WOT2016企业安全技术峰会—金融与电子商务安全&移动与Web安全

别把安全当成堆工具，先看懂业务怎么被打

这份资料来自一场企业安全技术峰会，主题聚焦在金融与电子商务、移动与 Web 安全的实战对抗。很多做应用开发或者刚转岗做安全的人，普遍的能力缺口是：知道怎么配 Web 防火墙，知道怎么扫漏洞，但一遇到电商促销被薅羊毛、支付接口被恶意重放、或者移动端被注入伪造请求，就不知道怎么从业务逻辑层去拆解攻击链。这门课解决的就是这个问题。它不教你怎么装系统、怎么敲命令，而是拿真实的电商和金融场景，讲清楚安全体系怎么跟着业务走、风控数据怎么建、动态对抗怎么做。适合有一定 Web 开发基础、了解常见漏洞原理（比如 SQL 注入、XSS、CSRF）但缺乏企业级安全全局视角的人。如果你连 HTTP 报文都看不懂，建议先补基础再看这份资料。

建议先看风控与体系建设，再看动态对抗

资料内容按会议演讲分了几个模块，建议不要按顺序看。先看大数据风控实践那个模块，因为风控是电商和金融安全的核心，讲的是怎么从海量请求里识别异常行为、怎么建特征库、怎么平衡误报和漏报。看完这个，你再去理解京东那套安全体系建设，就会明白为什么大公司的安全不是靠一个工具，而是靠一套从监控到响应的流程。林鹏的电商安全观偏理念，可以快速过一遍，重点抓他怎么定义电商安全的边界——不是防住所有攻击，而是保住核心资产和交易链路。最后看动态安全技术那一块，这块技术含量最高，讲的是怎么用动态变形、环境检测这些手段去对抗自动化工具和新型攻击，适合在你已经理解了传统防护的局限之后再看。配套练习方面，资料是演讲录像和文档，没有现成的靶场，所以你得自己搭环境：找一套开源的电商系统，模拟几个常见攻击场景（比如批量注册、恶意下单），然后试着用资料里讲的思路去设计一个简单的风控规则或者动态防护策略，哪怕只写到伪代码层面，也比干看视频强。

学完能独立做什么：能画出业务安全架构图，能设计基础风控

看完这份资料，你应该能独立做几件事：第一，拿到一个电商或者金融业务需求，能画出对应的安全风险点在哪、哪些接口需要重点防护、哪些数据是核心资产；第二，能跟开发团队讲清楚为什么不能只靠 WAF，业务层风控要怎么介入、数据要怎么采集和清洗；第三，面对一个新型攻击手法（比如移动端抓包篡改、Web 接口被自动化脚本打），能提出一个动态对抗的思路，而不是只会说“加个验证码”。检验学习效果的标准很简单：你能不能用一段话向一个不懂安全的业务负责人解释，为什么电商大促期间光靠防火墙挡不住黄牛，必须上风控。如果解释不清楚，就回去重看风控和动态安全那两块。这份资料的价值在于给你一个企业视角的框架，具体落地工具会变，但业务安全的思路这几年没怎么变，先把这个框架搭起来，后面补细节就有方向。