红蓝对抗丨企业如何从实战攻防演练提升安全能力 – 作者:北京华清信安-安全小百科

红蓝对抗丨企业如何从实战攻防演练提升安全能力 – 作者:北京华清信安

随着互联网信息技术的迅猛发展，各行各业数字化发展的同时面临更多的安全威胁，多样化的网络攻击手段已经对许多企业造成了损失，数据泄露、病毒勒索等网络攻击对企业造成重大损失的事件也频有发生。在网络威胁愈加严峻的大环境下，做好网络安全已经成为企业发展的基础和挑战。

红蓝对抗-实战攻防演练的意义

近年来，通过红蓝对抗-即实战攻防演练的方式来发现企业安全漏洞，提升企业安全防护能力的形式已经成为常规手段。蓝军通过高级可持续渗透(APT)、网络攻击杀伤链(Cyber Kill Chain)或MITRE ATT&CK等渗透攻击手段，红军一经发现就立即启动应急响应，最终复盘对黑客攻击行动中的防御体系的识别、加固、检测、处置等各个环节，发现薄弱位置并进行优化。

安全是一个整体，正如木桶定律，最短的木板是评估木桶品质的标准，安全最薄弱环节也是决定系统好坏的关键。而网络红蓝军对抗的目的就是用来评估企业安全性，有助于找出企业安全中最脆弱的环节，提升企业安全能力的建设。

相比于传统的渗透测试，红蓝对抗的最大区别是引入了防守方动态应对，在对抗之中，攻击和防守的打法都在逐步提升，红色攻击方利用各种漏洞或APT攻击尝试进行内网渗透，企业作为防守方，需要有全面的安全防护能力才能不给敌人可乘之机，通过实战攻防演练，可以有效验证企业重要业务系统的实战化防护能力，发现系统的安全隐患总结经验和教训，最终提升安全防护能力。

实战攻防演练-企业安全工作的重点

2016年发布了《中华人民共和国网络安全法》，国家数字化发展进程中网络安全是基础。各行各业以网络安全法为基础不断推出各种指导文件和要求，督促企业提升网络安全防护意识，加强网络安全管理。国家对政府单位、事业单位、重要机关等逐步推进实战攻防演练模式，越来越多的企业通过实战攻防演练对系统网络安全进行查缺补漏。那么在实战攻防演练中，企业的网络安全建设重点在哪里？

1.网络安全专业人才队伍建设

近些年来，在各个行业均发生了重大网络安全事件，大多数企业已经意识到了网络安全的重要性，但由于对网络安全的了解不充分和不全面，面临安全建设效果不明显、攻防演练专业性不足、企业安全人才队伍建设不完善等问题，无法应对繁重的防守工作。

被动的安全防御总是在攻击事件发生之后，企业受到的损失无法预估，拥有专业的网络安全人才队伍可以实现主动防御，夯实企业数字化发展的坚固基石。

2.全面的安全防护工作

网络攻击的升级与多样化对企业安全防护带来巨大挑战，企业的网络威胁不再仅仅局限在业务服务器或者数据保护上，任何环节的疏漏都可能成为威胁来源；如内网终端安全逐渐成为攻击者的首选，而客户端层面的攻击、基于API的攻击、以及机器人攻击都在挑战现有安全体系的有效性与全面性。

3.威胁检测能力

对威胁的检测能力，尤其是未知威胁的检测能力，决定了该系统防护能力的上限，企业需要持续提升对各种网络空间安全威胁的检测能力，不仅需要做到事前告警与处置，还需要做到事中威胁检测数据判断，有助于企业做到事后综合分析研判，并依照业务逻辑与日常规律，发现疑似异常行为，定位疑似未知威胁，描绘疑似威胁攻击链、疑似攻击时序、疑似攻击范围以及疑似攻击来源信息，为企业做到全面的事前事中事后的事件处置及采取应急加固手段提供完善、严谨的依据。

4.建立闭环安全体系

为了持续的有效防范各种攻击，特别是各种新型攻击，需要做到安全管理闭环，建立一套闭环安全体系。理想的安全体系应具备对系统状态与外部威胁的监测能力，同时依据业务特点设置安全基线，当安全事件发生时具备及时、有效、专业的处置能力，通过安全演练、攻防对抗不断完善防护技术与制度管理使得整个体系持续迭代。