为何将API安全拧出来说 API历史沿革及风险评估 API面临的安全挑战 IoT攻击面分析 S-SDLC & API安全 API安全检测技术

介绍 企业级安全测试进化史 漏洞类型vs业务场景 基于漏洞类型的安全测试 基于业务场景的安全测试 业务场景测试流程 业务流程梳理及业务风险梳理 根据业务流程划分若干业务场景 确定重点业务场景及业务风险点 基于业务场景,流程,业务风险点执行安全测试 业务场景测试要点 从银行、金融、保险、证券到电商、O2O、游戏、社交、航空等 行业,业务操作越权无处不在。 业务场景测试重点关注对象。 原因都是服务端以客户端传入的参数为依据,没有对session或 会话权限做严格判断造成的。 测试方向:平行权限、垂直权限 部分应用过分依赖数字签名,服务端忽略了对会话权限做判断

越来越多的软件企业已经意识到安全的重要性，但由于缺乏安全方面的知识和资源，软件安全的落地仍困难重重。本议题从一些容易实现的安全措施的入手，讲解如何在一个软件企业中实施一个安全项目来提高软件的安全质量。 Vulnerabilities Adhoc solution Cost to fix these issues RnD’s voice to security RnD’s impression to security guys RnD’s expectation to security guys Security guys’ challenge Security as a quick start Create security bug type Security user story Security dashboard So evolve Security awareness training Security release criteria Threat modeling and security design review Security assessment Risk response Apply what you learnt today To be continued

赵伟在演讲中指出，安全行业急需创新，要在国家政策扶持下，产业、产品、人才创新一起上，赵伟表示现在国家正在逐渐认识到网络安全的重要性，并正在加大投入力度，这对整个安全行业来说是一个非常好的机会，所以现在谈创新是非常及时和重要的，只有创新才能引领行业发展。

账号被盗的好多种姿势 密码体系的漏洞 稍微讲讲cookie安全 登录凭证的一些漏洞 双因素覆盖不全 二维码扫描登录的风险 二维码扫描登录安全实践 常见通行证登录介绍 通行证登录漏洞的场景一 通行证登录漏洞的场景二 通行证登录漏洞的场景三 通行证安全实践 App内嵌页自动登录的风险 绑定第三方账号登录的风险 Oauth授权的劫持 安全实践 跨域漏洞获取登录凭证 Postmessage劫持 凭证的提权 常见的通行证的一些问题 账号体系新需求

提纲 • 一、互金常见的安全威胁 • 二、点融安全做的事情 • 三、业务安全新挑战 • 四、安全合规工作 • 五、点融安全应急响应中心

安全测试并不遥远 安全测试并不陌生 与”其他“测试的相似之处 目标类似 过程类似 测试用例有重合 探索 怀疑的态度 安全测试从何做起 安全起步“三板斧” 转换视角 改变模拟对象 使用专用测试工具 来个栗子吧！ “栗子”的场景 栗子“七步骤 ”栗子“中测试用例 总结

移动互联网威胁分析 移动互联网合传统互联网的差别 ANDROID平台威胁分析 IOS平台威胁分析 OWASP十大移动风险（2016） 移动端单点攻击手段总览 黑产、灰产－新的安全挑战 黑产数据－数据黑产 黑产数据－数据黑产的冰山一角 钓鱼过程中黑客技术的组合运用 羊毛党黑产 羊毛党黑产相关工具 羊毛党黑产行为分析 移动安全防护体系构建 新趋势下的安全思考 纵深防御理念 安全架构－设计 安全架构－实施 安全架构－流程 安全策略－可信执行 安全策略－安全运维 安全策略－数据驱动安全 大数据风控系统架构 安全策略－威胁感知 安全策略－威胁感知图论分析 安全策略－威胁分析用户画像 数据驱动安全的最佳实践

唯有完整的安全体系才能应对新时代的网络安全挑战 用自主网络安全体系框架建立完整的网络安全体系 制定自主网络安全体系框架国家标准的四点建议