360專家談實網攻防，以逆向思維提升企業安全建設能力

自2016年美國大選“黑天鵝”事件出現以來，各國高度重視網絡安全防護工作。迄今為止，美國已舉行6次“網絡風暴”大規模網絡安全演習。

然而，我國的攻防演練尚處於發展階段。2019年，公安部印發《關於2019年至2022年開展全警實戰大練兵的指導意見》，全國掀起實戰大練兵熱潮。

不僅僅是國家層面的重視和發展，攻防演練也越來越受到企業安全團隊的重視。11月28日，360攻防產品事業部總經理張錦章在CIS 2019網絡安全創新大會攻防演練研討專場上帶來《錘鍊新形勢下實網攻防的“劍與盾”》議題分享，揭示了企業安全團隊通過攻防演練找到企業防禦能力的缺陷、找到防守視角的缺失，進而全方位的提升企業網絡安全能力。

危則變 變則通

無論是TLS 1.2 協議現漏洞，全球近3000網站受影響，還是委內瑞拉全國停電，馬杜羅稱再度遭受美國“網絡攻擊”，近年針對關鍵基礎設施攻擊愈加頻繁，各國採取多種措施不斷謀求增強網絡防禦和對抗能力，網絡空間對抗態勢不斷加劇。

“唯一不變的就是“一切在變”，我們可以從四個方面來看威脅的不斷進化。” 張錦章談到：

其一，攻擊者從“白開心”的“純小偷”進化成更加有組織、有目的的“大玩家”，國家間網絡戰時時處處在發生，目前，360安全大腦已率先發現了針對中國的41個境外APT組織；

其二，破壞廣度和深度加大，WannaCry攻擊全球150多個國家，國內3萬多個機構30萬台電腦被感染；

其三，業務環境發生劇變，業務雲化導致邊界模糊，移動應用興起已全面代替傳統辦公終端，以此帶來新的入侵攻擊方式；

其四，行為隱蔽、難以追蹤。攻擊手段無所不用其極，除了物理的攻擊以外，還有社工的攻擊，更不論硬盤、芯片、IoT設備等均可被植入惡意軟件。

古代時候修建萬里長城用來抵擋匈奴進攻，但在現代網絡戰中長城解決不了問題。

“危則變，變則通，通則久，我們需要改變思路。” 張錦章談到，以前在合規驅動下單純防禦的措施，不能完全解決企業安全問題，需要從攻防對抗角度進一步提升企業安全能力。“也就是甲方企業應該有自己做攻防的隊伍，還要通過不斷的紅藍對抗發現問題，建設預案，包括一套應急響應流程、處置流程、溯源流程等。”

逆向思維 最佳實踐

合規驅動是正向思維，攻防演練是逆向思維。其注重驗證結果，從結論逆推方案，從發現問題切入，研究分析問題，給出解決方案，持續能力提升，在此過程中持續提高企業安全建設能力。

在紅藍對抗的模式下也衍生出日常的運營模式，張錦章從事前、事中、事後概括道，“我們可以在事前的時候通過各種技術手段建立一種安全可控的滲透通道，通過滲透測試發現問題；在事中建立交火的前沿陣地，降低損失的同時充分了解對手，積累知識經驗；事後可以總結髮現問題，總結實施的應急響應流程，包括捕獲行為、回溯。在境外真正發起網絡攻擊時候，企業可以快速發現問題、解決問題，還可以通過蜜罐的方式贏得溯源時間。”

在這一系列逆向思維加持下，企業一方面可以精準挖掘潛在的脆弱性和威脅，有效驗證安全防護是否健壯，另一方面可以促進安全體系敏捷改進，能快速提升人員的安全能力。

演講最後，張錦章談到目前已從實踐中提煉規劃了一個通過實網靶場實施的“訓、打、評、防、控”整體體系。

訓即在仿真靶場中開展實操訓練、能力考核，實現人員安全意識以及安全防護能力雙提升；打即在行業真實環境和測試環境中開展防守與應急響應訓練，提高應對真實威脅的能力和真實環境演練；評即在靶場攻防過程中，通過平台內置的評價體系對攻防雙方進行科學評價，取長補短；防即使用靶場提供的實戰對抗指揮調度功能、攻擊誘捕功能，實現攻擊預警、行為分析以及攻擊溯源；控即使用靶場強大的權限控制和審計功能，實現第三方操作的安全可控。

無疑，提升企業安全整體防禦能力任重而道遠，實網攻防作為“新式兵器”更應該被企業重視。