跟大多数公司的安全团队起步时一样，同程旅游的安全团队刚开始时只有一个人，组织架构也是放在运维团队里面的。百废待兴，到底要从哪里着手呢？大家七嘴八舌地出了很多主意，有人说我们应该去买一堆安全设备，这个人就是安全设备的管理员；也有人说我们应该去做一些安全规范，这个人就是安全文档的编写者；还有人说我们应该自己挖一些漏洞，这个人就是安全测试员。这时这个安全工程师完全没有主意了，被大家说晕了。

还是胖波拍了桌子吼道：“安全是一个体系工程，我们应该将其分为基础安全、应用安全、安全测试、漏洞收集等各个方向，来建立一个完整的安全体系，而不是简单地去修一个围墙，安全是需要有纵深的。”

话这么说是没错，但是安全行业人难招啊。安全工程师在早期基本上是救火队员的角色。这边挖一个漏洞，那边报一个漏洞，再跟进研发团队进行修复，每周出一份安全周报，将本周的安全漏洞、安全进展及需要协助的地方报告给各相关项目的负责人。在CTO的鼎力支持下，早期的安全工作进展得还算顺利，虽然还是只有一个人，但是在组织架构上已经从运维部门划分出来，成立了独立的安全组（后称安全团队）。但一个人的力量毕竟有限，外部报告的漏洞越来越多，其中不乏高危漏洞，安全工程师忙得焦头烂额，疲于奔命。

没过多久就发生了一起严重的安全事故。安全工程师收到外部漏洞报告，说线上系统因为对外开放了一台空密码的FTP服务器，而这台服务器上同时运营着一套没打上最新安全补丁的监控系统，所以黑客经过一番探测之后，可以利用漏洞直接切进线上的生产环境，探测内网的信息，带来严重的威胁。

虽然是周末，但安全工程师还是拉上了部门负责人、运维、网络等团队的同事应急响应。过去因为业务需要快速上线，防火墙上的对外映射等其实是没有审批流程的，有人申请，网络团队就去执行，时间一长，已经无法理清哪些对外映射还在用，哪些已经可以关掉了。而现在出了安全事故，大家不得不坐下来慢慢梳理了，于是大家用了周末这两天逐条梳理防火墙的对外映射。尽管大多数报告漏洞的白帽子都是遵守白帽子黑客道德约束的人，但安全工程师和负责运维的同事还是对线上全网主机的日志进行了审计，以确保报告者没有做出格的事情。

事故处理完之后，大家也一起开了复盘会，讨论之后要怎么做才能避免类似事故的发生。大家首先达成了共识：之后防火墙的对外映射需要安全团队的审批，因为负责网络的同事并不能对应用做出安全评估，到底能不能做，由安全团队说了算。

于是顺理成章，第2名加入安全团队的同事是网络安全方向的，虽然之前并不是做安全的，但是拥有丰富的与网络相关的经验，以及长时间的防火墙项目实施和运维经验。防火墙相关的运维工作也从网络团队移交到了安全团队。

在早期安全团队人少的情况下，安全工程师的精力是最重要的，必须集中注意力应对最急迫的安全威胁。在预算允许的情况下，安全团队在早期可以采购些商业安全设备，比如防火墙、WAF（Web应用防火墙）等，能买的可以先买来用上，至少能为安全团队的成长赢得一些时间，规避很大一部分风险；另外，安全团队找了第三方的安全平台对公司进行了安全众测，就是在平台上召集一些可靠的白帽子，在一段时间内对公司的各个项目从各个维度进行安全评估。

P139－142

第1章 小白入职

 1.1 第一行代码

 1.2 不断前行

 1.3 不平凡的大年初一

第2章 一个可以旅游的网站

 2.1 不仅仅是电商

 2.2 旅游网站也不轻松

第3章 决战国庆之巅

 3.1 人山人海

 3.2 海量订单

 3.3 大禹治水

 3.4 坚如磐石

第4章 分布式中间件

 4.1 一个特别的负载

 4.2 缓存之凤凰涅槃

 4.3 错综复杂的数据库

 4.4 可治理的服务

第5章 运维的苦海

 5.1 每天背个锅

 5.2 一场革命

 5.3 运维大数据

第6章 黑洞

 6.1 安全的挑战

 6.2 成长中的安全团队

同程旅游的技术研发从最早的ASP发展到现在各种技术的百家争鸣，历经十几年。虽然同程旅游的技术一直在革新，但是同程旅游的研发人对技术的热情从未消退。同程旅游以拥抱变化作为公司的核心价值观之一，同程旅游的研发人无时无刻不在改变着自己和学习新技术，他们大胆地将业界新的互联网技术引入同程旅游的技术体系，不仅在开发效率上比以往更高，而且给公司节约了大量的硬件成本和维护成本。

本书解读了同程旅游从技术发展伊始至今的技术故事，其发展过程也并非一帆风顺。同程旅游的研发人虽然踩过坑、走过弯路，但最终还是凭借着坚韧的拼搏精神，克服了一个个艰难险阻，完成了自身和公司的双飞跃。

随着同程旅游的飞速发展，同程旅游的研发人也将要面临更大的压力和挑战，我在这里衷心地希望，所有同程旅游的研发人能再接再厉，让研发成为同程旅游发展壮大的基石！相信同程旅游有了这样一群热爱技术、富有激情的研发人，明天必将腾飞！

张海龙Ben

2016年10月于姑苏城

张海龙、王晓波、吴中骅、刘新高著的这本《同程技术故事》以主人公小白入职同程旅游开始，介绍了同程旅游技术发展的心路历程。小白在同程旅游担任数据库管理员和运维人员，是同程旅游创业初期吃苦耐劳的研发人的典范，也算是见证了同程旅游研发的发展历程。同程旅游从一开始简陋的基础设施，发展到如今的各种监控系统、中间件的锋芒崭露，在此期间小白自身也成长颇丰。本书全方位地为读者讲述了一名同程旅游研发人员如何一步步地从0转变到1的技术故事。

本书总计有6章，前3章讲述了同程旅游的历史、业务及每年国庆期间面临的种种考验，这些都是同程旅游研发的往事；后3章则介绍了如今同程旅游研发中的中间件团队、运维团队及安全团队。

本书适合对互联网技术、大并发、大数据等感兴趣的人群阅读，能够帮助初创或成长型公司的技术开发者选择正确的技术道路，避免再踩同程旅游所经历过的技术方面的老坑。本书还介绍了在线旅游行业的业务特性，所以也非常适合非技术开发方向的旅游行业从业者阅读。

张海龙、王晓波、吴中骅、刘新高著的这本《同程技术故事》解读了同程旅游从技术发展伊始至今的技术故事，其发展过程也并非一帆风顺。同程旅游的研发人虽然踩过坑、走过弯路，但最终还是凭借着坚韧的拼搏精神，克服了一个个艰难险阻，完成了自身和公司的双飞跃。