隨著網(wǎng)絡(luò)安全成為國(guó)家戰(zhàn)略，特別是《網(wǎng)絡(luò)安全法》的正式頒布實(shí)施,，網(wǎng)絡(luò)安全建設(shè)正逐步走向?qū)崙?zhàn)化,、體系化和常態(tài)化的新時(shí)代。在這一大背景下,，攻防演練越來(lái)越受到各方重視,，成為檢驗(yàn)安全體系建設(shè)水平，促進(jìn)安全運(yùn)營(yíng)能力提升的常備動(dòng)作,。
在網(wǎng)絡(luò)安全攻防演練活動(dòng)中,，保障工作不是一蹴而就，需要系統(tǒng)化的規(guī)劃設(shè)計(jì),、統(tǒng)籌組織和部署執(zhí)行,。對(duì)于攻防演練的防御方，綠盟科技建議按照以下五個(gè)階段組織實(shí)施：
01 啟動(dòng)階段
組建網(wǎng)絡(luò)攻防演練保障團(tuán)隊(duì)并明確相關(guān)職責(zé),，制定工作計(jì)劃,、流程和具體方案。對(duì)信息化網(wǎng)絡(luò)架構(gòu)進(jìn)行梳理和分析,，評(píng)估當(dāng)前網(wǎng)絡(luò)安全能力現(xiàn)狀,。對(duì)內(nèi)外網(wǎng)的信息化資產(chǎn)進(jìn)行梳理。
02 備戰(zhàn)階段
通過(guò)資產(chǎn)安全評(píng)估,、業(yè)務(wù)風(fēng)險(xiǎn)評(píng)估手段,，對(duì)內(nèi)外網(wǎng)信息化資產(chǎn)風(fēng)險(xiǎn)暴露面進(jìn)行全面評(píng)估。制定合理可行的安全整改和建設(shè)方案,，配合推動(dòng)網(wǎng)絡(luò)安全整改與治理工作,。開(kāi)展內(nèi)部人員的網(wǎng)絡(luò)安全意識(shí)宣貫。
03 臨戰(zhàn)階段
制定應(yīng)急演練預(yù)案,，有序組織開(kāi)展內(nèi)部紅藍(lán)對(duì)抗,、釣魚(yú)攻擊等專(zhuān)項(xiàng)演練工作。對(duì)人員進(jìn)行安全意識(shí)專(zhuān)項(xiàng)強(qiáng)化培訓(xùn),。
04 保障階段
依托安全保障中臺(tái),，構(gòu)建云地一體化聯(lián)防聯(lián)控安全保障體系，利用情報(bào)協(xié)同聯(lián)動(dòng)機(jī)制,，持續(xù)有效地進(jìn)行威脅監(jiān)控,、分析研判,、應(yīng)急響應(yīng)、溯源反制等網(wǎng)絡(luò)攻防演練保障工作,。
05 總結(jié)階段
對(duì)攻防演練工作進(jìn)行經(jīng)驗(yàn)總結(jié)和復(fù)盤(pán),，梳理總結(jié)報(bào)告，對(duì)演練中發(fā)現(xiàn)的問(wèn)題進(jìn)行優(yōu)化改進(jìn)和閉環(huán)處理,。
一個(gè)完備高效的攻防演練過(guò)程,，通過(guò)啟動(dòng)、備戰(zhàn),、臨戰(zhàn),、保障和總結(jié)全流程的精心組織，充分調(diào)動(dòng)內(nèi)外部資源,，達(dá)到檢驗(yàn)建設(shè)成果,、鍛煉運(yùn)維團(tuán)隊(duì)、提升運(yùn)營(yíng)能力的目標(biāo),。下面綠盟科技將根據(jù)歷年參與攻防演練活動(dòng)的實(shí)際經(jīng)驗(yàn),，總結(jié)介紹啟動(dòng)、備戰(zhàn),、臨戰(zhàn),、保障和總結(jié)這五個(gè)攻防演練關(guān)鍵階段的具體操作建議，為企業(yè)安全負(fù)責(zé)人開(kāi)展攻防演練工作提供參考,。
01 啟動(dòng)階段
啟動(dòng)階段主要有三大工作：建隊(duì)伍,，清家底，做規(guī)劃,。
1）建隊(duì)伍
在啟動(dòng)階段,，應(yīng)著手建立一個(gè)分工明確的網(wǎng)絡(luò)安全攻防演練職能團(tuán)隊(duì)，以保證安全自查工作得到充分開(kāi)展,，安全防護(hù)能力得到有效驗(yàn)證,。因此必須明確安全保障團(tuán)隊(duì)的組織架構(gòu)和職責(zé)劃分。為做好演練工作,，建議以如下方式建立安全保障團(tuán)隊(duì)的整體架構(gòu)：
各職能團(tuán)隊(duì)分工如下表所示：
2）清家底
清家底是指對(duì)當(dāng)前網(wǎng)絡(luò)架構(gòu)進(jìn)行合理分析和優(yōu)化,，盤(pán)點(diǎn)內(nèi)外網(wǎng)資產(chǎn)，理順資產(chǎn)與業(yè)務(wù)系統(tǒng)的關(guān)系,。摸清,、理順自身家底，充分應(yīng)用自身安全建設(shè)的成果,，為后續(xù)風(fēng)險(xiǎn)排查,、加固優(yōu)化奠定良好基礎(chǔ)，主要包括三方面內(nèi)容：
網(wǎng)絡(luò)架構(gòu)分析調(diào)優(yōu)
互聯(lián)網(wǎng)資產(chǎn)暴露面治理
內(nèi)網(wǎng)資產(chǎn)發(fā)現(xiàn)梳理,。
3）做規(guī)劃
做規(guī)劃是指在前期工作的基礎(chǔ)上,，進(jìn)一步明確安全保障應(yīng)用需求,，編制《安全運(yùn)營(yíng)保障實(shí)施計(jì)劃》與《安全運(yùn)營(yíng)保障方案》，制定網(wǎng)絡(luò)安全攻防演練工作目標(biāo),，構(gòu)建網(wǎng)絡(luò)安全攻防演練保障體系,，以全面指導(dǎo)網(wǎng)絡(luò)安全攻防演練工作。
網(wǎng)絡(luò)安全攻防演練保障體系如上圖所示,。體系覆蓋攻防演習(xí)的五大階段,。對(duì)于每個(gè)階段都要建立三位一體的保障體系，包括管理保障,、技術(shù)保障和人員保障,。管理保障是通過(guò)梳理組織架構(gòu)和各類(lèi)保障流程，從管理層面打通各個(gè)環(huán)節(jié),。技術(shù)保障是基于安全基礎(chǔ)設(shè)施構(gòu)建縱深防御和零信任機(jī)制,，并接入安全運(yùn)營(yíng)平臺(tái)實(shí)現(xiàn)整體運(yùn)營(yíng)。人員保障是通過(guò)對(duì)演練人員的賦能培訓(xùn),，滿(mǎn)足監(jiān)控,、研判,、處置,、上報(bào)等各環(huán)節(jié)中對(duì)人員的能力要求。
02 備戰(zhàn)階段
網(wǎng)絡(luò)安全攻防對(duì)抗中,，考驗(yàn)的不僅是雙方在對(duì)抗過(guò)程中的能力與技能,，還有各自戰(zhàn)前準(zhǔn)備工作是否周詳完備。備戰(zhàn)階段可以從資產(chǎn)全面評(píng)估,、業(yè)務(wù)缺陷識(shí)別,、風(fēng)險(xiǎn)整改推進(jìn)、防護(hù)能力補(bǔ)差,、整體策略?xún)?yōu)化和意識(shí)能力培訓(xùn)六個(gè)方面,，發(fā)現(xiàn)網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)的脆弱性，評(píng)估面臨的安全風(fēng)險(xiǎn),，并通過(guò)技術(shù)和管理兩個(gè)方面進(jìn)行增強(qiáng),，實(shí)現(xiàn)安全策略的全面優(yōu)化。
1）資產(chǎn)全面評(píng)估
對(duì)信息資產(chǎn)的安全性進(jìn)行全面評(píng)估,，主要包括7大評(píng)估方法：漏洞掃描,、配置核查、弱口令檢查,、滲透測(cè)試,、入侵痕跡排查、敏感信息檢查,、安全機(jī)制校驗(yàn),。
2）業(yè)務(wù)缺陷識(shí)別
在業(yè)務(wù)層面,，需要對(duì)業(yè)務(wù)系統(tǒng)進(jìn)行分級(jí)，針對(duì)重要業(yè)務(wù)系統(tǒng),，特別是攻防演練確定的靶標(biāo)系統(tǒng)和重要業(yè)務(wù)系統(tǒng),，梳理系統(tǒng)關(guān)鍵流程（如登錄、認(rèn)證,、查詢(xún),、申請(qǐng)、審批,、交易等）繪制相應(yīng)時(shí)序圖,，分析業(yè)務(wù)流程和數(shù)據(jù)流轉(zhuǎn)中可能遭遇的攻擊和敏感信息泄露等安全隱患，輸出相應(yīng)風(fēng)險(xiǎn)處置措施以降低風(fēng)險(xiǎn),，保障系統(tǒng)安全,。
在此基礎(chǔ)上，還應(yīng)該對(duì)身份認(rèn)證系統(tǒng),、VPN,、域控系統(tǒng)、網(wǎng)管系統(tǒng)等集權(quán)系統(tǒng)和防火墻,，入侵防御系統(tǒng),，Web安全防護(hù)系統(tǒng)，主機(jī)防護(hù)系統(tǒng)等安全設(shè)備進(jìn)行風(fēng)險(xiǎn)評(píng)估,，確保其集權(quán)管控和安全防護(hù)機(jī)制能夠正常運(yùn)行,，且系統(tǒng)本身不存在中高危安全漏洞。此外,，還需要來(lái)自供應(yīng)鏈,，相關(guān)業(yè)務(wù)鏈，第三方人員鏈等第三方的安全風(fēng)險(xiǎn),，防止攻擊者利用第三方實(shí)施入侵,。
3）風(fēng)險(xiǎn)整改推進(jìn)
對(duì)在資產(chǎn)安全評(píng)估和業(yè)務(wù)缺陷識(shí)別中發(fā)現(xiàn)的問(wèn)題，需要制定整改方案,，及時(shí)進(jìn)行修復(fù),。主要包括歷史發(fā)現(xiàn)風(fēng)險(xiǎn)閉環(huán)復(fù)盤(pán)、自查發(fā)現(xiàn)風(fēng)險(xiǎn)跟進(jìn)巡查和各類(lèi)設(shè)備風(fēng)險(xiǎn)跟進(jìn)處置三方面,。
4）防護(hù)能力補(bǔ)差
面對(duì)實(shí)戰(zhàn)攻防演練,，需要構(gòu)建集預(yù)警、防護(hù),、檢測(cè),、響應(yīng)于一體的自適應(yīng)聯(lián)動(dòng)響應(yīng)體系。參與攻防演練的防守方,，可依照下圖展示的網(wǎng)絡(luò)安全最佳實(shí)踐技術(shù)體系,，查漏補(bǔ)缺,，消除短板，整體提升安全防護(hù)能力,。
5）整體策略?xún)?yōu)化
在構(gòu)建完成整體防線(xiàn)后,，下一步就需要提升攻擊檢測(cè)和防護(hù)的效率，對(duì)整體策略進(jìn)行優(yōu)化,，主要包括三方面的優(yōu)化動(dòng)作,。一是優(yōu)化日志分析，采用事件分析法,、時(shí)間分析法以及流量包樣本分析法等方式,，在大量日志中捕獲關(guān)鍵信息，區(qū)分設(shè)備關(guān)注重點(diǎn)事件,；二是處置設(shè)備誤報(bào),，及時(shí)拉通業(yè)務(wù)側(cè)溝通渠道，核實(shí)能否夠及時(shí)對(duì)業(yè)務(wù)代碼邏輯進(jìn)行修改,，解決業(yè)務(wù)誤攔問(wèn)題,；三是優(yōu)化平臺(tái)和設(shè)備策略，根據(jù)日志分析及誤報(bào)處理的結(jié)果,，對(duì)網(wǎng)絡(luò)設(shè)備策略,、安全設(shè)備策略、主機(jī)策略等進(jìn)行進(jìn)一步調(diào)整和優(yōu)化,。
6）意識(shí)能力培訓(xùn)
在安全意識(shí)培訓(xùn)方面,，需要在三大方向發(fā)力,。一是要加強(qiáng)安全意識(shí)宣傳,；二是要加強(qiáng)內(nèi)部安全意識(shí)培訓(xùn)；三是要面向第三方開(kāi)發(fā)商和服務(wù)商人員等開(kāi)展安全意識(shí)宣貫,，同時(shí)簽訂安全保密協(xié)議,、責(zé)任界定書(shū)，增強(qiáng)其安全敏感度,。
在安全能力培訓(xùn)方面,，首先要展開(kāi)威脅分析能力培訓(xùn)，通過(guò)告警分析實(shí)現(xiàn)對(duì)常見(jiàn)攻擊行為和結(jié)果的識(shí)別,，包括利用漏洞執(zhí)行惡意代碼,，手工嘗試弱口令，服務(wù)器被攻陷,，惡意程序被運(yùn)行等,。其次要對(duì)應(yīng)急響應(yīng)能力進(jìn)行培訓(xùn)，通過(guò)排查服務(wù)器上的木馬程序,，分析攻擊者入侵途徑,，登錄服務(wù)器操作以驗(yàn)證事件的準(zhǔn)確性等方法實(shí)現(xiàn)安全事件的事中和事后取證分析與及時(shí)處置,。
03 臨戰(zhàn)階段
臨戰(zhàn)階段也叫演練階段，即通過(guò)實(shí)戰(zhàn)攻防演練驗(yàn)證網(wǎng)絡(luò)安全體系建設(shè)成果,，助力企業(yè)建立常態(tài)化的防御機(jī)制,。這四個(gè)攻防演練“錦囊”，請(qǐng)您收好,。
錦囊一 安全應(yīng)急演練
為提升對(duì)網(wǎng)絡(luò)信息安全攻擊事件的響應(yīng)能力和應(yīng)對(duì)突發(fā)安全事件的緊急處理能力,，切實(shí)保障防守方的網(wǎng)絡(luò)安全，需要根據(jù)當(dāng)前的網(wǎng)絡(luò)安全現(xiàn)狀和面臨的安全威脅編制覆蓋各類(lèi)應(yīng)急場(chǎng)景的重大保障應(yīng)急預(yù)案,，并組織開(kāi)展網(wǎng)絡(luò)安全專(zhuān)項(xiàng)應(yīng)急演練,，檢驗(yàn)網(wǎng)絡(luò)安全應(yīng)急體系和工作機(jī)制運(yùn)行情況，及時(shí)發(fā)現(xiàn)問(wèn)題,，完善應(yīng)急預(yù)案,，提高應(yīng)急處置能力。
錦囊二 釣魚(yú)攻擊演練
為模擬防守方在攻防演練期間可能面臨的真實(shí)攻擊,，同時(shí)對(duì)日常的安全意識(shí)培訓(xùn)效果進(jìn)行驗(yàn)證,，在實(shí)戰(zhàn)開(kāi)展前釣魚(yú)攻擊演練可謂是一計(jì)良策。
通過(guò)相應(yīng)渠道給防守方員工發(fā)送釣魚(yú)測(cè)試郵件,，度量員工安全意識(shí)整體狀態(tài),。在企業(yè)郵件辦公環(huán)境下，還原釣魚(yú)郵件真實(shí)場(chǎng)景,，使員工實(shí)際感受郵件釣魚(yú)威脅,，激發(fā)員工郵件辦公的警惕心理，彌補(bǔ)員工的安全意識(shí)短板,。
錦囊三 內(nèi)部紅藍(lán)對(duì)抗演練
在保證業(yè)務(wù)正常運(yùn)轉(zhuǎn)的前提下,，建議實(shí)戰(zhàn)演練雙方的攻防演習(xí)保障項(xiàng)目組在真實(shí)網(wǎng)絡(luò)環(huán)境下開(kāi)展紅藍(lán)對(duì)抗，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)資產(chǎn)的真實(shí)隱患,，檢驗(yàn)安全威脅監(jiān)測(cè)發(fā)現(xiàn)能力,、應(yīng)急處置能力和安全防護(hù)能力，并通過(guò)演練結(jié)果進(jìn)一步改進(jìn)保障能力,。
錦囊四 實(shí)戰(zhàn)演練前安全意識(shí)專(zhuān)項(xiàng)強(qiáng)化
攻防演練正式開(kāi)始前,，攻防演練保障項(xiàng)目組需要進(jìn)行戰(zhàn)前宣貫，針對(duì)前期安全意識(shí)培訓(xùn)及釣魚(yú)攻擊演練中發(fā)現(xiàn)的問(wèn)題進(jìn)行同步,，重點(diǎn)關(guān)注IT技術(shù)人員及演練中被釣魚(yú)成功人員,，對(duì)攻擊隊(duì)常用社工手段及防守方法突出強(qiáng)調(diào)，通過(guò)實(shí)戰(zhàn)案例的介紹使防守方人員對(duì)攻防演習(xí)中的社工攻擊有更直觀的認(rèn)識(shí),，爭(zhēng)取最大程度降低人員的隱患,。
04 保障階段
企業(yè)應(yīng)建立以情報(bào)驅(qū)動(dòng)為核心，協(xié)同研判分析、溯源反制,、應(yīng)急響應(yīng),、產(chǎn)品支持等安全防護(hù)能力，以點(diǎn)帶面,，實(shí)現(xiàn)“一點(diǎn)發(fā)現(xiàn),，全面風(fēng)險(xiǎn)閉環(huán)”的聯(lián)防聯(lián)控機(jī)制，構(gòu)建云地一體化安全保障體系,，持續(xù)有效地開(kāi)展網(wǎng)絡(luò)攻防演練保障工作,。
綠盟科技安全中臺(tái)支撐全過(guò)程
本地安全監(jiān)控：包括對(duì)外網(wǎng)資產(chǎn)（主機(jī)資產(chǎn)和網(wǎng)站安全）監(jiān)控，以及安全情報(bào),、安全設(shè)備,、安全行為的監(jiān)控，并將每日的監(jiān)控記錄進(jìn)行整理匯總,。
云端安全監(jiān)控：對(duì)網(wǎng)站提供完整性檢測(cè),、可用性檢測(cè)。完整性檢測(cè)能夠甄別出防護(hù)站點(diǎn)頁(yè)面是否發(fā)生了惡意篡改,，是否被掛惡意木馬,，是否被嵌入敏感內(nèi)容等信息；可用性檢測(cè)能夠幫助防守方了解站點(diǎn)此時(shí)的通斷狀況,，延遲狀況,。
威脅分析研判：多渠道匯集安全通告，線(xiàn)下結(jié)合線(xiàn)上,、現(xiàn)場(chǎng)結(jié)合中臺(tái),、情報(bào)結(jié)合狩獵，疊加多級(jí)網(wǎng)絡(luò)安全專(zhuān)家研判體系,，實(shí)現(xiàn)安全風(fēng)險(xiǎn)預(yù)警通告,、安全事件應(yīng)急通告、可疑安全行為通告迅速研判定性,。
應(yīng)急響應(yīng)處置：應(yīng)急響應(yīng)預(yù)設(shè)流程全面高效啟動(dòng),，應(yīng)急小組有條不紊分級(jí)分類(lèi)處置安全事件,，節(jié)奏化完成攻擊阻斷,、取證備份、故障恢復(fù),、總結(jié)評(píng)估,，雙向聯(lián)動(dòng)全國(guó)跨地理、跨行業(yè)多維情報(bào)體系,，多區(qū)域?qū)崟r(shí)下發(fā),，技術(shù)策略實(shí)時(shí)滾動(dòng)升級(jí)。
威脅狩獵溯源：一體化融合安全威脅檢測(cè)設(shè)備,、安全威脅分析平臺(tái),、安全專(zhuān)家服務(wù),，整合平臺(tái)監(jiān)控、分析研判,、中臺(tái)應(yīng)急能力,，多技術(shù)手段溯源攻擊方特性，遏制攻擊擴(kuò)散,。鎖定攻擊源,，針對(duì)性設(shè)計(jì)反制策略，多重誘捕,，由點(diǎn)帶面形成團(tuán)隊(duì)威懾力,。
高質(zhì)量事件上報(bào)：融合中臺(tái)實(shí)時(shí)情報(bào)，持續(xù)強(qiáng)化一線(xiàn)作戰(zhàn)研判水平與上報(bào)質(zhì)量,，分角色,、分職能、分事件等級(jí)實(shí)現(xiàn)攻擊取證,、分析,、研判過(guò)程記錄，全面把控上報(bào)品質(zhì)與上報(bào)效率,，結(jié)合體系化得分點(diǎn)分析,，確保防守團(tuán)隊(duì)取得有效防守成果。
05 總結(jié)階段
實(shí)戰(zhàn)化場(chǎng)景下網(wǎng)絡(luò)攻防演練的目的是為了發(fā)現(xiàn)企業(yè)當(dāng)前防護(hù)體系中存在的不足,，找出解決的方案,。因此在演練結(jié)束之后，必須及時(shí)進(jìn)行復(fù)盤(pán)總結(jié),，以期全面改進(jìn),。在總結(jié)階段，需要做三項(xiàng)工作：復(fù)盤(pán)總結(jié),、報(bào)告輸出和安全規(guī)劃,。
1）復(fù)盤(pán)總結(jié)
安全事件匯總分析
攻防演練防護(hù)結(jié)束后，攻防演練防護(hù)項(xiàng)目組將對(duì)演練期間的數(shù)據(jù)進(jìn)行匯總,，并從攻擊事件,、風(fēng)險(xiǎn)等級(jí)、攻擊路徑和漏洞利用四個(gè)維度展開(kāi)分析,。
缺陷問(wèn)題輸出閉環(huán)
攻防演練防護(hù)項(xiàng)目組將針對(duì)本次保障前期的待處理事件和中期發(fā)生的安全事件進(jìn)行梳理,，根據(jù)安全問(wèn)題風(fēng)險(xiǎn)程度由高到低設(shè)置處理優(yōu)先級(jí)，繪制輸出安全事件跟蹤表,，內(nèi)容包括但不限于：?jiǎn)栴}分類(lèi),、影響范圍、問(wèn)題描述、發(fā)現(xiàn)時(shí)間,、處置完成時(shí)間,、主要跟進(jìn)人、問(wèn)題進(jìn)展,、是否閉環(huán),、事件優(yōu)先級(jí)等。
保障經(jīng)驗(yàn)總結(jié)
攻防演習(xí)階段結(jié)束后,，開(kāi)展攻防演習(xí)總結(jié)會(huì)議,，整理攻防演習(xí)整體數(shù)據(jù)并上報(bào)，分析缺陷,，提出改正建議,，總結(jié)經(jīng)驗(yàn)，編制網(wǎng)絡(luò)安全監(jiān)測(cè)和應(yīng)急保障工作指導(dǎo)手冊(cè),。
2）報(bào)告輸出
在保障結(jié)束后,，將組織攻防演練防護(hù)參與人員進(jìn)行總結(jié)分析，并于總結(jié)會(huì)議后,，輸出攻防演練總結(jié)報(bào)告,，遞交至攻防演練防護(hù)組、總指揮進(jìn)行初步審閱及最終審閱,。
3）安全規(guī)劃
通過(guò)本次攻防演練活動(dòng)發(fā)現(xiàn)的問(wèn)題,，結(jié)合當(dāng)前安全運(yùn)營(yíng)現(xiàn)狀，有針對(duì)性地設(shè)計(jì)一體化安全運(yùn)營(yíng)方案,，也就是需要改進(jìn)的方向,。
網(wǎng)絡(luò)安全攻防演練，既是檢查網(wǎng)絡(luò)安全建設(shè)成果的試金石,，也是指導(dǎo)開(kāi)展下一步建設(shè)的指路燈,。通過(guò)攻防演練，企業(yè)應(yīng)以體系化建設(shè)為指引,，構(gòu)建“全場(chǎng)景,、可信任、實(shí)戰(zhàn)化”的安全運(yùn)營(yíng)能力,，實(shí)現(xiàn)“全面防護(hù),，智能分析，自動(dòng)響應(yīng)”的防護(hù)效果,，構(gòu)建網(wǎng)絡(luò)安全保障體系,、提升網(wǎng)絡(luò)安全防護(hù)能力。
更多信息可以來(lái)這里獲取==>>電子技術(shù)應(yīng)用-AET<<
