搜索

[14379] 2019-07-22_央视网黄乐：媒体行业风险管理体系设计与实现

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2019-07-22_央视网黄乐：媒体行业风险管理体系设计与实现 央 视 网 黄 乐 ： 媒 体 行 业 风 险 管 理 体 系 设 计 与 实 现 F r e e B u f   2 0 1 9 - 0 7 - 2 2 以 下 文 章 来 源 于 F r e e B u f 企 业 安 全   ， 作 者 黄 乐 风 险 管 理 是 一 个 比 较 大 的 概 念 ， 对 于 央 视 网 来 说 ， 我 们 并 不 是 在 进 行 安 全 建 设 之 初 就 设 计 了 风 险 管 理 的 目 标 ， 风 险 管 理 是 一 个 比 较 大 的 概 念 ， 对 于 央 视 网 来 说 ， 我 们 并 不 是 在 进 行 安 全 建 设 之 初 就 设 计 了 风 险 管 理 的 目 标 ， 而 是 在 大 量 基 础 工 作 和 频 繁 对 抗 的 过 程 中 ， 逐 步 积 累 而 形 成 的 体 系 的 雏 形 ， 再 将 这 个 雏 形 不 断 的 完 善 ， 才 形 成 而 是 在 大 量 基 础 工 作 和 频 繁 对 抗 的 过 程 中 ， 逐 步 积 累 而 形 成 的 体 系 的 雏 形 ， 再 将 这 个 雏 形 不 断 的 完 善 ， 才 形 成 了 一 个 相 对 完 整 的 风 险 管 理 体 系 。 本 文 将 先 从 风 险 的 三 个 基 本 要 素 （ 资 产 、 脆 弱 性 和 威 胁 ） 分 别 展 开 管 理 思 了 一 个 相 对 完 整 的 风 险 管 理 体 系 。 本 文 将 先 从 风 险 的 三 个 基 本 要 素 （ 资 产 、 脆 弱 性 和 威 胁 ） 分 别 展 开 管 理 思 路 ， 最 后 再 将 这 三 要 素 整 合 到 一 起 。 路 ， 最 后 再 将 这 三 要 素 整 合 到 一 起 。 一 、 资 产 一 、 资 产 资 产 管 理 对 企 业 安 全 管 理 的 重 要 性 不 言 而 喻 ， 对 于 央 视 网 安 全 团 队 来 说 ， 关 注 资 产 的 信 息 主 要 是 I P 、 服 务 、 u r l 、 负 责 人 （ 部 门 ） 这 几 个 要 素 。 至 于 其 他 要 素 不 在 本 文 讨 论 范 围 内 ， 央 视 网 安 全 团 队 也 主 要 致 力 于 对 这 几 个 要 素 的 检 测 和 管 理 。 1 . 1   I P & 服 务 服 务 为 了 安 全 检 查 的 全 面 性 ， 安 全 部 门 的 资 产 发 现 至 少 要 确 认 I P 、 端 口 和 服 务 ， 至 于 业 务 线 和 负 责 人 的 信 息 可 以 交 给 资 产 管 理 相 关 的 部 门 来 完 善 。 具 体 方 法 如 下 ： 技 术 选 型 ： 经 过 多 方 面 考 虑 我 们 还 是 选 择 功 能 非 常 成 熟 的 M a s s c a n 和 n m a p ， 通 过 g o w o k e r 调 度 多 个 M a s s c a n 进 程 完 成 端 口 探 测 ， 再 将 探 测 结 果 通 过 g o w o k e r 发 送 给 多 个 n m a p 进 程 ， 完 成 服 务 的 探 测 。 1 . 2   域 名 域 名 对 于 域 名 盘 点 来 说 ， 采 用 爬 虫 是 非 常 顺 理 成 章 的 思 路 ， 通 过 横 向 比 较 我 们 采 用 “ 幽 灵 蛛 ” （ h t t p s : / / g i t h u b . c o m / h e n r y l e e 2 c n / p h o l c u s ） 作 为 爬 虫 工 具 ， 并 在 此 基 础 上 针 对 央 视 网 改 造 了 动 态 u r l 的 爬 取 方 法 。 目 前 效 率 为 ： 一 台 s e v e r 限 制 一 个 主 域 爬 1 5 层 ， 2 个 小 时 内 完 成 1 4 0 万 个 链 接 的 任 务 。 但 这 些 u r l 不 能 直 接 送 给 扫 描 器 ， 因 为 1 4 0 万 个 U R L 里 有 大 量 框 架 相 同 ， 仅 内 容 不 同 的 u r l 。 为 了 进 一 步 减 少 扫 描 器 的 压 力 ， 我 们 对 这 些 u r l 进 行 了 压 缩 。 大 概 方 式 是 将 u r l 的 目 录 结 构 变 为 树 形 结 构 图 ， 再 通 过 不 同 的 节 点 判 断 页 面 框 架 的 一 致 性 ， 目 前 我 们 用 这 种 方 法 将 1 . 7 亿 个 u r l 压 缩 到 了 1 0 0 万 以 内 ， 而 且 有 进 一 步 优 化 的 空 间 。 D N S 解 析 记 录 ， 通 过 D N S 解 析 记 录 一 方 面 可 以 进 一 步 补 足 域 名 库 ， 另 一 方 面 可 以 评 估 域 名 的 被 访 问 频 率 ， 在 扫 描 任 务 积 压 时 ， 优 先 扫 描 访 问 量 较 大 的 域 名 （ 当 然 要 在 系 统 承 载 能 力 范 围 之 内 ） 。 1 . 3   流 量 解 析 流 量 解 析 主 动 扫 描 的 方 式 探 测 资 产 （ 无 论 是 I P 还 是 域 名 ） ， 都 会 存 在 漏 报 问 题 ， 虽 然 原 因 不 一 样 ， 但 是 结 果 都 是 漏 报 。 我 们 进 一 步 采 用 了 流 量 解 析 的 方 式 对 资 产 做 进 一 步 收 集 。 由 于 央 视 网 有 商 业 流 量 探 针 ， 我 们 仅 需 要 将 流 量 探 针 数 据 接 入 公 司 统 一 的 数 据 平 台 （ E L K ） 中 ， 再 周 期 性 的 对 E L K 中 的 数 据 进 行 字 段 提 取 即 可 。 1 . 4   资 产 下 线 资 产 下 线 前 面 三 个 方 法 重 点 都 放 在 了 新 上 线 资 产 发 现 上 。 但 是 对 于 资 产 下 线 或 者 闲 置 资 产 的 管 理 也 是 非 常 重 要 的 。 从 笔 者 的 经 F r e e B u f 企 业 安 全 企 业 安 全   . 专 注 企 业 安 全 的 精 品 内 容 分 享 平 台 ， 聚 焦 热 点 企 业 安 全 话 题 与 策 略 方 案 ， 助 推 企 业 安 全 建 设 发 展 。
验 上 看 ， 大 部 分 入 侵 的 第 一 步 都 是 从 一 些 无 人 关 注 的 老 旧 资 产 开 始 的 。 判 断 资 产 下 线 方 式 如 下 ： ① 主 动 扫 描 的 方 式 可 以 定 义 几 个 扫 描 周 期 内 没 有 发 现 该 资 产 就 定 义 为 下 线 （ 我 们 定 义 的 数 值 是 3 ） ， 但 访 问 不 到 的 情 况 在 安 全 团 队 看 来 是 问 题 不 大 的 。 ② 流 量 解 析 方 式 可 以 定 义 一 个 时 间 周 期 某 个 资 产 （ I P 或 者 u r l ） 没 有 被 访 问 就 定 义 为 下 线 （ 我 们 定 义 的 数 值 是 7 天 ） 。 二 、 脆 弱 性 二 、 脆 弱 性 脆 弱 性 管 理 方 面 ， 我 们 主 要 从 漏 洞 、 基 线 和 合 规 三 个 维 度 来 进 行 管 理 ， 由 于 篇 幅 所 限 ， 我 从 漏 洞 管 理 角 度 出 发 给 介 绍 一 下 脆 弱 性 管 理 的 整 体 思 路 。 2 . 1   扫 描 工 具 扫 描 工 具 2 . 1 . 1   商 业 扫 描 器 商 业 扫 描 器 商 用 扫 描 器 抛 开 价 格 因 素 ， 各 个 方 面 都 要 好 于 免 费 和 开 源 的 产 品 （ 没 有 花 钱 的 不 是 ） 。 早 些 年 商 用 扫 描 器 的 产 品 形 态 都 是 “ 硬 件 盒 子 ” 。 其 特 点 是 ： ①   单 个 硬 件 扫 描 效 率 有 限 ； ②   基 于 特 征 的 扫 描 会 有 误 报 的 情 况 ； ③   没 有 资 产 管 理 模 块 ， 整 理 报 告 比 较 费 时 ； ④   输 出 报 表 不 够 友 好 。 所 以 这 类 扫 描 器 适 用 于 资 产 规 模 不 大 （ 少 于 5 0 0 0 台 s e v e r ） 的 环 境 中 。 近 些 年 很 多 厂 商 逐 渐 认 识 到 了 传 统 扫 描 器 的 局 限 性 ， 推 出 了 基 于 云 服 务 的 漏 洞 扫 描 产 品 。 目 前 笔 者 了 解 到 的 云 服 务 产 品 主 要 特 点 是 ： 减 少 了 低 版 本 漏 洞 的 数 据 ， 同 时 用 P O C 的 方 式 降 低 误 报 率 、 用 云 的 方 式 实 现 平 行 扩 展 的 能 力 、 将 人 工 服 务 整 合 到 产 品 中 、 加 入 了 一 些 漏 洞 管 理 功 能 。 但 问 题 是 ： 云 服 务 的 方 式 无 法 实 现 对 内 网 的 扫 描 、 对 漏 洞 信 息 的 保 护 是 个 双 方 需 要 互 信 的 过 程 。 2 . 1 . 2   自 主 研 发 自 主 研 发 前 文 可 以 看 到 ， 无 论 是 免 费 、 开 源 或 者 是 商 业 产 品 都 有 不 同 的 问 题 。 我 们 需 要 的 是 全 面 的 、 低 误 报 的 、 高 效 的 、 可 扩 展 的 、 与 资 产 关 联 的 、 可 定 制 的 、 带 有 管 理 功 能 的 漏 洞 扫 描 系 统 （ 要 求 有 点 多 ） 。 这 么 “ 变 态 ” 的 要 求 ， 估 计 没 有 哪 个 产 品 能 全 部 满 足 。 那 么 就 只 剩 下 自 主 研 发 一 条 路 可 以 走 了 。 自 主 研 发 的 内 容 比 较 多 ， 笔 者 将 用 单 独 的 一 节 来 介 绍 。 这 里 先 简 单 介 绍 一 下 设 计 原 则 ： ①   功 能 一 定 不 是 越 全 越 好 ， 从 紧 急 功 能 开 始 ， 向 非 重 要 的 延 伸 ； ②   用 开 源 扫 描 器 改 造 最 方 便 ， 可 以 从 开 源 入 手 ， 逐 步 改 造 ， 直 到 最 终 完 全 重 构 ； ③   尽 量 减 少 独 立 创 造 的 环 节 ， 如 前 文 所 述 ， 企 业 中 的 安 全 部 门 不 是 用 来 炫 技 的 ， 用 最 有 效 的 办 法 解 决 问 题 是 关 键 。 所 以 ， 优 先 考 虑 整 合 已 有 功 能 ， 小 步 快 走 ， 迭 代 （ 而 非 设 计 ） 出 一 款 适 合 自 己 的 产 品 。 2 . 2   漏 洞 管 理 漏 洞 管 理 漏 扫 报 告 整 理 工 作 是 非 常 耗 时 ， 且 技 术 含 量 不 高 的 工 作 。 很 多 漏 扫 和 渗 透 工 程 师 宝 贵 且 昂 贵 的 工 作 时 间 都 耗 散 在 这 方 面 的 工 作 上 。 笔 者 团 队 开 发 漏 洞 管 理 主 要 致 力 于 解 决 日 常 工 作 的 一 些 痛 点 。 系 统 主 要 分 为 主 要 从 资 产 资 产 、 数 据 整 合 数 据 整 合 、 流 流 程 程 、 分 析 分 析 和 展 现 展 现 五 个 维 度 。 资 产 库 带 入 资 产 库 带 入 ： 通 过 资 产 库 的 带 入 ， 系 统 可 以 通 过 I P 或 U R L 信 息 自 动 将 漏 洞 信 息 整 合 ， 并 分 配 给 相 关 的 负 责 人 ， 这 大
大 减 少 了 查 询 和 沟 通 的 时 间 。 数 据 整 合 数 据 整 合 ： 主 要 是 将 数 据 散 乱 的 数 据 整 理 成 可 读 性 更 好 的 形 式 ， 比 如 针 对 某 个 软 件 的 低 版 本 漏 洞 有 几 十 个 ， 在 数 据 整 合 过 程 中 可 以 压 缩 成 一 条 ， 细 节 隐 藏 在 详 情 中 。 再 通 过 自 定 义 的 算 法 重 新 将 漏 洞 分 出 优 先 级 ， 从 而 指 导 运 维 和 开 发 有 次 序 的 修 复 漏 洞 ； 流 程 流 程 ： 流 程 是 一 个 类 似 于 工 单 系 统 的 模 块 ， 一 方 面 可 以 规 范 漏 洞 发 布 点 ， 避 免 信 息 泄 露 ； 另 一 方 面 流 程 的 相 关 数 据 保 留 下 来 后 可 以 为 后 面 的 数 据 分 析 和 综 合 展 示 提 供 数 据 ； 分 析 分 析 ： 有 了 漏 洞 数 据 和 流 程 数 据 ， 我 们 可 以 根 据 自 己 的 需 求 做 各 种 各 样 的 分 析 ， 从 通 用 的 漏 洞 类 型 分 布 、 漏 洞 数 量 曲 线 ， 到 深 入 一 些 的 “ 部 门 未 修 复 漏 洞 数 量 排 名 ” 、 “ 系 统 脆 弱 性 评 分 ” 等 等 ， 这 给 安 全 部 门 一 个 很 好 的 抓 手 ， 督 促 业 务 部 门 整 改 漏 洞 。 展 示 展 示 ： 将 上 述 的 分 析 通 过 大 屏 展 示 的 方 式 放 到 比 较 显 眼 的 地 方 ， 是 非 常 有 必 要 的 。 一 方 面 体 现 安 全 团 队 的 工 作 量 ， 另 一 方 面 可 以 提 高 相 关 部 门 和 领 导 对 漏 洞 管 理 工 作 的 重 视 程 度 。 关 于 资 产 和 漏 洞 管 理 的 整 体 架 构 ， 由 于 篇 幅 问 题 仅 做 了 思 路 上 的 描 述 ， 更 多 细 节 读 者 可 参 考 我 以 前 写 的 一 篇 文 章 《 漏 洞 治 理 平 台 的 设 计 与 实 现 》 。 2 . 3   从 漏 洞 管 理 到 脆 弱 性 管 理 从 漏 洞 管 理 到 脆 弱 性 管 理 漏 洞 管 理 是 脆 弱 性 的 一 部 分 （ 当 然 是 很 重 要 的 一 部 分 ） ， 我 们 在 漏 洞 管 理 系 统 的 技 术 上 正 在 进 一 步 增 加 基 线 和 合 规 方 面 的 信 息 ， 将 漏 洞 管 理 系 统 升 级 为 脆 弱 性 管 理 系 统 。 这 两 方 面 工 作 由 于 与 漏 洞 管 理 的 思 路 大 同 小 异 ， 所 以 这 里 仅 提 出 一 些 必 要 的 关 注 点 ： 基 线 检 测 基 线 检 测 ： 由 于 标 准 的 基 线 检 测 描 述 较 为 模 糊 ， 需 要 根 据 企 业 实 际 情 况 做 大 量 的 定 制 化 检 查 脚 本 ， 所 以 建 议 通 用 检 查 策 略 仅 做 重 要 的 检 查 项 ， 这 样 方 便 基 线 检 测 脚 本 落 地 。 另 外 ， 对 于 最 新 技 术 和 自 主 研 发 技 术 的 基 线 ， 通 用 策 略 中 无 法 提 供 参 考 ， 可 以 在 等 级 保 护 及 行 业 相 关 标 准 中 寻 找 匹 配 项 。 基 线 检 测 方 面 的 工 作 ， 笔 者 曾 经 合 小 伙 伴 们 在 “ 清 流 派 企 业 安 全 沙 龙 ” 第 六 期 详 细 探 讨 过 ， 并 形 成 了 纪 要 。 （ 具 体 内 容 点 击 这 里 ） 合 规 性 管 理 合 规 性 管 理 ： 这 个 模 块 主 要 针 对 无 法 通 过 机 器 检 测 方 式 得 到 答 案 的 检 测 项 ， 比 如 ： 某 系 统 是 否 多 机 房 部 署 ？ 系 统 密 码 复 杂 度 及 修 改 周 期 要 求 等 。 这 些 需 要 通 过 问 卷 的 形 式 下 发 给 业 务 部 门 ， 建 议 问 卷 系 统 设 计 过 程 中 可 以 给 出 默 认 选 项 ， 方 便 相 关 负 责 人 填 写 问 卷 。 从 笔 者 经 验 来 看 ， 系 统 的 复 杂 程 度 和 系 统 推 广 的 难 度 成 正 比 的 关 系 ， 所 以 强 烈 建 议 在 系 统 设 计 的 时 候 要 充 分 考 虑 易 用 性 。 三 、 威 胁 管 理 三 、 威 胁 管 理 央 视 网 威 胁 管 理 系 统 的 总 体 思 路 与 业 内 流 行 的 “ 态 势 感 知 ” 或 “ 威 胁 感 知 ” 的 概 念 比 较 类 似 。 我 们 以 数 据 为 基 础 ， 通 过 大 量 分 析 策 略 输 出 报 警 和 展 现 的 相 关 数 据 ， 最 终 由 一 些 联 动 系 统 负 责 完 成 封 堵 ， 由 展 示 系 统 完 成 综 合 展 现 。 策 略 上 ， 我 们 偏 重 于 “ 事 中 检 测 ” 。 因 为 事 前 成 本 太 高 ， 央 视 网 这 样 的 中 小 型 团 队 无 法 支 撑 相 关 的 算 法 开 发 工 作 ； 而 事 后 为 时 已 晚 ， 善 后 处 理 的 再 好 也 难 以 挽 回 安 全 事 件 造 成 的 损 失 ， 所 以 我 们 尽 量 避 免 把 数 据 分 析 的 工 作 放 在 事 后 。 威 胁 管 理 体 系 总 体 结 构 图 如 下 ：
我 们 简 单 展 开 一 下 每 个 层 面 的 建 设 思 路 。 3 . 1   数 据 数 据 数 据 采 集 方 面 ， 现 在 有 很 多 开 源 工 具 可 以 实 现 企 业 的 绝 大 部 分 需 求 ， 这 里 不 再 赘 述 。 在 数 据 选 择 方 面 ， 笔 者 经 常 能 看 到 的 是 两 种 方 式 ① 通 过 数 据 找 需 求 ， ② 通 过 需 求 找 数 据 。 笔 者 建 议 采 用 方 法 ② 能 有 效 减 少 系 统 设 计 过 程 中 的 盲 点 。 所 以 ， 虽 然 我 们 把 数 据 放 在 第 一 个 讲 ， 但 我 们 实 际 工 作 经 常 是 先 明 确 分 析 场 景 ， 再 去 寻 找 相 关 数 据 ， 如 果 数 据 无 法 获 得 ， 在 回 头 调 整 分 析 场 景 。 3 . 2   策 略 集 策 略 集 这 是 整 个 系 统 最 重 要 的 部 分 。 这 里 说 的 策 略 是 对 数 据 的 分 析 逻 辑 ， 而 策 略 集 就 是 大 量 逻 辑 的 组 合 。 对 于 策 略 集 的 建 设 笔 者 团 队 采 用 了 与 安 全 厂 商 联 合 开 发 的 方 式 ， 原 因 有 二 ： ①   商 业 产 品 没 办 法 解 决 所 有 问 题 ， 采 用 商 业 产 品 做 安 全 检 测 是 很 多 企 业 的 选 择 ， 任 何 产 品 都 有 它 的 劣 势 。 但 这 还 不 是 最 重 要 的 ， 笔 者 认 为 企 业 的 安 全 需 求 是 千 差 万 别 的 ， 而 且 攻 防 双 方 的 手 段 更 是 不 断 变 化 。 商 业 产 品 出 于 通 用 性 的 考 虑 ， 分 析 策 略 不 太 可 能 非 常 全 面 ， 另 一 方 面 对 于 新 的 攻 击 手 段 ， 很 多 商 业 产 品 也 不 支 持 深 度 定 制 ， 或 者 深 度 定 制 的 成 本 非 常 高 。 ②   我 们 的 团 队 规 模 和 能 力 都 无 法 支 持 全 面 的 自 主 研 发 。 相 信 国 内 大 部 分 企 业 都 没 有 能 力 全 面 研 发 一 款 产 品 （ 那 些 行 业 内 的 头 部 企 业 不 在 讨 论 范 围 内 ， 他 们 不 仅 能 自 研 还 能 输 出 ） ， 从 另 一 个 角 度 来 说 ， 企 业 需 要 的 也 不 是 一 个 完 全 自 主 可 控 的 安 全 产 品 ， 而 是 解 决 实 际 问 题 。 我 们 对 整 体 策 略 集 的 开 发 采 用 了 “ 快 速 及 格 、 逐 步 提 高 ” 的 建 设 思 路 。 所 谓 “ 快 速 及 格 ” ， 就 是 通 过 购 买 商 业 产 品 或 者 与 商 业 公 司 联 合 开 发 的 方 式 ， 快 速 的 建 设 一 套 标 准 的 威 胁 检 测 系 统 。 如 果 采 用 商 业 产 品 需 要 对 产 品 的 开 放 性 和 集 成 能 力 有 全 面 的 了 解 ， 否 则 后 期 基 于 这 套 系 统 做 集 成 就 会 变 的 非 常 困 难 。 有 了 这 套 系 统 仅 仅 达 到 了 一 个 及 格 线 ， 要 达 到 最 终 目 的 就 需 要 “ 逐 步 提 高 ” 来 实 现 。 顾 名 思 义 ， 逐 步 提 高 是 一 个 长 期 的 过 程 ， 从 笔 者 的 经 验 来 看 ， 这 个 过 程 是 企 业 安 全 从 及 格 到 优 秀 的 重 要 过 程 。 我 们 通 过 两 种 方 式 实 现 “ 逐 步 提 高 ” ： 不 浪 费 任 何 一 次 应 急 不 浪 费 任 何 一 次 应 急 ： 笔 者 曾 经 在 以 前 的 文 章 中 提 出 过 一 个 “ 体 系 化 应 急 ” 的 思 路 （ 具 体 内 容 点 击 这 里 ） ， 总 体 思 路 就 是 通 过 应 急 事 件 发 现 问 题 ， 经 过 相 应 的 安 全 建 设 后 保 证 安 全 事 件 0 复 发 。 这 个 思 路 我 们 最 早 的 应 用 就 是 在 威 胁 感 知 策 略
集 完 善 的 工 作 中 。 在 基 础 检 测 策 略 r e a d y 的 情 况 下 ， 入 侵 事 件 悄 无 声 息 的 发 生 意 味 着 什 么 ？ 当 然 是 系 统 检 测 能 力 存 在 缺 陷 ， 明 确 了 这 个 缺 陷 就 意 味 着 我 们 的 系 统 检 能 力 有 提 升 的 空 间 ， 而 通 过 完 善 基 础 数 据 和 策 略 集 的 分 析 手 段 就 可 以 避 免 同 样 事 件 再 次 发 生 。 安 全 服 务 落 地 安 全 服 务 落 地 ： 很 多 企 业 都 会 购 买 不 同 类 型 的 安 全 服 务 。 笔 者 团 队 早 年 间 采 购 安 全 数 据 分 析 服 务 的 时 候 ， 采 用 的 是 人 直 接 分 析 数 据 的 方 式 ， 我 们 每 天 安 全 数 据 大 概 在 4 5 0 万 条 左 右 ， 现 在 看 可 以 确 定 人 肉 分 析 的 方 式 是 肯 定 无 法 完 成 工 作 的 。 从 “ 策 略 集 ” 建 设 思 路 确 定 开 始 ， 安 全 分 析 人 员 的 工 作 有 了 一 个 转 变 — — 由 分 析 数 据 到 制 定 分 析 策 略 ， 这 些 策 略 由 一 个 小 型 开 发 团 队 变 成 工 具 ， 后 面 的 数 据 分 析 工 作 如 下 图 ， 这 是 个 重 要 的 改 变 。 分 析 策 略 开 发 流 程 分 析 策 略 运 行 及 优 化 流 程 在 上 述 两 个 流 程 中 ， 只 有 标 红 的 两 个 环 节 — — “ 制 定 分 析 策 略 ” 以 及 “ 关 键 结 果 校 验 ” 需 要 安 全 服 务 团 队 介 入 ， 其 他 环 节 完 全 由 企 业 安 全 团 队 把 控 。 安 全 服 务 的 可 控 性 更 强 。 另 外 ， 就 算 安 全 服 务 因 为 任 何 原 因 重 点 ， 安 全 分 析 工 作 也 不 至 于 停 滞 ， 最 多 是 不 能 更 新 而 已 。 最 后 说 明 一 下 ， 由 于 我 们 选 择 的 是 联 合 开 发 的 方 式 ， 所 以 通 过 通 过 安 全 服 务 的 策 略 集 开 发 是 在 基 础 分 析 能 力 r e a d y 的 基 础 上 进 行 的 。 3 . 3   展 示 展 示 展 示 这 里 不 准 备 多 说 方 法 ， 有 了 丰 富 的 分 析 策 略 ， 相 信 展 示 大 屏 的 设 计 就 不 是 什 么 问 题 ， 但 是 根 据 笔 者 经 验 ， U I 的 设 计 根 据 使 用 人 群 的 不 同 ， 一 般 要 分 2 - 3 个 层 面 。 针 对 不 同 人 群 的 设 计 思 路 会 有 些 不 同 ， 我 们 简 单 分 析 一 下 。 高 层 高 层 ： 能 看 懂 ， 别 炫 技 。 很 多 高 层 领 导 都 不 是 安 全 专 业 出 身 ， 甚 至 不 是 技 术 出 身 。 所 以 ， 给 高 层 看 的 展 示 内 容 一 定 要 让 人 很 容 易 看 得 懂 。 千 万 不 能 从 技 术 角 度 炫 技 ， 这 个 层 面 需 要 展 现 哪 些 高 层 真 正 关 心 的 内 容 。 中 层 中 层 ： 效 率 高 ， 别 造 假 。 对 于 给 平 行 部 门 间 展 示 或 通 报 的 界 面 ， 主 要 是 让 相 关 人 员 快 速 、 方 便 的 了 解 必 要 的 内 容 。 同 时 ， 通 报 的 数 据 一 定 要 客 观 ， 造 假 和 主 管 评 判 是 大 忌 ， 不 利 于 部 门 间 的 沟 通 。 基 层 基 层 ： 可 定 制 ， 别 复 杂 。 给 基 层 员 工 的 界 面 ， 考 虑 到 需 求 多 种 多 样 ， 而 且 基 层 员 工 普 遍 动 手 能 力 较 强 。 美 观 程 度 并 不 重 要 ， 最 好 能 方 便 的 定 制 界 面 ， 让 使 用 者 很 容 易 得 到 自 己 想 要 的 内 容 。 3 . 4   联 动 联 动 联 动 原 则 上 不 是 威 胁 感 知 系 统 标 准 的 能 力 模 块 ， 但 没 有 “ 联 动 ” ， “ 感 知 ” 的 意 义 就 不 存 在 了 。 就 像 去 医 院 检 查 ， 发 现 医 院 只 能 发 现 病 症 ， 而 不 能 治 病 ， 这 是 很 荒 唐 的 事 。 所 以 ， 在 感 知 的 基 础 上 一 定 要 有 联 动 。 而 且 ， 联 动 最 终 一 定 是 自 动
化 的 （ 对 于 某 些 策 略 ） ， 策 略 自 动 化 有 至 少 有 三 个 好 处 ： 缩 减 封 堵 时 间 缩 减 封 堵 时 间 ： 在 自 动 化 封 堵 之 前 ， 笔 者 团 队 日 常 封 堵 恶 意 I P 的 间 隔 是 2 4 小 时 ， 这 个 封 堵 只 能 说 聊 胜 于 无 ， 2 4 小 时 的 时 间 足 够 入 侵 者 做 任 何 事 了 。 自 动 封 堵 上 线 之 后 ， 极 端 情 况 可 以 将 封 堵 时 间 缩 减 到 5 分 钟 （ 理 论 上 时 间 间 隔 可 以 无 限 缩 小 ， 但 数 据 量 太 小 不 利 于 分 析 的 准 确 性 ） 。 这 可 以 极 大 的 压 缩 入 侵 者 的 入 侵 事 件 。 避 免 误 操 作 避 免 误 操 作 ： 就 算 每 天 人 肉 封 I P 是 可 行 的 ， 但 是 对 防 火 墙 和 A C L 的 频 繁 操 作 会 极 大 的 增 加 误 操 作 的 可 能 性 ， 影 响 整 个 系 统 的 稳 定 性 。 自 动 封 堵 可 以 避 免 这 个 问 题 。 7 * 2 4 小 时 工 作 小 时 工 作 ： 我 们 永 远 不 知 道 入 侵 者 什 么 时 候 会 发 起 攻 击 ， 一 个 早 9 晚 6 的 团 队 根 本 无 法 应 对 这 种 情 况 ， 就 算 9 9 6 也 不 行 。 所 以 ， 我 们 需 要 一 个 永 不 休 息 的 “ 机 器 人 ” 帮 我 们 做 一 些 基 础 的 工 作 。 当 然 ， 不 是 所 有 的 问 题 都 能 够 自 动 化 处 置 。 所 以 ， 定 义 好 规 则 ， 在 紧 急 时 刻 通 过 各 种 方 式 通 知 应 急 团 队 处 置 安 全 事 件 也 是 很 重 要 的 。 四 、 风 险 管 理 四 、 风 险 管 理 笔 者 认 为 ， 风 险 管 理 绝 不 仅 仅 将 资 产 、 脆 弱 性 和 威 胁 单 独 管 理 这 么 简 单 。 我 们 需 要 将 这 三 个 维 度 的 数 据 充 分 关 联 ， 并 形 成 最 终 的 分 析 结 果 。 这 类 关 联 场 景 分 析 理 论 上 是 无 穷 无 尽 的 ， 我 们 需 要 根 据 实 际 情 况 设 计 场 景 并 开 发 相 关 的 分 析 策 略 。 这 是 笔 者 团 队 正 在 着 力 解 决 的 重 要 问 题 之 一 ， 我 列 举 几 个 简 单 的 场 景 ， 希 望 能 抛 砖 引 玉 ， 给 读 者 一 些 启 发 。 威 胁 评 分 威 胁 评 分 ： 我 们 在 设 计 威 胁 感 知 系 统 的 初 期 （ 2 0 1 5 年 ） ， 定 义 了 一 个 威 胁 评 分 的 机 制 。 为 了 使 这 个 评 分 更 加 准 确 ， 我 们 将 外 部 攻 击 数 据 （ I D S 数 据 或 其 他 类 似 数 据 ） 与 内 部 资 产 和 脆 弱 性 数 据 相 关 联 。 如 果 某 攻 击 I P 的 攻 击 类 型 与 资 产 信 息 和 脆 弱 性 信 息 高 度 匹 配 ， 系 统 将 大 幅 提 高 其 威 胁 评 分 。 这 个 方 法 很 适 合 处 理 I D S 这 类 “ 单 向 ” 数 据 ， 而 目 前 有 些 产 品 可 以 更 精 确 的 定 位 失 陷 主 机 。 这 种 方 法 处 理 的 优 势 是 可 以 在 主 机 真 正 失 陷 前 分 析 出 更 具 威 胁 的 行 为 ， 将 处 置 时 间 提 前 。 另 类 失 陷 主 机 判 断 另 类 失 陷 主 机 判 断 ： 这 是 个 更 简 单 的 逻 辑 ， 仅 需 要 在 “ 攻 击 者 ” I P 表 中 找 到 自 己 的 I P 地 址 ， 这 个 I P 有 很 大 概 率 已 经 失 陷 。 这 仅 仅 是 将 企 业 I P 地 址 段 做 了 一 个 匹 配 而 已 。 在 企 业 没 有 专 业 失 陷 主 机 检 测 能 力 的 情 况 下 ， 这 种 方 法 可 以 有 效 的 弥 补 产 品 能 力 的 不 足 。 0 d a y 漏 洞 处 置 漏 洞 处 置 ： 0 d a y 漏 洞 爆 发 后 ， 通 过 资 产 信 息 匹 配 就 可 以 快 速 判 断 网 内 的 影 响 范 围 ， 有 助 于 快 速 制 定 应 急 处 置 方 案 。 另 外 ， 如 果 漏 洞 还 没 有 有 效 的 处 置 方 法 ， 而 且 业 务 无 法 下 线 。 可 以 通 过 威 胁 管 理 系 统 ， 重 点 分 析 外 部 I P 的 漏 洞 影 响 资 产 的 访 问 情 况 ， 制 定 应 急 封 堵 措 施 ， 快 速 封 堵 恶 意 访 问 I P 。 上 述 三 个 分 析 方 法 都 很 简 单 ， 主 要 用 途 也 仅 仅 是 抛 砖 引 玉 。 但 笔 者 认 为 这 些 方 法 “ 高 级 ” 的 地 方 在 于 没 有 局 限 于 某 一 个 维 度 的 数 据 和 分 析 能 力 ， 而 是 用 很 简 单 、 低 成 本 的 方 式 一 定 程 度 的 解 决 企 业 面 临 的 安 全 风 险 。 本 文 是 笔 者 团 队 对 于 风 险 的 管 理 在 技 术 上 的 一 些 手 段 和 方 法 ， 文 章 中 列 举 的 手 段 不 一 定 通 用   ， 希 望 能 给 读 者 带 来 一 些 启 发 。 * F r e e B u f 官 方 报 道 ， 未 经 许 可 禁 止 转 载 官 方 报 道 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理