼唤。

当年美国打伊拉克，美军组建了“三人战斗小组”。第一个叫信息情报专家，他带着先进的设备就可以测出这个地方有多少兵力，确立敌人的目标方向后，把情报传递给火力战斗专家火力战斗专家根据他的情报来配置炸d，然后 报告 给战斗专家战斗专家可能就是一个少将，他计算出必要的作战方式，按照军部授权，直接指挥前线炮兵开火，这就是“三人作战小组”。当然三人小组并不是说只有三个人，每个人可能又带领一个小组，但这三人小组本身来讲又是一个小组，是一个综合作战小部队。

缩小经营单位，我认为这是未来组织变革的一个趋势。往往企业一做大就面临很多问题，其中一个就是搭便车、混日子的人越来越多，占着位子不作为、不创造价值的人越来越多。那在互联网时代，要快速捕捉机会、响应市场，组织就必须得精简、简约，而不是搞人海战术，使得每个人都成为价值创造者，使每个人都能有价值地工作。

这就需要改变我们整个的组织结构和组织模式，总部是要求提高专业化整合与管理能力，一线则是要提高综合作战能力。大家看到，不管是互联网企业小米，还是传统企业海尔及华为，所进行的变革都是在走向组织精简扁平化，强调速度，强调客户价值导向。

组织结构不再是过去的传统的金字塔结构，企业的权威也不再是行政权威，它包括专业权威，也包括流程权威。

网络营销成功的案例分析二

褚橙——打造高溢价的农产品电商

本来生活网运营中心副总经理唐宋在名为《像可口可乐一样卖水果》的分享中提及，在做褚橙2013年的品牌营销的时候，考虑到的问题——如何将非标准化的东西做成一个标准化，以及如何面对年轻人做推广。

于是我们看到本来生活网以“讲 故事 + 文化 包装+食品安全+社会化媒体营销+产销电商一条龙”，打造了2013年褚橙大卖。其中将大数据技术和社会化 广告 技术进行结合，通过“褚橙故事”传播+预售促销活动相互配合的形式为褚橙的售卖做预热的方式值得借鉴。以下是一些在之前广泛讨论的事实基础上 总结 的褚橙案例要点：

1)利用大数据技术为社会化广告投放提供方向和依据

精准锁定目标人群，进行定向推广(搜集信息范围包括产品潜在粉丝、竞品消费者、达人意见领袖等)

2)为产品传播进行内容营销

制定了三组适合社会化传播的内容方向，包括：褚橙产品安全方向、褚时健故事励志方向、微博粉丝独享优惠方向，建立起与目标消费者联系的桥梁

3)将大数据技术捕捉到的精准画像与内容方向进行匹配

制定不同投放组合计划，测试出互动率最高的传播组合进行重点推广，确保每一分推广费用都花在刀刃上

4)邀请达人品尝励志橙活动-开展“无任何门槛”形式的馈赠活动

搜集了1000名不同行业的80后创业达人进行了褚橙无偿激励赠送活动。30%的达人接受了赠送，后续带来了更多围绕褚橙的热议话题。

>>>点击下页进入更多网络营销成功的案例分析相关内容

商院案例:大数据安全隐患与体系建设

着互联网、云计算、物联网等网络技术快速发展和智能终端、智慧城市广泛应用及大范围建设，全球数据量呈现爆炸式增长，驱动着整个互联网世界迈入大数据时代。

为应对大数据时代的挑战，推广大数据基础分析、技术研发与应用、安全技术，以及推进大数据技术创新管理能力和业务能力、加强大数据安全与隐私管理，广东省信息协会、广东省计算机信息网络安全协会、广东省大数据技术联盟联合主办的“2014广东省大数据应用与安全高峰论坛”定于10月21日(星期二)上午在广东亚洲国际大酒店召开且圆满结束。

蓝盾股份作为中国信息安全行业领先的专业网络安全企业和服务提供商，也应邀参加该次峰会，并围绕“大数据应用安全隐患与安全体系建设”作出了重要演讲。

下文就演讲的几个重要方面整理成文，重点归纳总结了大数据的应用价值、大数据背景下面临的安全问题以及对大数据时代安全建设的几点考虑。

一、大数据背景介绍

1、大数据特性

大数据(Big Data)是指“无法用现有的软件工具提取、存储、搜索、共享、分析和处理的海量的、复杂的数据集合。”业界通常用4个V(即Volume、Variety、Value、Velocity)来概括大数据的基本特征。

一是数据体量巨大(Volume)。据国际知名数据公司IDC 提供的更为复杂的新数据已经出现，而且生成的速度达到了前所未有的程度，IBM预计，到2020年将增至40万亿GB的水平。

二是数据类型繁多(Variety)。大数据来源种类丰富，更为复杂的新数据已经出现，社交网络数据、网络日志、存档数据和传感器数据、地理位置信息都属于人们在分析中关注的新数据源。

三是价值密度低(Value)。虽然每天产生25亿GB数据，但其中只有接近0.5%的经检测数据才具有分析价值。

四是处理速度快(Velocity)。面对如此海量的数据，非结构化数据也越来越多，如何快速地处理这些数据并挖掘出有价值的信息，这也是大数据区分于传统数据挖掘的最显著特征。

2、大数据技术趋势

1)Hadoop技术的应用

Apache

hadoop是一个开源的分布式计算框架，通过集成MapReduce技术，Hadoop将大数据分布到多个数据节点上进行处理。Hadoop遵循Apache 2.0许可证，可以轻松处理结构化、半结构化和非结构化数据，一举成为现在非常流行的大数据解决方案，可以用来应对PB甚至ZB级的海量数据存储。

2)与云计算的融合

大数据和云是两个不同的概念，但两者之间有很多交集。支撑大数据以及云计算的底层原则是一样的，即规模化、自动化、资源配置、自愈性，因此实际上大数据和云之间存在很多合力的地方。可以说大数据和云计算是相伴而生的，大数据的处理离不开云，大数据应用是在云上跑的、非常典型的应用。

二、大数据的应用价值

《华尔街日报》将大数据时代、智能化生产和无线网络革命称为引领未来繁荣的三大技术变革。麦肯锡公司的报告指出数据是一种生产资料，大数据是下一个创新、竞争、生产力提高的前沿。更有世界经济论坛报告认定：大数据为新财富，价值堪比石油。

就国内外对大数据的研究与投入来看，2014年，Intel、IBM、微软、阿里巴巴[微博]等行业巨头纷纷布局大数据。IDC预测2014年产生2万TB数据，2014年大数据产值超6亿，2016年将可望突破100亿。

那么，这些看似平凡的数据能为我们带来什么？事实上当你把微博等社交平台当作发泄工具时，专业的敛财高手们却正在挖掘这些互联网的“数据财富”，先人一步用这些数据来预判市场走势，做出正确的决定，并取得不俗的收益。

大数据的核心价值是能够为政府、企业提供决策服务，帮助企业把握市场机遇、迅速实现大数据商业模式创新，协助政府建设智慧城市和应对公共安全，帮助公安进行犯罪预测与预防。

例如，华尔街根据民众情绪抛售股票；美国疾控中心依据国民搜索，分析全球范围内流感等病疫的传播状况；投资机构搜集并分析上市企业声明，从中寻找破产的蛛丝马迹；电信行业利用大数据帮助电信业对业务的分析和优化；电子商务收集、分析海量的消费者数据，从中挖掘消费者多变、复杂的需求。

总之，在大数据时代，以利用数据价值为核心，合理挖掘和利用大数据，已经为各行各业带来了巨额财富。

三、大数据的安全隐患

随着大数据应用的爆发性增长，大数据衍生出独特架构，并推动存储、网络及计算机技术的发展，同时也引发了新的安全问题。

1、网络化社会使大数据成攻击目标

开放的网络化社会，大数据的数据量大且相互关联，对于攻击者而言，相对低的成本可以获得“滚雪球”的收益。用户数据泄露，个人账号信息失窃的事件时有发生，一旦遭受攻击，失窃的数据量也是巨大的。

最近几年来数以百万计的信息大泄密和大量的网络犯罪案件说明，大数据和云环境下的信息安全的风险度已非昔时可比。

2、大数据加大隐私泄露风险

大数据是把“双刃剑”，快捷的网络、精准的营销，虽能带给人们一个更加便捷的生活方式，同时，却也让个人隐私的保护几成空谈。数据分析技术的发展，势必对用户隐私产生极大威胁。如今的大数据营销，对于消费者而言，就好似被一双眼睛盯着，每时每刻窥探着你的一举一动，作为个体消费者，我们早就无法避免自己的个人隐私被网络系统记取被商家掌握并挖掘利用，甚至被恶意使用。

3、技术短板带来的安全隐患

NOSQL(非关系型数据库)作为大数据处理的基础技术，与当前广泛应用的SQL(关系型数据库)技术不同，没有经过长期改进和完善，在维护数据安全方面也未设置严格的访问控制和隐私管理，缺乏保密性和完整性特质。

4、大数据环境打破传统安全壁垒

大数据的处理和存储离不开云，其运营环境的特殊性打破了传统的网络边界壁垒，使得传统的安全技术手段无法做到有效的安全防护。

大数据本身的安全防护存在漏洞，虽然云计算对大数据提供了便利，但对大数据的安全控制力度仍然不够。

5、大数据可能成为高级可持续攻击的载体

APT攻击是一个持续的过程，不具有被实时检测到的明显特征。同时，隐藏在大量数据中的APT攻击代码也很难被发现。此外，攻击者还可以利用社交网络和系统漏洞进行攻击，在威胁特征库无法检测出来的时间段发起攻击行为。

四、大数据时代下的安全体系建设

1、大数据存储安全

大量的数据产生、存储和分析，数据安全存储问题将在未来几年内成为一个更大的问题。行业必须尽快尽早规划和布局大数据安全存储防护措施，协同技术的发展，加大安全防护投入。安全存储是大数据安全的最基本需求，我们可以从集中存储、加密存储、加密传输、认证授权和日志审计等方面来对大数据的安全存储环境加大保护力度。

2、个人隐私信息的保护

大数据和个人隐私之间的“战争”早已打响，必须从技术和法规层面上保障大数据时代的隐私安全，完善用户个人信息的保障体系。

法规层面应从标准和法律两个方面界定数据属性和销售许可，出台相应资质认证和法律法规，建立健全大数据隐私安全保障体系。

技术层面应使用大数据清洗、去隐私化等技术完成对客户隐私数据的隐藏化处理。

3、大数据云安全

大数据一般都需要在云中实现上传、下载及交互，在吸引越来越多黑客和病毒攻击的云端及客户端做好安全保护必不可少。

我们可基于虚拟化的云数据中心提供系统性的安全解决方案，以安全虚拟器件代替原有硬件设备的产品交付方式，确保物理、虚拟和云环境中服务器的应用程序和数据的安全，可以为云和虚拟化环境提供主动防御、自动安全保护，将传统数据中心的安全策略扩展到云计算平台上。

4、建立防御机制

在规划大数据发展的同时，建立并完善大数据信息安全体系很有必要。结合传统信息安全技术和考量大数据收集、处理和应用时的实际环境安全需求，建立面向大数据信息安全的事件监测机制，及时发现信息系统安全问题，当大数据运营环境遭到攻击前或已经遭到攻击时，快速、准确地发现攻击行为，并迅速启动处置和应急机制。

5、重新规范管理员的权限

大数据的跨平台传输应用在一定程度上会带来内在风险，可以根据大数据的密级程度和用户需求的不同，将大数据和用户设定不同的权限等级，并严格控制访问权限。而且，通过单点登录的统一身份认证与权限控制技术，对用户访问进行严格的控制，有效地保证大数据应用安全。

总之，大数据时代机遇与挑战并存，在推进大数据技术创新管理能力和业务能力的同时，要加强大数据安全与隐私管理相关研究的力度，通过政策法规与技术手段相互作用，使大数据在我国各个行业得以沿着正确的方向更快、更深入的发展。

特别说明：由于各方面情况的不断调整与变化，新浪网所提供的所有考试信息仅供参考，敬请考生以权威部门公布的正式信息为准。

以上是小编为大家分享的关于商院案例:大数据安全隐患与体系建设的相关内容，更多信息可以关注环球青藤分享更多干货

---