环信如何开展际安全运营业务？

安全是一个持续的过程，在实际安全运营中，环信基于自身业务特性，通过如下维度来开展。

1.安全开发生命周期管理 SDL

在软件开发生命周期中，嵌入了安全和隐私的相关要求，结合当前流行的 DevSecOps，让 SDL 流程更自动化，从而在原有的安全开发生命周期的基础上，更高效的进行安全和隐私的检查。

1.1 威胁建模

在设计和架构阶段，为了能够更早的发现风险，通过威胁建模来识别潜在的安全问题并实施响 应环节措施。为了有效发现并解决设计阶段的潜在风险，参考 STRIDE 的威胁建模方法，主要 聚焦攻击面最小化、基本隐私、权限最小化、默认安全、数据加密等。

1.2 CI/CD 黑白盒检测

在安全测试层面更注重 DevSecOps 崇尚的内置安全防护，且已在 CI/CD 层面进行了黑白盒工 具的集成，包含开源代码扫描工具 SonarQube，组件及合规扫描商业工具 BlackDuck，App/ Sdk 扫描工具 MobSF 等，从而完善在集成发布过程中的风险监测。

2.反入侵和安全监控

环信的各类运算系统、业务应用服务每天都会产生海量的日志数据。在落实纵深防御以应对威 胁的基础之上，安全团队也会在最小权限范围内采集用于安全分析的日志。基于这些日志，通 过安全监控分析平台实时运算。对识别的安全异常事件，会及时告警，安全运营人员会进一步 展开关联以及溯源分析复核；对确认的风险，会根据应急响应机制进行处置和追踪，以保障业 务系统的安全性和可用性。

3.安全应急响应机制

基于自身即时通讯业务特性，对服务类型进行分类分级，系统性地安全评估和威胁识别，制定 不同的安全事件分类标准，以及响应时效和处置流程，以确保及时有效地处理安全异常。

4.安全合作

环信旨在为开发者及用户提供一套安全可信的即时通讯云服务平台。我们在自身内部安全建设 的基础上，已与 Trustwave 等多家第三方安全厂商合作，定期进行渗透测试、代码审查、逆向 工程等来帮助环信发现线上应用、系统、服务以及 SDK 等层面的安全漏洞和各类潜在风险，从 而提升整体服务安全性和系统健壮性。