---
title: 2024商派安全解决方案
description: 文本抽取：安全性能/总体/2024商派安全解决方案
updated: 2026-11-04
tags: [原始文档, 抽取, 安全性能]
source: 安全性能/总体/2024商派安全解决方案
source_type: txt
source_hash: ab907edeb345
extracted_at: 2026-11-04
quality: ok
---
---
source: 安全性能/总体/2024商派安全解决方案.pptx
type: pptx
size_kb: 1781
category: 总体
quality: ok
---
## Slide 1
ShopEx安全解决方案
安全建设和运营是一个动态过程
攻 坚 突 破 . 全 力 以 赴
## Slide 2
1
基础安全矩阵
2
安全产品服务
3
架构合规服务
4
安全运营服务
CONTENTS
目录
## Slide 3
基础安全矩阵
从基础安全开始重点解决安全需求中优先级最高的安全问题
## Slide 4
商派是阿里投资最早的一批ISV 早在2010年就完成了对我们公司的战略投资
阿里云建立初期我们就一直都在使用，陪伴着阿里云的成长
我们与阿里云互相赋能，使用过程中推敲各种IAAS/PAAS 生态发展，提升稳定性、可靠性、安全性
阿里云
赋能
## Slide 5
总裁办
信息安全官
信息安全领导小组
安全管理员
运维管理员
数据库管理员
合规管理员
网络管理员
前端工程师
后端工程师
测试人员
产品组
专家组
运维组
研发中心
信息安全小组职责：
1、 负责审定信息安全建设与应用总体规划、经费预算、技术标准、管理规范及相关政策措施。
2、研究决定信息安全体系建设重大事项，监督信息安全体系规划的实施。
3、及时解决项目建设过程中的决策问题，并对各项工作做出指示
4、审批发布信息安全方针和管理体系。
5、审批信息安全规划和项目的批准。
6、提供信息安全资源保证。
7、负责信息安全策略审核及推广。
8、建立与内部/外部专家、权威机构、合作伙伴、供应商之间的沟通渠道。统一控制对外信息发布和通告。
信息安全组织机构
## Slide 6
数据安全
基础设
施安全
隐私与
安全合规
业务安全
终端安全
IT安全
研发安全
建设安全管理框架、安全风险管理体系、实施隐私保护合规等
管控线上产品/服务账账号、交易、反爬、资金通路、内容安全等
管控移动端业务被爬、逆向风险、IoT产品安全等
数据全生命周期、防范数据泄露风险
管控IDC、云资源等基础环境的入侵渗透、权限管理、拒绝服务等风险
管控公司内部终端和系统账户、权限以及病毒木马等风险
管控产品和系统漏洞、隐私合规、第三方组件、开发规范等风险
事前
基础软硬件
物理安全
设计安全
移动安全
账号安全
合法合规
全球安全认证
等级保护（国内）
GDPR
个人信息保护法
人机识别
账户及设备保护
多因素认证
APP加固
设备指纹
风险监控
数据边界
分类分级
OS安全
容器安全
IPVS
门禁
威胁建模
安全培训
安全体验
SRC安全应急响应中心
服务安全
欺诈对抗
爬虫拦截
撸羊毛
业务保护
交易安全
内容安全
资金安全
事中保护
分发中心
数据水印
事后
数据安全动态感知
动态加密
静态加密
数据脱敏
敏感数据token化
全程票据
零信任
物理安全
Hot path
API鉴权
RPC鉴权
检测防御
WAF
NIDS
网络安全
NAC
数据审计
DDOS
HIDS
安全隔离
信任边界
漏洞管理
行为审计
态势感知
SOC
威胁情报
DB审计
渗透测试
终端安全
木马病毒
统一安全源
安全补丁
EDR
网络安全
NAC
NIDS
IT服务
邮件安全
SSO
OTP/MFA
DLP
特权账户管理
CA证书管理
日志管理
代码安全
软件供应链
配置管理
验证审核
功能白盒
功能黑盒
代码审计
软件测试
APT
DMS
补丁管理
安全白盒
安全黑盒
## Slide 7
安全产品服务
从业务实际出发重点解决安全需求中优先级最高的安全问题
## Slide 8
安全评估
## Slide 9
安全运维
## Slide 10
安全培训
## Slide 11
业务安全
业务安全风控是基于业务场景，结合IP画像、设备指纹、黑卡检测、威胁情报等多维度信息实时识别风险的专业防护产品，有效识别和解决渠道推广、账号安全、支付安全、营销活动、爬虫流量等作弊问题，通过对于风险和爬虫流量的判别，避免企业出现巨大的经济损失。
以机器刷量为职业的一批人已经形成了上下游完整的产业链。
活动防刷
帮助业务方识别业务作弊行为，识别刷赞、刷人气、刷投票、刷评论等作弊请求。
业务作弊
针对各种营销活动以低成本换取高额奖励。
薅羊毛
通过买卖倒卖的方式赚取巨额差价。
黄牛识别
## Slide 12
架构
合规服务
Part01：等保合规
————为用户提供应用安全、数据安全、主机安全等相关合规方案，构建合法合规、符合实际业务需求保障的安全保障体系，帮助用户顺利通过等级保护测评
Part02：架构设计
————保证云平台安全稳定运行的关键，需要建设完善的信息安全主动防御体系和信息安全治理体系
全面的安全合规架构保障用户信息资产在云上的时刻安全
## Slide 13
等保合规流程
提供一站式等保合规解决方案，保姆式等保服务助您放心过等保，专业的安全能力为您的业务保驾护航，在实战中合规。
## Slide 14
等保合规体系
[表格]
等保体系 | 等保测评项 | 安全产品名称
安全通信网络 | 应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段 | 云防火墙
安全区域边界 | 应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为 | WAF服务
| 应具有提供访问控制、边界防护、入侵防范、传送加密等安全机制 | DDOS服务 SSL证书
| 应能对各类安全事件和新型攻击进行分析、识别、报警 | 攻击预警平台
安全计算环境 | 应对用户进行身份鉴别、访问控制、运维审计 | 日志审计 数据库审计
| 应启用安全审计功能，数据进行安全审计 | 堡垒机
| 应能发现已知漏洞，并在经过充分测试评估后，及时修补漏洞 | 漏洞扫描 网页防篡改 主机安全EDR
安全管理中心 | 应对系统资源和运行进行配置、控制和管理。包括用户身份、系统资源配置、系统加载和启动、异常处理、数据和设备的备份与恢复、基线等 | 备份服务 云安全中心
## Slide 15
架构
合规服务
Part01：等保合规
————为用户提供应用安全、数据安全、主机安全等相关合规方案，构建合法合规、符合实际业务需求保障的安全保障体系，帮助用户顺利通过等级保护测评
Part02：架构设计
————保证云平台安全稳定运行的关键，需要建设完善的信息安全主动防御体系和信息安全治理体系
全面的安全合规架构保障用户信息资产在云上的时刻安全
## Slide 16
人工专家服务： 提供等保咨询、安全加固、渗透测试、应急响应处置、安全评估、Webshell扫描等人工专家服务
安全产品能力： 商派具备丰富的安全能力，满足用户等保合规安全需求
安全管理能力： 商派通过贴合业务的云安全架构方案实现云安全的管理，提供全局安全视角，提升安全管理效率。
能力输出
安全架构
## Slide 17
CDN
web cluster
User
应用防火墙
云防火墙
Login&order&search request
Login&order&search response
安全检测中心
IP白名单
威胁过滤
Database
User SQL Query Result
User SQL Query
资源监控
访问控制
安全边界
数据库审计
日志服务
操作审计
堡垒机
云安全
SSL传输加密
<入口流量>
防火墙：对恶意访问流量特征进行拦截过滤威胁
传输加密：采用高强度加密协议进行传输加密
<平台安全>
数据库审计：对数据库访问流量进行安全分析过滤拦截等
云安全中心：识别、预警、分析网络层和服务器上的安全威胁、平台安全基线检查、漏洞管理等
<业务安全>
防爬虫：接口数据加密、一次性令牌访问
撸羊毛：手机号限制购买数量等
<人员管理>
访问控制：对人员进行最小特权控制，责任到人
堡垒机：针对服务器操作人员实行认证、授权、审计原则，阻止高风险操作。
日志审计：基于事后异常操作行为进行分析审计
安全边界：持续验证，永不信任
## Slide 18
安全
运营服务
Part01：事前智能预警
————威胁情报：了解威胁动态，积极主动防御响应
Part02：事中智能分析
————分析引擎：多源数据关联分析推理、行为评估
Part03：事后智能响应
————安全编排：自动化编排与事件应急响应智能处置
完成基础安全后开始建立完整的安全运营体系，最大化发现发现和避免安全风险
## Slide 19
威胁情报
漏洞平台
安全厂商
系统厂商
公立机构
威胁情报
0day漏洞
外部预警
Shopex
法规/政策
获取
发布
安全事件
触发
事件预警
攻击预警
漏洞预警
政策通告
预警
通过了解最新威胁情报，积极主动的威胁防御和快速响应策略，通过结合安全数据的深度分析以全面掌握安全威胁态势，准确地进行威胁追踪和攻击溯源。
## Slide 20
安全
运营服务
Part01：事前智能预警
————威胁情报：了解威胁动态，积极主动防御响应
Part02：事中智能分析
————分析引擎：多源数据关联分析推理、行为评估
Part03：事后智能响应
————安全编排：自动化编排与事件应急响应智能处置
完成基础安全后开始建立完整的安全运营体系，最大化发现发现和避免安全风险
## Slide 21
通过智能安全分析引擎，对多源数据关联分析引擎、攻击链分析引擎及推理引擎、威胁情报分析引擎、机器学习引擎、用户行为分析引擎等进行数据行为分析。
设备日志
网络日志
安全日志
系统日志
访问日志
漏洞信息
其他日志
威胁检测分析
风险持续监控
危害程度判定
应急响应支持
决策分析参考
## Slide 22
安全
运营服务
Part01：事前智能预警
————威胁情报：了解威胁动态，积极主动防御响应
Part02：事中智能分析
————分析引擎：多源数据关联分析推理、行为评估
Part03：事后智能响应
————安全编排：自动化编排与事件应急响应智能处置
完成基础安全后开始建立完整的安全运营体系，最大化发现发现和避免安全风险
## Slide 23
通过安全编排和自动化响应技术，将不同数据集和安全技术编排在一起，以自动化的方式驱动事件智能处置，来提高安全运营效率
## Slide 24
信 息 之 火 . 安 全 之 芯
400-821-3016
www.shopex.cn