写点什么

攻防演练中六条安全体系建议

  • 2022 年 6 月 13 日
  • 本文字数:2100 字

    阅读完需:约 7 分钟

攻防演练中六条安全体系建议

对抗是攻防双方能力的较量,是一个动态的过程。防守队应未雨绸缪,从管理、技术、运行等方面建立系统化、实战化的安全体系,从而有效应对实战环境下的安全挑战,这里有六条建议供参考。

一、面向实战的纵深防御体系

对于防守队来说,需要考虑的是安全工作的方方面面,仅关注某个或某些防护点已经满足不了防护需求。实战攻防演练中,对攻击队或多或少还有些攻击约束要求,而真实的网络攻击则完全无拘无束,与实战攻防演练相比,更加隐蔽而强大。


从应对实战的角度出发,对现有安全架构进行梳理,以安全能力建设为核心思路,面向主要风险重新设计政企机构整体安全架构,通过多种安全能力的组合和结构性设计形成真正的纵深防御体系,并努力将安全工作前移,确保安全与信息化“三同步”(同步规划、同步建设、同步运行),建立起具备实战防护能力、有效应对高级威胁、持续迭代演进提升的安全防御体系。

二、面向过程的动态防御能力

在攻防对抗实践中,防守队应利用现有安全设备的集成能力和威胁情报能力,通过分析云端威胁情报的数据,让防御体系中的检测设备和防护设备发现更多的攻击行为,并依据设备的安全策略做出动态的响应处置,把攻击队阻挡在边界之外。同时,在设备响应处置方面,也需要多样化的防护能力来识别攻击队的攻击行为和动机,例如封堵 IP、拦截具有漏洞的 URL 访问等策略。通过建立动态防御体系,不仅可以有效拦截攻击队的攻击行为,还可以迷惑攻击队,让攻击队的探测行为失去方向,让更多的攻击队知难而退,从而在对抗中占得先机。

三、以人为本的主动防御能力

构建主动防御的基础是可以采集到内部的大量有效数据,包括安全设备的告警、流量信息、账号信息等。为了将对内部网络的影响最小化,采用流量威胁分析的方式,实现全网流量威胁感知,特别是关键的边界流量、内部重要区域的流量。安全运营团队应利用专业的攻防技能,从这些流量威胁告警数据中发现攻击线索,并对已发现的攻击线索进行威胁巡猎、拓展,一步步找到真实的攻击点和受害目标。

主动防御能力主要表现为构建安全运营的闭环,包括以下三方面。

  • 在漏洞运营方面,形成持续的评估发现、风险分析、加固处置的闭环,减少内部的受攻击面,使网络环境达到内生安全。

  • 在安全事件运营方面,对实战中攻击事件的行为做到“可发现、可分析、可处置”的闭环管理,实现安全事件的全生命周期管理,压缩攻击队在内部的停留时间,降低安全事件的负面影响。

  • 在资产运营方面,逐步建立起配置管理库(CMDB),定期开展暴露资产发现工作,并定期更新配置管理库,这样才能使安全运营团队快速定位攻击源和具有漏洞的资产,通过未知资产处置和漏洞加固,减少内外部的受攻击面。

四、基于情报数据的精准防御能力

从常态化安全运行角度来看,防守队应当逐步建立基于情报数据的精准防御能力。具体来说,主要包括以下三方面。

  • 防守队需要培养精准防御的响应能力,在实战攻防对抗中针对不同的攻击 IP、攻击行为采用更细粒度、更精准的防御手段。

  • 为了最小化攻防活动对业务可用性的影响,需要设计多样化的精准防御手段与措施,既可延缓攻击,又可满足业务连续性需要。

  • 为了保证在实战攻防对抗过程中防守方不会大面积失陷,应对于重要主机,例如域控服务器、网管服务器、OA 服务器、邮件服务器等,加强主机安全防护,阻止主机层面的恶意代码运行与异常进程操作。

五、高效一体的联防联控机制

在实战攻防对抗中,防守队一定要建立起联防联控的机制,分工明确,信息通畅。唯有如此,才能打好实战攻防演练的战斗工作。联防联控的关键点如下。

  • 安全系统协同:通过安全系统的接口实现系统之间的集成,加强安全系统的联动,实现特定安全攻击事件的自动化处置,提高安全事件的响应处置效率。

  • 内部人员协同:内部的安全部门、网络部门、开发部门、业务部门全力配合实战攻防对抗工作组完成每个阶段的工作,并在安全值守阶段全力配合工作组做好安全监控与处置工作。

  • 外部人员协同:实战攻防对抗是一个高频的对抗活动,在这期间,需要外部的专业安全厂商配合工作组防守,各个厂商之间应依据产品特点和职能分工落实各自的工作,并做到信息通畅、听从指挥。

  • 平台支撑,高效沟通:为了加强内部团队的沟通与协同,在内部通过指挥平台实现各部门、各角色之间的流程化、电子化沟通,提升沟通协同效率,助力联防联控有效运转。

六、行之有效的整体防御能力

防守队需要将总部和分支机构进行统一的安全规划和管理,形成整体防御能力,才能有效开展实战攻防对抗。在整体防御能力上,建议防守队开展如下工作。

  • 互联网出入口统一管理:条件允许的情况下,应尽量上收分支机构的互联网出入口。统一管理的好处是集中防御、节约成本、降低风险。同时,在整体上开展互联网侧的各类风险排查,包括互联网未知资产、敏感信息泄露、社工信息的清理等工作。

  • 加强分支机构防御能力:如果无法实现分支机构的互联网出入口统一管理,则让分支机构参考总部的安全体系建设完善其自身的防御能力,避免让出入口成为安全中的短板。

  • 全面统筹,协同防御:在准备阶段,应让分支机构配合总部开展风险排查;在实战值守阶段,让分支机构与自己一起安全值守,并配置适当的安全监控人员、安全分析处置人员,配合自己做好整体的防御、攻击的应急处置等工作。


发布于: 刚刚阅读数: 7
用户头像

InfoQ签约作者 2018.11.30 加入

热爱生活,收藏美好,专注技术,持续成长

评论

发布
暂无评论
攻防演练中六条安全体系建议_6月月更_穿过生命散发芬芳_InfoQ写作社区