演練服務(wù)
一、事前準(zhǔn)備——查漏補(bǔ)缺，做好戰(zhàn)前準(zhǔn)備在攻防演練開始之前，藍(lán)隊(duì)首先應(yīng)當(dāng)充分地了解自身安全防護(hù)狀況與存在的不足，找出自身的脆弱點(diǎn)并及時(shí)進(jìn)行加固，為后續(xù)工作提供能力支撐。這就是準(zhǔn)備階段的主要工作。
在攻防演練中，前期的準(zhǔn)備工作包括安全團(tuán)隊(duì)組建、演練流程制定，以及未知資產(chǎn)排查、安全設(shè)備0day排查、系統(tǒng)漏洞排查、系統(tǒng)弱口令排查、系統(tǒng)配置缺陷排查、內(nèi)網(wǎng)集權(quán)系統(tǒng)排查、協(xié)助安全加固等技術(shù)性工作。
二、事中實(shí)戰(zhàn)——監(jiān)控處置，對抗安全攻擊紅藍(lán)兩隊(duì)在實(shí)戰(zhàn)階段展開正面對抗。藍(lán)隊(duì)需要集中人力、物力，力求達(dá)到系統(tǒng)不破，數(shù)據(jù)不失。在實(shí)戰(zhàn)階段，從技術(shù)角度看，應(yīng)重點(diǎn)做好以下三點(diǎn)：
監(jiān)控全面、持續(xù)。在資產(chǎn)細(xì)粒度清點(diǎn)的基礎(chǔ)上，從多個(gè)路徑持續(xù)、全面、透徹地發(fā)現(xiàn)潛在風(fēng)險(xiǎn)及安全薄弱點(diǎn)，包括弱密碼、安全補(bǔ)丁、應(yīng)用風(fēng)險(xiǎn)等，對網(wǎng)絡(luò)、主機(jī)側(cè)的動(dòng)態(tài)進(jìn)行持續(xù)監(jiān)測，以發(fā)現(xiàn)是否有入侵行為。
研判快速、準(zhǔn)確。在攻防演練中，分析研判上承攻擊行為的確認(rèn)、分析及溯源，下接安全人員對攻擊行為的響應(yīng)處置，是整個(gè)防護(hù)流程技術(shù)含量最高的一步，也是對速度、準(zhǔn)確度要求最高的環(huán)節(jié)之一。
響應(yīng)及時(shí)、有效。確認(rèn)安全事件后，最重要的是在最短時(shí)間內(nèi)采取技術(shù)手段遏制攻擊的影響范圍，并消除攻擊發(fā)生的所有要素，確保攻擊者無法進(jìn)一步攻擊。
三、事后收尾——總結(jié)復(fù)盤，提升安全能力演練的結(jié)束也是防護(hù)工作改進(jìn)的開始。在實(shí)戰(zhàn)工作完成后，應(yīng)對各個(gè)階段的工作進(jìn)行充分、全面的復(fù)盤分析，總結(jié)經(jīng)驗(yàn)、教訓(xùn)。并針對復(fù)盤中暴露出的不足之處，立即著手整改，修復(fù)或加固安全漏洞及隱患，完善安全防護(hù)措施，優(yōu)化安全策略，提高安全人員技術(shù)能力，最大程度提升整體網(wǎng)絡(luò)安全防護(hù)水平。
藍(lán)隊(duì)如何預(yù)防和處理攻擊？
對于藍(lán)隊(duì)來說，想要達(dá)到高水平的防護(hù)效果，需要從“知己”和“知彼”兩個(gè)方面同時(shí)著手。既要了解自身的安全脆弱點(diǎn)，也要了解紅隊(duì)的思路與打法，這樣才能結(jié)合自身實(shí)際網(wǎng)絡(luò)環(huán)境、運(yùn)營管理情況，制定相應(yīng)的防御措施和響應(yīng)機(jī)制，以在防守過程中爭取到更大的主動(dòng)權(quán)。
第1步：紅隊(duì)演練——發(fā)現(xiàn)自身脆弱性紅隊(duì)演練是測試企業(yè)對網(wǎng)絡(luò)攻擊檢測和響應(yīng)能力的最終方法。它專注于攻擊模擬，通過采用與真實(shí)攻擊相同的各種策略、技術(shù)和程序 (TTP) 來評估企業(yè)在整個(gè)攻擊生命周期中每個(gè)階段的防護(hù)能力。
在攻防演練開始之前，企業(yè)可以通過紅隊(duì)演練實(shí)行攻擊模擬來揭示自身安全防護(hù)中的漏洞，發(fā)現(xiàn)網(wǎng)絡(luò)安全防御中的暴露面及盲點(diǎn)，深入了解自身安全體系的狀態(tài)以及安全技術(shù)、流程和人員的有效性，并確定需要改進(jìn)的領(lǐng)域。
第2步：風(fēng)險(xiǎn)收斂加固——修復(fù)原有脆弱點(diǎn)風(fēng)險(xiǎn)收斂加固是攻防演練前序階段中藍(lán)隊(duì)最重要的工作環(huán)節(jié)之一。企業(yè)通過風(fēng)險(xiǎn)收斂加固，聚焦于安全的多維度精細(xì)化提升，從而收斂自身攻擊面，滿足自身對于前期內(nèi)外網(wǎng)資產(chǎn)風(fēng)險(xiǎn)測評、安全意識提升、風(fēng)險(xiǎn)事件精準(zhǔn)捕獲、防御范圍最大化等多種類安全需求，全方位鞏固安全防線，增強(qiáng)防御效果。
第3步：安全監(jiān)控——盡早發(fā)現(xiàn)攻擊痕跡網(wǎng)絡(luò)安全監(jiān)控是持續(xù)觀察用戶網(wǎng)絡(luò)中所發(fā)生事情的過程，目的在于監(jiān)測潛在的網(wǎng)絡(luò)威脅和及早發(fā)現(xiàn)系統(tǒng)被入侵的風(fēng)險(xiǎn)。在攻防演練中，企業(yè)為了盡早發(fā)現(xiàn)入侵痕跡，有必要對各個(gè)入侵路徑進(jìn)行“多錨點(diǎn)”的安全監(jiān)控，在檢測到網(wǎng)絡(luò)攻擊時(shí)發(fā)出報(bào)警，并在造成嚴(yán)重?fù)p害之前幫助用戶做出響應(yīng)，及時(shí)檢測和管理潛在威脅，保護(hù)用戶的業(yè)務(wù)應(yīng)用程序、數(shù)據(jù)以及整個(gè)網(wǎng)絡(luò)。
第4步：攻擊研判——全面了解攻擊詳情網(wǎng)絡(luò)安全中的攻擊研判，可以理解為人工層面對攻擊事件進(jìn)行再分析的行為。藍(lán)隊(duì)針對安全系統(tǒng)或工具發(fā)出的告警，通過結(jié)合已有的經(jīng)驗(yàn)和相關(guān)工具，來判斷其是否為真實(shí)存在的攻擊，并根據(jù)判斷結(jié)果做出響應(yīng)、給出處置建議。
四位一體，建立高效、全面的
藍(lán)隊(duì)防護(hù)體系
那么，藍(lán)隊(duì)如何實(shí)現(xiàn)全面、高效的安全防護(hù)呢？這需要基于Gartner自適應(yīng)保護(hù)模型構(gòu)建覆蓋預(yù)測（P）、防御（P）、檢測（D）、響應(yīng)（R）四個(gè)階段的“四位一體”防御閉環(huán)，將“應(yīng)急響應(yīng)式”的被動(dòng)防御轉(zhuǎn)變?yōu)楦采w“事前+事中+事后”全鏈路的主動(dòng)防御，以期達(dá)到縱深防御的安全效果。
自適應(yīng)攻擊保護(hù)架構(gòu)四個(gè)階段分別要求藍(lán)隊(duì)具備以下能力：
預(yù)測：資產(chǎn)清點(diǎn)、安全評估、威脅建模、安全基線
防御：風(fēng)險(xiǎn)發(fā)現(xiàn)、安全加固、安全培訓(xùn)
檢測：入侵檢測、調(diào)查確認(rèn)
響應(yīng)：響應(yīng)處置、策略優(yōu)化