新聞中心
薛洪亮：過(guò)程安全架構(gòu)讓過(guò)程可見(jiàn)、風(fēng)險(xiǎn)易控
轉(zhuǎn)載自金融電子化
前言
一切美好的結(jié)果，均源自于過(guò)程！
在網(wǎng)絡(luò)安全領(lǐng)域，攻防交織、持續(xù)對(duì)抗，安全只是階段性的，而威脅是持續(xù)性的。網(wǎng)絡(luò)安全是一個(gè)動(dòng)態(tài)的、持續(xù)的過(guò)程。持續(xù)的安全結(jié)果與安全狀態(tài)需求持續(xù)的安全過(guò)程，安全防御體系建設(shè)需要從追求結(jié)果安全向堅(jiān)持過(guò)程安全轉(zhuǎn)變。
安博通提出了以安全策略統(tǒng)籌管理與安全策略建模為基礎(chǔ)的過(guò)程安全架構(gòu)，實(shí)現(xiàn)了主機(jī)資產(chǎn)、脆弱性、入侵事件與網(wǎng)絡(luò)安全架構(gòu)的關(guān)聯(lián)分析，能夠提供事前、事中、事后三個(gè)階段閉環(huán)的網(wǎng)絡(luò)安全管理與處置能力。希望能夠給各類金融機(jī)構(gòu)的安全防御體系建設(shè)帶來(lái)借鑒作用。
網(wǎng)絡(luò)安全是一個(gè)動(dòng)態(tài)、持續(xù)的過(guò)程
從攻擊與防御兩個(gè)角度看，網(wǎng)絡(luò)安全都可以描述為一個(gè)持續(xù)的過(guò)程。
2011年，洛克希德–馬丁公司提出了網(wǎng)絡(luò)入侵殺傷鏈模型，用于識(shí)別和預(yù)防網(wǎng)絡(luò)入侵活動(dòng)，這個(gè)模型描述了攻擊者必須完成哪些工作才能實(shí)現(xiàn)其目標(biāo)。殺傷鏈把網(wǎng)絡(luò)入侵活動(dòng)描述為一個(gè)系統(tǒng)的過(guò)程，這個(gè)過(guò)程分為七個(gè)階段：偵查跟蹤、武器構(gòu)建、載荷投遞、漏洞利用、安裝植入、命令與控制和目標(biāo)達(dá)成。這個(gè)過(guò)程在不同的網(wǎng)絡(luò)入侵活動(dòng)中被不斷地重復(fù)著。
2014年，Gartner提出了自適應(yīng)安全架構(gòu)，將安全保護(hù)定義為一個(gè)連續(xù)的過(guò)程，這個(gè)過(guò)程分為四個(gè)階段，即預(yù)測(cè)、預(yù)防、檢測(cè)、響應(yīng)。持續(xù)監(jiān)控與分析是自適應(yīng)保護(hù)安全架構(gòu)的核心。2017年，Gartner進(jìn)一步提出了持續(xù)自適應(yīng)風(fēng)險(xiǎn)與信任評(píng)估戰(zhàn)略方法，這個(gè)戰(zhàn)略是一個(gè)龐大的體系，包括大數(shù)據(jù)、AI、機(jī)器學(xué)習(xí)、自動(dòng)化、行為分析、威脅檢測(cè)、安全防護(hù)、安全評(píng)估等方面。它強(qiáng)調(diào)對(duì)風(fēng)險(xiǎn)和信任的評(píng)估分析，而這個(gè)分析是一個(gè)權(quán)衡的過(guò)程，這個(gè)過(guò)程包括：風(fēng)險(xiǎn)、信任、自適應(yīng)與持續(xù)。
網(wǎng)絡(luò)安全的動(dòng)態(tài)性與持續(xù)性對(duì)我們的網(wǎng)絡(luò)安全防御體系提出了更高的要求，具體表現(xiàn)為需要具備更高的安全可見(jiàn)性、更強(qiáng)大的自動(dòng)化處置能力、更嚴(yán)謹(jǐn)?shù)陌踩\(yùn)維流程。為此，安博通提出了SIIP過(guò)程安全架構(gòu)。
基于安全策略建模實(shí)現(xiàn)過(guò)程安全架構(gòu)
過(guò)程安全架構(gòu)（SIIP：Security is in process）是安博通提出的面向網(wǎng)絡(luò)安全管理與網(wǎng)絡(luò)運(yùn)維的框架。它強(qiáng)調(diào)網(wǎng)絡(luò)安全是一個(gè)過(guò)程，一直在進(jìn)行中，安全只是階段性的，而威脅是持續(xù)性的。安全防御體系建設(shè)需要從追求結(jié)果安全向堅(jiān)持過(guò)程安全轉(zhuǎn)變，而這個(gè)轉(zhuǎn)變并不意味著否定，安全是“果”，過(guò)程是“因”，我們需要運(yùn)用控制論與系統(tǒng)論的思維方式來(lái)構(gòu)建安全防御體系，從而實(shí)現(xiàn)因果兼施，持續(xù)提升整體安全防御水平。
過(guò)程安全架構(gòu)基于大數(shù)據(jù)與AI技術(shù)，深度融合網(wǎng)絡(luò)安全基礎(chǔ)架構(gòu)建模、 脆弱性評(píng)估與高級(jí)威脅檢測(cè)技術(shù)，構(gòu)建了可視化的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估、態(tài)勢(shì)監(jiān)測(cè)與響應(yīng)處置模型。它實(shí)現(xiàn)了資產(chǎn)、業(yè)務(wù)、網(wǎng)絡(luò)結(jié)構(gòu)、安全控制、脆弱性與入侵事件等要素的關(guān)聯(lián)分析，能夠?qū)o定網(wǎng)絡(luò)系統(tǒng)脆弱性的暴露程度進(jìn)行精確量化評(píng)估，可以提供更高的網(wǎng)絡(luò)安全可見(jiàn)性，從而幫助使用者看清網(wǎng)絡(luò)攻擊面，并及時(shí)準(zhǔn)確地發(fā)現(xiàn)網(wǎng)絡(luò)攻擊行為與過(guò)程。它可以根據(jù)預(yù)設(shè)的“劇本”，根據(jù)不同事件分類與優(yōu)先級(jí)，提供自動(dòng)化的響應(yīng)與處置能力，提升安全管理工作的效率，避免使用者陷入網(wǎng)絡(luò)安全疲勞狀態(tài)。它可以提供系統(tǒng)化與自動(dòng)化的網(wǎng)絡(luò)安全策略變更工作流程，將網(wǎng)絡(luò)安全防御工作融入到日常網(wǎng)絡(luò)運(yùn)維工作中，使網(wǎng)絡(luò)安全工作常備不懈。
圖：SIIP過(guò)程安全架構(gòu)
過(guò)程安全架構(gòu)面向用戶視角，按照安全防御的事前、事中、事后三個(gè)階段提供閉環(huán)的網(wǎng)絡(luò)安全管理界面與處置能力。事前，實(shí)現(xiàn)網(wǎng)絡(luò)攻擊面的量化評(píng)估、優(yōu)化漏洞處置排序與安全訪問(wèn)控制，收斂網(wǎng)絡(luò)攻擊面。事中，實(shí)現(xiàn)已知威脅檢測(cè)與未知威脅檢測(cè)結(jié)合，網(wǎng)絡(luò)側(cè)檢測(cè)與主機(jī)側(cè)檢測(cè)關(guān)聯(lián)，策略自動(dòng)化編排下發(fā)，自動(dòng)化響應(yīng)攻擊事件。事后，提供安全事件數(shù)據(jù)挖掘和回溯分析能力。
過(guò)程安全架構(gòu)實(shí)現(xiàn)的重要基礎(chǔ)是網(wǎng)絡(luò)安全策略全局建模技術(shù)。該技術(shù)實(shí)現(xiàn)了網(wǎng)絡(luò)中防火墻、路由器、交換機(jī)、負(fù)載均衡等設(shè)備安全控制策略信息的自動(dòng)提取與解析，提取信息包括對(duì)網(wǎng)絡(luò)安全訪問(wèn)產(chǎn)生影響的安全訪問(wèn)控制策略、NAT策略與路由信息等；在云化場(chǎng)景中還需要同時(shí)實(shí)現(xiàn)虛擬設(shè)備、安全組策略、主機(jī)訪問(wèn)控制等信息。在此基礎(chǔ)上，計(jì)算網(wǎng)絡(luò)中任意兩點(diǎn)間的安全訪問(wèn)關(guān)系與路徑，并運(yùn)用可視化技術(shù)，輸出邏輯連接拓?fù)渑c安全訪問(wèn)控制拓?fù)洹＞W(wǎng)絡(luò)安全策略全局建模技術(shù)是傳統(tǒng)安全防御體系建設(shè)中的重要缺失。
過(guò)程安全架構(gòu)應(yīng)用價(jià)值舉例
過(guò)程安全架構(gòu)是一種網(wǎng)絡(luò)安全理念、網(wǎng)絡(luò)安全框架，但同時(shí)它是一個(gè)可落地、可演進(jìn)的網(wǎng)絡(luò)安全解決方案。接下來(lái)舉例說(shuō)明一下過(guò)程安全架構(gòu)的業(yè)務(wù)流程與應(yīng)用價(jià)值。
1、網(wǎng)絡(luò)攻擊面可視化評(píng)估與持續(xù)收斂，緩解網(wǎng)絡(luò)風(fēng)險(xiǎn)
首先，介紹一下應(yīng)用過(guò)程安全架構(gòu)實(shí)現(xiàn)網(wǎng)絡(luò)攻擊面收斂與分析的業(yè)務(wù)流程。這個(gè)業(yè)務(wù)流程主要分為三個(gè)步驟，第一步是網(wǎng)絡(luò)攻擊面計(jì)算，第二步是風(fēng)險(xiǎn)排序，第三步是攻擊面收斂。三個(gè)步驟循環(huán)往復(fù)，從而保持安全防御體系處于最佳狀態(tài)，在攻防對(duì)抗中提升攻擊門檻。
攻擊面計(jì)算。資產(chǎn)盤點(diǎn)以及資產(chǎn)的脆弱性評(píng)估，傳統(tǒng)方案中都會(huì)涉及，但過(guò)程安全架構(gòu)根據(jù)網(wǎng)絡(luò)攻擊面的定義（網(wǎng)絡(luò)攻擊面：是一個(gè)給定的網(wǎng)絡(luò)系統(tǒng)所能夠被訪問(wèn)和利用的脆弱性總和），對(duì)網(wǎng)絡(luò)安全基礎(chǔ)架構(gòu)進(jìn)行了建模，并基于此對(duì)資產(chǎn)脆弱性的暴露風(fēng)險(xiǎn)進(jìn)行計(jì)算，使得風(fēng)險(xiǎn)評(píng)估與優(yōu)先級(jí)排序更加精確。為了保證分析結(jié)果的準(zhǔn)確性、及時(shí)性與前瞻性，攻擊面計(jì)算還引入了威脅情報(bào)進(jìn)行關(guān)聯(lián)分析。
風(fēng)險(xiǎn)排序。對(duì)攻擊面計(jì)算的結(jié)果按風(fēng)險(xiǎn)高低進(jìn)行排序，并根據(jù)不同的風(fēng)險(xiǎn)值與風(fēng)險(xiǎn)屬性調(diào)用預(yù)設(shè)的攻擊面收斂方式與流程。
攻擊面收斂。具體分為三種方式或流程：第一種是聯(lián)動(dòng)補(bǔ)丁修復(fù)系統(tǒng)打補(bǔ)丁或推送漏洞修復(fù)建議；第二種是自動(dòng)下發(fā)策略進(jìn)行訪問(wèn)控制補(bǔ)償，在網(wǎng)絡(luò)側(cè)或主機(jī)側(cè)進(jìn)行暴露路徑阻斷；第三種是安全加固，也就是在不允許漏洞修復(fù)或暴露路徑阻斷的情況下進(jìn)行安全加固建議，這個(gè)建議可以執(zhí)行在網(wǎng)絡(luò)側(cè)或主機(jī)側(cè)。
2、多維度關(guān)聯(lián)分析與自動(dòng)化編排，提升檢測(cè)精度并加速調(diào)查響應(yīng)
接下來(lái)介紹一下應(yīng)用過(guò)程安全架構(gòu)實(shí)現(xiàn)安全檢測(cè)與響應(yīng)的業(yè)務(wù)流程，這個(gè)業(yè)務(wù)流程具體分為三個(gè)步驟，：檢測(cè)、分類與處置。這個(gè)業(yè)務(wù)流程也是一個(gè)持續(xù)的過(guò)程，它的目標(biāo)是：在攻防對(duì)抗中提升檢測(cè)精度與效率。
檢測(cè)。通過(guò)三種方式關(guān)聯(lián)提升檢測(cè)的精度，分別是：主機(jī)側(cè)與網(wǎng)絡(luò)側(cè)的檢測(cè)結(jié)果關(guān)聯(lián)分析、通過(guò)機(jī)器學(xué)習(xí)與深度學(xué)習(xí)算法深度發(fā)現(xiàn)網(wǎng)絡(luò)攻擊行為，以及威脅情報(bào)引入與比對(duì)。
分類。根據(jù)檢測(cè)結(jié)果的置信度與事件屬性進(jìn)行分類，并調(diào)用不同處置方式。
處置。主要包含兩種處置方式，對(duì)于置信度高并且處置方式明確的事件，或緊急程度高的事件，進(jìn)行網(wǎng)絡(luò)側(cè)與主機(jī)側(cè)的安全策略自動(dòng)下發(fā)。對(duì)于其他類型的事件調(diào)用人工處置流程，在人工處置流程中提供分析數(shù)據(jù)與分析工具。
3、安全策略變更全流程自動(dòng)化，持續(xù)高效合規(guī)運(yùn)營(yíng)
接下來(lái)再介紹一下應(yīng)用過(guò)程安全架構(gòu)實(shí)現(xiàn)網(wǎng)絡(luò)安全策略自動(dòng)化運(yùn)維的業(yè)務(wù)流程。網(wǎng)絡(luò)安全策略是整個(gè)網(wǎng)絡(luò)安全防御體系的基礎(chǔ)，在一些組織機(jī)構(gòu)中的網(wǎng)絡(luò)安全策略運(yùn)維的工作量比較大，占據(jù)網(wǎng)絡(luò)管理部門工作量的30%-40%。傳統(tǒng)的方法是通過(guò)人工的方式，準(zhǔn)確性、合規(guī)性與效率均得不到保證。
應(yīng)用過(guò)程安全架構(gòu)實(shí)現(xiàn)了網(wǎng)絡(luò)安全策略變更業(yè)務(wù)的全流程自動(dòng)化，包括策略變更工單管理、路徑仿真計(jì)算、路徑合規(guī)與風(fēng)險(xiǎn)分析、策略開通與驗(yàn)證。大幅提升網(wǎng)絡(luò)安全策略變更的效率，將大量人工方式轉(zhuǎn)變?yōu)樽詣?dòng)化的方式。但更主要的是實(shí)現(xiàn)了網(wǎng)絡(luò)安全策略的合規(guī)管理，落地策略精細(xì)化管理的要求，從而保證在網(wǎng)絡(luò)結(jié)構(gòu)發(fā)生變化與策略變更的過(guò)程中不引入新的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。
過(guò)程安全架構(gòu)特點(diǎn)總結(jié)
1、安全架構(gòu)與安全要素相結(jié)合
基于網(wǎng)絡(luò)安全基礎(chǔ)架構(gòu)（邏輯連接與安全控制），實(shí)現(xiàn)資產(chǎn)、應(yīng)用、業(yè)務(wù)、脆弱性與入侵事件等要素的關(guān)聯(lián)分析，安全要素的位置與訪問(wèn)關(guān)系清晰可見(jiàn)，使得暴露風(fēng)險(xiǎn)評(píng)估、入侵檢測(cè)響應(yīng)、網(wǎng)絡(luò)攻擊溯源、事件調(diào)查處置等安全業(yè)務(wù)變得更加直觀、精確。
2、風(fēng)險(xiǎn)分析與檢測(cè)響應(yīng)相結(jié)合
實(shí)現(xiàn)網(wǎng)絡(luò)攻擊面的量化評(píng)估，并提供網(wǎng)絡(luò)攻擊面自動(dòng)化收斂的技術(shù)手段，提升網(wǎng)絡(luò)攻擊門檻。在此基礎(chǔ)之上進(jìn)行多維度的攻擊檢測(cè)，將被動(dòng)檢測(cè)上升為主動(dòng)部署，做到知己知彼，有效提升網(wǎng)絡(luò)安全防御體系的整體水平。
3、網(wǎng)絡(luò)安全與網(wǎng)絡(luò)運(yùn)維相結(jié)合
一方面，實(shí)現(xiàn)網(wǎng)絡(luò)安全業(yè)務(wù)事前防御優(yōu)化、事中檢測(cè)響應(yīng)、事后回溯分析的全流程閉環(huán)，自動(dòng)化的應(yīng)急處置有效地提升網(wǎng)絡(luò)攻擊防御的效果與效率。另一方面，提供了多種網(wǎng)絡(luò)安全運(yùn)維應(yīng)用，包括：安全策略全流程變更自動(dòng)化、主機(jī)資產(chǎn)與脆弱性自動(dòng)盤點(diǎn)、可視化邏輯拓?fù)渑c安全拓?fù)涔芾?、可視化網(wǎng)絡(luò)故障排查與優(yōu)化。網(wǎng)絡(luò)安全業(yè)務(wù)與網(wǎng)絡(luò)運(yùn)維業(yè)務(wù)實(shí)現(xiàn)了相互調(diào)用、相互促進(jìn)。
結(jié)語(yǔ)
安博通過(guò)程安全架構(gòu)（SIIP：Security is in process）是一個(gè)標(biāo)準(zhǔn)開放的架構(gòu)，可以依托安博通自有能力完成攻擊面分析、檢測(cè)響應(yīng)與調(diào)查處置等業(yè)務(wù)。同時(shí)支持通過(guò)Syslog、SNMP、Telnet/SSH、API對(duì)接等方式與第三安全檢測(cè)能力、防御能力、SOC、態(tài)勢(shì)感知系統(tǒng)進(jìn)行對(duì)接，進(jìn)一步提升安全檢查的測(cè)精度與廣度、進(jìn)一步提升調(diào)查處置的能力與效率，從而幫助用戶構(gòu)建高可見(jiàn)性、高精度、高效率與高度自動(dòng)化的網(wǎng)絡(luò)安全防御體系。安博通愿意秉持開放、融合、互補(bǔ)的理念，與各位業(yè)界同仁一起為網(wǎng)絡(luò)安全事業(yè)添磚加瓦。
