隨著數字化轉型的深入，資產數字化導致了各組織單位的暴露面不斷擴大，加之愈發密集的網絡攻擊，頻繁發生的安全事件促使網絡安全從合規走向了實戰對抗的新階段。
但在大部分組織的防守策略一成不變的同時，攻擊方的“武器”配備卻逐漸完善，社交網絡釣魚、0Day、Nday、無文件攻擊等新型手法層出不窮。不僅如此，攻擊方的攻擊路徑也更為刁鉆，開始針對遠程辦公、云原生場景、軟件供應鏈等防守“空白區”發起攻擊。
攻擊者可以失誤無數次，但防守方卻只能失誤一次。面對種種攻防之間的實力差距，您真的擁有了與攻擊者實時對抗的能力嗎?又該如何在實戰對抗中做到“0失誤”？
今天，深信服為您帶來一本“攻防兵法”，通過“攻防五計”助您補齊防守能力，守好實戰攻防的大門。
“攻防兵法”第一計：知彼知己
如今，收集資產信息已經成為所有攻擊方默認的第一步。但很多政企單位對自身的脆弱性和暴露面不了解，影子資產、數據泄露事件給了攻擊方大量可利用入口。
所謂“知彼”，政企單位需要掌握攻擊方的方法變化，通?？梢岳眉t隊檢測模擬出攻擊方可能開展的攻擊路徑，進行相應的防守部署。
所謂“知己”，政企單位需要在資產梳理的基礎上進行互聯網敏感信息排查、識別脆弱性、數據安全風險評估等動作，洞悉內外部風險點。
在“知彼知己”的基礎上，想要“百戰不殆”，還需要一個關鍵動作——查漏補缺，防守方需針對人、端、網、云、應用五個層面優化訪問策略、安全基線、漏洞補丁等現有安全防護，補齊安全監測分析、云平臺防護、誘捕攻擊等缺失的防護能力，打牢實戰對抗的防守“基本功”。
“攻防兵法”第二計：重點防護
總結往年多次實戰對抗的經驗，攻擊方和防守方在主機安全側存在嚴重的能力不對等。
一方面，防守方以往的安全建設方式側重于邊界安全，往往輕視了主機的安全防護。另一方面，攻擊方敏銳地察覺到了主機安全的防護缺失，開始大肆利用新型攻擊手段來繞過邊界，突破服務器、終端，以此進入內網和核心系統。
因此，防守方需針對主機安全進行“事前、事中、事后”的全面重點防護，除去主機殺毒軟件的事后處置，防守方也需要利用CWPP、EDR等軟件做好事前風險排查、異常行為實時監測的全流程管控，補齊針對新型攻擊的動態防守能力：
1. 持續排查
動態梳理攻擊面，持續發現主機側的系統、應用、中間件、數據庫等資產的漏洞、弱口令、配置缺陷，有針對性進行安全加固，避免被攻擊者利用。
2.實時監測
通過CWPP等軟件的多行為關聯分析引擎對終端行為的不間斷監測，實時發現惡意行為和高級威脅，阻斷諸如加密、0Day、無文件等采用新型技術的攻擊。
3.溯源處置
針對已經發生的攻擊，做好主機內威脅自動取證及攻擊行為關聯聚合，通過可視化研判系統提供的攻擊故事線還原能力，完整還原攻擊入侵全過程，從而快速定位攻擊入口、全面篩查受感染面、精準隔離威脅源頭，深度保護業務資產安全。
“攻防兵法”第三計：精準管控
訪問人員復雜、弱密碼問題嚴重、用戶權限固化、可疑行為難追溯、異常訪問難發現……由于大部分政企單位的訪問控制管理存在以上問題。利用弱口令爆破、釣魚郵件、水坑攻擊等手段竊取合法身份，利用用戶權限入侵至重要系統，也成了近年攻擊方普遍使用的方法之一。
從攻防對抗的視角出發，針對所有員工所使用的終端、連接的網絡、訪問的應用系統和數據建立零信任控制機制，設立層層識別的用戶訪問系統和動態管理的訪問控制權限，做好訪問權限的精準管控，可以極大程度上阻止此類攻擊事件的發生：
1.做好基于統一身份憑據的訪問控制，收縮業務、網絡暴露面，隱藏業務網絡拓撲，確保授信終端才能訪問。
2.基于統一“鑒白”分析與持續信任評估，實現認證、訪問、外聯等環節的風險可控。
3.通過跨多類訪問場景的統一策略控制，持續調優防火墻、代理網關、終端等場景環節的訪問控制策略。
4.通過流量鏡像將全部用戶認證和訪問業務的流量傳輸給NDR，由NDR進行分析和檢測，發現風險，及時處置，防止攻擊入侵。
“攻防兵法”第四計：溯源反制
在做好防守、監測、響應等工作后，防守方還可以選擇“主動出擊”，誘捕攻擊進行溯源。但大部分攻擊誘捕設備需要獨立部署，極其容易被攻擊方發現。深信服“攻防兵法”提供了新思路：將誘捕技術與防火墻結合，在防火墻上偽裝代理和誘餌。
一方面，偽裝代理防火墻及其關聯的沙箱采用動態策略，對外呈現動態網絡資產架構，干擾攻擊者視線，引導攻擊者進入互聯網誘餌系統，阻斷攻擊。
另一方面，誘餌系統將反向引導攻擊者在虛假攻擊中暴露出設備指紋、社交ID等關鍵信息，在態勢感知平臺上統一展示。且互聯網側防火墻還可以引流到云端，結合云端威脅情報進行高級溯源分析，發揮最佳誘捕和溯源分析效果。
“攻防兵法”第五計：云地協同
在安全人員精力有限的情況下，面對設備上不間歇增加的安全告警，防守方該如何快速篩掉誤報？如何進行有效的關聯分析？如何跨組織跨小組迅速調動人員、協同作戰？
“找外援“也許是個不錯的辦法，威脅分析平臺與實時在線的云端高階專家配合完成實戰期間的日志實時采集、威脅監測、關聯分析、事件響應。而以往深陷于海量告警的安全人員只需要關注實戰攻防演習防守作戰協同平臺（SIR）即可直觀了解到各資產狀態、威脅分析研判結果、安全事件處置進展及人員排班。
不僅僅如此，在夜間等防守薄弱時期，云端專家配合現場值守人員進行7*24小時監測。一旦發現威脅或事件，云端專家將會立即發出告警并分析研判，由威脅分析平臺聯動安全防護設備進行精準處置。通過自動化平臺、云端高階專家與本地人員的共同協作，最終搭建起全天候、高效率的實時監測預警響應體系，減輕防守方的監測值守壓力。
在歷年的實戰攻防中，深信服以自身優秀的攻防能力及防守策略幫助眾多防守方圓滿完成防守任務。面對今年“強度更高、難度更大“的網絡攻防實戰，也許您還有很多防守工作的困惑和疑問，您可咨詢深信服專家，深信服專家將為您提供一對一專家解答，助您提前避坑，在今年的實戰攻防中取得佳績。
