安全意识成红蓝对抗第一要素 – 作者:易念科技

前言：红蓝对抗的重点不再仅局限于技术，人为因素近来愈发受到重视，甚至在某企业内部红蓝对抗前夕动员会上，某专家组长表示：人员的安全意识已经成为红蓝对抗最重要的因素了。

01

人为因素成为突破点           

随着红蓝对抗到来，对于企业来说，他们迫切关注如何在这场无硝烟的“攻防战”中守住自己的堡垒。为了有效地实施演练，提升红蓝对抗演练效果，让企业在真实的攻防演练行动中可以做出更加准确的判断成为关注重点，为实现最终效果，企业甚至愿意投入上千万资金在技术防御上，通过堆砌技术让攻方在技术漏洞上无缝可钻固然是一种办法。当突破技术漏洞需要耗费大量精力时，如何快速通过现存的突破点成了攻方新的入侵方向，而人员的意识漏洞并未得到企业的普遍重视，寻找一二破绽并非难事。逐年暴露的新型网络安全威胁和越来越丰富的网络安全攻击手段实质上对红蓝对抗提出了更高要求。面对不断升级的网络安全威胁和入侵手段，做好实战化网络安全工作已经不能仅靠堆砌技术来实现，要做好网络安全工作需要从两个方面入手，一是深入完善网络安全体系建设，不断深化开展企业网络安全域的划分、安全域边界的隔离和监控、安全计算环境安全的提升以及态势感知平台的建设。二是重视人为因素在攻防演练中扮演的角色，从平时开始就要充分重视人员的安全意识问题，避免到了演练阶段才临时抱佛脚，要知道安全意识的建立并非一时之功，平时缺乏安全意识训练必然会在红蓝对抗中露出破绽。

(人为因素风险防护全景图)

02

人是红蓝对抗核心           

在以往的红蓝对抗中，普通安全意识宣导充其量就是氛围组，常见手段包括海报、易拉宝、屏保、桌面、鼠标垫等宣导物品，无非就是在企业中营造出一个重视红蓝对抗的氛围，在员工看来“哦，有红蓝对抗这么一回事。”仅此而已，很难让所有员工参与其中，好像红蓝对抗跟他们的关联也不大。

然而网络安全的本质归根是以“人”为核心，而网络安全对抗实际上就是人和人之间的对抗，包括网络终端、设备、各种工具和平台仅仅只是作为辅助手段而存在。因此不管如何堆砌技术、设备，红蓝对抗的核心最终要落实到人的层面。当红蓝对抗深入开展，越来越贴近实战情况时，测试的对象就不再局限于网络，任何一个薄弱点都有可能成为突破口，尤其当企业的技术堡垒难以通过技术漏洞突破，普通员工就成了最大的突破口。比如钓鱼邮件、鱼叉邮件、交友诈骗、水坑攻击、WIFI钓鱼、问卷调查、虚假活动等以社工攻击手段作为突破口，攻击对象不再是网络安全防护人员，而是全体员工，在近几年的红蓝对抗演练中已经广泛运用。未经过专门培训的普通员工其实很难判断那些社工入侵手段，导致越来越多的攻方把矛头转向普通员工，发动针对普通员工的社工攻击实现入侵要远比突破技术漏洞来的简单，之前就有利用第三方人员身份仿冒供应商入侵企业机房、冒充应聘人员提前布局、入侵财务人员邮箱系统发出钓鱼邮件扩大战果等案例。这种变化趋势让普通员工不得不转变原来的角色，从事不关己高高挂起到网络安全人人有责转变，而安全意识建设也要从红蓝对抗氛围组到防护核心的转变。

03

安全意识投入不足           

然而，值得深思的一个现实却是，安全意识作为防护核心，企业实际的投入微乎其微，甚至有的企业根本没有在这方面有所投入。很多企业在红蓝对抗中，宁愿重金投入以实现构筑坚不可摧的技术堡垒（不少企业的投入规模达千万级以上），而当普通员工成了首要的突破口时，企业在提升员工安全意识方面的投入与其重要性却成反比，甚至连技术和服务投入的1%都达不到，在红蓝对抗期间安全意识的投入达30万的企业屈指可数。回顾前文专家组长所说的安全意识已经成为最重要的因素，这就是理想照进现实的一个真实写照吧。由此可见，企业对于安全意识的认知和建设依然是任重而道远。

04

人为因素堡垒这样建           

其实与技术攻防一样，人为因素堡垒也是可以通过给员工开展安全意识红蓝对抗演练来“打造”的。比如站在蓝方的角度，之前提到的氛围组海报、易拉宝、屏保、桌面、鼠标垫、责任书、宣导邮件和视频等常规手段可以得以保留，并常态化开展网络安全主题学习和知识测评，让员工提前做好知识储备和安全意识升级。与此同时还要了解社工攻击、邮件钓鱼、弱密码、第三方安全、近场攻击等常用攻击方式，通过红方视角进行社工演练、钓鱼演练、近场攻击等，在平时面向全体员工开展演练，让员工在正式红蓝对抗前就具备一定的发现风险、识别风险的能力，并能及时处置或向信息安全部门汇报，让所有员工为企业守好第一道防线。

（红蓝对抗氛围宣导样例）

企业网络安全工作中，人永远是最重要也是最薄弱的一环，普通员工不是可有可无，实施安全意识项目不是氛围组，做给领导看看而已，员工没有意识到风险才是企业最大的风险！未经过安全意识培训的员工认为自身的网络系统没有重要信息，没有被攻击的必要，这种意识才是企业网络安全的最大隐患。因此，通过安全意识教育改变员工认知、让员工体验和感受被入侵攻击，了解网络攻击带来的巨大危害和自身肩负的责任刻不容缓。网络安全的本质在对抗，对抗的本质不仅是攻防两端能力较量，也是人和人的较量，任何一个员工都不应该忽视，他们才是这场没有硝烟攻防战的核心！
来源：freebuf.com 2021-04-09 18:20:05 by: 易念科技