安全产品经理的思维模式

——网站群治理平台诞生记

从红头文件到落地产品，一个备受青睐的安全产品是如何诞生的呢？

“网站群治理平台叫好叫座，因为我们经历了一个从需求提炼到问题解决、从用户需求到用户体验的全过程。”作为网站群治理平台的产品经理，来自WebRAY的李春鹏谈起这个产品来非常自豪，因为“确实解决了问题，受到了用户的广泛好评。”

一个文件引发的深度思考

“网络里到底有多少网站和业务系统？这些网站是否安全、合规？对于大量网站的管理如何才能便捷有效？”这些问题一直困扰着信息中心的运维人员。但是在颁布之前，这样的疑问仅限于内部讨论。

在2015年9月30日，由中央网信办起草、公安部执法，联合中编办、工信部发布了《党政机关、事业单位和国有企业互联网网站安全专项整治行动方案》（又称2562号文件），这些疑问变成了必须要回答的问题。方案中，除了要求落实网站的安全保护工作之外，还明确要求“开展网站群建设工作，将分散的小网站归并为网站群，对网站进行统一管理、统一防护、统一监测。”

“这把之前隐形的问题都提上了日程，”李春鹏说，“用户需要算一算‘家底’，这也给我们明确提出了一个产品的方向。因为在实际操作中，我们发现现有的安全产品都无法满足用户需求，我们只能另辟蹊径。”

从文件落地到产品，找到一条可行之路

一个全新的产品应该怎么做？

WebRAY从源头上开始思考。就像习近平的“419讲话”中提到“维护网络安全，首先要知道风险在哪里，是什么样的风险，什么时候发生风险，正所谓‘聪者听于无声，明者见于未形’”，“要全面加强网络安全检查，摸清家底，认清风险，找出漏洞，通报结果，督促整改”，“要建立统一高效的网络安全风险报告机制、情报共享机制、研判处置机制，准确把握网络安全风险发生的规律、动向、趋势”。

“我们认为摸清现网Web数量是网站治理的第一步，也是最重要的一步。”李春鹏说。“选择在网络出口或者核心交换的旁路上搭建产品，并将流量镜像到Web安全治理平台，从而自动发现内网所有网站及业务系统。

“在此基础上，再与现有的网站列表进行对比，就能发现内网中不合规的网站。并且我们将网站的备案流程也增加到平台之中，帮助信息中心摆脱传统的基于手动的管理方式，同时在平台中集成了旁路阻断模块，可根据策略自动阻断不合规网站。这是第二步，帮助用户对网络中的所有网站进行统一的管理。”李春鹏说，“第三步是对网站进行持续地安全巡检，检测内容为定期地Web漏洞与系统漏洞检测；篡改、暗链等安全事件；被动式的后门发现。在这个过程我们将注意力放在了工作效果的体现上，哪些问题是新增的，哪些问题是已经修复的都有清晰的体现。；第四步，用户可以自定义选择我们的防护探针，探针与治理平台联动，实现DDos、Web攻击的防护与统一展现。。这部分工作是WebRAY的传统优势技术，我们有成熟的产品和方案。”

在这个过程中，通过技术手段来协助用户进行决策，引入所有权认证机制，对网站进行自动化审查、授权，建立监控、预警、响应、溯源的安全防范体系，保证遵从国家2562号文件的规定。

“实际上，在网站群治理平台的诞生过程中，我们只是做了一部分工作。”李春鹏说，“大量的工作始于用户，是用户帮助我们提出了具体需求，并且在产品的改进上提出建议。可以这样说，这个产品的诞生，有一半是用户的功劳。”

在研发近一年以后，网站群治理平台已经出现在众多用户的网络中，“仅在北京的教育圈子里，就包括北大、清华、交大以及市教委等40多个客户在使用我们的产品，一方面我们的产品在帮助客户管理网站，另一方面，客户也不断将新的想法、好的建议提供给我们”。“用户和产品在相互促进，我们有过一个案例，当时用户认为网络中的网站包括尚未登记的有1500多个，但是，经过我们的产品自动监测之后发现，旗下的子网站多达2700个，这个数据让客户非常吃惊。”李春鹏说。无论哪个不在目录下的网站出现问题，都是监管部门的失察，而有1400个网站在监控之外，确实让人非常后怕。

现在网站群治理平台仍在根据用户需求不断调整，以每个月一个大版本的速度在快速迭代，除了上述的四大步骤的能力外，目前治理平台还增加了许多实用的小功能，比如网站流量分析，用户可自定义查看网站的访问量，帮助用户发现异常访问与僵尸网站；治理平台的报表功能也非常强大，不仅支持批量导出，还支持用于汇报的统计报表及用于下发整改通知的详细报表等不同类型的报表；指纹分析功能帮助用户查看所有网站的指纹信息。“这些功能都是根据客户运维过程中实际遇到的问题转化而来的”。

李春鹏说，“未来的产品，将会更好地契合用户的需求和使用习惯。我们相信企业级网络产品不仅只停留在能用也可以做成好用、让客户爱用。”