新聞中心
在網(wǎng)絡(luò)紅藍(lán)對抗中，如何“守城”？
“守城”的困惑
“我是一名網(wǎng)絡(luò)安全從業(yè)者，最近我很焦慮，因為我要守一座城?！?/span>
這座城是單位的整個網(wǎng)絡(luò)系統(tǒng)，官道是網(wǎng)絡(luò)鏈路，城門和哨卡是安全設(shè)備（比如防火墻），城內(nèi)建筑是業(yè)務(wù)主機等固定資產(chǎn)，城內(nèi)外人流是流轉(zhuǎn)的數(shù)據(jù)包，城中情報則是數(shù)據(jù)資產(chǎn)。我認(rèn)為這座城現(xiàn)在運行良好，但是敵軍必將在近期的某個時間段揮師攻城。
在敵軍到來之前要如何完善防御工事，減少破城的可能性？敵軍是否會喬裝混入城中，什么樣的人允許入城？如果敵人埋伏在城中，在攻城時里應(yīng)外合，怎樣及時發(fā)現(xiàn)這些細(xì)作？假如城防失守，又要如何剿滅城中敵軍，并修復(fù)破損位置？當(dāng)敵軍竊取我方城內(nèi)情報時，怎樣探知敵軍的潛入路線、竊取方式，并防止竊取事件再次發(fā)生？這些問題都深深困擾著我。
“過程安全”為你解憂
在紅藍(lán)對抗和HW行動中，經(jīng)常會有防守方發(fā)出“怎么辦”的感慨。別擔(dān)心，“過程安全”理念可以讓你高枕無憂。
什么是“過程安全”？過程安全架構(gòu)（SIIP , Security is in Process）是安博通總結(jié)自身技術(shù)和經(jīng)驗提出的網(wǎng)絡(luò)安全管理與運維體系框架，它強調(diào)：網(wǎng)絡(luò)安全是一種過程，而不是一個結(jié)果，安全只是階段性的，而威脅是持續(xù)性的。本質(zhì)上網(wǎng)絡(luò)攻擊是一個持續(xù)的過程，網(wǎng)絡(luò)防護是一個持續(xù)的過程，那么網(wǎng)絡(luò)安全自然也是一個持續(xù)的過程。
網(wǎng)絡(luò)攻擊過程示意圖
過程安全架構(gòu)要如何解除安全從業(yè)者的憂慮呢？
SIIP過程安全架構(gòu)
問題一：在敵軍到來之前要如何完善防御工事，城中建筑（主機）是否存在脆弱性？
首先，需要明確內(nèi)網(wǎng)有哪些業(yè)務(wù)主機，了解主機的詳細(xì)資產(chǎn)信息、主機上運行的業(yè)務(wù)、開放端口、現(xiàn)有賬號等，對主機資產(chǎn)進(jìn)行盤點。接著，需要明晰主機上有哪些風(fēng)險，是否存在漏洞、弱口令、Web后門、可執(zhí)行惡意程序、Shell腳本等，分析脆弱性風(fēng)險。
通過SIIP架構(gòu)中的主機安全可視化模塊，進(jìn)行事前防御優(yōu)化，發(fā)現(xiàn)并彌補主機風(fēng)險，提升城池自身強度。
SIIP架構(gòu)之主機安全可視化
問題二：如何減少破城的可能性，摸清城池內(nèi)外的道路、哨卡和入城人流特征？
這就需要繪制城防圖，即安全域業(yè)務(wù)拓?fù)?，實現(xiàn)資產(chǎn)防護邊界可視，看清主機是否被防護。同時梳理城池內(nèi)外的有效業(yè)務(wù)道路和哨卡準(zhǔn)入規(guī)則，理清業(yè)務(wù)路徑和安全策略。最后確認(rèn)哨卡規(guī)則有無問題，無關(guān)人員是否也可隨意出入，對策略風(fēng)險和主機攻擊面進(jìn)行分析。
通過SIIP架構(gòu)中的安全架構(gòu)可視化模塊，分析防護策略的健壯性、資產(chǎn)防護的全面性和資產(chǎn)暴露風(fēng)險，縮減網(wǎng)絡(luò)暴露面，降低攻入城池的可能。
SIIP架構(gòu)之安全架構(gòu)可視化
問題三：敵軍是否會喬裝混入城中？
符合哨卡準(zhǔn)入規(guī)則的人即可入城，敵人偽裝成符合規(guī)則的模樣同樣可以混入。網(wǎng)絡(luò)攻擊使用防火墻開放端口和業(yè)務(wù)主機可達(dá)路徑進(jìn)行攻擊，就不會被防火墻攔截，因此需要持續(xù)對攻擊面進(jìn)行收斂。
安全架構(gòu)可視化模塊可以與主機安全可視化模塊聯(lián)動，持續(xù)可視化評估并收斂網(wǎng)絡(luò)攻擊面，最小化風(fēng)險暴露面被訪問可能，緩解網(wǎng)絡(luò)風(fēng)險。
SIIP架構(gòu)之攻擊面分析與收斂過程
問題四：被攻擊怎么辦？如果敵人埋伏在城中，在攻城時里應(yīng)外合，怎樣及時發(fā)現(xiàn)這些細(xì)作？假如城防失守，又要如何剿滅城中敵軍，并修復(fù)破損位置？
需要及時準(zhǔn)確檢測到攻擊者嗅探網(wǎng)絡(luò)、發(fā)起攻擊或異常外發(fā)等行為。受到攻擊后，能夠快速識別、響應(yīng)并阻斷攻擊源，防止威脅進(jìn)一步擴散。
SIIP架構(gòu)中的攻擊面可視化模塊關(guān)聯(lián)安全架構(gòu)可視、主機安全可視和網(wǎng)絡(luò)流量可視，實現(xiàn)自動化編排安全策略，多維度數(shù)據(jù)關(guān)聯(lián)分析，加速調(diào)查響應(yīng)。
SIIP架構(gòu)之安全監(jiān)測與自動響應(yīng)過程
問題五：城防失守怎么辦？當(dāng)敵軍竊取到我方城內(nèi)情報時，怎樣探知敵軍的潛入路線、竊取方式，并防止竊取事件再次發(fā)生？
針對已發(fā)生的安全事件，SIIP架構(gòu)通過流量可視、主機可視、架構(gòu)可視的聯(lián)動，經(jīng)過流量溯源，疊加威脅情報功能，可以查出事件詳情，找到涉事主機的風(fēng)險并進(jìn)行路徑溯源，然后進(jìn)行針對性風(fēng)險修復(fù)、補償控制或安全加固，防止同類事件再現(xiàn)。
SIIP架構(gòu)之回溯分析及安全彌補過程
“知己知彼，可視可控?！盨IIP過程安全架構(gòu)提供從事前防御優(yōu)化、事中檢測響應(yīng)到事后回溯分析三維一體的閉環(huán)機制，讓城池的網(wǎng)絡(luò)暴露面收斂50%，檢測誤報率下降30%，應(yīng)急響應(yīng)率提升50%，讓防守方在紅藍(lán)對抗和HW行動中守城無憂。
后記
“我是一名網(wǎng)絡(luò)安全從業(yè)者，這次的紅藍(lán)對抗中我不焦慮了，但怎么樣一直不焦慮呢？”答案就是“過程安全”，網(wǎng)絡(luò)安全的本質(zhì)是一個過程，而過程需要持續(xù)化。
