攻防演練的終極目標在于檢驗企事業單位關鍵信息基礎設施的安全防護能力，發掘自身防御優勢及短板，因此攻防演練復盤是提升安全能力的關鍵環節。
與之前相比，今年的攻防演練在規則制定、攻擊規模、攻擊手段等方面出現了哪些新特點?這些新變化對企事業單位的安全能力建設提出了哪些要求?
瑞數信息多年深耕bots自動化攻擊技術和動態安全技術，已連續數年參與國家級攻防演練，幫助眾多企事業單位提升防守競爭力。此次瑞數信息專家通過對比分析歷屆攻防演練情況，對企事業單位構建實戰化的安全體系給出了相應建議。
2022攻防演練新變化：四大攻擊趨勢凸顯
網絡安全攻防演練，是對全國企事業單位網絡安全的一次大練兵。攻防演練自2016年開展以來，規模越來越大，紅隊攻擊手段越來越高級，攻防對抗水平逐年提升。特別是今年對數據安全和供應鏈安全的要求提到新高度，使得攻防演練更加貼近實戰，對企事業單位擁有常態化的安全能力提出了更高的要求。
攻擊趨勢
瑞數信息安全專家周浩表示，除常規化的攻擊方式外，今年攻防演練呈現以下攻擊趨勢：
1. 0day攻擊量大，出現新手段
0day依然是攻防演練中被紅隊視為最有效的手段之一。傳統規則型防護手段無法匹配0day攻擊特征，同時配合上自動化攻擊平臺，可以快速地對安全設備之后的目標進行攻擊。
值得注意的是，今年0day攻擊還出現了新方式，即利用0day謠言對藍方的下一步動作進行探測和利用。紅方通過散布0day謠言或發布假的0day漏洞補丁，使防守單位下線一些防護設備，或者給防護設備打0day漏洞補丁，進而找到系統薄弱點實現木馬植入。
2. 社工釣魚，攻擊數量翻多倍
社工釣魚在實戰中的應用越來越廣泛，今年的攻防演練中社工釣魚數量成倍增長。由于今年藍隊普遍加強了安全防御能力，因此紅隊從人的角度下手，給相應的運維管理員、高層人員發釣魚郵件進行投毒，以獲得系統管理權限。
3. 加強供應鏈攻擊，側面突破
供應鏈攻擊是一種新興的攻擊方式，以供應鏈企業為跳板，對最終用戶進行攻擊。由于企業普遍重視自身的防御能力，但并不清楚供應鏈上下游的安全水位，因此今年紅隊普遍加強了供應鏈攻擊。當獲取到供應鏈企業的某些訪問權限后，紅隊就會進行深入的滲透，例如源代碼分析、0day挖掘、補丁污染等等，進而攻擊最終的用戶。
4. API攻擊加劇，成為攻擊優先入口
通過API發起的業務邏輯攻擊越來越多，相比傳統的Web攻擊，這類攻擊多是模擬正常的業務調用，沒有明顯的攻擊特征，識別起來難度很大。一方面，API承載了很多重要的業務，傳輸著大量敏感數據;另一方面，很多藍隊單位對自身API資產情況并不掌握，API漏洞、僵尸API的存在為紅隊敞開了大門。這也加劇了API的風險。
瑞數信息應對建議：讓企業安全從合規走向實戰
攻防演練中藍隊被攻破的過程，其實也暴露了企事業單位在日常安全建設和運營中存在的問題。面對不斷升級的攻擊手段，企業應當采用什么樣的安全思路和方式來應對實戰中的攻擊?瑞數信息安全專家陸攀通過攻防演練實踐總結，給出了如下應對建議。
針對0day攻擊
針對0day攻擊，目前并沒有100%的有效防護手段，但可以從一定程度上進行緩解。企業不能再依靠傳統WAF規則和特征進行防護，而是應從0day漏洞利用過程中的固有屬性出發，通過動態安全技術，擺脫對規則特征的依賴，對0day利用工具的行為直接進行阻斷。
瑞數信息作為動態安全技術的首創者，在攻防演練中已實時攔截近百個0day漏洞：
· 在0day爆發初期，攻擊者會利用漏洞探測工具進行大范圍的攻擊探測，通過瑞數動態防護技術可以有效識別工具發起的請求，進而可以對這些0day攻擊進行攔截;
· 在0day爆發中期，攻擊者開始針對重要系統進行人工定向的攻擊，通過瑞數動態干擾技術，例如web代碼混淆、JS混淆、前端反調試、Cookie混淆、中間人檢測等，讓攻擊者無從下手。
· 在0day爆發后期，補丁已經基本升級完畢，漏洞已經被修復，這個階段需要重點關注是否存在已經被上傳的webshell，通過瑞數動態令牌等技術可對webshell的訪問進行阻斷。
針對API攻擊
企業可以從四個方面對API進行安全防護：
1. 資產管理，梳理API接口，對API進行分類分權管理;
2. 缺陷識別，對API自身的缺陷進行識別，早于攻擊者發現其中的隱患;
3. 攻擊防護，首先對于存在明顯特征的傳統Web攻擊進行識別，然后通過UEBA、機器學習等手段，對于異常API訪問進行識別;
4. 敏感數據管控，對通過API接口傳輸的敏感數據進行檢測，并依據預先設定的策略進行數據脫敏、攔截。
5. 攻擊處置，基于多維度監控API接口的訪問控制，及時發現阻斷異常訪問行為。
建設縱深防御體系
瑞數信息安全專家陸攀表示，單點防護早已失效，建設縱深防御體系將是企業安全必經之路，其建設思路大致可遵如下路徑和原則：
1. 攻擊面收斂，可通過敏感信息排查、攻擊路徑梳理、互聯網訪問路徑梳理等方式收斂攻擊面，降低被滲透攻擊風險。
2. 全方位防護，從邊界防護，到分區分域，到主機防護，再到全局監控、態勢感知，建立一條從內到外、由點到面的全方位防護體系。
3. 聯防聯控，與監管單位、安全部門、兄弟單位建立聯動機制，在威脅情報、事件處置、技術支撐等方面資源共享，最大化的發揮各部門優勢，進行聯防聯控。
打造常態化安全能力
除了體系化的安全建設，陸攀也指出，攻防演練中體現的安全能力需要常態化，才能真正讓企業安全從合規走向實戰。
1. 從“人防”轉向“人防+技防”的主動防御策略。為了避免傳統安全依賴規則和人力的防護方式，瑞數信息動態安全技術能夠通過人技結合，實現更主動和有效的防護，從而降低企業安全運維負擔，讓企業安全運維人員不再疲于奔命、亡羊補牢。
2. 企業應提升安全重視程度，提高安全預算投入;定期對企業內部進行安全培訓，提升全員安全意識;基于小團隊進行內部紅藍對抗演練，實時完善應急響應流程等。
3. 建立一支穩定高效安全團隊，將安全運營常態化，避免戰時突擊，閑時放羊。
結語
“安全”體現的是一個企業的綜合能力，并不是由堆砌安全設備組成。在安全常態化、實戰化的今天，企業更需要轉變防守思路，構建真正意義上的主動縱深防御體系。瑞數信息基于歷次重大活動安全保障任務的考驗和累積，其領先的動態安全技術和重保方案，全面體現了“整體防御、協同聯防;主動防護、內外兼防;動態防御、主動免疫;縱深防御、技管并重”的防護特點，獲得了來自各方的認可與肯定。未來，瑞數信息還將持續助力企業基于“人防+技防”做好常態化安全運營，助力全行業構建實戰化的安全能力。
