今天在知乎上有人邀请我回答一个问题：创业团队如何在低成本的情况下保护自己的网站安全？
简略答一下。
一般来说，很多安全专家都会告诉你没有绝对的安全，如果黑客一定要长期盯着你的公司有针对性的渗透，很少有可以幸免的。
这么说难免令人沮丧，尽管如此，我们仍然不能坐以待毙。就算所有公司都被黑客黑掉了，我们也希望自己能是最后被黑掉的那一个。同时，如果采取的措施恰当，是有可能将损失降至最低的。
对于创业团队来说，业务发展速度快，运维策略、研发过程可能都不太规范，这给安全工作会带来很多的问题。最常见的是：
1. 代码更新频繁且快速，增加安全检查是一种额外的负担
2. 测试环境、生产环境混乱，程序员、测试、运维可能都有服务器的权限
3. 缺乏必要的策略和流程，以至于产生SVN权限乱给、离职员工还能有权限、员工随意在服务器上开端口暴露出去等诸多问题
以上问题都给安全工作带来了很多困难，而且创业团队一般来说是没有全职的安全工程师岗位的。
根据我的经验，一般公司对安全的重视程度，与这家公司是否出过安全事件有着极大的关系。如果一家公司以前从没有遇到过安全问题，那么也不会有什么决 心在安全方面有所投入；相对的是，如果一家公司遭遇过黑客攻击，并且造成了一定损失，那么对安全问题的态度就会来个一百八十度的转弯。
无论是教科书上，还是我的从业经验，都认定了一个事实：安全工作需要自顶向下展开。无数次教训告诉我们，自底向上展开安全工作，是注定要失败的。
所以如何有效的开展安全工作？最重要的前提，就是公司的管理层能够从战略上重视安全问题。如果最高管理层本身具有很强的安全意识，甚至懂很多攻击或防御的技术知识，那么安全工作往往会很有成效，而且能够省很多钱。
对于创业团队来说，如何开展安全工作我有如下建议：
1. 定期请第三方安全公司做安全评估
这样你可以减少人力成本的投入，同时让更专业的人做专业的事情。
2. 考虑使用开源或商业的WAF（Web应用防火墙），或者是IPS（入侵防御系统）
使用WAF的好处是可以尽量少的改动代码，同时为打补丁赢得时间。因为有时候改代码是很麻烦的一件事情，而有些第三方程序的代码改起来就更麻烦了。
3. 合理收紧各种权限
包括数据库、服务器、应用后台、SVN等权限，只把权限开放给需要使用的人。
4. 妥善保管好所有的日志
包括各种应用的日志、Web日志、服务器日志等。需要实时的远程收集起来，远程收集的原因是有的黑客入侵后的第一件事情就是篡改日志。
5. 给员工做一些安全培训
基本的安全意识还是要有的。经常有黑客会打客服电话或者发邮件过来搞搞诈骗。同时还要杜绝弱口令，很多管理后台都是因为弱口令被黑掉的。程序员也需要具备一些基本的素质，杜绝常见的不安全代码的写法。
6. 考虑找一套比较合理与靠谱的安全解决方案
解决方案一般考虑三个方面：代码安全如何实现、网络安全策略如何制定、操作系统如何加固。
如果想把整套安全体系跑起来的话，你还需要制定一个安全运营的策略，比如定期扫描网站、审计日志和代码，以及制定应急响应的流程。
大致就这些了，写着写着发现和一般公司做安全差不多了，安全想做好确实不容易，有条件的话还是招聘专业的人吧。
回到题主最开始的问题“低成本”上来。
以上几点都有不花钱的方式，定期的安全评估可以用定期的扫描替代，不过效果要差上一些。还有取巧的方式是向安全社区公开征集漏洞，并有奖答谢，成本也不会很高，但效果却出奇的好。
