搜索

[14462] 2019-08-12_企业安全建设与态势感知

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-08-12_企业安全建设与态势感知 企 业 安 全 建 设 与 态 势 感 知 F r e e B u f   2 0 1 9 - 0 8 - 1 2 以 下 文 章 来 源 于 F r e e B u f 企 业 安 全   ， 作 者 萧 观 澜 前 言 前 言 安 全 在 今 天 越 来 越 受 重 视 ， 各 类 企 事 业 单 位 也 不 断 加 大 安 全 投 入 ， 很 多 度 过 了 安 全 建 设 初 级 阶 段 安 全 在 今 天 越 来 越 受 重 视 ， 各 类 企 事 业 单 位 也 不 断 加 大 安 全 投 入 ， 很 多 度 过 了 安 全 建 设 初 级 阶 段 ( 被 动 防 御 被 动 防 御 ) 的 的 安 全 团 队 开 始 做 态 势 感 知 。 然 而 ， 市 场 很 多 声 称 具 备 安 全 态 势 感 知 的 产 品 大 多 是 厂 商 站 在 乙 方 视 角 推 出 的 安 全 团 队 开 始 做 态 势 感 知 。 然 而 ， 市 场 很 多 声 称 具 备 安 全 态 势 感 知 的 产 品 大 多 是 厂 商 站 在 乙 方 视 角 推 出 的 S O C 产 品 ， 在 甲 方 发 挥 的 主 要 作 用 是 安 全 可 视 化 ， 往 往 成 为 一 个 观 赏 性 的 玩 具 。 产 品 ， 在 甲 方 发 挥 的 主 要 作 用 是 安 全 可 视 化 ， 往 往 成 为 一 个 观 赏 性 的 玩 具 。 下 面 谈 一 下 笔 者 在 安 全 建 设 中 对 态 势 感 知 系 统 的 思 考 和 理 解 ， 望 能 抛 砖 引 玉 。 下 面 谈 一 下 笔 者 在 安 全 建 设 中 对 态 势 感 知 系 统 的 思 考 和 理 解 ， 望 能 抛 砖 引 玉 。 安 全 建 设 目 标 安 全 建 设 目 标 首 先 我 们 回 顾 一 下 为 什 么 要 有 态 势 感 知 系 统 ? 安 全 建 设 的 三 大 驱 动 力 之 一 是 安 全 事 件 驱 动 ， 而 不 断 的 “ 事 后 灭 火 ” 过 于 被 动 。 显 然 我 们 都 希 望 在 事 中 甚 至 事 前 就 能 对 攻 击 有 了 解 。 所 以 安 全 建 设 初 期 在 I T 基 础 设 施 中 部 署 各 类 威 胁 检 测 / 防 护 系 统 是 构 建 纵 深 防 御 体 系 是 首 要 目 标 。 数 据 来 源 : T h e   B l a c k   R e p o r t   2 0 1 7 在 其 建 设 过 程 中 ， 我 们 还 需 要 量 化 指 标 ， 如 T T D 注 1 来 度 量 系 统 的 成 熟 度 。 如 图 ， 如 果 我 们 能 在 2 小 时 内 检 测 对 业 务 造 成 实 质 影 响 的 攻 击 ( T T D ) 并 响 应 威 胁 ( T T R ) 注 2 ， 就 能 大 概 率 抵 御 8 0 % 以 上 的 攻 击 。 要 做 到 这 一 点 ， 不 仅 仅 需 要 广 泛 部 署 先 进 的 入 侵 检 测 系 统 还 需 要 专 业 的 安 全 工 程 师 持 续 运 营 。 检 测 能 力 的 构 建 对 于 预 算 充 足 的 团 队 ， 可 以 通 过 采 购 注 3 来 完 成 。 如 果 安 全 设 备 的 部 署 不 影 响 业 务 或 不 需 要 和 业 务 耦 合 ， 那 么 “ 堆 盒 子 ” 这 个 工 作 虽 然 会 有 困 难 ， 但 总 是 可 以 完 成 。 完 成 了 以 上 工 作 ， 安 全 挑 战 从 开 始 的 没 有 威 胁 感 知 能 力 变 为 真 正 的 安 全 威 胁 被 海 量 安 全 日 志 和 告 警 淹 没 。 这 时 候 安 全 团 队 不 仅 疲 惫 不 堪 ， 而 且 也 无 法 让 管 理 层 感 知 到 巨 大 的 安 全 投 入 带 来 的 收 益 。 此 时 安 全 主 管 一 般 将 目 光 转 向 F r e e B u f 企 业 安 全 企 业 安 全   . 专 注 企 业 安 全 的 精 品 内 容 分 享 平 台 ， 聚 焦 热 点 企 业 安 全 话 题 与 策 略 方 案 ， 助 推 企 业 安 全 建 设 发 展 。
S I E M ( S e c u r i t y   i n f o r m a t i o n   a n d   e v e n t   m a n a g e m e n t ) 。 并 期 望 S I E M 具 备 强 大 的 交 互 式 分 析 能 力 ， 支 撑 安 全 团 队 通 过 关 联 分 析 ， ( 安 全 告 警 ) 冒 泡 模 型 等 方 式 来 消 减 告 警 和 进 行 事 件 调 查 ， 帮 助 团 队 提 升 安 全 分 析 效 率 ， 缩 短 T T R 。 然 而 较 短 的 T T R 并 不 等 同 于 业 务 ( I T 资 产 ) 是 安 全 的 ， 所 以 还 倾 向 于 S I E M 具 备 安 全 可 视 化 能 力 ， 让 管 理 层 从 资 产 的 视 角 看 到 安 全 态 势 ， 呈 现 安 全 价 值 。 同 时 考 虑 到 威 胁 情 报 ， 事 件 调 查 ， U E B A ( U s e r   a n d   E n t i t y   B e h a v i o r   A n a l y t i c s ) 等 场 景 的 需 要 ， 安 全 团 队 这 时 就 希 望 有 个 全 功 能 的 统 一 作 战 分 析 平 台 来 搞 定 一 切 ， 这 时 安 全 态 势 感 知 系 统 ( N G - S I E M 注 4 ) 登 场 了 ， 但 如 前 所 述 ， 其 落 地 不 好 ， 很 容 易 沦 为 “ 玩 具 ” 。 态 势 感 知 系 统 建 设 失 败 原 因 和 建 议 态 势 感 知 系 统 建 设 失 败 原 因 和 建 议 那 么 为 什 么 会 出 现 这 样 的 结 果 ， 笔 者 认 为 一 般 有 如 下 原 因 : 1 .   构 建 基 础 错 误 构 建 基 础 错 误 鉴 于 N G - S I E M 并 不 是 一 个 新 事 物 和 小 项 目 ， 一 个 相 对 简 单 快 捷 的 方 式 是 直 接 购 买 成 熟 的 商 业 产 品 ， 并 在 这 个 基 础 上 定 制 开 发 。 这 也 是 绝 大 多 数 安 全 团 队 的 优 先 选 择 。 然 而 购 买 的 产 品 是 传 统 的 偏 向 于 告 警 聚 合 和 展 示 的 S O C 注 5 还 是 安 全 分 析 的 S I E M ， 效 果 截 然 不 同 。 前 者 一 般 是 乙 方 安 全 公 司 提 供 的 产 品 ， 往 往 是 该 公 司 自 己 的 全 线 产 品 管 理 和 告 警 聚 合 平 台 发 展 而 来 ， 侧 重 于 各 类 安 全 系 统 的 运 维 管 理 和 告 警 聚 合 ， 再 加 上 一 些 对 友 商 告 警 的 解 析 支 持 和 安 全 可 视 化 模 块 ， 如 果 用 户 有 办 公 网 安 全 需 求 ， 甚 至 还 会 加 上 所 谓 的 A P T 检 测 模 块 ( 基 于 流 量 或 终 端 安 全 的 传 统 检 测 设 备 加 强 版 ) 。 而 后 者 ( S I E M ) 通 常 侧 重 安 全 分 析 ， 但 并 不 支 持 对 安 全 设 备 的 策 略 管 理 。 典 型 代 表 可 以 参 考 G a r t n e r 的 S I E M M a g i c Q u a d r a n t 报 告 。 该 报 告 中 第 一 阵 营 中 的 商 业 产 品 都 比 较 成 熟 。 用 户 可 以 在 这 类 产 品 上 持 续 创 建 运 营 告 警 的 冒 泡 模 型 和 自 定 义 报 表 ， 有 足 够 人 力 还 可 以 做 深 入 的 数 据 挖 掘 ， 如 根 据 U s e r - a g e n t 识 别 爬 虫 和 扫 描 工 具 ， 并 联 动 W A F 阻 断 ， 统 计 分 析 D N S 日 志 ， 识 别 D N S T u n n e l 。 根 据 报 文 大 小 ， 识 别 异 常 流 量 。 限 于 篇 幅 这 里 不 一 一 展 开 。 数 据 来 源 : C i s c o   在 B r o C o n   2 0 1 4   上 的 O p e n S O C 主 题 演 讲 商 业 产 品 的 一 个 显 著 缺 点 就 是 资 金 成 本 高 ， 定 制 功 能 交 付 周 期 长 ， 所 以 另 一 个 选 择 是 参 考 O p e n S O C 自 行 开 发 N G - S I E M 系 统 。 需 要 注 意 ， 这 个 选 择 仍 然 要 较 高 的 人 力 成 本 ， 好 处 是 自 由 度 高 ， 团 队 可 以 随 着 产 品 的 完 善 而 不 断 成 长 ， 小 公 司 也 能 用 其 满 足 关 键 需 求 。 2 . 输 入 数 据 质 量 低 劣 输 入 数 据 质 量 低 劣 有 了 N G - S I E M 这 个 “ 基 座 ” ， 很 多 安 全 团 队 往 往 迫 不 及 待 的 不 区 分 场 景 积 极 收 集 各 类 机 器 数 据 ， 试 图 收 集 的 大 而 全 后 再 开 始 进 行 数 据 挖 掘 ， 构 建 分 析 模 型 。 然 而 在 输 入 至 S I E M 时 ， 很 多 数 据 就 存 在 大 量 的 无 效 告 警 注 6 和 误 报 ， 典 型 如 N I P S 和 W A F 的 告 警 以 及 海 量 的 A c c e s s 。 l o g 日 志 ， 这 给 资 源 有 限 的 安 全 分 析 工 作 带 来 极 大 的 挑 战 。 而 当 其 试 图 进 行 数
据 降 噪 ( 标 记 无 效 告 警 和 失 败 攻 击 ) 时 ， 由 于 S I E M 对 安 全 探 针 策 略 支 持 的 不 完 善 和 详 情 展 示 不 足 ( 很 多 安 全 设 备 通 过 s y s l o g 吐 出 来 的 数 据 和 原 生 p o r t a l 上 展 示 的 数 据 详 情 有 较 大 差 异 ) 会 大 概 率 再 一 次 遭 到 挫 折 。 最 终 变 的 g a r b a g e i n ， g a r b a g e   o u t ( 垃 圾 数 据 进 ， 垃 圾 数 据 出 ) 。 因 此 笔 者 建 议 按 照 下 面 的 思 路 来 采 集 和 处 理 安 全 数 据 更 容 易 事 半 功 倍 。 2 . 1   在 安 全 设 备 上 优 化 安 全 策 略 和 检 测 规 则 ( S i g n a t u r e ) ， 消 减 误 报 。 2 . 2   在 S I E M 上 对 接 C M D B ( C o n f i g u r a t i o n   M a n a g e m e n t   D a t a b a s e ) 以 方 便 标 记 无 效 告 警 ; 并 将 同 一 威 胁 类 别 ， 同 一 时 间 窗 口 的 不 同 安 全 探 针 的 告 警 基 于 专 家 经 验 关 联 分 析 ， 标 记 失 败 攻 击 。 2 . 3   在 N G - S I E M 平 台 上 使 用 机 器 学 习 进 一 步 对 安 全 告 警 进 行 降 噪 ， 典 型 如 使 用 H M M 算 法 对 W A F 告 警 进 行 降 噪 。 3 . 资 产 画 像 未 能 反 映 资 产 画 像 未 能 反 映 I T 资 产 的 真 实 安 全 状 况 资 产 的 真 实 安 全 状 况 如 前 所 述 ， 很 多 国 内 的 S O C 产 品 都 具 备 资 产 画 像 安 全 可 视 化 能 力 ， 基 本 原 理 是 用 公 式 来 计 算 资 产 的 安 全 风 险 程 度 并 将 资 产 安 全 评 分 以 图 表 方 式 呈 现 。 如 [ 不 同 威 胁 等 级 漏 洞 ( A 1 ) ] 权 重 + [ 不 同 威 胁 等 级 告 警 ( A 2 ) ] 权 重 + [ 不 安 全 的 配 置 ( A 3 ) ] 权 重 + [ 资 产 敏 感 程 度 ( A 4 ) ] 权 重 。 而 在 日 常 的 安 全 分 析 活 动 中 ， 安 全 团 队 也 会 把 原 始 安 全 告 警 中 的 无 效 告 警 和 误 报 剔 除 ， 再 对 剩 下 的 有 效 告 警 区 分 为 成 功 的 攻 击 和 失 败 的 攻 击 。 只 有 成 功 的 攻 击 才 会 对 资 产 有 实 质 的 影 响 。 遗 憾 的 是 ， 很 多 S O C 产 品 大 多 是 半 成 品 ， 其 安 全 评 分 一 般 以 原 始 告 警 作 为 公 式 中 的 A 2 指 标 的 来 源 ， 而 非 将 有 效 告 警 作 为 数 据 来 源 。 或 者 实 时 性 很 低 ， 2 4 小 时 一 次 。 显 然 ， 基 于 各 类 安 全 数 据 准 实 时 ( 分 钟 级 ) 的 描 绘 资 产 画 像 ， 不 断 减 少 [ 灰 色 ] 资 产 状 态 的 数 量 使 其 黑 白 分 明 注 7 ， 资 产 画 像 才 真 正 有 价 值 。 避 免 了 以 上 问 题 ， N G - S I E M 基 本 不 会 失 败 了 ， 那 么 N G - S I E M 可 以 在 安 全 建 设 中 做 的 更 好 吗 ? 安 全 建 设 安 全 建 设 / 态 势 感 知 系 统 如 何 做 的 更 好 态 势 感 知 系 统 如 何 做 的 更 好 ? 数 据 来 源 :   S A N S   I n s t i t u t e   发 布 的 白 皮 书 《 T h e   S l i d i n g   S c a l e   o f   C y b e r   S e c u r i t y 》 在 T h e   S l i d i n g   S c a l e   o f   C y b e r   S e c u r i t y （ 网 络 安 全 滑 动 标 尺 模 型 ） 中 定 义 了 安 全 建 设 的 5 个 阶 段 ( 成 熟 度 模 型 ) 注 8 ， 一 般 态 势 感 知 系 统 是 在 被 动 防 御 的 阶 段 较 为 成 熟 的 时 候 启 动 的 ， 那 么 如 何 前 进 到 主 动 防 御 乃 至 情 报 驱 动 的 阶 段 ? N G - S I E M 又 应 该 怎 样 做 ， 才 能 发 挥 更 大 的 作 用 呢 ? 不 同 安 全 建 设 阶 段 ， 有 很 多 区 别 ， 但 最 核 心 的 区 别 是 做 为 防 守 方 ， 掌 握 的 主 动 权 大 小 不 同 。 那 么 如 何 在 攻 防 对 抗 中 掌 握 更 大 的 主 动 权 ， 尽 可 能 打 胜 仗 呢 ? “ 知 己 知 彼 ， 百 战 不 殆 ” — — 《 孙 子 · 谋 攻 》 这 句 名 言 在 网 络 安 全 中 同 样 适 用 。
1 . 完 善 完 善 I T 治 理 ， 构 建 应 用 指 纹 库 治 理 ， 构 建 应 用 指 纹 库 N G - S I E M 对 接 C M D B 对 告 警 降 噪 有 一 定 帮 助 ， 但 很 多 组 织 的 I T 成 熟 度 较 低 ， 在 事 件 调 查 中 ， 安 全 团 队 会 发 现 需 要 的 很 多 信 息 和 数 据 ， C M D B 都 无 法 自 动 化 提 供 ， 只 能 让 安 全 团 队 在 业 务 主 机 上 手 工 提 取 ( 一 般 要 进 行 权 限 申 请 ) 或 委 托 运 维 团 队 提 供 。 更 合 适 的 做 法 是 ， D F I R （ D i g i t a l   F o r e n s i c s   &   I n c i d e n t   R e s p o n s e ） 团 队 需 要 的 任 何 数 据 N G - S I E M 均 可 从 对 接 的 运 维 I T 系 统 自 助 提 取 。 但 这 样 仍 然 是 不 够 的 ， 漏 洞 预 警 是 D F I R 团 队 一 个 重 要 场 景 ， 为 尽 快 确 定 N d a y 漏 洞 受 影 响 范 围 和 修 复 效 果 ， 最 佳 实 践 是 构 建 一 个 应 用 指 纹 库 （ 主 机 ， 端 口 ， 应 用 ， 代 码 指 纹 ） 来 提 高 效 率 ， 而 这 个 系 统 一 般 需 要 安 全 团 队 自 行 开 发 并 集 成 到 N G - S I E M 中 。 此 外 ， 考 虑 软 件 供 应 链 安 全 ， 业 务 版 本 发 布 规 范 的 组 织 还 可 以 考 虑 将 第 三 方 开 源 组 件 的 使 用 记 录 下 来 也 一 并 集 成 。 2 .   构 建 威 胁 阻 断 和 安 全 编 排 能 力 ， 支 撑 分 析 识 别 对 手 技 术 水 平 构 建 威 胁 阻 断 和 安 全 编 排 能 力 ， 支 撑 分 析 识 别 对 手 技 术 水 平 安 全 告 警 在 N G - S I E M 中 消 减 为 有 效 告 警 后 ， 无 论 成 功 的 攻 击 还 是 持 续 进 行 的 失 败 攻 击 ， 一 般 我 们 需 要 进 行 T h r e a t H u n t i n g ( 威 胁 追 踪 ) 注 9 ， 判 断 对 手 的 技 术 水 平 ， 分 析 其 攻 击 意 图 和 可 造 成 威 胁 的 机 会 ( 业 务 的 脆 弱 性 ) 。 那 么 如 何 判 断 对 手 的 技 术 水 平 呢 ？ 一 个 常 见 的 做 法 是 ， 对 某 类 攻 击 施 加 干 扰 ， 然 后 根 据 对 手 调 整 攻 击 手 法 的 变 化 频 率 ， 干 扰 措 施 绕 过 水 平 和 攻 击 资 源 投 入 的 强 度 、 时 间 来 判 断 。 这 就 需 要 安 全 设 备 具 备 阻 断 能 力 ， 如 W A F 根 据 不 同 响 应 码 （ 2 0 0 和 4 0 4 ） 分 布 比 例 拦 截 w e b 扫 描 ， 或 拦 截 特 定 U s e r - a g e n t 的 请 求 报 文 ， 甚 至 特 定 p a y l o a d 的 请 求 报 文 。 同 时 ， 有 了 阻 断 能 力 ， 构 建 安 全 编 排 能 力 ， 让 不 同 安 全 探 针 / 设 备 之 间 的 检 测 和 响 应 联 动 将 能 进 一 步 提 升 T T R ， 典 型 场 景 如 W A F 和 扫 描 器 联 动 ， H I P S 和 A V 集 群 ， S a n d b o x 联 动 。 总 而 言 之 ， 威 胁 阻 断 能 力 对 威 胁 追 踪 非 常 关 键 ， 也 许 对 纵 深 检 测 体 系 的 团 队 来 说 ， 这 可 能 要 花 很 大 精 力 调 整 ， 但 是 非 常 值 得 的 。 3 . 输 出 威 胁 情 报 ， 强 化 威 胁 追 踪 输 出 威 胁 情 报 ， 强 化 威 胁 追 踪 拥 有 应 用 指 纹 库 和 安 全 编 排 后 ， 安 全 团 队 在 知 己 方 面 就 建 设 的 比 较 完 善 了 ， 而 为 提 高 对 攻 击 者 的 了 解 ， 一 般 还 会 适 时 引 入 威 胁 情 报 ， 最 常 见 的 威 胁 情 报 是 C 2 情 报 （ C o m m a n d   a n d   C o n t r o l 服 务 器 的 域 名 或 I P ） ， 这 类 D e t e c t i o n I n d i c a t o r s ( 检 测 指 标 ) 往 往 是 第 三 方 安 全 服 务 商 提 供 的 。 但 更 好 的 做 法 是 安 全 团 队 不 仅 使 用 情 报 还 能 输 出 情 报 ， 即 对 每 个 告 警 背 后 的 含 义 进 行 分 析 : 这 次 攻 击 到 了 K i l l C h a i n 的 哪 个 环 节 ? 每 个 环 节 上 ， 攻 击 工 具 有 哪 些 特 征 ? 能 否 被 安 全 工 具 捕 获 到 ? 其 攻 击 源 是 否 是 在 持 续 攻 击 ? 能 否 将 提 取 出 来 的 I n d i c a t o r s ( 威 胁 指 标 ) 按 照 用 途 注 1 0 分 类 并 标 记 相 关 告 警 。 这 样 一 方 面 完 成 了 威 胁 情 报 的 输 出 ， 方 便 绘 制 攻 击 者 画 像 ， 强 化 威 胁 追 踪 的 能 力 ， 另 一 方 面 带 有 标 记 的 数 据 也 方 便 在 威 胁 检 测 中 使 用 用 于 机 器 学 习 技 术 。 4 . 制 定 运 维 操 作 规 范 ， 使 用 制 定 运 维 操 作 规 范 ， 使 用 U E B A 技 术 提 升 威 胁 检 测 能 力 技 术 提 升 威 胁 检 测 能 力
N G - S I E M 经 过 前 面 的 努 力 ， C M D B 在 安 全 场 景 中 提 供 的 数 据 应 该 比 较 全 面 了 ， 但 往 往 仅 到 服 务 器 这 个 粒 度 ， 很 少 会 细 粒 度 到 服 务 器 内 部 的 业 务 进 程 实 例 的 程 度 。 这 就 难 以 自 动 化 识 别 出 是 攻 击 导 致 还 是 正 常 业 务 行 为 导 致 敏 感 文 件 ( 认 证 文 件 ， 系 统 配 置 等 ) 的 变 化 。 合 适 的 做 法 是 ， 在 运 维 流 程 和 制 度 上 对 运 维 活 动 的 执 行 用 户 ， 操 作 路 径 ， 运 维 脚 本 名 称 都 加 以 规 范 ， 同 时 使 用 O S Q u e r y 这 类 运 维 工 具 获 取 活 动 进 程 信 息 ( p i d ， n a m e ， p a t h ， c m d l i n e ， s t a t e ， c w d ， r o o t ， u i d ， e u i d ， p p i d ) 和 其 对 应 的 o p e n f i l e ( 活 动 进 程 打 开 的 文 件 ) ， 活 动 端 口 等 信 息 ， 建 立 对 运 维 角 色 和 业 务 进 程 的 正 常 模 型 ， 来 消 减 无 效 告 警 和 提 高 异 常 发 现 率 ， 这 也 是 U E B A 理 念 的 一 个 很 好 的 实 践 。 5 .   使 用 使 用 D e c e p t i o n （ 欺 骗 防 御 ） 技 术 进 行 攻 击 预 警 （ 欺 骗 防 御 ） 技 术 进 行 攻 击 预 警 传 统 的 蜜 罐 一 般 是 部 署 在 互 联 网 上 搜 集 木 马 样 本 和 监 测 僵 尸 网 络 ， 但 如 果 将 蜜 罐 架 设 在 业 务 环 境 内 部 ， 并 将 蜜 罐 告 警 同 步 给 N G - S I E M ， 就 可 以 关 联 攻 击 源 I P 的 数 据 进 行 攻 击 预 警 。 进 一 步 可 以 在 业 务 数 据 库 中 插 入 业 务 不 使 用 的 脏 数 据 并 做 数 据 库 审 计 ， 来 监 测 内 网 的 攻 击 。
6 .   构 建 红 蓝 对 抗 机 制 ， 回 归 到 人 和 人 的 对 抗 构 建 红 蓝 对 抗 机 制 ， 回 归 到 人 和 人 的 对 抗 做 了 以 上 几 点 ， N G - S I E M ( 态 势 感 知 ) 系 统 已 经 较 为 完 善 了 ， 但 究 竟 “ 行 不 行 ” 还 需 要 建 立 红 蓝 对 抗 机 制 实 际 检 验 。 这 就 要 求 B l u e T e a m （ 防 守 方 ） 定 期 对 各 类 威 胁 攻 击 针 对 性 的 进 行 技 术 验 证 ， 确 认 各 安 全 设 备 均 可 实 际 有 效 检 出 相 应 攻 击 ， 并 持 续 优 化 。 还 要 给 R e d T e a m ( 攻 击 方 ) 充 分 的 授 权 和 支 持 ， 允 许 其 在 公 司 办 公 网 络 外 部 自 由 进 行 渗 透 测 试 ， 以 模 拟 黑 客 拿 到 高 价 值 数 据 或 获 取 控 制 权 为 目 标 。 B l u e T e a m 在 N G - S I E M 上 根 据 实 际 演 练 结 果 ， 同 R e d T e a m 共 同 复 盘 和 改 进 。 总 结 总 结 安 全 建 设 的 后 期 ， N G - S I E M 系 统 的 建 设 是 重 中 之 重 ， 作 为 整 个 安 全 系 统 的 统 一 作 战 平 台 ， 它 的 成 熟 度 甚 至 可 以 衡 量 整 个 安 全 团 队 的 建 设 水 平 ， 行 文 至 此 ， 我 们 做 一 下 总 结 1 . 工 具 : N G - S I E M 不 是 检 测 系 统 ， 降 低 安 全 设 备 / 探 针 本 身 的 误 报 率 和 无 效 告 警 能 大 幅 提 高 N G - S I E M 的 效 率 ， 并 降 低 传 输 及 存 储 成 本 。 2 . 数 据 : N G - S I E M 不 是 一 个 独 立 的 I T 系 统 ， 更 有 可 能 是 多 个 安 全 分 析 系 统 的 集 合 ， 且 严 重 依 赖 运 维 系 统 的 支 撑 。 I T 成 熟 度 的 高 低 和 提 供 数 据 的 全 面 性 对 N G - S I E M 的 效 果 有 重 大 影 响 。 3 . 流 程 : N G - S I E M 特 别 是 其 中 的 U E B A 模 块 ， 不 仅 仅 是 一 个 技 术 问 题 ， 完 善 的 运 维 流 程 和 操 作 规 范 会 让 其 事 半 功 倍 。 4 . 人 : 安 全 的 的 本 质 是 人 和 人 的 攻 防 对 抗 ， 在 建 设 安 全 系 统 的 过 程 中 不 要 忘 记 对 安 全 人 才 的 培 养 和 重 视 。 高 素 质 的 安 全 工 程 师 才 是 安 全 建 设 的 根 本 。 附 注 附 注 注 1 : T T D ( T I M E   T O   D e t e c t i o n ) :   T 2 - T 1 T 1 : 攻 击 事 件 实 际 发 生 的 时 间 点 T 2 : 安 全 系 统 ( 产 品 ) 对 事 件 产 生 报 警 的 时 间 点 注 2 : T T R ( T I M E   T O   R e s p o n s e ) :   T 3 - T 1 T 3 : 运 维 团 队 开 始 响 应 后 可 以 对 损 失 有 效 控 制 的 时 间 点
注 3 : 大 型 互 联 网 公 司 通 常 会 自 研 某 些 安 全 系 统 ， 但 其 自 研 的 核 心 动 力 主 要 是 降 低 成 本 ， 如 H I P S 系 统 ， 每 台 服 务 器 都 要 部 署 ， 对 于 动 辄 1 0 万 + 服 务 器 的 I D C 来 说 ， 这 个 成 本 是 极 高 的 。 只 要 极 少 数 安 全 系 统 是 花 钱 也 买 不 到 的 。 注 4 : 严 格 的 来 说 安 全 态 势 感 知 系 统 不 等 于 N G - S I E M ， 但 国 外 的 N G - S I E M 往 往 会 带 有 态 势 感 知 的 特 性 ， 为 了 行 文 方 便 ， 本 文 用 N G - S I E M 指 代 安 全 态 势 感 知 系 统 。 注 5 : 在 国 外 S O C 一 般 指 S e c u r i t y O p e r a t i o n   C e n t e r ( 安 全 运 营 中 心 ) ， 即 安 全 团 队 本 身 ， 使 用 的 安 全 态 势 感 知 类 产 品 叫 S I E M 。 而 国 内 往 往 将 国 外 的 S I E M 产 品 称 为 S O C 。 注 6 : 无 效 告 警 ， 如 针 对 L i n u x 服 务 器 的 I I S 攻 击 报 文 注 7 : 数 字 资 产 安 全 状 态 用 【 黑 白 灰 】 来 代 表 灰 ： 不 知 道 安 不 安 全 的 资 产 ） 黑 ： 已 沦 陷 白 ： 当 前 安 全 注 8 : T h e   S l i d i n g   S c a l e   o f   C y b e r   S e c u r i t y （ 网 络 安 全 滑 动 标 尺 模 型 ） 中 的 5 个 阶 段 并 不 是 必 须 先 进 行 前 面 的 ， 再 做 后 面 的 ， 但 在 前 面 的 阶 段 没 做 好 的 情 况 下 ， 直 接 进 行 后 面 的 阶 段 ， 投 入 产 出 比 很 低 。 注 9 : T h r e a t H u n t i n g ( 威 胁 追 踪 ) : 安 全 工 程 师 使 用 情 报 并 通 搜 索 和 机 器 学 习 对 海 量 告 警 和 日 志 进 行 深 度 分 析 ， 判 断 每 条 数 据 背 后 攻 击 者 的 技 术 能 力 ， 攻 击 意 图 和 机 会 ， 持 续 的 追 踪 攻 击 者 在 内 部 网 络 中 的 活 动 行 为 。 注 1 0 : 威 胁 指 标 按 用 途 ， 常 见 有 4 种 类 型 ， D e t e c t i o n （ 检 测 ） 指 标 ， A t t r i b u t i o n （ 归 属 ） 指 标 ， P r e d i c t i o n （ 预 测 ） 指 标 ， P r o f i l i n g （ 指 向 ） 指 标 后 记 后 记 安 全 对 很 多 公 司 来 说 是 一 个 “ 奢 侈 品 ” ， 安 全 态 势 感 知 系 统 更 是 这 种 “ 奢 侈 品 ” 中 的 佼 佼 者 。 本 文 主 要 针 对 已 经 完 成 纵 深 防 御 体 系 建 设 ， 且 愿 意 继 续 加 大 资 源 投 入 的 团 队 。 对 于 资 源 不 那 么 充 足 的 团 队 ， 建 议 根 据 实 际 情 况 逐 步 确 定 里 程 碑 ， 达 成 最 终 目 标 。 最 后 也 欢 迎 各 位 同 仁 交 流 指 正 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： i n s i g h t ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理