攻防论道｜六大管理策略提升实战演练胜算

在攻防论道系列文章中，曾讲到要对当前网络架构进行合理分析和优化，盘点内外网资产，理顺资产与业务系统的关系。因此，在前期理清资产的基础上，需要对信息资产的安全性进行全面评估，主要包括以下7大评估方法：

• 漏洞扫描：检查系统中是否有中、高危漏洞，并结合人工检查进行确认。

• 配置核查：检查网络架构是否符合隔离要求，设备配置是否最优。

• 弱口令检查：定制弱口令字典，执行自动化扫描，发现资产口令存在的问题。

• 渗透测试：从攻击者视角发现被忽视的威胁路径。

• 入侵痕迹排查：检查资产中是否存在webshell、木马等可被利用进行远控的手段。

• 敏感信息检查：检查桌面敏感文件、开发过程文档等资料中是否存在用户名、密码等企业敏感信息。

• 安全机制校验：检查现有主机、设备、应用、服务等模块的安全监控、安全防护、网络策略、安全策略等机制，检查其是否有效。

资产是业务的支撑，业务是资产的聚合。在业务层面，需要对业务系统进行分级，针对重要业务系统，特别是攻防演练确定的靶标系统和重要业务系统，梳理系统关键流程（如登录、认证、查询、申请、审批、交易等）绘制相应时序图，分析业务流程和数据流转中可能遭遇的攻击和敏感信息泄露等安全隐患，输出相应风险处置措施以降低风险，保障系统安全。

在此基础上，还应该对身份认证系统、VPN、域控系统、网管系统等集权系统和防火墙，入侵防御系统，web安全防护系统，主机防护系统等安全设备进行风险评估，确保其集权管控和安全防护机制能够正常运行，且系统本身不存在中高危安全漏洞。此外，还需要来自供应链，相关业务链，人员链等第三方的安全风险，防止攻击者利用第三方实施入侵。

对在资产安全评估和业务缺陷识别中发现的问题，需要制定整改方案，及时进行修复。主要包括：

• 历史发现风险闭环复盘：梳理以往发现的安全风险，对尚未解决的中高风险快速进行全面排查，针对历史上发生的重要安全事件进行复盘，总结教训，提升意识，并确认已无潜在风险。

• 自查发现风险跟进巡查：对自查中发现的风险及问题进行最终汇总整合，形成相应的跟踪表，设立每项风险闭环的责任主体和负责人，明确整改期限，及时跟进直至各项风险排查结束。

• 各类设备风险跟进处置 ：跟进网络设备、安全设备自身的安全风险处置，做好相应的修复规划和策略配置优化等，并及时更新同步。

面对实战攻防演练，需要构建集预警、防护、检测、响应于一体的自适应联动响应体系。攻防演练的防守方，可参考下图展示的网络安全最佳实践技术体系，查漏补缺，消除短板，整体提升安全防护能力。

在构建完成整体防线后，下一步就需要提升攻击检测和防护的效率，对整体策略进行优化，主要包括三方面的优化动作。

一是优化日志分析，采用事件分析法，时间分析法，以及流量包样本分析法等方式，在大量日志中捕获关键信息，区分设备关注重点事件；二是处置设备误报，及时拉通业务侧沟通渠道，核实能否够及时对业务代码逻辑进行修改，解决业务误拦问题；三是优化平台和设备策略，根据日志分析及误报处理的结果，对网络设备策略、安全设备策略、主机策略等进行进一步调整和优化。

在安全意识培训方面，需要在三大方向发力。一是要加强安全意识宣传，通过发放张贴安全意识宣传材料，播放安全意识宣传视频等方式加强员工对信息安全的重视和关注；二是要加强内部安全意识培训，通过面向一般人员、技术人员等不同的员工群体，组织针对性的专项培训；三是要面向第三方开发商和服务商人员等开展安全意识宣贯，同时签订安全保密协议、责任界定书，增强其安全敏感度。

在安全能力培训方面，首先要展开威胁分析能力培训，通过告警分析实现对常见攻击行为和结果的识别，包括利用漏洞执行恶意代码，手工尝试弱口令，服务器被攻陷，恶意程序被运行等。其次要对应急响应能力进行培训，通过排查服务器上的木马程序，分析攻击者入侵途径，登录服务器操作以验证事件的准确性等方法实现安全事件的事中和事后取证分析与及时处置。