• 观点
    【独家】[招聘渠道] 新的招聘时代,HR们该如何选择? 本文观点均来源于网络渠道各人力资源从业者。   招聘,也许就是各位HR们最为头痛的事,从该帖中可以看到,各位HR为了招到适合公司的员工,也用过了大大小小各种招聘网站。从他们的讨论中也可以看出,目前的招聘不再只局限于去传统招聘会场,人才市场等寻找人才,大多都通过在线招聘网站等方式。而也就意味着,招聘的开始就要先与各大招聘平台商确定合同。那么,到底什么样的渠道,什么样的招聘网站是更适合的呢?HR纷纷留下了属于自己的经验,提出了自己的困惑。   网友Lish5460说:“现在网站招聘效果还是不容乐观,年费却很贵,在有限的经费下,自己不知该如何选择。”随后,有同感的几位HR们纷纷发出了感慨和感想。   其中,各位HR对于选择何种类型的招聘网站,主要取决于招聘员工的工种、以及招聘网站后续的服务、效果、包括招聘网站负责人的销售员等,这些都在他的考虑范围内。   随后网友胡然也认为,会根据公司人才需求,选择适当的招聘网站。招聘基层普工考虑赶集、58这类型的网站;办公室岗位,需要一定经验、技术、学历等,中层岗位就选择智联、51等类型的网站;想高层的岗位的话,会选择猎头类型的网站,成本虽高,如果找到了非常合适的人了,就非常值了!   另外,网友解元也补充道:猎头不仅非常多,层次的差别也很大,要留心鉴别。而且现在猎头提供的服务是有不同的,也有便宜针对中级岗位的,并非不专业;不过非常高端的岗位基本只能靠猎头,候选人一般不公开简历。若邻网因为是试用的免费版,所以收到的简历质量相对较差。同时他也尝试用微信、微博平台,SNS社区,论坛等进行招聘。但是社交招聘的方式是要靠时间积累人气的,其实也不轻松。他吐槽道:“通常做招聘分析简历、打电话都来不及,没有那么多时间去维护社交平台。” 招聘有的时候靠的是人脉。网友懒猫琪琪分享了他这方面的体会,他在招聘方面朋友通常都没招到人,但是如果维护好候选人,他会为你介绍候选人。他有位候选人虽然放弃了他们公司的工作,但是也推荐来了另外两位。 同时懒猫琪琪感慨道,虽然他招聘做的时间并不长,但是发现这个工作真的要靠积累,合作伙伴,候选人,都要做积累,不仅仅是为了招聘,还是为了给公司做宣传,以及为将来的招聘做储备。   除此之外,各位HR都还比较关心的是招聘网站后续的服务,网友spcchenyue 说道,各类网站的后续服务也很重要,如果只管销售,不管售后的网站,那出了问题或者想要咨询都找不到人的话,会适得其反。 而绝大多数HR认为,招聘要求的结果是很简单,就是要找到合适的人。没有效果的话,只会浪费成本。   斑竹透露,他除了上述这些要求,也会考虑招聘网站的销售员是否负责。他认为,对接,或者来谈合作的业务员的态度非常重要,如果太过于高傲的话,会让他很不高兴,大家都是合作,没必要高高在上。对于一些态度傲慢的招聘网站的销售员,他首先就会选择PASS。   从各位HR们的吐糟,分享中可以看到,人力资源招聘这个环节是公司发展的重要一环。利用互联网招聘已是大势所趋。而如何利用网站招聘则需要经验的积累,吸取。HR们平时应多记录平时工作经验,和同行分享交换经验之外,还应该多参加一些人力资源科技方面的论坛,给自己充充电。   最后,网友55思密达认为,做好人才储备也应是作为HR的他们需要关注的方面之一。招聘不能等到公司缺人才进行,而是应提前做好人才库的建设,才能及时给公司补充新的血液。而人才的储备方面,55思密达主要依赖于社交媒体进行。   各位HR们,看了上述HR们分享,你还有些什么感想和经验呢?我们期待大家踊跃分享关于新的招聘时代,HR该如何选择招聘渠道的想法哦!     本文是总结各位人力资源行业从业者于中人网的中人社区上的一则热门帖《[招聘渠道] 新的招聘时代,HR们该如何选择? 》。   HRTECHCHINA实习编辑:於丹    
    观点
    2014年05月20日
  • 观点
    一览国内国外在线教育平台 摘要: 在线教育玩法五花八门,国内外在线教育大玩家们在各自平台搭建上都下了不少功夫,今天就来看看国内外在线教育平台玩家的发展模式。     国内在线教育平台 当下国内在线教育平台可谓百花齐放,五花八门,但综合观察后可以发现,市场上的在线教育平台主要是线上学习型和线上线下混合型两种。而且不少这两种类型的平台已经在行业内积累了一定的口碑和实力,为广大的在线学习者提供了全方位的服务。 线上学习型: 线上学习型平台的主要用户是成人,以高学历人群和大城市白领为主,主要的互联网公司如网易、阿里、百度、腾讯等,由于技术和资源优势,在产品质量和服务上都与其他平台拉开了较大的差距,未来的在线教育市场争夺,巨头的互联网公司一定会占据重要位置。 NO.1网易云课堂 网易云课堂无论是在内容还是平台建设上,都是业内领先的。其内容主要是高等教育课程、素质教育课程为主,拥有着全球的高等教育精品课程,资源丰富,深受国 内学霸们的喜爱。但网易对在线教育的贡献不仅在于领跑了高等教育的在线学习模式,还在于其对国外教育资源的引进,使得国内很多平台都能共享全球的教育资 源,学习者不仅可以免费得到很多教育资源,而且再也不用翻墙看视频了。遗憾的是网易云课堂至今尚未推出直播课堂和实时互动的服务。 NO.2淘宝同学 2013年7月,淘宝同学上线,依托阿里旺旺等工具,现在学习者们不仅能在淘宝同学上方便地购买各类教学视频,还能进行直播课程的学习和交流。而且相比其 他平台,淘宝同学上的视频总体上便宜很多。但是淘宝同学似乎难逃“淘宝范儿”,走上了电商的道路,视频和课程打包销售,五花八门,促销降价的活动也不少, 但在氛围和系统学习方面,多少还差点意思。 NO.3百度教育 百度教育主要有两方面的服务,一是课程搜索平台,依靠教育机构,搭建搜课平台,你想学的课程在百度教育上可以轻松搜索到,然后直接跳转到教育机构的课程页 面,把“百度一下”→“繁琐挑选”→“找到课程”的步骤。二是百度教育的“度学堂”,可以在百度教育页面直接购买教学视频并观看。值得一提的是,百度在 2012年自建了营销专讲系列课程--百度营销大学,课程设置和内容都比较专业,但是由于行业专业性较强,推广力度似乎并不大。 NO.4沪江网 沪江网,专攻语言的老牌专业网站。如果你有过学习语言的经历,那么沪江网你一定绕不过去。除了大量的学习资料可以免费下载外,沪江网还围绕语言学习开发了 沪江网校、移动课堂、口语练习、课程超市等一系列产品和平台。经过十多年的发展,沪江网已经在语言学习上积累了足够的资源和经验,也形成了良好的口碑,专 业全面的服务为国内很多语言学习者提供了良好的线上学习环境。 NO.5腾讯课堂 腾讯课堂是2014年4月刚刚推出的在线教育平台。虽然时间尚短,甚至还没有开始正式推广,但已经累积了不少学员,其影响力和后劲不容小觑。在腾讯课堂 上,几十家教育机构用QQ实现了视频教学。腾讯课堂的首推版本就已经实现了课程直播、点播、交叉互动和学员管理的功能,这在其他平台上则需要一年或多年的 时间才能完成。而且腾讯课堂可以依靠腾讯的资源整合能力,在人员、技术和产品上产生联动效应,在之后的在线教育市场竞争中腾讯课堂必将占据主要位置。 线上线下混合型: 线上线下混合型主要用户以学生为主,特别在K12、考研考试等领域较纯线上的平台优势明显,服务质量和模式较成熟的产品和平台均以老牌的教辅机构为主,业 务专一而专业,有口碑,有实力,有保障。受限于教育体制和学生学习的实际情况,线上线下的混合模式在很长一段时期内将会成为在K12和教辅行业的发展方 向。 NO.1学大教育 学大教育2014年推出在线教育平台“e学大”,与其他网校、视频点播、视频直播模式不同,e学大的在线学习系统主要是针对K12课程的学生、教师管理系 统,同时也可以作为学生和教师的在线题库、数据分析平台。学生的教育教学仍然依托其强大的线下教学资源,值得一提的是,学大教育的个性化教育理念和模式也 是广受好评的。 NO.2新东方在线 新东方在线主要是针对考研、语言、考试的视频辅导,在新东方在线平台上,学生可以完成课程交易、视频点播和视频直播。资料丰富全面,课程系统有效,在考 研、语言考试和其他类考试培训上,新东方在线无疑是有口碑“质保”的。当然,打包销售的单课程高昂学费也成为了新东方在线的特征之一。 NO.3学而思网校 2009年学而思教育集团就推出了学而思网校,在小、初、高在线课外辅导上占据了行也内的领头地位。依靠丰富的线下教育资源和经验,学而思网校系统全面的涵盖了小、初、高的所有课程,学生可以在网校上购买课程,观看课程视频。 NO.4华图网校 华图网校的主要服务是公考培训,有公考培训需求的用户可以在华图网校试听和购买相关培训视频、课程和资料,也可以报名其面授课程。依托多年的线下培训经验和积累,华图网校在公考培训方面的专业性和行业地位是毋庸置疑的。 NO.5跨考网校 作为老牌的教辅机构,跨考网校与华图网校一样提供课程交易、视频观看和资料下载。但其业务范围则是考研,而且只做考研培训。课程分为春季、秋季、暑期、冲刺和名师几类,价格从1万元到6万余元不等,专业服务考研考生。(来源于eNet硅谷动力) 国外在线教育平台 就在中国的在线教育还在等待一个爆点的时候,国外的在线教育已经风风火火了许多年,涌现出了许多全球着名的平台和模式。下面就为大家介绍一下世界上较成功的在线教育平台: NO.1 Coursera:世界顶尖大学课程全球共享 毫无疑问,coursera在全球在线教育平台中是独领风骚的。不仅因为它免费,而且因为它国际化最好,跨越语言和国家,与世界许多顶尖的大学都有合作。 在中国更是有绝对的优势,看coursera的视频不用翻墙,界面支持中文。另外网易和果壳同coursera都有官方的合作。部分Coursera课程 在授课结束后,通过考核的学生将被颁发一张署名的证书。 NO2. Udacity:免费看视频,付费认证考试,为学生介绍工作 与其他平台偏重文科的内容不同,Udacity的课程主要以计算机类为主,集合了很多业界牛人的教程,视频源是Youtube.Udacity的课程虽然 是免费的,但是学生们可以在完成课程后接受付费认证考试,或者付费由Udacity介绍工作。 NO.3 edx:非营利开源MOOC平台 edx是2012年5月由哈佛大学和麻省理工学院共同建立,是一个非营利性的开源式MOOC平台。edx的视频和课程资源虽然没有coursera那么 多,但是视频短小精悍,也颇受广大学习者的欢迎。2013年5月,清华大学正式加盟edx,成为首批亚洲高校成员之一。另外,edx的视频源是 Youtube,中国的学习者们可能要翻墙才能看到视频。 NO.4可汗学院: 教育性非营利性组织 可汗学院是一个非盈利教育组织,通过在线图书馆收藏了3500 多部可汗老师的教学视频,每段课程影片长度约10分钟,从数学,物理,化学,一直到理财人生都有涵盖。现在,可汗学院已经从家庭走进了学校,甚至正在“翻 转课堂”,被认为正打开“未来教育”的曙光。 NO.5 The Minerva Project: 在线版哈佛大学 Minerva可以说是一所完全在互联网上的大学。Minerva自己设计的线上评估考试和完全不收取任何费用的申请机制。以不低于传统的常春藤大学入学 标准和录取率,在全世界的顶尖高中毕业生中招生。不提供新生入门课程,Minerva的学生在四年里的每个学期都会去到世界上一个不同的城市生活和学习, 采用4年学制。更棒的是,许多世界顶尖的盈利和非盈利机构都已经和Minerva建立了关系,等待Minerva的学生参与实习和工作。除了在校期间帮助 学生们找到最顶尖的实习,在你毕业以后,Minerva还会全力地成为你的公关公司、人力资源公司和风险投资公司。 NO.6 UniversityNow:包月学习更便宜 一旦你准备好了获取一个学士或硕士学位,只需使用 Facebook 或 Twitter 账号登陆UniversityNow,每月支付 199 美金,即可无限制地访问课程,同时你将获得包括电子课本、考试测验以及专家指导在内的全套服务。有专家可以单独辅导你的课内问题,并帮你规划更长远的职业 生涯。受限于美国国家远程教育和培训委员会的认可,目前 NCU 只有商学院和公共政策学院(后者即将开始招生)。 NO.7 lynda: 开放式付费网络视频公司 Lynda 1995年创立于美国加州南部的圣巴巴拉市。公司主要制作软件、商业、科技和创意技能等领域的教育视频。订阅者每月支付25美元即可获取上述所有内容。所 以,用户可能第一天观看一个关于Photoshop教学的视频片段,第二天学习关于Excel透视表的内容。 NO.8 Udemy: 人人都可以成为老师 Udemy是一个在线教和学的平台,网站主要提供教育或培训教程,内容涵盖生活方式、创业、科技、一般技术等等。Udemy鼓励会员利用该网站上免费的工 具和应用在线教和学。会员可以开设自己的在线课程,也可以搜索他人开设或上传的课程。这些视频有的免费,有的则是收费的,Udemy将教程销售收入的七成 分给制作者,自己留下三成。对于中国地区的学习者来说,Udemy拥有包括中文在内的9中语言支持,这一点可能至关重要。 NO.9 OpenupEd:欧盟的MOOC平台 OpenupEd其实是一个MOOC课程列表,提供了欧洲和阿拉伯等国家 的大学的近170门课程。OpenupEd的课程建立在开课大学自己的网站上,其中大多数是自适应模式。课程按照学科和语言分类。不管你学的语言有多么生 僻,是阿拉伯语、波兰语、斯洛伐克语还是希伯来语,你都能在上面找到适合你的课程。许多课程还支持两三种语言。 NO.10 futurelearn:英国12所大学联合发起的MOOC FutuRelearn是一个由英国12所大学联合发起的一个MOOC,发起人包括利兹大学、伦敦国王大学、伯明翰大学和英国远程教育组织等在内,欲打造 成为世界范围内的英国高等教育品牌。但是目前FutuRelearn的盈利模式还不清晰,收费情况视课程而定,每个大学都可以自行制定收费模式,可能是证 书发放,或者为考试收费,或者订阅收费。 转自:芥末堆  
    观点
    2014年05月20日
  • 观点
    传甲骨文将收购Salesforce.com , 巩固云计算领域的地位。 近期业界一直有传言说甲骨文计划收购Salesforce.com公司,交易很可能在明年之内完成。虽然没有确凿的证据证明这一说法,但考虑到两家公司目前在IT市场中所处的位置,特别是两个CEO之间微妙的关系,并购并非没有可能。 试想如果甲骨文最终收购Salesforce,那么最主要的原因就是Salesforce想要在客户关系管理(CRM)软件之外拓展疆土,而甲骨文则能够通过Salesforce来进一步巩固自己在云计算领域的地位。 Gigaom的云计算分析师David Linthicum表示:“从目前来看,Salesforce逐渐显现出黔驴技穷的态势,毕竟在CRM市场已经接近饱和的状态。” 两家公司的掌门人 “甲骨文的问题在于,他们想极力推广云计算战略,然而在外界看来,他们就是菜鸟玩家,”甲骨文前商务拓展总监Ahmed Limam说:“甲骨文迫切地想要进入云计算市场,但客户对他们并没有百分百的信任。” 两家公司的合并能够弥补上述的缺憾,同时能够解决一些外围的问题。 Salesforce的瓶颈 Salesforce在CRM市场已经占据领导地位很多年了,然而他们一直没有停止向其他IT领域进军的努力。Database.com就是一个例子,早在四年以前,Salesforce就宣布推出了关系型数据库云服务,并将其称为“世界首个针对云计算构建的企业级数据库”。分析师表示,这是Salesforce在试图挑战甲骨文的传统优势领域。 Salesforce的CEO Marc Benioff在新闻通稿上说:“我们看到云数据库成为快速增长的市场机会,它将驱动企业级应用向云、移动以及社交方向发展。” 然而仅仅两年半之后,Salesforce又宣布:将针对Oracle Linux、Exadata集成系统、Java,当然还要Oracle数据库进行标准化。在媒体发布会上,Benioff将甲骨文称为“全世界最好的数据库厂商”,只字不提Database.com 。 Salesforce自己也知道,他们安身立命的本钱是云CRM,而且在未来很长一段时间内都不会有太多变化。 公司在今年三月提交的年度财务报告上这样写道:“我们的大部分收入都是来自CRM企业云计算应用服务的订阅,我们期待在可以预见的未来这种情况可以持续下去。”Salesforce还表示,包括Salesforce1 ExactTarget Marketing Cloud以及Salesforce1平台还是相对比较新的服务,对于这些服务能否为公司带来巨大的收入还未可知。 毫无疑问,Salesforce在云计算市场打出了自己的一片天地。根据Gartner的统计,Salesforce在软件收入排行榜上已经挤进了前十的位置,而且已经连续好几年被福布斯评选为最具创新的公司。然而,Salesforce目前仍然是处于入不敷出的状态,根据美国证券交易委员会的文件,公司在过去三年中的亏损已经达到了5亿美元。 Linthicum认为,Salesforce持续推进垂直行业战略的做法正是其疲软的写照,同时也证明公司在企业级IT市场中遭遇了瓶颈,急需新的点子来扭转这一局面。 甲骨文的云计算 很少有人认为甲骨文在云计算市场算是一个巨头。Amazon WebService在基础架构即服务方面显然是No.1,根据Gartner的魔力象限报告,微软和Rackspace在IaaS上是主要竞争对手。而Salesforce在PaaS领域是领导者,其他厂商还包括来微软以及Google等。 甲骨文甚至没有入选Gartner的魔力象限报告,Linthicum直言甲骨文的云计算在目前为止可以说是相当糟糕。 毫无疑问,甲骨文正在向云计算巨头的方向努力。在公司最近的财务报告上,云一词也被提及多次:“我们是全世界最大的企业软件提供商,是企业硬件产品与服务的领导厂商,我们推行软件与硬件集成一体化并在云中实现的策略。针对云计算我们是核心技术的领导者,我们自身提供另云服务(OracleCloud),同时也向云计算厂商提供软件与硬件的支持。Oracle数据库、中间件和应用软件以硬件系统为我们自身的云服务、为合作伙伴的云服务以及为客户的私有云环境提供另强大的支持。我们的客户可以通过订阅方式选择Oracle软件和硬件产品,或者采购Oracle产品来搭建自己的私有云以及内部IT环境。” 其他因素 如果甲骨文收购Salesforce,那么还有其他原因可以说得通。首先,两家公司CEO的关系在逐渐缓和,还记得几年前,Larry Ellison取消了Benioff在OpenWorld上的演讲日程,同时将对方的产品称为假云。要知道,Benioff当初在甲骨文公司任职的时候是经常与Larry打交道的,而现在两家公司又签署了长期的合作协议。 Benioff最近在接受记者采访的时候表示:“我和Larry仍然是非常好的朋友,他经常过来和我一起吃午饭。” Oracle独立用户组(IOUG)的前负责人MichaelCorey表示,Larry十分赏识Benioff的才华,估计也将Benioff视为潜在的继任者。Larry不可能一直自己掌管这么大的公司。 其次,甲骨文是一家十分善于收购的公司,刚开始他们只是一家做数据库软件的厂商,但通过收购他们已经打入了应用软件、中间件以及服务器硬件市场。一些大型等收购包括PeopleSoft、BEA、Sun微系统等,收购金额达到上百亿美元。而对于收购Salesforce而言,一切皆有可能。   【文章来源:人称T客】  
    观点
    2014年05月20日
  • 观点
    2014年影响企业移动化战略几大趋势 毫无疑问,移动化正改变着企业。如今,企业移动化发展大多运用案例中心来提高生产力,企业为忙碌的员工配备移动设备,从而保证其工作效率;企业也为客户提供多项选择,从而提高收益,例如,提供定位和在线状态服务等新特性。 这种破旧立新的商业模式转变也给企业带来一定混乱。许多企业争相制定移动化战略,但其不切实际的期望,不够具体的目标以及组织惰性使得移动化战略执行效果不佳。企业必须尽快适应移动技术变革,否则将落后于适应力强的竞争对手。 Gartner认为,2014年最能影响企业移动化战略的趋势有以下几点: 1)身份设别和访问权限管理(IAM) 企业必须有能力进行用户认证和把关特定企业资源访问权限。就IAM而言,有三点需要注意:单点登录、自适应访问控制以及用户隐私。移动设备的小尺寸不便于设置安全性高的密码,而且用户希望登陆后即能获取所需资源来开展工作。自适应访问控制涉及附加上下文信息,例如用户定位,行为模式等,这有助于提高身份认证安全性,同时减少移动应用使用风险。定位数据确实能加强认证可靠性,但也使得人们对隐私安全的忧虑与时俱增。 2)安全和风险 手机用户常访问可能存于设备或私人/公开云端的敏感应用及数据。如今存在许多跨平台安全控制手段,如认证、加密、设备清理以及反恶意软件安装等。不过,由于这些方法安全程度各不相同,且应用于不同的操作系统类型和版本,因此安全管理服务提供商很难对所有类型设备提供统一解决方案。云端安全是整个移动战略的一部分,所以对它的评估也是必要的。 3)移动应用开发 用户体验(UX)几乎已成为所有移动化项目成功与否的关键。大多数开发商或多或少都知道用户体验对B2C应用而言十分重要,然而,其对B2E应用而言却并非如此。一些企业应用过时且设计不佳,通常来讲,员工们若是可以选择,是不会使用这些应用的。特别是一些在IT行业工作的员工,他们可以使用比企业应用操作更便捷的消费性应用。除此之外,“影子 IT”问题的存在几不可察,也可能导致安全性风险的上升。   4)内容及协作 移动设备正改变着人们交流,合作、内容创建和社交软件使用方式。IT行业常面临以下三种情况: 解决在办公场所使用iPad的问题——移动应用不同于电脑应用,尤其是iPad这样更多用于阅览输出而非编辑输入的移动设备。 解决Dropbox的问题——许多员工使用消费性的文件同步应用来保证自己所有设备上的文件更新,比如Dropbox,这就可能使企业信息面临被泄露的风险。 手机与社交软件的关系——多数知识型员工可从频繁使用手机中获益,即参与到企业的社交网络中来。   5)IT基础设施建设 用户对无线网络覆盖率的需求正推动着IT行业对无线网络基础设施的建设。用户们也希望无线局域网(WLAN)能像有线局域网一样快速、稳定地运行。由于企业日益依赖WLAN进行重要通讯,因而网络设计,网络管理以及问题诊断等面临的挑战也越来越复杂。然而,WLAN的设计初衷并不是用于提供关键性服务,且WLAN还存在很多问题,例如性能低下、覆盖率低以及缺乏对个人设备服务的考虑。企业还须处理BYOD战略涉及网站间通讯基础设施建设的诸多要求,这可能需要增加网络容量,进行带宽管理,区分BYOD及企业设备,增加IP语音服务及扩展移动网络接入点。 6)BYOD管理 自引进PC以来,BYOD很大程度上推动了客户端计算发展。高德纳咨询公司数据显示,接受其调查的CIO中有38%都将在2016年停止向其员工提供个人设备。但是,IT行业正不可逆转地向着BYOD趋势发展,这意味着要不断满足员工们在使用个人设备中的各种需求。BYOD的发展加剧了信息安全性,设备管理,工作空间交付带来的挑战,而终端安全控制,移动应用管理工具,工作空间交付机制又无法兼顾种类繁多的手机平台。因此,IT从业者、管理者们应与用户共同努力,积极制定策略,进行实践并预测未来人们对BYOD的需求。   【文章来源:人称T客】  
    观点
    2014年05月19日
  • 观点
    脉脉:有成为移动版Linkedin的潜能,但爆点还在寻觅中 过去15年,中国互联网公司几乎copy了国外所有成功的商业模式,先后产生了一大批成绩卓越的明星企业。但有一家公司,在中国一直没能copy成功,就是职业社交网站Linkedin。为什么Linkedin在中国难以复制?以及中国是否需要自己的Linkedin?   前半问,业界有很多说法,比如国情不同、习惯差异、时机不到、产品形态单一、团队浮躁等等。但无论如何解释,都难以否定中国用户需要自己的Linkedin,这将是职场生活作为一种特殊场景愈发高频、垂直的必然结果。不管找工作、找创业搭档、找生意伙伴甚至结交志趣相投的职场人,都需要一个特定的产品来承载,尤其当移动互联网应用普及之后,符合职场商务人士线上社交的条件已经完全成熟。   本文介绍的脉脉团队,就一直在这方面发力,专注打造适合中国人的职场社交体验。   脉脉,是林凡团队的第三个产品   脉脉创始人林凡2012年从大街网出来创业,他说,之前搜狗和大街网的工作经验让他有了做出脉脉的可能性:搜狗的算法加上大街网的社交思维,让APP可以帮助用户管理和发掘出自己的人脉。脉脉就是这个思路下的第三个产品。   第一个产品是头像淘淘。可以在手机上接入你的微博、人人网等,将好友的头像导入到手机,自动添加到通讯录上,让每一个好友“有头像更精彩”。   第二个产品是觅觅,可以通过算法帮你找到靠谱的小伙伴,可以一起愉快地玩耍。   林凡在总结这个两个产品时,觉得第一个太轻,第二虽有社交但用户之间没有建立联系,比较分散,都不太成熟。所以第三个产品,脉脉,可以导入用户的通讯录和微博中的好友,通过算法匹配出你的一度人脉和二度人脉。   我认为脉脉最大的亮点,是在你注册之初就已经有了很多可供使用的数据内容。甚至有点“吓一跳”的感觉,所有隐藏的人际关系都被拎出来了,一上来就能看到。   脉脉的产品逻辑   现在的脉脉,经过半年的发展,20多次迭代,其内在逻辑已经相对清晰,就是将你在不同社交网络(比如通讯录、微博)的行为数据通过计算挖掘,呈现出对你最有价值的真实的人脉关系链。你可以在一度人脉的引荐下认识二度人脉的朋友,也可以通过一度人脉的分享发现二度人脉以内的招聘和求职信息。这对于在职场社交中并不善于陌生“拜访”的中国用户,非常关键。   那么脉脉的逻辑是依靠什么来完成?   第一,清晰的关系链找到靠谱的朋友。在脉脉设计的添加好友过程中,你除了可以知道对方的情况,还可清晰地了解到与你的关系链。   第二,精准的算法找到帮你的朋友。目前脉脉30万用户中,约10-20%是HR,林凡透露脉脉中的数据量远不是表面看到的八卦新闻和个人动态,更多海量的数据是HR与应聘者的对话。如果你想在脉脉上找到解决问题的人,可以通过人脉推荐、公司、学校、职位等不同维度进行查找。   第三,“移动”的特性有助于社交。脉脉是基于移动互联网,在移动互联网上,由于人们对方寸之间的安全感高于PC端,所以加为好友的概率也远高于PC端。   需要迈过去的几步   从去年10月末,我已经用脉脉快半年的时间,然而脉脉这款产品给我的感觉仍不是像林凡描述的那么清晰,我很难一句话完整表述出来。   我问林凡,你如何理解职场社交?他说,   职场社交有很多种需求,最直观的就是找工作、经营人脉,除此以外,还有泡八卦、读资讯,甚至还有一部分低频的IM需求。所以我们可能真的有点剑走偏锋,我们什么都做,再把每一种需求归纳好,让用户逐渐转起来。当然我可能见过100个产品经理,都说你们做的太复杂了,你们应该用一个点切入……   林凡坦承现在的脉脉没有找到一个好的切入点或者产品运营的爆点,一些需求不大的人,很难愿意立刻上手。脉脉的运营杨泽也认为,目前的脉脉以认识人这个口号来宣传,比较泛,不够聚焦,今后脉脉会在其传播力度上作进一步的完善,让用户更愿意使用以及分享。从解决需求角度来说,缺乏一个好的切入点,可能是脉脉要迈过去的第一步。   第二步,从圈子来说,也缺乏爆发性的增长点。脉脉半年达到30万用户,日增长几千,对比今年刚推出的秘密还有距离。和秘密最早流行于投资人,脉脉现在主要定位于互联网人群。林凡想在今年将互联网的圈子占领好,他认为工具类的产品要靠渠道来获得爆发性的增长,而社交类的产品要靠口碑,而脉脉目前爆发点好像不是太明显。   在采访中,林凡也问及脉脉中匿名八卦的意见,同时谈到之后会将每天点击最高的八卦消息赏金5000元(貌似比较土豪,完稿时已经推出),以此做成国内非著名的安全、有价值的匿名爆料平台,这种重赏之下必有勇夫的方法没准还真能成为其爆发式增长的一个可能性,试问宇宙中谁没有一个小八卦的心理。   晨兴创投A轮投资脉脉几百万美元,如果脉脉果真能够迈过这两步,成为一款拥有用户完整的职场信息、帮助用户更快更精准地找到人、有着UGC式的精彩八卦内容的职场社交APP的话……Linkedin目前可是近200亿美元的市值哦。   【文章来源:虎嗅网】
    观点
    2014年05月19日
  • 观点
    私有云SaaS大卖,鸡肋还是蛋糕? 来自深圳的知名SaaS厂商工作家网络近日宣布,公司与湖北省中创新产业发展有限公司达成合作协议。工作家将为其部署标准化的iWorker私有云产品。   这是近一个月来,工作家网络签署的第三份类似合同。不难看出,即使在互联网大行其道的今天。想要突出个性化、更在意数据保密、习惯用一锥子买卖满足信息化需求的企业,依然广泛存在。   在线使用,按需付费,不用安装并且升级方便,SaaS的先进性显而易见。但现实中经常遇到的情况是:出得起钱的往往是规模企业,规模企业有自己的使用和消费习惯,以及更高的安全要求,标准的公有云产品不能完全适用。这让一心奔着Salesforce去、渴望走互联网产品化路线的SaaS公司们非常困扰。   面对这种项目性质的私有云商机,广开门路的工作家网络又是如何处理的呢?创始人蔡军表示:iWorker目前没有这方面的困扰。一是iWorker的功能相对全面,客户通过公有云试用之后,发现基本的需求都能满足。之所以最终选择私有云方式,无非是想要数据更加私密,再者就是更个性一点。比如很多老板想要个自己公司LOGO的APP,很体面。第二,iWorker有一个扩展性极强的应用平台,支持私有云和公有云的混合模式。APP同步分发部署,同步升级,主要功能和用户界面还能支持自定义。我们把这样个性化的需求用相对较低的成本来实现。这是我们的优势。   笔者追问:到底哪种模式更适合中国SaaS公司发展?蔡总答道:这个问题就像讨论是买房还是租房谁更好一样,没有标准答案。私有云和公有云混合模式,在中国目前的阶段,是符合市场诉求的。但公有云SaaS服务还是我们的核心,也是未来潜力最大的业务,是正餐,我们目前绝大部分付费用户还是来自于公有云。   【文章来源:雷锋网】  
    观点
    2014年05月19日
  • 观点
    HR Data Analytics – Case Use by HR Organziations 作者:William Chin 授权发布 The Chapman Consulting Group just completed their Spring HR leaders meeting in Beijing on May 15. This time Lenovo hosted the session at their Beijing headquarter office. The topic for this round is centered around Managing Global HR in the age of ‘Big Data’ What companies are doing to optimise talent and HR systems in parallel with the advent of global and regional Centres of Excellence; The increased use of data and analytics as another tool of Global HR management; and The effect this is having on the type of HR Leader progressing within the profession.  This theme is consistent with their #1 trending HR focus areas for 2014. I have captured key points from the meeting below.     Lenovo – Shared Services Lenovo, the world’s leader in the PC industry, had just implemented a global HR system, making the switch by eliminating several disparate systems into a global solution. While they have done all the requisite change management requirements with organisation stakeholders, they are seeing that people still like to do things the “old way.” How true! People hate to change. While Lenovo made a clear stand that all everyone need to adopt and utilise the new system they do have a VIP process for their top key executives. The VIP allows for telephone hotline and/or email communication to a HR professional for assistance. However, everyone else is expected to utilise the new self-service model. The benefit of going global with their new HR system is now they have the ability to manage their workforce under one roof. Previously, HR was unable to access “real time” data and instead, was managing people with spreadsheets.   Pfizer – Improving Retention Employee retention is a huge risk in the pharmaseutical industry in China. Industry average is around 25-30% turn-over each year. Pfizer is the global largest pharmaceutical player and is also the largest in China. Even Pfizer is not immune to the high turnover rate. In fact, competitor companies target their employees, because they are the largest. To combat turnover and improve retention they turned to “big data” to better understand drivers of turnover – they created an employee profile of turn-over drivers. The profile Pfizer developed is employee specific with a “risk score.” Pfizer partnered with a consulting company to develop the analysis tool combining existing employee data and against employees who left the company. By looking at former employee profiles they then were able to map those to existing employee enabling Pfizer to see trending issues that may cause turnover. Seeing this information ahead of time allows HR to partner with BU leads to take proactive actionable steps. Some examples of high risk dimension include: employees where are a rehire (they have already left once), short-time with a manager (have not developed a strong bonding with the direct manager), and long tenure in a role (it’s time to refresh with a new focus). I was thinking these are all indicators of high risk turnover by itself. So, why do you need to do a study? The genius is that employee turnover is multi-dimension. Not one thing by itself are drivers of turn-over but, by combining all the various turnover drivers and employee profile, you begin to see a multifaceted profile of their employees – HR and BU can then take multiple tracks to drive retention.   Qualcomm* – Use a Data Analytics Qualcomm has a dedicated data analytics team. That team started in 2008 and was a small group who was responsible for generating large HR data but, on spreadsheet format. Over the years, Analytics Team went on to focus on benchmarking to creating data visualisation and now focusing on predictive modelling for the company. Qualcomm human resources has the ability to pull up dashboard data an a click of a button. This is information is globally accurate and with the ability to do drill downs by organisation, business function, geography and employee types etc. This enables Qualcomm HR, at all levels – HRVP to HR specialist, to have the same data points, at any time. The analytics team also conducts research projects analysing the success of a merger and acquisitions project. The team created a social network analysis / model indicating the strength on network and social ties. In a M&A, one would typically want to see the newly acquired company integrate into the overall company. The faster employees integrate the greater the success outcome. Creating such a model allows Qualcomm to analyse and visualise social interactions to gain insight on who were the “bridge builders,” those who were the best at helping with integrating after a merger.   Doosan – Don’t Over Do It With Data Doosan is a Korean-based conglomerate. The HRVP reminded us that sometimes over use of data can be detrimental to business decision. Instead of using judgement, managers often ask project analysts or HR for more data to help with their decision making. With the data provided, business will ask for more next level data, to back up the high-level data. Analyze the data, analyse more data, then the data paralyses you. By the time the data is complete that the information is out of date and decision window is closed. How often have we faced this before? The presenter was so right on with this point. In HR, we also have metrics and data to measure our performance. The roundtable participants all have HR KPI scores they manage to. One hotelier HR said that after a HR systems implementation that their HR satisfaction scores dropped. I thought that after any large project implementation that one would expect a drop (remember that people hate changes). Instead of managing to the dropped score HR should be managing to improving the score and maybe, that scoring criteria will be different from the prior standard but, the processes and systems have changed. Doosan further explains that in a business downturn, for example, HR is expected to manage employee reductions. So, what happens if HR is successful with meeting the employee reduction targets and morale KPIs are on track yet, the business continues to decline. Doosan HR further suggests that we use experience and judgement to help the business. Data is only one part of the story.   This wraps the summary of key points by each presenter. The Chapman Consulting Group always does a good job with brining together a group of HR leaders from various industries for sharing and networking.   作者声明: *I am employed by Qualcomm. However, the information contained within is the opinion of the author and not that of my employer. All company and/or product names may be trade names, trademarks and/or registered trademarks of the respective owners with which they are associated. Furthermore, this blog post does not represent an endorsement of their products and services and I have woven my own experience in this post. This is for informational purposes only. There is no representations as to the accuracy or completeness of any information.
    观点
    2014年05月17日
  • 观点
    在线教育的未来就是内容化与APP化 尽管在线教育的概念在国内被炒得热火朝天,但大多数创业者却更像是在“做公益”,离真正的商业化尚遥远。梳理国内在线教育格局,大致呈现出以下几大特点:   K12教育大潮来袭 从年龄段分层来看,K12教育一直是在线教育中的痛点,这是因为盛行功利主义教育观的国内,k12年龄段尽管存在巨大的刚需,但这种需求却是建立在国内应试教育的基础之上的,这导致真正能够玩转k12的,必须是跟体制有密切关系的创业者,否则系统化、跟踪量化极难。 但这块难啃的骨头显然已经被众多机构盯上。去年,相继有多家公司切入K12教育领域。   2013年7月,百度发布在线教育产品“百度教育”;阿里紧接着发布了“淘宝同学”;欢聚时代(YY)更早一步将这一教育平台搭建完成;而占据半壁客户端入口的奇虎360在线教育搜索也应声出炉。此外,新东方对K12领域的创新也从不止步,已经开始启动一个基于PC、移动和线下课堂多空间互动的平台,2014年大范围布局互动学习平台,并且优先尝试幼教产品。   2014年3月,K12教育机构“学大教育”发布了个性化智能辅导产品“e学大”,据悉,学大教育正将其内部的教学资源与教务管理体系逐步SoLoMo化,让电脑和投影仪逐步取代讲台上老师,面授辅导也逐步通过电脑端或移动端工具实现互动。   标准化产品成红海 从模式来看,目前在线教育主要可分为大规模开放网络课程(MOOC)模式,水平课程平台模式、网校模式、软件模式等几大类。从目前情况来看,前两者需要大量资源,更适合体制内玩,后两者才是在线教育创业者们热衷的领域。   从目前各公司切入在线教育的产品来看,标准化的内容显然是最方便运作的。这也意味着,单词类、题库类产品的运营远比语法学习上线要容易得多。但由此带来的一大问题是,大量单词类、卡片类在线教育产品扎堆,形成红海市场,而受限于国内的付费意识,它们更多以免费形态出现,商业化探索陷入困境。   在线教育app化 一种极端的想象是,未来所有在线课程都需要配套的通用或专用的交互工具。专用的工具需要配合课程专门开发,使得在线课程成为一种App。   这将意味着,在线教育绝不是生硬地在网络上放视频,相反,“课程研发”将成为多学科交叉活动,每门课背后也都要有一个制作团队:教师做教学设计,编导设计视觉和桥段,程序员编写配套软件,演员出镜讲课……   孙志岗这样阐述:选择题只是通用交互工具的一种。不同课程往往还需要不同的工具。编程课需要在线编程环境,典型如Codecademy;Linux课需要虚拟机,如编程公园;人文课需要peerreview(作业互改),如Coursera;英语课需要口语评分,如有道学堂;吉他课需要乐谱同步,如Soundslice。而这也将催生一大波新型创业公司,例如,专门为各科教师提供全套课程开发服务的公司;精于用人工智能技术提高各种课程自动化处理能力的公司;善于利用Kinect、LeapMotion、脑波检测仪等新型传感器提升交互能力的公司等。   巨大的想象空间仍在等待创业者们发掘和创造。   文章来源: 网易科技    
    观点
    2014年05月16日
  • 观点
    内聘网:先社交再招聘还是先招聘再社交 从去年开始,互联网招聘似乎就成了新的热门创业领域。在之前的报道中,就有垂直于互联网行业的拉勾网、以内部推荐形式做招聘的内推网、侧重于招聘方和求职者双向沟通的哪上班、甚至是细分到技术求职领域的快简历,还有老牌招聘企业智联招聘在去年为顺应趋势所推出的智联卓聘,主要定位于招聘行业的中高端市场,模式和猎聘网比较相似。   内聘网则是一家刚刚上线两个月的招聘网站,同上面这些公司相似,内聘网所服务的范围也是垂直于互联网行业:在企业方,主要针对创业型的小微企业;而在求职方,则侧重于有1—3年工作经验的职场新人。内聘网的工作模式有点像猎头,通过对双方需求和条件的分析,把相对合适的人推荐到相应合适的职位,从而完成招聘过程。上个星期,猎聘网 CEO 肖恒向快鲤鱼记者确认,内聘网已经获得了一笔百万人民币级别的天使投资。   做信息平台还是服务平台? 这是肖恒在给内聘网定位时所提出的一个问题。招聘行业属于服务行业,但在肖恒看来,当下做招聘的公司更像是在做信息平台:吸引招聘方和应聘者入驻,形成庞大的供需信息。而内聘网在这个过程中扮演的角色有点类似于一个信息筛选者:为求职者挑选出相对合适的职位,再推荐给对方 HR。   在网页上线之前,内聘网主要是通过微信的服务号来完成这个过程。根据肖恒的介绍,内聘网的微信服务号运营近一年时间,目前有将近4万名关注者。前段时间内聘网推出了自己的收费方式:面向企业收费的299元招聘套餐,包含一次微信号推送和20人联系方式的查看权限。当企业方发出招聘需求后,内聘网就可以根据真实的需求和偏好(而非常见的“官方要求”)来寻找自己平台上符合要求的求职者推荐给用人公司,公司可以根据简历情况决定是否查看对方联系方式。这样做的好处是对用人方和求职者来说都相对高效,因为前期的信息筛选都已经由内聘网完成,这也就成了内聘网在宣传时的卖点:“24小时极速推荐”。   目前内聘网的信息筛选还主要依靠人工完成,肖恒正在计划将这件过程变得尽量标准化:在求职者提交简历之前,需要在线进行一个个人测试,而内聘网则借此了解求职者的简历、需求等个性化信息;在另一方面,企业在发布职位时也需要对职位进行相应的具体描述,再通过双方的“标类”需求进行后台匹配。   先社交再招聘还是先招聘再社交? 肖恒在回国前曾在日本创办过一个专做人才派遣的公司,2009年因为经济危机而回到北京。在创办内聘网之前,肖恒做的是一个名为“职来职趣”的网站。虽然也是垂直在互联网行业,但这是一个职业社交网站,肖恒之前的想法是能够汇聚互联网圈的业内人士,来让彼此拓展人脉,再在此基础上进行别的功能拓展,比如招聘。   但肖恒很快发现这个思路走不通。他后来这样总结职来职趣失败的原因:“在国内做圈子,更多地还是做人性,而单纯依靠一个线上的社交网站,很难形成彼此互惠互利的关系”。   肖恒就从职业社交的方向收了回来,改做垂直招聘。在他看来,对职场人士来说,求职才是刚需,但如何从刚需中享受到更好的服务,就成了内聘网的机会。据肖恒介绍,内聘网上线以来,已经有500多家公司在上面发布职位需求。   招聘的下一步是什么呢?针对企业和求职者双方所做的长期服务:对企业方的人才解决方案和对求职者的职业成长培训,这也是内聘网目前把服务人群定位在初创型公司和职场新人的原因。而再往后看,肖恒依旧看好职业社交的发展,不过是建立在社交的基础上,他认为,把招聘做扎实了之后,基于招聘的社交会成为许多人的选择。 【文章来源:it桔子】  
    观点
    2014年05月15日
  • 观点
    阿里巴巴云舒:云弹性计算的安全问题 摘要:云计算涉及的服务繁多,弹性计算服务、文件存储服务、关系数据库服务、Key/Value数据库服务等不胜枚举。本文将简要阐述弹性计算服务的安全问题,因为弹性计算是应用最为普遍的云服务,也是安全风险最高的云服务。     云计算带来的新风险 在云计算之前的时代,传统IDC机房就面临着许多安全风险。这些问题毫无遗漏地传递到了云计算时代,不仅如此,云计算独有的运作模式还带来了更多新的问题。   云内部的攻击 安全域被打破。在对外提供云计算业务之前,互联网公司使用独立的IDC机房,由边界防火墙隔离成内外两块。防火墙内部属于可信区域,自己独占,外部属于不可信区域,所有的攻击者都在这里。安全人员只需要对这一道隔离墙加高、加厚即可保障安全,也可以在这道墙后面建立更多的墙形成纵深防御。   但在开始提供云计算业务之后,这种简洁的内外隔离安全方案已行不通了。通过购买云服务器,攻击者已深入网络提供商的腹地,穿越了边界防火墙。另一方面,云计算内部的资源不再是由某一家企业独享,而是几万、几十万甚至更多互相不认识的企业所共有,当然也包含一些怀有恶意的用户。显然按照传统的方式划分安全域做隔离已行不通了,安全域被打破。   新的攻击方式。传统IDC时代,攻击者处于边界防火墙外部,与企业服务器、路由器之间只有IP协议可达,也就是说攻击者所能发起的攻击只能位于三层之上。但对于云计算来说,情况发生了变化。在一个大二层网络里面,攻击者所控制的云服务器与云服务提供商的路由器二层相连,攻击者可以在更低的层面对这些设备发动攻击,如基于ARP协议的攻击,常见的ARP欺骗攻击,甚至更底层的以太网头部的伪造攻击。   关于以太网头部的伪造攻击,我曾遇到一次。攻击者发送的数据包非常小,只包含以太网头部共14个字节,源和目的物理地址都是伪造的,上层协议类型为2个字节的随机数据,并基于常见的IP协议或者ARP协议,对交换机造成一些不良影响。   虚拟层穿透。云计算时代,一台宿主机上可能运行着10台虚拟机,这些虚拟机可能属于10个不同的用户。从某种意义上说,这台物理机的功能与传统IDC时代的交换机相当,它就是一台交换机,承担着这10台虚拟机的所有流量交换。入侵了一台宿主机,其危害性与入侵了传统时代的一台交换机相当。但与交换机相比,是这台宿主机更容易被入侵还是交换机更容易被入侵呢?显然是宿主机更容易入侵。   首先,攻击者的VM直接运行在这台宿主机的内存里,只使用一个虚拟层隔离。一旦攻击者掌握了可以穿透虚拟层的漏洞,就可以毫不费力地完成入侵,常见的虚拟化层软件(如Xen、KVM)都能找到类似的安全漏洞。   其次,交换机的系统比较简单,开放的服务非常有限。而宿主机则是一台标准的Linux服务器,运行着标准的Linux操作系统和各种标准的服务,可被攻击者使用的通道也多得多。     大规模效应  传统攻击风险扩大。为了方便地让VM故障漂移以及其他原因,云计算网络一般都会基于大二层架构,甚至是跨越机房、跨越城市的大二层架构。一个VLAN不再是传统时代的200来台服务器,数量会多达几百台、几千台。在大二层网络内部,二层数据交换依赖交换机的CAM表寻址。当MAC地址达到一定规模后,甚至可能导致CAM表被撑爆。类似的,ARP欺骗、以太网端口欺骗、ARP风暴、NBNS风暴等二层内部的攻击手法,危害性都远远超过了它们在传统时代的影响。    攻击频率急剧增大。由于用户的多样性及规模巨大,遭受的攻击频率也急剧增大。以阿里云现在的规模,平均每天遭受约300起DDoS攻击,其中50%攻击流量超过5GBit/s。针对Web的攻击及密码破解攻击更是以亿计算。这种频度的攻击,给安全运维带来了巨大挑战。   安全的责任走向广义 随着更多的云用户入驻,云内部署的应用也更是五花八门。安全部门需要负责的领域也逐渐扩大,从开始的保护企业内部安全,逐渐走向更上层的业务风险。    云计算资源的滥用。云计算资源滥用主要包括两方面。一是恶意欠费,因为云计算的许多业务属于后付费业务,恶意用户可能使用虚假信息注册,不停地更换信息使用资源,导致云服务提供商产生资损。作为安全部门,要对这种行为进行控制。二是许多攻击者也会租用云服务器,进行垃圾邮件发送、攻击扫描、欺诈钓鱼之类的活动。安全部门要能准确、实时地发现这种情况,并通过技术手段拦截。    不良信息处理。不良信息主要是指云服务器用户提供一些色情、赌博之类的服务,云服务提供商需要能及时识别并制止,防止带来业务风险。   技术挑战 要解决上述这些风险,基于传统的防御思路,需要在网络中部署访问控制策略,实施流量监控系统等。但对于云来说,实施这些东西会遇到巨大的挑战。   失控的云 传统时代,所有的流量都会通过交换机进行。通过NetFlow、SNMP、ACL等手段可以做到足够完善的流量监控和访问控制策略。但在云时代,不跨越宿主机的VM之间的流量在宿主机的内存中直接交换完毕,网络部门、安全部门无法查看和控制这些流量。   为了解决云服务器被入侵的问题,安全部门需要在服务器上部署各种安全产品。但不幸的是在云时代,这些服务器的所有权并不归属于云提供商,安全部门同样没有权限对这些机器进行操作。在云时代,安全部门只能隔靴搔痒地来解决安全问题。   业务多样化带来防御复杂性 传统IDC时代,安全部门联合网络部门划分一个一个的安全域,DNS服务器归DNS区域,Web服务器归Web区域,数据库服务器归数据库区域,一切都井井有条。但在云时代,数以十万计的用户在几十万的云服务器上运行着各种各样的服务。他们的PV、QPS和响应时间要求各不相同。   而安全方案又不可能有放之四海皆准的万能药。以DDoS防御为例,CC攻击最常见的防御方案为客户端meta跳转、302跳转甚至验证码。对于普通的以PC为主要客户的网站来说,这么做没有任何问题。但对于以手机App为主要客户的网站来说,这么做就是灭顶之灾。由于手机App访问的是Web API接口,一般不会解析这种客户端跳转,更不用说填写验证码了,这将导致业务完全不可用。业务的这种复杂性,给安全防御带来不小的挑战。   隐私与监控的平衡 担心隐私和数据安全是目前上云的最大阻力,但为了解决云计算资源滥用、个性化安全策略等问题,又需要做流量监控,可能引起用户的担忧。作为云计算安全的设计者,需要小心把握两者的平衡。   阿里云的解决方案 分布式虚拟交换机 在阿里云,安全部门是作为公司成立的第一批员工加入的,初期占公司总员工总数的10%以上。从一开始,我们就考虑了安全性的问题,设计了一台分布式的虚拟交换机,提供Web API,应对上述的各种挑战和风险。分布式虚拟交换机部署在每一台宿主机里,与控制中心实时通信,主要提供了以下两大功能。    自动迁移的安全组策略。在云时代,不同的用户共用同一段IP地址,所以基于IP地址已难以区分业务了。因此,我们使用用户ID来做区分,基于用户ID来实现安全域,实施安全策略。当用户的VM出现故障迁移到其他宿主机时,这个VM的安全策略会自动迁移过去。    动态绑定过滤。我们借鉴思科的DAI技术,实现了对数据包的动态检查。在VM发出的数据包出虚拟网卡之前做一次过滤,剔除伪造的报文,如伪造源IP地址的报文和伪造源MAC地址的报文。靠近源端过滤,可以有效减轻恶意流量对网络造成的影响。   宏观分析统计 鉴于隐私的考虑,我们不对应用层数据做监控,而是通过对五元组之类的数据做宏观统计,发现恶意用户对云主机的滥用。图1是一个典型的端口扫描之后做密码扫描的例子。凌晨1点到9点之间,云VM在对外做端口扫描,因为许多主机不存活,导致出流量远大于进流量,而且具备非常典型的攻击特征,它只尝试访问大量IP地址的22、1433、3389端口。在上午10点半左右,进的流量开始大起来,而且目的端口不变,目的IP是前面IP地址的子集。这说明,攻击者已提取了开放服务的主机,在进行密码扫描了。使用这种方式,我们避免了侵犯隐私,又能实现对恶意行为的侦测。 图1 典型的端口扫描之后做密码扫描的例子   基于数据分析的个性化安全 基于数据分析的个性化安全,与监控恶意行为类似。我们统计并绘制每个云服务器的BPS、PPS、QPS时间曲线图,掌握最终用户的访问规律。根据User-Agent、源IP地址归属分析移动App和PC的访问分布。基于这些统计数据,我们定制每个云VM的WAF防御策略、DDoS防御触发阈值和清洗阈值。   其次,由于前文描述过的大规模的原因,我们的云盾系统每天可以捕获大量的恶意IP地址,包括Web攻击行为、DDoS攻击行为、密码破解行为、恶意注册行为等。我们的安全系统将这些IP地址作为统一的资源库提供,与所有的安全产品进行联动,在攻击者对某个VM进行攻击之前就完成了防御。   总结 我认为,云安全不会是由云服务提供商一家来做的,一定是通过SDN之类的方式,将网络开放出来由众多的安全服务厂商提供自己的产品,为形形色色的用户提供个性化、定制化的产品和服务。云计算在安全方面确实面临着许多困难,但云终究是未来,这是不可阻挡的趋势。   作者魏兴国,阿里巴巴集团安全部高级专家。有10年网络安全从业经验,先后就职于绿盟、雅虎,2008年进入阿里巴巴集团,现在负责云计算业务的安全架构。      
    观点
    2014年05月15日