網(wǎng)絡安全實戰(zhàn)攻防演練防守方淺析

前言：想要寫出一篇引人入勝的文章？我們特意為您整理了網(wǎng)絡安全實戰(zhàn)攻防演練防守方淺析范文，希望能給你帶來靈感和參考，敬請閱讀。

摘要：利用網(wǎng)絡安全漏洞進行有組織、有目的的網(wǎng)絡攻擊形勢愈加明顯，一方面留給應急響應的時間窗口越來越小，另一方面應急響應所需的威脅知識、專業(yè)技能、熟練程度等卻不斷增加。本文提出了網(wǎng)絡運營者作為防守方開展應急響應的簡明流程及響應步驟，為相關單位提供實踐參考。

關鍵詞：網(wǎng)絡安全關鍵信息基礎設施攻防演練

1引言

伴隨著信息技術在社會發(fā)展中的重要性越來越高，網(wǎng)絡空間已經(jīng)成為大國博弈的新戰(zhàn)場。網(wǎng)絡安全攻防演練作為檢驗關鍵信息基礎設施的網(wǎng)絡安全防護、提升網(wǎng)絡運營者應急響應水平等關鍵工作的重要手段，以實戰(zhàn)和對抗的方式促進提升網(wǎng)絡安全保障能力，具有重要意義。本文站在網(wǎng)絡運營者視角，以參與組織的一次政府網(wǎng)站實戰(zhàn)攻防演練過程為例，簡述攻防演練中防守方如何開展工作，為相關單位提供組織應對經(jīng)驗。

2演練內容

某單位組織網(wǎng)絡安全專業(yè)技術人員組成若干攻擊隊伍，對管轄范圍內二級機構的官方網(wǎng)站及業(yè)務系統(tǒng)進行持續(xù)5天的安全攻擊測試，驗證目標系統(tǒng)安全防護能力的有效性，每天固定時間在統(tǒng)一演練平臺提交防守方報告。筆者所在單位作為目標網(wǎng)站及業(yè)務系統(tǒng)運營單位，需確保目標信息系統(tǒng)的實體安全、運行安全和數(shù)據(jù)安全，最大限度地減輕網(wǎng)絡安全突發(fā)事件的危害。

3組織架構

成立防守指揮部，由網(wǎng)絡安全主管領導擔任總指揮，成員由網(wǎng)絡安全及業(yè)務系統(tǒng)運營部門領導組成。指揮部下設防守工作組、監(jiān)控分析組、研判處置組，總計20人。

3.1防守指揮部

統(tǒng)籌整體演練防守工作，負責信息系統(tǒng)攻擊防御演練的指揮、組織協(xié)調和過程控制；下達系統(tǒng)停運、恢復關鍵操作以及對外信息報送授權指令；報告演練進展情況和總結報告，確保演練工作達到預期目的。

3.2防守工作組

負責信息系統(tǒng)突發(fā)事件演練的具體工作；搭建維護演練集中監(jiān)控及處置環(huán)境；分析和評估信息系統(tǒng)突發(fā)事件對業(yè)務影響情況；收集分析信息系統(tǒng)突發(fā)事件處置過程中的數(shù)據(jù)信息和記錄；向指揮部報告演練進展情況和事態(tài)發(fā)展情況；負責牽頭開展每日的安全事件總結和分析工作；統(tǒng)計、篩選、提交防守方報告。

3.3監(jiān)控分析組

負責攻防演練期間業(yè)務系統(tǒng)訪問監(jiān)控及網(wǎng)絡安全態(tài)勢監(jiān)控，發(fā)現(xiàn)并識別網(wǎng)絡攻擊，做好監(jiān)控過程的記錄工作，并向研判處置組發(fā)出攻擊預警；及時修補業(yè)務系統(tǒng)存在的漏洞，開展業(yè)務系統(tǒng)關停及恢復工作。

3.4研判處置組

演練備戰(zhàn)階段，負責對發(fā)現(xiàn)的網(wǎng)絡安全隱患進行整改，落實各項安全防護措施。演練實戰(zhàn)階段，對網(wǎng)絡攻擊流量進行清洗，確保業(yè)務系統(tǒng)可用性；根據(jù)需要機動、靈活調配技術資源，完成技術分析與研判、實時攻擊對抗、應急響應等工作。

4演練實施

按照過往演練經(jīng)驗，小規(guī)模的防守宜按照演練前、演練中、演練后三個階段開展相關工作。

4.1攻防演練前

攻防演練前建立完善的保障團隊。從安全技術層面建立監(jiān)測預警體系，在安全制度層面建設通告預警與處置反饋機制。對本次保障范圍內的信息系統(tǒng)進行詳細的風險評估和安全加固，制定《網(wǎng)絡安全攻防演練實施方案》，并對相關人員進行信息安全意識宣貫。4.1.1資產(chǎn)梳理。開展信息化資產(chǎn)梳理，主要梳理內容包括但不限于：梳理對外發(fā)布的互聯(lián)網(wǎng)應用系統(tǒng)；梳理互聯(lián)網(wǎng)出口及出口所使用的設備和安全措施；梳理網(wǎng)絡結構（網(wǎng)絡拓撲）；梳理重要的或需要重點保護的信息系統(tǒng)、應用系統(tǒng)各服務器之間的拓撲結構；梳理網(wǎng)絡安全設備及網(wǎng)絡防護情況；梳理SSLVPN和IPSecVPN接入情況。4.1.2風險評估。安全保障專家結合信息化資產(chǎn)梳理結果進行安全風險評估。安全保障專家可使用調研問卷、人員訪談和安全技術（滲透測試、漏洞掃描、基線核查等）等方式，通過安全工具或人工方式從網(wǎng)絡安全風險、應用安全風險、主機安全風險、終端安全風險和數(shù)據(jù)安全風險等維度進行安全風險評估，各部分內容可參考如下。（1）網(wǎng)絡安全風險評估網(wǎng)絡架構風險評估，利用人工和工具等方式從技術、策略和管理等角度更深層次挖掘出當前網(wǎng)絡中存在的威脅和風險。安全漏洞和安全基線風險評估，利用掃描工具對網(wǎng)絡設備進行掃描和全面檢查。弱口令風險評估，嚴格禁止所有賬號的弱口令、空口令情況。賬號、權限風險評估，檢查管理員賬號和權限，關閉不必要的賬號，取消不合理的賬號權限；保證密碼強度符合安全基線要求。遠程登錄白名單風險評估，嚴格限制可以遠程管理的IP地址，禁用Telnet進行遠程管理。配置備份風險評估，所有網(wǎng)絡設備全部要做好配置備份，確認備份有效可以恢復。（2）應用安全風險評估身份鑒別風險評估，評估應用系統(tǒng)的身份標識與鑒別功能設置和使用配置情況，應用系統(tǒng)對用戶登錄各種情況的處理，如登錄失敗、登錄連接超時等。訪問控制風險評估，評估應用系統(tǒng)的訪問控制功能設置情況，如訪問控制的策略、權限設置情況等。安全審計風險評估，評估應用系統(tǒng)的安全審計配置情況，如覆蓋范圍、記錄的項目和內容等。資產(chǎn)暴露面風險評估，模擬黑客進行信息收集，獲取資產(chǎn)詳細信息（程序名稱、版本）、開放的危險端口、業(yè)務管理后臺等。應用漏洞風險評估，包括Web服務，如Apache、WebSphere、Tomcat、IIS等，其他SSH、FTP等程序的缺失補丁或版本漏洞檢測。滲透測試，采用適當測試手段，發(fā)現(xiàn)測試目標在信息系統(tǒng)認證及授權、代碼審查等方面存在的安全漏洞,并再現(xiàn)利用該漏洞可能造成的損失，提供避免或防范此類威脅、風險或漏洞的具體改進或加固措施。（3）主機安全風險評估WebShell風險評估，對提供Web服務的系統(tǒng)進行WebShell后門排查，驗證服務器的安全性，確保清除曾經(jīng)可能被入侵遺留下的后門。惡意文件風險評估，利用專業(yè)僵尸木馬蠕蟲檢測工具對操作系統(tǒng)進行惡意文件排查，并針對惡意文件進行行為分析，確認病毒家族及其危害。弱口令風險評估，嚴格禁止所有賬號的弱口令、空口令情況。端口及服務風險評估，服務器只開放自身提供服務相關端口，關閉不必要的端口和對外服務。服務器防火墻風險評估，默認禁止所有主動對外訪問行為，如有需要，需嚴格制定訪問控制策略，實行服務器對外訪問白名單。系統(tǒng)漏洞掃描風險評估，對操作系統(tǒng)、數(shù)據(jù)庫及常見應用、協(xié)議進行漏洞掃描。（4）終端安全風險評估安全基線風險評估，對終端的操作系統(tǒng)進行安全配置基線檢查，保證終端設備安全。弱口令風險評估，嚴格禁止所有賬號的弱口令、空口令情況。防病毒軟件風險評估，檢查終端是否安裝防病毒軟件，安全策略是否開啟。非法外聯(lián)風險評估，檢查終端是否配置了雙網(wǎng)卡，是否開放或連接熱點。補丁更新風險評估，檢查補丁更新情況。（5）數(shù)據(jù)安全風險評估安全基線風險評估，對數(shù)據(jù)庫的操作系統(tǒng)進行安全配置基線檢查，保證數(shù)據(jù)庫系統(tǒng)安全。數(shù)據(jù)訪問控制風險評估，對數(shù)據(jù)的訪問、權限設置進行評估。數(shù)據(jù)備份風險評估，檢查數(shù)據(jù)備份策略、災備情況。4.1.3安全加固。通過評估與檢查的方式，分析信息化資產(chǎn)及重要信息系統(tǒng)的安全漏洞與風險，并有針對性地進行安全加固。網(wǎng)絡設備、安全設備、安全系統(tǒng)等網(wǎng)絡層面安全問題由基礎網(wǎng)絡運營部門負責加固；應用系統(tǒng)存在的漏洞、代碼邏輯錯誤、管理員弱口令、中間件漏洞等主機和應用層問題由各相關系統(tǒng)負責人進行加固，由安全專家提供相關指導建議解決目標系統(tǒng)在安全評估中發(fā)現(xiàn)的技術性安全問題，對系統(tǒng)安全配置進行優(yōu)化，杜絕系統(tǒng)配置不當而出現(xiàn)的弱點。4.1.4安全培訓。為提升安全技術人員安全技術能力和非安全人員的信息安全意識，防守工作組定制培訓課程內容，使用相關教材和實戰(zhàn)案例等資料，幫助相關人員強化安全意識，強化信息安全攻防知識，以便更好地在演練過程中有效應對網(wǎng)絡攻擊。培訓主要內容：針對安全技術人員、安全管理員進行安全意識、安全常識、Web構成、常見漏洞、熱點0Day事件、入侵流程、惡意軟件現(xiàn)象和防御方法培訓；針對非安全技術人員從個人電腦安全、郵件安全、移動安全、日常工作生活等維度進行強化安全意識培訓。4.1.5模擬攻防。完成安全加固后，為檢驗安全加固的成果、檢驗安全防護體系的健壯性和有效性，需要組織模擬攻防演練進行安全能力檢驗?？裳埌踩灸M攻擊小組從外部對目標單位信息化系統(tǒng)進行攻擊演練，檢驗演練目標系統(tǒng)的防護能力，檢驗演練防守團隊的協(xié)作保障能力。攻擊小組使用的攻擊手段應不影響目標單位業(yè)務的正常開展，包括但不限于滲透測試、系統(tǒng)漏洞攻擊、釣魚攻擊/APT綜合攻擊、社會工程學攻擊等。4.1.6環(huán)境準備。在合適的場所搭建演練集中監(jiān)控及處置環(huán)境所需電力、網(wǎng)絡設備，根據(jù)工作任務分配接入網(wǎng)絡，保障攻防演練期間設備正常運行。

4.2攻防演練中

防守工作組指導監(jiān)控分析組及研判處置組在攻防演練過程中最大力度防御來自任何攻擊方的網(wǎng)絡攻擊，實時監(jiān)測目標系統(tǒng)的攻擊情況；發(fā)生網(wǎng)絡安全事件立刻通知到防守指揮部，實時掌握演練情況，做好安全事件的分析研判，形成分析和處置報告上報。4.2.17×24小時監(jiān)測預警。監(jiān)控分析組通過業(yè)務系統(tǒng)訪問日志及網(wǎng)站安全監(jiān)測、網(wǎng)絡安全管理中心、網(wǎng)絡安全態(tài)勢感知等通報預警平臺，實現(xiàn)網(wǎng)站安全的集中監(jiān)測。指派云端專人對被監(jiān)測網(wǎng)站安全事件進行實時研判與驗證，當出現(xiàn)安全事件時立刻上報現(xiàn)場研判處置組。所有監(jiān)控任務分配到人，所監(jiān)測到的安全事件必須留存事件記錄，做好系統(tǒng)備份工作和故障詳細記錄并進行初步診斷。4.2.2技術分析。攻防演練期間，網(wǎng)絡攻擊的數(shù)量呈指數(shù)級增長。而傳統(tǒng)的基于黑白名單、簽名和規(guī)則的安全威脅發(fā)現(xiàn)手段，已經(jīng)不能應對演練期間不斷升級且有針對性的網(wǎng)絡威脅。因此，當互聯(lián)網(wǎng)安全監(jiān)測平臺和安全態(tài)勢感知監(jiān)測到安全事件時，監(jiān)控分析組必須立刻進行安全事件分析，定位問題并溯源。確定非誤報后，將詳細攻擊路徑、攻擊IP等情況反饋研判處置組及防守工作組以便上報。結合故障描述和診斷，定位安全問題后，根據(jù)情況配合輸出解決思路，反饋研判處置組。無法定位分析的問題，直接反饋給防守工作組。4.2.3專家研判與實時攻擊對抗。攻防演練期間最大的安全風險來自于攻擊方攻擊，特別是有針對性、持續(xù)性的攻擊。及早發(fā)現(xiàn)并遏制有針對性、持續(xù)性的攻擊是規(guī)避外部風險的有效手段。演練期間也是非法黑客組織的活躍期。黑客組織可能偽裝成攻擊隊對防守單位進行攻擊，監(jiān)控分析組與研判處置組需實時研判安全事件，根據(jù)事件特征，在入侵防御系統(tǒng)、Web應用防火墻等安全設備中添加相應防護策略，對非法攻擊事件分類進行實時攻擊對抗。4.2.4應急響應與業(yè)務恢復。應急響應快速處置成功的關鍵是根據(jù)預設流程有條不紊地解決已經(jīng)發(fā)生的安全事件，以保證最大限度地減少安全事件造成的損害，降低應急處置中的風險。研判處置組當接到監(jiān)控分析組的預警報告后，直接定位的問題（可用性等）可直接處置，處置前做好數(shù)據(jù)備份和處置方法論證。無法直接定位的問題，與監(jiān)控分析組進行詳細分析，得出詳細分析結果后，制定出相應解決方案，處置前做好數(shù)據(jù)備份和處置方法論證；存在風險的處置，必須上報防守工作組，統(tǒng)一論證后進行。

4.3攻防演練后

防守單位對整個演練防守工作進行總結，針對演練期間暴露出的安全問題，分別在技術和制度層面制訂有效且具有前瞻性的信息安全建設規(guī)劃。4.3.1輸出成果文檔。根據(jù)攻防演練防守情況，及時輸出防守報告、應急處置記錄、安全漏洞跟蹤等成果文檔。4.3.2工作總結。演練結束后對安全保障效果和成果、工作存在的問題和改進計劃、業(yè)務和系統(tǒng)遺留風險及持續(xù)控制計劃等工作進行總結，為后期安全建設工作總結最佳實踐。4.3.3安全規(guī)劃建議。根據(jù)攻防演練的最佳實踐、國家的相關法律法規(guī)要求和行業(yè)發(fā)展態(tài)勢，制訂科學、有效的信息安全建設規(guī)劃，建立安全風險評估行業(yè)安全監(jiān)測預警體系。5結語本次演練僅在正式開始2天前發(fā)布通知，對防守組織來講是一次考驗，最終能有條不紊地完成防守任務，與經(jīng)常性地開展推演有著密切聯(lián)系。因為時間有限，并未開展演練前的模擬攻防，在事后來看，由于未進行模擬，導致一部分涉及白名單的業(yè)務受到短暫影響。演練前的工作對應著網(wǎng)絡運營者的日常主要工作，可以看到演練前的準備工作內容非常豐富，只有準備充分，在演練中（面對真實攻擊時）才能做到游刃有余、輕松應對。同時要注意到，集中時間、力量的持續(xù)性攻防演練對各方壓力都是巨大的，作為防守方組織者，既要關注網(wǎng)絡安全防守監(jiān)測處置的狀態(tài)，也要注重高強度工作狀態(tài)下技術人員的身體、精神狀態(tài)。積極做好各方面后勤保障，把技術人員的狀態(tài)調整并維持在一個較高水平，最終就能取得防守方的勝利。

作者:韓冰 單位:國家廣播電視總局信息中心