宽带运营商为什么限制家庭网络上行宽带

　　随着移动互联网的兴起、“云时代”的到来，把文件存储在网盘、把拍好的照片、视频分享到网上，已成为网民越来越普遍的需求。网速快慢，不仅指下载速度，还需要更多需要提高上传速率。

　　而恰恰是在上传速率上，中国的宽带运营商显露出了严重的不足——上下行不对称已经形成默认的潜规则，用户的上行带宽远远低于下行带宽。

　　ADSL时代，上行下行不对称是技术问题，ADSL（Asymmetric Digital Subscriber Loop）技术是一种不对称数字用户线实现宽带接入互连网的技术，它采用频分复用技术把普通的电话线分成了电话、上行和下行三个相对独立的信道，从而避免了相互之间的干扰，一根线缆内多条电线上的对称信号会显著地限制数据传输速率与线缆的有效通信长度，在大多数情况下，其下行与上行带宽之比可达到10:1的比率。

　　到了光纤时代，光纤具有频带宽、容量大、信号质量好、可靠性高等特点，是目前宽带业务发展的方向。是利用两条光纤分别负责上行和下行，不存在ADSL上下行不对称的技术问题，以PON技术为例，下行和上行是频分复用，互不影响，并且因为光纤传输的原理，即使你家离局端20公里，速率也不会有太大变化。

　　从拨号上网的ADSL时代发展到光纤，技术上已经解决了宽带网络的上下行速率对等问题。但是，实际上，光纤用户依然被宽带运营商限制了上行带宽，即使是光纤入户的百兆带宽，上传带宽也不足4M。

　　为什么宽带运营商要限制家庭用户的上行宽带，我看主要原因就是为了省钱。网民长期以来的网络使用习惯造成了上行带宽使用少于下行带宽，如果宽带运营商给予上下行相同的速度，会造成资源浪费。而把上行带宽资源销售给机房的企业专线租用客户，则会获得更多的利益。托管在机房的服务器需要大量上行带宽，而并不需要太多下行带宽，而且带宽价格非常昂贵，往往机房10M上行专线租用的费用就是家庭100M费用的5、6倍，因此，把下行带宽出售给家庭用户，上行带宽出售给机房的企业用户，就成为宽带运营商谋取利润的手段。

　　因此，如果宽带运营商不限制家庭上行宽带，一大原因是怕用户在家庭光纤里搭建网站影响他们的企业专线租用业务，很多企业可能会使用家庭光纤来搭建网站，而不去机房托管主机，造成宽带运营商的利益损失。因此，宽带运营商不仅仅不会提高家庭上行宽带，还会通过动态IP，限制80端口等方式来禁止家庭光纤用户私自搭建网站。

　　在早期的互联网环境下，上行下行不对称的确符合用户实际的上网需求，普通人上网大都是下载很多，上传很少，因此不需要太多的上行带宽。然而到了现在的互联网云时代，视频聊天、云存储等应用都需要大量上传带宽，网络使用的多样化必然将导致上行下行的需求同时存在，因此，宽带运营商再限制上行带宽，就已经确实影响到用户的整体网络体验。因此，从互联网行业的长远发展来看，宽带运营商如果不好好面对上行带宽限制的问题，就可以会对整个互联网产品带来限制，不利于互联网产品的高速发展。

怎么让更多的人点开你的微信内容？

　　还记得关注第一个微信公众号的时候，很是兴奋，天天可以看到喜欢的文章，觉得自己好幸福。一个月后……手机里的微信公众号像自己会配种一样，繁殖了一大串，有一天想起了第一个公众号，往下翻了好久都没有找到。是的，初恋的模样都已经忘得一干二净了。

　　其实这就跟当初下载APP是一样的，下第一个APP的时候心里美滋滋的，后来，手机里最不缺的东西，除了自拍照就是堆成山的APP。

　　对于运营微信公众号的人来说，这个现实是需要睁大眼睛去面对的。以前可能每个人都围着你的公众号看，但是现在每个人都有数十个甚至上百个微信号，怎么把注意力分配给你？

　　其实，一个人经常看的微信号也就是相对固定的几个，不会每天一大串公众号去翻来覆去。所以，你要想办法脱颖而出，成为用户的几个宠儿之一。

　　以上全是废话，下面开始告诉你怎么让公众号脱颖而出，提高被点击的概率。

　　最关键：选好题

　　内容的选题比命根子还重要。选题是战略问题，内容质量只是技术问题。有时候做内容做到内分泌失调都没什么人看，就是选题没有选好。你给的东西，不是他想要的，就是一次强暴，做起来就是吃力不讨好的。

　　要选好主题，你首先要知道粉丝想要什么。应该做到以下几点：

　　搞清楚你的粉丝是什么样的人

　　他们的兴趣爱好、年龄职业、地域分布等等，这些人口统计学特征你都要懂。对粉丝基本的了解都没有，是很难选个好题的。

　　搞清楚你的粉丝关心哪些内容

　　粉丝关心的内容可能很多，但是跟你相关的有多少？你要搞清楚他们希望从你这里得到什么，在你这个领域会遇到哪些问题。第一选择就是收集他们的回复；第二选择是查看SEO搜索词；第三，如果有客服，你可以多跟客服聊一聊。

　　看看你的行业里已经有什么内容了 

　　知道了你的粉丝想要什么，不要马上就给他，还要看看有没有其他同行已经给他了。如果别人已经做过的内容，并且都比较权威了，你就别去浪费时间了。所以，你要对行业内的内容结构做一个调查，争取你给粉丝的东西，是别人给不了的。

　　做好了以上三项，基本上就能选好一个让粉丝心动的主题了。选题做好了，后面做内容一定是很轻松的，不要太纠结问题是否华丽、图片是否精美。如果你的主题正中粉丝的痛点和痒点，粉丝是没有什么招架之力的。

　　技术性优化

　　当然，优化一下技巧性的东西，会让你的内容锦上添花。比如以下技巧：

　　标题技巧：标题是微信文章的一把钥匙，没有起好标题会把很大一部分人挡在门外。你的标题一方面是要吸引粉丝，另一方面是要把一长串的公众号PK下去。

　　视觉化正文：微信的内容不应该走深度阅读的路线，所以要尽量让内容读起来轻松点。第一原则就是不要让文字连成片，把文章视觉化会更好。

　　推送时间：如果你总是在偏门的时间推送你的内容，那它可能一直垫底，粉丝要把你找出来也会费很大的劲。主流的推送时间是上班路上、中午休息、下班路上、晚饭后、睡觉前。

　　选个好头像：头像是公众号列表中展现出来的要素之一，记得要醒目、独特，不要大众化。

　　总结一下：

　　做用户最关心的内容，而不是做最精美的内容。所以，选好题最重要，这是必答题，否则你会耗费很多时间和精力。技术性优化多花心思，这是加分项。

　　来源：张飒的博客投稿，原文链接。

Facebook全球社交网络广告市场份额

　　美国市场研究公司Strategy Analytics发布最新报告称，2014年Facebook在社交网络总广告支出市场上所占份额为75%，表明Facebook在社交网络领域中占据的霸主地位并未显示出滑坡的迹象。

　　报告显示，在总额153亿美元的社交媒体广告市场上，Facebook占到了114亿美元。在2014年中，这个市场的规模增长了41%。相比之下，去年Twitter的广告收入为12亿美元，在市场总额中所占比例为8%。根据Strategy Analytics在报告中作出的预测，到今年年底为止，社交广告市场总额将达198亿美元，到2016年底则将进一步增长至242亿美元。

　　报告还指出，社交网络用户在2014年中首次超过20亿人大关。尽管并未正式进入中国市场，但Facebook的月度活跃用户人数仍达14亿人，在总人数中所占比例为68%。中国社交网络用户在全球用户总数中所占比例近25%。

　　Strategy Analytics分析师Leika Kawasaki在报告中指出：“整体而言，社交网络市场继续在所有地区都显示出强劲的增长，原因是各大社交网络平台都在通过改进数字媒体内容整合的方式来推动使用量增长。虽然Facebook目前在全球社交网络市场上占据主导地位，但由于并未进入中国市场的缘故，令QQ空间和腾讯微博等中国本土社交网络得以在迅速扩张的中国数字广告市场上变得越来越受欢迎。”

　　这份报告还提供了其他一些数据，概列如下：

　　-近一半(46%)的社交网络用户居住在亚太地区；

　　-2014年中北美社交网络用户在人口总数中所占比例最高(64%)，其次则是西欧，为55%；

　　-美国在全球社交网络广告支出中所占比例最大(41%)，2014年的总额达到了62亿美元，同比增长35%；

　　-英国是第二大的社交网络广告支出市场，在2014年全球社交网络广告支出市场总额中所占比例为8.2%，略高于中国(8%)；

　　-美国2014年的每用户社交网络广告支出最高，为31.37美元，预计2015年将增长27%，达到39.84美元；

　　-2015年全球社交网络用户人数预计将增长至22亿人，在全球人口总数中所占比例为31%；

　　-报告预计，到2019年底全球社交网络用户人数将达27.2亿人，在全球人口总数中所占比例为36%。

“流量货币化”大有可为

　　运营商开始进行流量货币化实践，推出诸如“流量包”“流量银行”等流量平台，进一步提升用户的流量使用效率和使用价值。流量能否实现货币化，最关键的一点就是流量货币化后能否实现用户价值提升和运营商量收增长的双赢。本文探讨运营商如何构建更为有效的流量经营体系、建立一个有吸引力的流量运营交易平台。

　　通信网络的升级换代加速了移动互联网的高速发展，与此同时，伴随着移动互联网的蓬勃发展，数据流量也呈现出爆发式的增长，流量对语音、短信等传统业务的替代作用愈发明显，流量经营逐渐成为运营商增量增收的关键举措。

　　3G时代运营商流量经营采取的是粗放式的发展策略，拉动总流量呈指数级上升，但“量收剪刀差”却未见缩小；进入4G时代，运营商流量经营将更趋于精细化运营，不断注重“客户流量价值的提升”，那么，如何才能提升用户流量价值？

　　“流量货币化”运营模式逐步兴起

　　面对流量的高速增长，用户对流量使用的诉求也在不断变化，如流量过期不清零、流量转赠转售、用流量置换语音或短信等业务，多样化的需求使得流量在互联网市场作为一般等价物的属性不断强化，“流量货币化”的概念一时间成为各运营商、虚拟运营商及互联网企业竞逐的热点。

　　何为“流量货币化”？流量货币化，就是指存在于通信网和移动互联网生态系统内，以流量作为交换媒介，用于换取一定量的内容和服务，同时，流量又可作为一般等价物进行流通、可以累积、可以赚取、可以买卖、可以相互转赠。

　　“流量货币化”赋予了流量更多的内涵和功能：

　　首先，对运营商而言，流量成了所有业务的中心，可以对其他服务和业务进行标的，如1M流量=1分钟通话时长=1条短信，如此，有了统一的标的物，运营商未来的产品套餐结构将更加简化。此外，流量货币化能让更多的剩余流量得以利用，释放其价值，运营商也能从中获取更多的增量收入。

　　其次，对用户而言，流量货币化使得用户对流量的支配更加自由，用户每月流量不够用可以向其他用户或服务机构购买，自己剩余的流量也可以卖给其他有需求的用户，而且用户还能通过参与一些活动赚取一定量的流量，这使得流量流通的活跃度大大提升，对于促进整体流量的提升大有帮助。

　　再次，流量货币化为众多的虚拟运营商和互联网企业带来了新的发展机遇。虚拟运营商可以通过流量赠送的方式与自身主营业务进行捆绑融合推广，如上淘宝购物免费赠送流量；OTT企业可以利用流量来提升个人用户对自己服务或产品的使用，如玩腾讯游戏赠送腾讯视频定向流量等。

　　可以预见，流量货币化之后，流量所具备的属性边界将不断扩大，不仅通过流量累积、转赠提升了用户体验，而且通过赚流量、兑换等方式增加了流量消费的场景，多方参与的模式进一步打通了前后向经营的链条，使得运营商、企业、用户等产业链上下游之间的结合更加紧密，从而主导整个产业链的资源分配和支付交易，激发用户流量使用潜力，带动流量业务健康高速增长。

　　“流量货币化”的商业模式兴起之后，运营商、虚拟运营商乃至电商都相继开展了运营实践：

　　中国电信于2014年年底推出“流量宝3.1版本”，主要通过发行“牛币”，牛币作为一般等价物进行流通，用户在流量宝客户端上可通过购买和好友互赠的方式获取牛币，再用牛币进行流量兑换(1牛币可兑换1M流量)，牛币跨月不清零，可以赠送给好友，可兑换成电信、移动、联通三网流量及WiFi时长，海外流量卡等功能。

　　中国联通不甘落后，也在去年11月底正式推出“流量银行”，一个针对3G、4G用户的流量管理与交易的平台,提供流量赚取、转赠、销售等功能,同时也为企业用户提供精准、高效的营销推广服务，入驻流量银行平台的企业，通过设计各种创新营销推广活动，从而吸引用户积极参与互动和分享，提升企业推广效率。联通表示：未来，用户甚至还可以将第三方积分(如信用卡积分、超市会员积分等)与流量相互兑换，用流量来进行购物结算，真正实现流量的货币化功能。

　　中国移动亦跟随推出了自己的流量交易平台——爱流量。其与电信、联通推出的流量平台并无明显差别，也可实现“买流量”、“赠流量”、“发红包”、“讨流量”、“赚流量”等功能。但有所不同的是，“爱流量”限制注册用户必须为中移动用户，还规定该平台上所有流量获取、买卖、转赠等的对象均必须为中移动用户。

　　此外，虚拟运营商也逐步加入战局，阿里联手三大运营商推出面向网购用户的“流量钱包”，按照“游戏”规则，用户通过在淘宝、天猫（微博）购物或参加商家活动，即可获赠一定的流量，同时这些流量可像零钱一样“零存整取”。巴士在线推出的“10020流量银行”则更为激进，通过剩余流量留存、流量共享、语音和流量可互转、流量自由交易市场等达到流量增值变现的目的。

　　从各方“流量货币化”经营模式的实践中，不难看出，运营商、虚拟运营商、互联网企业“流量货币化”均处于摸索和试验阶段，并未进行大规模的投入和推广，同时也暴露出了诸多的问题和不利因素，这些都将是未来推动“流量货币化”发展所要克服的障碍，只有多方合力才能使“流量货币化”经营模式落到实处，从而实现多方共赢。

　　“流量货币化”面临的问题

　　流量货币化运营模式尚处在发展初期，将来能否成功，还需要时间和市场来检验，但就目前的发展态势而言，所处的困境和遇到的问题也不少。

　　一是运营商流量货币化目前都是各自为政，没有形成统一的运营理念和共识。从三家运营商推出的流量管理平台，我们可以看出，电信的“流量宝”已经实现了三网(电信、移动、联通)手机流量兑换、流量赚取以及转赠等功能，并支持Chinanet、CMCC WIFI免费上网、海外流量兑换；联通的“流量银行”也打破了传统的运营商界限，所有运营商的用户都可以参与其中，真正实现无障碍的跨平台运营；但是移动的“爱流量”却不相同，仅限中国移动用户注册和使用。三大运营商之间的流量互通暂时无法解决，且三大运营商的流量单价也各不一致，经常变动，没有一个统一的定价标准，这极大影响了流量兑换的范围、效率和成本，还存在流量变现套取等问题，这些都将成为流量货币化的阻碍。

　　二是流量货币化盈利模式仍不明晰，还处在摸索阶段。对运营商而言，流量货币化后，诸如用户流量不清零、用户间流量买卖、流量转赠等政策的推出，使得运营商存在流量收入下降的风险，例如某用户月套餐含500M流量，但每月只用了不到250M，由于流量可以转赠，他便将剩下的流量免费赠予超流量的亲朋好友使用，这就使得部分超流量客户可以通过共享他人的流量从而减少向运营商直接购买，导致运营商流量收入下降，但对于用户的流量转赠行为运营商是收费的，这一减一增是否会影响运营商整体流量收入，需要进行具体的测算和分析。

　　三是用户参与程度仍不高，没有形成良好用户使用习惯。说到底，流量货币化其本质还是旨在通过用户间的社交、互动等行为，将原本处于闲置的流量利用起来，进一步提升流量的使用价值，激发用户的流量使用潜力，达到量收双增长的目的。现阶段，由于运营商套餐流量过月清零、流量平台仍处于初步推广阶段，许多功能和服务还不完善，且并未大规模宣传推广，使得用户间的流量转赠、交换、流量赚取等行为并不频繁，大部分用户还是持“每月流量用不完就算了，月套餐流量用完了继续向运营商购买”的做法和态度，并没有将用不完的流量赠予他人或者出售，用完了去向朋友索取、低价向其他用户购买或者自己去赚取的想法。如何引导用户更多去参与流量的流通，形成新型流量使用习惯，将是流量货币化规模开展的基础。

　　四是流量货币化的监管问题。流量货币化后，流量便可以充当网络虚拟货币，但目前并没有相应的法律法规对其进行监管和约束，如何防止不法份子利用其进行犯罪活动，还需要制定更为合理完善的运营监管机制。

　　流量货币化是运营商互联网转型的又一重大突破，机遇与挑战并存，如果能建立起合理完善的流量货币化体系，这一创新的流量经营模式必能引导产业链的优化升级和商业模式的巨大变革，从而爆发出巨大的商业潜能。

　　“流量货币化”经营模式的出路

　　流量货币化大有可为，那么，如何才能进一步盘活用户流量资产，消除流量经营障碍，提升流量价值呢？通过分析，我们可以从以下几个方面着手：

　　首先，优化流量货币化平台的服务和使用体验，建立流量货币化经营闭环体系。运营商需形成统一业务规划和运营标准，努力打破三网流量不互通的限制，更加大胆的去尝试创新；建立合理的平台服务收费、流量监控、流量交换等制度，提升用户体验；清晰掌握流量的来源、交易过程和去向，引导用户进行安全可靠的流量交易；逐步扩大流量价值范围，如支持流量直接购买音乐、视频、游戏、兑换积分等增值服务，强化与互联网应用内容服务的对接。

　　其次，加强流量平台的营销推广力度，引导用户真正去“玩转流量”，激发用户深层次的流量消费。运营商需通过多渠道、多触点的宣传，提升流量平台的覆盖规模；引入更具吸引力的娱乐、休闲、支付、理财等互联网应用服务，拉动用户流量消费需求；逐步尝试用户自我定价、自由交易、自我创造内容等互动性和参与性更高的运营模式，从而提高用户体验，增强用户粘性，例如如果用户仅是进行新闻浏览、微博、微信等简单服务，那就支付少一点的流量；如果是在线视频、音乐、游戏等，那就支付更多的流量；如果需要更高的服务要求，诸如在线炒股，用户则可以支付更高的流量来保障整个服务的流量性，这种更具个性化和差异化的服务体验想必更受市场所欢迎。

　　最后，建立更加完善的支撑和规范的监管体系。数量级如此庞大的流量流通平台，所投入的人力、物力等资源必定不少，且需要具备更高的要求，这样才能保证整个体系的正常运转。此外，为保障用户流量账户和交易过程的安全性，防止不法份子投机取巧，流量货币化监管体系必须不断优化，并对流量的产生过程、交易方式、价格费用等进行更加细致的设计，才能使流量货币化一直在正确的轨迹上运转。

　　通过以上分析，我们可以知道流量货币化虽然才刚起步，但却给运营商、虚拟运营商、互联网企业带来了更多的遐想空间，通过流量货币化打破传统运营观念，不断优化流量生态系统，提升用户的流量体验和服务价值，必然能为流量市场注入前所未有的活力，其所蕴含的商业价值也将逐步显现。

　　来源：投稿，作者：赛立信通信研究部  曹先震，赛立信竞争情报网。

2B企业如何实现互联网化

　　绝大多数的企业都知道互联网对自己意味着什么，但知道具体怎么做的则寥寥无几。互联网连接一切，也正在改变一切。连接的，我们需要拥抱互联网，转变原有模式，将各项业务互联网化，这是“+互联网”；改变的，我们需要利用互联网技术，融合创新开展新业务，用互联网去重构业务需求，这是“互联网+”。

　　在风生水起的资本市场，以往给投资人回报慢、阶梯式增长、难以估值的印象的2B企业也开始了自己的复兴之路，在大众创新万众创业的背景下，国内企业无论在数量上还是在质量上都在野蛮生长中，许多企业还停留在创始人就是核心竞争力的阶段，公司机制或经营模式的原因造成的管理乱象在所难免。而这些企业自身也逐步开始注意公司的结构效率优先于运营效率，同时资源配置优先于运营管理，生产和运营中的保障、产业和系统化的升级成为最迫切的需要。这是2B企业的机会。

　　不管是互联网思维、“+互联网”还是“互联网+”都是指导企业转型的方法论，而对于2B企业来说，指导客户走向互联网化的前提是自己已经在互联网的道路上了。那么，2B企业又如何实现自身的互联网化呢？

　　首先，建立起以客户为中心的商业模式。这一点是最简单，因为他从企业第一天建立的时候就已经存在，但同时也是最难的，因为这决定了企业的未来。相比于2C市场，2B市场更多的是提供一种服务，一种针对企业运营、销售、IT、管理等等方面的服务，所以，2B业务的繁荣一定是建立在整个市场环境良好的背景下，并且与企业共生共荣，目前国内ERP、CRM等领域的大热充分说明了这一点。

　　其次，建立起员工驱动而不是领导驱动的企业内部创新模式。这一点对2C端的企业同样适用。创新一定是采用自下而上的方式才会成功，自由自下而上的创新才会产品裂变效应，相反，自上而下的创新只不过是不断重复“复制”“粘贴”机械式创新。总理的咖啡、裂变式创业、股权众筹都可以归纳为这种创新模式。

　　第三，建立起成数据驱动的企业运营，利用数据分析创造商业价值。在互联网化之后，企业营运的重心从流程转为数据，流程仍然重要，但是比流程更重要的是数据，数据可以驱动企业销售、驱动产品迭代。这样数据分析才会更有意义。数据分析会不断的为不同的部门输送数据，包括销售、市场推广、产品、运营、客户服务、风控，各个不同的部门通过数据从而产生创造出巨大的价值。

　　第四，建立起在全球范围内配置资源的运营方式。现在云计算、大数据已经不再神秘，这些基于互联网的新技术使得企业IT计算的范围从原来的一个企业扩展到全球范围，现在即使是一个处于创业阶段的企业也可以做原来要一个跨国公司才可以做的事情。公有云的快速发展使得数据备份、存储、恢复、迁移等服务可以轻松实现全球公有云的覆盖。这也就是为什么多备份这种名不见经传的企业可以在创业初期就获得IDG、极客帮千万投资；为什么Datto在2014年可以取得了近1亿美元的营收；为什么Box能够在2015年1月底正式登陆纽交所。

　　未来，所有的企业都会成为互联网企业，都会成为互联网驱动的企业，关键就在于企业的认知与决心，无论是产业互联网还是企业互联网，无论是现在热炒的互联网+还是工业4.0，这个趋势已经很明显。而对于2B企业来说，实现互联网化的最终目的都将是为企业节约成本、带来利益。除此，无他。

　　来源：投稿，作者：程小微

2014互联网金融安全报告

　　2015年04月30日，绿盟科技发布2014年互联网金融安全报告。报告收集了在2014年互联网金融行业中的134份安全漏洞，对互联网金融常见的安全漏洞进行了统计及深入分析，并从业务设计角度给出了防护方案，包括越权漏洞代码防护、任意用户密码修改、恶意注册代码防护、恶意短信代码防护等。报告对于互联网金融组织及从业人员具有参考价值。以下是报告全文。

　　互联网金融安全状况堪忧。据不完全统计，截至2014年底，已有近165家P2P平台由于黑客攻击造成系统瘫痪、数据被恶意篡改、资金被洗劫一空等。目前很多P2P平台整体安全技术水平跟其业务的风险性不相匹配，缺乏专业、核心的防范黑客攻击技术，给了黑客乘虚而入的机会，如何提升平台安全能力成为亟待解决的问题。中国人民银行原副行长、著名经济学家吴晓灵表示：“根据世界反黑客组织的最新通报，中国P2P已经成为全世界黑客宰割的羔羊” 。

　　互联网金融异军突起。2015年3月5日，十二届全国人大三次会议盛大召开。李克强总理在《政府工作报告》中多次提到互联网金融，明确指出“互联网金融异军突起 ”，并提出要“促进互联网金融健康发展”。 民建中央向全国政协提交的关于进一步规范与发展我国互联网金融的提案，列出互联网金融行业存在的六大突出问题，其中安全性是其中一个重要方面。

　　近几年互联网金融行业新上线的系统非常多，绿盟科技NSTRT安全团队收集了在2014年互联网金融行业中的134份安全漏洞报告，并对漏洞类型和数量做了统计，报告中的主要观点如下：

　　观点1：互联网金融安全敲诈事件攀升，利益驱动明显。

　　观点2：安全漏洞呈现部分集中化，个别漏洞非常普遍。

　　观点3：互联网金融行业入行门槛过低，安全开发重视不足。

　　观点4：开发安全管理落后导致漏洞修复成本过高。

　　安全风险分析

　　安全漏洞

　　按照漏洞类型的分类和数量统计，我们得出了最常见的12种漏洞类型，漏洞类型按照数量和风险值进行叠加后排序，得出如下漏洞数据分布：

　　安全漏洞分析

　　从上面的图表中可以看到，在漏洞统计结果中，除了常见的一些如注入、跨站、CSRF、恶意上传等Web漏洞外，部分金融平台在业务功能设计上存在着严重的风险，如任意用户密码重置、交易参数恶意篡改等，与常见的注入、恶意上传不同，这些业务逻辑的漏洞不会直接影响服务器的安全，但却会直接影响用户的资金、账号的安全，其风险程度有过之而无不及，若被黑客所利用或被曝光，将严重影响业务数据安全和平台公信力。下面报告就常见的几种情况做简要分析解读：

　　业务设计缺陷造成的风险最高

　　所谓业务设计缺陷造成的风险，是为区别于那些通用的常规安全漏洞。常规漏洞包括SQL注入、XSS跨站脚本漏洞、系统命令执行漏洞、溢出漏洞等。业务设计缺陷造成的漏洞一般与系统业务挂钩，在漏洞的利用代码上无明显的攻击特征，也就难以用通用的Web应用防护设备（例如WAF）来进行防护。在所有漏洞类型中，因业务设计缺陷造成的安全风险占的比重高达27%。常规的安全漏洞大多数能够用Web应用防火墙等防护设施去进行防护，但是因业务设计缺陷造成的风险非常难以进行通用而全面的安全防护。因此对业务设计缺陷造成的安全风险防范和检测尤为重要。

　　业务设计缺陷分类统计

　　NSTRT安全团队根据统计的类型和数量，列出了在互联网金融行业中比较常见的业务设计缺陷，并做了专门的典型案例介绍。值得一提的是，由于各个系统的业务有所差别，加上业务本身的复杂性，业务设计缺陷造成的漏洞可能是其它地方没有遇到过的，这些非常少见的漏洞也难以进行分类。最常见的一些业务设计缺陷分类统计如下表格：

　　平行越权是常见的业务设计缺陷

　　平行越权问题是指相同权限等级的不同用户之间可以越权获取或操作他人的数据。根据漏洞数量的统计结果，在所有业务设计造成的缺陷中，平行越权问题几乎占到了一半。平行越权问题主要包括平行越权查询、平行越权下载、平行越权修改这三种。

　　以越权查询为例，在很多的场景下，开发人员在设计用户查看本人信息的功能时，服务端会检查用户是否为登录状态，进而判断用户是否具有查看信息的权限。在这样的设计下，开发人员只考虑了用户是否具有查询权限或是否为登录状态，但没有考虑用户查询的具体内容是否与用户的权限匹配，由此造成了用户可能查询到其它人员的信息。

　　平行越权问题虽然原理上并不复杂，但是金融行业中非常常见。此类风险如此常见，安全开发意识不足是一个原因，另一方面原因是这种业务逻辑问题无法使用Web应用防火墙等设备来进行防护。要解决这类安全风险，还要从业务安全设计和安全编码两个方面抓起。

　　XSS是最常见的安全漏洞

　　在每年的OWASP TOP 10中，跨站脚本漏洞（即XSS）多年来一直名列前茅。在互联网金融行业中也不例外，在各种常规漏洞中，XSS是出现频率最多的漏洞类型，占到了13%。其中主要包括反射型XSS和存储型XSS。

　　跨站脚本漏洞可能会导致网页挂马、用户权限被盗用、钓鱼攻击等多种安全风险。

　　值得一提的是，CSRF（跨站点请求伪造漏洞）也比较常见，在所有漏洞数量中占了6%。在真实的攻击中，CSRF往往会结合XSS来一起利用，进而形成巨大的威力。在很多情况下，利用一个存储型XSS加上一个CSRF漏洞，能够在短时间内对大量用户进行攻击，攻击效果非常明显。

　　短信验证是最易受攻击的安全功能

　　在统计中高风险漏洞中，与手机短信相关的漏洞占比高达13%。在所有安全功能中风险最高。手机短信验证功能是一个系统为了验证用户身份而增加的安全功能，但是这个安全功能本身却带来了一些直接的安全风险。在手机短信验证功能出现的风险类型中，最常见的有手机短信炸弹、手机短信验证流程绕过、手机短信破解、手机短信重复利用这几个问题。

　　用户登录功能也是安全重灾区

　　在互联网金融系统中，用户登录功能是一项重要的系统安全功能之一，也是账号安全的第一道防线。遗憾的是，这一防线在很多地方都不够强大，导致攻击者往往能够有机会突破这一防线，形成各种各样的攻击。

　　用户登录功能处常见的安全风险主要包括暴力破解、登录流程绕过、用户信息泄露、批量账号锁定等。

　　大多数地方的用户登录功能都有各种类型的验证码校验，但是根据统计发现，很大一部分的登录验证码校验存在安全缺陷，导致攻击者可以绕过验证码进而执行暴力破解。

　　在大量用户信息被泄露的今天，账号的安全非常重要。在之前大量用户数据泄露之后，暴力破解用户账号密码的成功率越来越高。因此，账号和登录的安全值得我们重视。

　　互联网金融开发安全分析

　　互联网金融安全领域还不成熟

　　考虑到互联网金融行业的门槛低，效益高的特点，互联网金融行业在近几年呈大幅度的增长态势。在金融行业，银行使用的各种网银系统都已经经过了多年的安全检测，在安全性上已经有了明显的进步。但是互联网金融的各个平台都还比较年轻，很多企业还没有对自己的安全风险有足够的认识。例如：2014年上半年， 国内互联网安全问题反馈平台乌云曝出某p2p平台系统存在严重安全漏洞，称“系统任意上传漏洞涉及涉及金钱交易数千万”，据统计，该漏洞涉及的国内网贷平台不少于15家。

　　互联网金融的研发团队大多都是新建立的团队，开发规范不够健全，开发人员的经验和安全意识也大多参差不齐。

　　紧急项目增加安全风险

　　有很多企业在进入互联网金融行业的时候，没有给系统的开发预留足够多的时间，导致出现了大量的快速开发现象。安全分析是一项需要耐心而又细致的工作。快速开发可能会导致开发人员为了进度而放弃安全上的考虑。同时，在进度的压力下，测试人员更多的会考虑系统的可用性，在安全上的测试则难以顾及。

　　互联网金融安全开发保障

　　我们不仅希望自己更少遇到风险，更希望自己遇到风险之后能够有足够强的能力应对。针对一个企业来说，开发人员应该通过安全培训来具备足够强的安全风险意识和安全开发能力。对于企业的安全管理，应该要具备一套健全的安全开发规范制度和系统上线运营安全流程。在一个互联网金融的项目上线之前，应该做好完善的安全准备，建立各个层面的安全防线，从项目的各个阶段引入安全控制，从源头上来避免安全风险。一个完善的开发项目应该引入SDL（Security Development Lifecycle，安全开发生命周期）流程，从安全风险管理的视角来避免安全风险。

　　SDL从需求阶段、设计阶段、实施阶段、测试阶段和发布响应阶段来引入安全管理。SDL的各个阶段相关内容可参考下图：

　　互联网金融安全防御

　　在各种类型的安全漏洞中，大多数常规的安全漏洞（例如XSS、SQL注入等）能够使用Web应用防护设备等措施来进行通用的防护，但是业务设计缺陷造成的漏洞无法用这些措施来进行通用的防护，唯一解决方案就是从设计上避免它、在代码上修复它。

　　为了让互联网金融的研发团队能够避免重蹈覆辙，绿盟科技NSTRT报告曾经对最常见的一些业务设计缺陷做了详细的介绍 ，并一一给出了对应的防护方案，这里提要如下：

　　越权漏洞代码防护

　　针对平行越权漏洞，我们建议让访问和操作的对象增加用户属性，当对目标对象进行访问和操作时，服务端对会话和对象的用户属性进行校验，通过校验后再执行读取和操作。

　　针对垂直越权漏洞，我们建议使用默认拒绝所有的访问机制，然后对于每个功能的访问，-明确授予特定角色的访问权限，同时用户在使用该功能时，系统应该对该用户的权限与访问控制机制进行校对。

　　任意用户密码修改

　　针对重置密码功能中的任意用户密码重置问题，首先要保证短信验证码校验功能本身的安全，给随机验证码的认证次数设定限制，当认证超过次数限制则使当前验证码失效。其次，要保证短信验证码的验证流程不会被绕过，在短信验证通过之后重置密码操作时，需要从服务端会话信息来判断用户是否经过了短信验证码的校验。最后，要保证重置密码功能不能被换位使用，重置密码的目标账号不能从客户端参数中获得，而应该从服务端会话信息中获得。

　　恶意注册代码防护

　　恶意注册漏洞一般是由于手机短信或邮箱认证功能存在缺陷或能被恶意利用导致。在设计注册功能时，要注意对手机短信或邮件的错误认证次数设置限制。尤其要注意邮箱认证内容要具备不可预测性。在经过手机或邮箱认证后，要保证注册的目标账号为会话中保存的认证的手机或邮箱。

　　恶意短信代码防护

　　针对恶意短信类的安全问题，我们建议可以通过以下3种方式进行防护：

　　1、 从服务端限制每个号码的发送频率和每天的发送次数，防止攻击者利用短信接口进行恶意轰炸。

　　2、 在发送短信之前要求经过图形验证码的认证，防止攻击者遍历手机号来发送短信。

　　3、 发送短信的内容应直接由系统内部进行定义，客户端可通过数字或字符的方式，对所需要发送的内容进行选择，如messagetype=1 为密码找回，messtype=2为注册，然后通过数字来索引要发送的内容。

　　结束语

　　在曾经很长一段时间，金融行业中最典型的网银系统经历了多年的安全教训和考验。如今，我们欣然看到多年前那些常见的高危漏洞在网银系统中已经很难被发现。

　　曾几何时，互联网金融浪潮给金融行业带来了一轮新的风雨。它比网银系统更加开放和多样化，自身风险更高，防护起来更加复杂。2014年的各大安全事件让我们认识到，在商业利益驱动下，风险来得比大家想的还要快。

　　捻乱止于河防。在2014年对互联网金融行业的信息安全领域依然缺乏足够的监管，但我们相信，在各方的努力下，互联网金融行业一定能够变得安全、健康。

　　来源：投稿，作者：赖东方，绿盟科技 TRT代码安全组长、负责开发安全研究，张佳发，绿盟科技TRT leader、负责团队建设和攻防研究。贡献者，侯俊，吴昊

AV-TEST：腾讯评测作弊取消认证

　　杀毒软件测试机构AV-Test周二发布声明称，因腾讯电脑管家在测试中有作弊行为，世界三大权威杀毒软件测试机构AV-Comparatives，AV-Test和Virus Bulletin宣布撤销2015年授予腾讯的所有认证和奖项。

　　声明称，腾讯电脑管家最近发布的所有版本都存在明显为提高测试分数而进行的优化，这些优化对普通用户没有任何价值，甚至会降低产品的防护水平。
三大杀软评测机构对腾讯的作弊行为进行了谴责，称这种行为对开发者和用户都没有帮助，三家机构将对参加评测的杀毒软件厂商提出更严格的要求，以防止再次出现类似行为。
4月30日，三大评测机构发表声明，撤销了中国杀毒软件厂商360在2015年最新测试的奖项。

　　针对世界三大杀软评测机构撤销认证和奖项事件，腾讯电脑管家回应称不赞同AV-Test的决定，要求其予以纠正，同时表示将通过法律手段维护合法权益。

　　腾讯电脑管家还表示，在AV-Comparatives等机构的评测中，腾讯电脑管家不存在问题，既有成绩不会受到任何影响。

　　腾讯电脑管家回应全文如下：

　　通过国际安全机构评测是有效提升产品综合实力的途径，过去几年，腾讯电脑管家积极参与国际主流安全评测，并以良好成绩通过了AV-Comparatives、AV-Test、Virus Bulletin、英国西海岸实验室（West Coast Labs）等国际著名安全评测机构组织的系列评测。

　　北京时间5月5日，我们遗憾地看到评测机构AV-Test发布公告，质疑腾讯电脑管家产品对该测试优化(optimizations)。但与此同时，我们也得到AV-Comparatives等知名评测机构的确认，由于使用了全面的性能测试方法，在他们的测试中腾讯电脑管家不存在问题，既有成绩不会受到任何影响，并将继续测试腾讯安全产品。在此之前的4月30日，三家机构曾联合发表调查声明，明确指出腾讯电脑管家产品并不存在问题。

　　我们对目前出现的评测标准不一状况感到困惑，将积极沟通解决问题，用开放的心态寻求共识，与安全评测机构共同促进产品的不断提升，共同促进国际安全测试标准的丰富和规范，为全球用户提供更优质的安全服务。

　　对于AV-Test撤销电脑管家成绩，我们并不认同。腾讯电脑管家提交给AV-Test的测试产品与用户使用的一致，并获得其他机构评测通过，而且AV-Test未能指出该产品违反了何条评测规定，不仅如此，该机构对腾讯电脑管家产品存在明显违反评测协议的行为。

　　有鉴于AV-Test不合理地撤销腾讯电脑管家成绩，我们要求AV-Test予以纠正，同时，我们将通过法律手段维护我们的合法权益。