在今年2020 BCS 北京網絡安全大會上，螞蟻集團副總裁韋韜介紹了螞蟻的“安全切面”防禦體系。在剛剛結束的外灘大會，IoT安全分論壇上，來自螞蟻的趙豪，又給大家介紹了安全切面在IoT場景下的重要安全價值。這篇文章，我們就聊聊安全切面。
趙豪在外灘大會分享《構建IoT防禦的安全切面》
什麼是切面？
切面，即Aspect，面向切面編程（ AOP，Aspect-oriented Programming）。它是通過預編譯、運行時動態代理或者注入的方式，實現在不修改源代碼的情況下給程序動態添加功能的編程範式。AOP追求調用者和被調用者之間的解耦，提供跨模塊的功能匯聚。AOP適合解決程序中涉及橫切面(cross-cut)的系統功能，這些功能往往用過程編程或者面向對象編程都難以解決。後繼被AspectJ, Spring等實現和應用。
安全切面，把切面思想延伸到安全體系中
安全切面防禦是螞蟻安全提出的一套全新的安全防禦理念。它的核心思路是建立一套和業務相交織且平行的安全層，讓安全能夠深入業務邏輯，實現細緻的觀測和攻防；同時又保證業務和安全的解耦合，使得業務和安全各自獨立，各自高速發展。也就是“內生”和“解耦”，要兼得。
上圖描述安全切面的內生和解耦的特點。下面這張圖，給出了螞蟻移動端安全切面防禦體系的示意圖。安全切面防禦層嵌入到了整個APP的框架中，同時保持獨立運行的規則引擎和升級能力；APP中所有重點安全相關的接口，都有切面進行保護。另外，安全切面判斷某個調用是否合理時，會追溯查看調用的鏈路信息，對鏈路的調用風險進行透視，以做出獲得準確全面的判斷。
螞蟻的移動端安全切面
安全切面有什麼優點呢？可以解決什麼問題？
總的來說，是因為現代終端操作系統自身的部分安全機制已經不能滿足目前移動互聯網和物聯網的實際安全需求了，它促使我們在現在安全機制之上，建設一套更滿足實戰攻防需求的安全切面體系。
這裡舉兩個例子。
首先是供應鏈安全的例子，無論是移動端還是IoT端都會集成大量的三方SDK，這些三方SDK由第三方開發，他們的安全水位參差不齊甚至還可能暗藏惡意代碼。
從應用的角度來看，由於功能需求，不得不集成一些別人開發的三方SDK，大部分甚至還是黑盒集成。從操作系統的安全機制來看呢，一個應用是一個整體，不會再有更細分的安全角色。這個整體共享所有的應用身份權限、文件存儲和用戶的敏感信息等，運行在同一個進程空間中。於是在應用中，我們自己的代碼和三方SDK的代碼，在操作系統眼裡，安全管控顆粒度上，不可分割的。
如下是近期一些由於三方SDK導致的安全和隱私風險事件，國內外的都有，每一個事件都可能對用戶的安全和隱私造成嚴重的風險。
第二個例子是關於安全建設和治理。隨著業務的爆發式發展，對應的技術設施複雜性也指數增長，而安全建設和治理往往受制於複雜的技術設施和業務場景而進展緩慢。常常還會因為遇到各種問題而停滯甚至回滾。另外，技術架構和安全能力缺乏長期規劃，導致在快速達成短期業務目標的同時，加劇了長期安全技術負債。並且這個技術負債在進行治理的時候，又會遇到剛才提到的各種阻力。用更為直白的話來說就是，業務不發版，安全什麼也做不了。
此時就需要安全機制既能夠和代碼邏輯業務邏輯交織到一起，又能夠讓安全和業務解耦合獨立發展的技術框架。能夠做到業務不發版，安全治理仍然可以進行，實現“可治”，能夠與攻擊方(黑灰產)對抗，實現“可戰”。
從技術架構的視角，我們總結一下安全切面防禦體系的核心理念、主要能力和特點：
- 安全切面邏輯融入到端應用的基礎架構中；
- 通過對調用鏈路的還原，實現安全內視和追溯，具有強大的感知能力；
- 通過代碼節點信息，分析和定位的應用內部更精細化的角色信息；
- 與業務解耦，能夠不依賴與業務代碼更新，進行安全治理。
安全切面 + IoT，可以帶來什麼？
安全切面給IOT帶來的好處主要有以下幾點：
- 碎片化IoT安全環境的封裝：IoT生態非常碎片化，系統千差萬別。通過安全切面拉平不同的IoT安全環境的差異，為上層業務提供相對統一的安全環境和安全機制。
- 軟硬件供應鏈惡意行為追溯：即通過安全切面的行為追溯能力，追溯分析IoT供應鏈中的惡意行為。
- 風險模塊的軟隔離：通過安全切面對風險模塊的調用進行強安全管控，實現安全隔離。
- 除此之外，還有風險事件的快速響應處置等等。
在支付寶的IoT業務中，安全切面防禦體系已經在支付寶的IoT小程序技術架構中實施。支付寶的IoT小程序是螞蟻給開發者提供的對IoT應用進行二次開發的平臺，它和支付寶小程序共享一套技術架構，又針對IoT場景進行了定製優化。開發者可以快速開發一個IoT小程序，滿足各行業的差異化的需求。
基於IoT的安全切面防禦體系，我們為支付寶的IoT小程序實現了對安全環境差異的封裝和屏蔽、小程序運行時的安全虛擬沙箱以及小程序惡意行為的阻斷，也包括風險行為的實時分析和感知，風險事件的快速響應等。
我們團隊有個群，名字叫“切面拉麵炸醬麵小組”。我們提供了各種各樣的安全方案，來保護商家和消費者，實現普惠&安全的金融服務。這碗“切面”是我們新創的菜品，味道還不錯哦，歡迎品嚐:)