代码未写，漏洞已出——谈谈设计不当导致的安全问题

软件安全问题由来已久，品种繁多。但无外乎两大类。一类是实现的问题，在编码过程中才出现。另一大类是设计问题，在详细设计甚至概要设计里就有了。这个演讲将带着大家通过分析一些历史上的真实案例，来认识设计类型的漏洞，以及思考减少这类问题的方法。

甲方安全从 0 到 1

很多初创的甲方公司高层认为安全就是找漏洞和修漏洞，很多乙方的工程师也没有企业安全管理的真正经验，B 站在这期间，也是摸着石头过河。因此本专题将通过分享 B 站在安全建设初期上的经验，希望能给一些安全还没起步的公司和刚跳到甲方的安全工程师一点启发，在安全建设上少走一些弯路。

主要内容

• 安全体系该怎么建设？
• 如何防止黑客入侵？
• 怎么汇报安全工作？
• 业务安全与风控。

他山之石，可以攻御——谈谈一类没“技术”含量的绕过漏洞

此议题要探讨的安全问题，不需要专业的漏洞挖掘技术。一个对生活有心的技术小白也可能发现此类漏洞。当攻击者想要突破某个安全防御的时候，可能不用硬碰硬，就有很多其他正常功能可以帮他绕过你的防御。同时，也分享本人发现的一些漏洞案例来谈谈在安全设计时，怎么尽量避免此类风险。

金融行业企业安全建设之路

本演讲将分享金融行业企业安全建设的实践和思考，包括：金融行业企业安全的本质、原则，与业务的关系，安全度量，如何管理上级，处理横向部门的关系，特别是安全运营之路的经历和理解。安全运营内容包括面临的问题、安全运营架构、支撑工具和所需资源，对安全运营的难点，安全检测为什么会失效，安全运营成熟度，在实践中的一些方法和遇到的问题进行思考。本议题将会对这些细碎的内部安全问题进行梳理并提出一套行之有效的解决方案。

听众受益

1. 金融行业安全建设的实践；
2. 安全有效性建设的实践；
3. SIEM 技术领域的实践；
4. 安全价值展示的实践。

基于社交网络的大规模网络攻击自动对抗技术

互联网金融行业近期在我国发展迅猛。然而，高速发展的另一面是野蛮生长带来的各种风险。据统计，目前涉嫌违规的互联网金融网站达 2420 家。而网络诈骗、P2P 迷局、e 租宝事件甚至裸贷风波等都与互联网金融有着千丝万缕的联系。业内权威指出，安全是当前我国联网金融行业的最大痛点。其中最重要的一道防线是基于大数据和机器学习的反欺诈能力。

腾讯正利用不可比拟的大数据优势构建反欺诈的数据体系：超过 10 亿用户的社交网络数据用于分析预测用户的关系连接，社区属性乃至社交角色等重要画像信息；通过不正常帐号识别、反不良信息、恶意刷榜和各类网络攻击所长期积累的低劣账户及黑产设备信息；还有着自身丰富的金融服务场景，如微信支付、QQ 钱包、公众号、理财通所拥有的可信金融数据。建立在这些数据系统的管理、分析和推理之上，黑产链知识库是腾讯利用人工智能技术反欺诈的“大脑”。

常见欺诈，比如身份造假，欺诈团体，代办包装，黑产中介，贷后失联等恶意的有效识别和预防不仅要求能对动态高速产生的用户内容中的关键实体信息及实体链接自动抽取，还要能连接并整合海量静态的不同源异构数据做联合事实推断。本演讲将结合学术界最新的知识库自动构建、深度学习、知识推理技术勾勒出腾讯在面向互联网金融安全的黑产链知识库的构建和应用的目前进展和未来方向。

听众受益

1. 了解认识社交网络黑色产业链各种渠道和对互联网金融安全的危害途径；
2. 构建反欺诈的大数据基础体系各要素；
3. 面向互联网金融安全的学术界最新的知识库自动构建、深度学习、知识推理技术。

数据驱动安全——滴滴安全的数据领域的一些实践

主题摘要

1. 滴滴安全数据建设的现状；
2. 滴滴安全数据平台的整体架构；
3. 数据采集与清洗；
4. 数据仓库；
5. 数据分析与可视化方案。

听众受益

1. 滴滴安全的基础数据建设方案与架构；
2. 从安全领域对数据使用思考。