12月20日，2020中國(guó)網(wǎng)絡(luò)安全等級(jí)保護(hù)和關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)大會(huì)（以下簡(jiǎn)稱大會(huì)）在南寧隆重召開(kāi)。本次大會(huì)由公安部網(wǎng)絡(luò)安全保衛(wèi)局、國(guó)家密碼管理局商密辦、中國(guó)科學(xué)院辦公廳指導(dǎo)，公安部第一研究所主辦，盛邦安全等10家網(wǎng)絡(luò)安全企業(yè)聯(lián)合承辦。盛邦安全CEO權(quán)小文應(yīng)邀在“安全保護(hù)分論壇”上發(fā)表題為“基于網(wǎng)絡(luò)空間地理信息的等級(jí)保護(hù)建設(shè)實(shí)踐”的主題報(bào)告，闡述了網(wǎng)絡(luò)空間地圖在基于攻防對(duì)抗的、實(shí)戰(zhàn)化的網(wǎng)絡(luò)安全防控體系建設(shè)中的重要作用和相關(guān)實(shí)踐。
盛邦安全CEO權(quán)小文分享報(bào)告
“繪制高清網(wǎng)絡(luò)空間地圖，對(duì)于當(dāng)前整個(gè)網(wǎng)絡(luò)安全建設(shè)來(lái)說(shuō)具有重要的意義。做好網(wǎng)絡(luò)資產(chǎn)摸底工作、實(shí)現(xiàn)對(duì)關(guān)鍵行業(yè)網(wǎng)絡(luò)資產(chǎn)組織結(jié)構(gòu)的準(zhǔn)確識(shí)別、繪制高清網(wǎng)絡(luò)空間地圖是構(gòu)建實(shí)戰(zhàn)化的網(wǎng)絡(luò)安全防護(hù)體系的必然趨勢(shì)和標(biāo)準(zhǔn)動(dòng)作，也是快速進(jìn)行漏洞預(yù)警和應(yīng)急事件響應(yīng)處置的必要前提。因此，需要我們以資產(chǎn)摸底為起點(diǎn)，從網(wǎng)絡(luò)空間地理信息全局的視角來(lái)審視和梳理整個(gè)網(wǎng)絡(luò)的安全域，構(gòu)建精準(zhǔn)識(shí)別、精確防御、主動(dòng)防護(hù)的網(wǎng)絡(luò)安全動(dòng)態(tài)防御體系。”權(quán)小文在報(bào)告中提到。
在會(huì)議現(xiàn)場(chǎng)，盛邦安全發(fā)布了“基于網(wǎng)絡(luò)空間信息測(cè)繪的資產(chǎn)安全治理方案”和“便攜式網(wǎng)絡(luò)安全檢查裝備”兩款新品，并邀請(qǐng)到了公安部第一研究所、國(guó)家市場(chǎng)監(jiān)督管理總局信息中心、信息產(chǎn)業(yè)信息安全測(cè)評(píng)中心的相關(guān)領(lǐng)導(dǎo)共同見(jiàn)證了這一重要時(shí)刻。
新品一：基于網(wǎng)絡(luò)空間信息測(cè)繪的資產(chǎn)安全治理方案
該方案以資產(chǎn)測(cè)繪和治理為抓手，通過(guò)摸底梳理、備案審核、立體防護(hù)、自動(dòng)運(yùn)營(yíng)和應(yīng)急響應(yīng)五個(gè)步驟，將靜態(tài)合規(guī)建設(shè)轉(zhuǎn)化為動(dòng)態(tài)安全能力提升，從而達(dá)到“三化六防”的安全目標(biāo)。
等保2.0對(duì)于特定領(lǐng)域擴(kuò)展要求的完善，以及對(duì)于新形勢(shì)下安全威脅的應(yīng)對(duì)指導(dǎo)都幫助企事業(yè)單位更合理的進(jìn)行技術(shù)體系和管理體系的建設(shè)，以達(dá)到精準(zhǔn)識(shí)別和精確防御的要求。但在實(shí)踐的過(guò)程中，仍然面臨諸多挑戰(zhàn)。首先是源于漸趨復(fù)雜化的安全環(huán)境，APT攻擊、勒索病毒等新興安全威脅會(huì)突破組織安全防線中的薄弱部分，導(dǎo)致安全建設(shè)盡管“面面俱到”、但系統(tǒng)網(wǎng)絡(luò)仍然“一點(diǎn)就破”的現(xiàn)象依然存在。
從攻擊者的視角來(lái)看，一次成功的入侵過(guò)程包括了信息收集、偵察試探、定向入侵和內(nèi)網(wǎng)橫向滲透等一系列分解動(dòng)作，那么反過(guò)來(lái)，從防守者的角度也需要具備各個(gè)擊破的應(yīng)對(duì)能力和全局統(tǒng)籌的把控能力，要能夠做到知己知彼、精準(zhǔn)防御，也就是要能識(shí)別風(fēng)險(xiǎn)、持續(xù)監(jiān)控、主動(dòng)防御和綜合管理。
“要解決這一問(wèn)題，除了滿足主動(dòng)防御、應(yīng)急響應(yīng)的要求之外，更重要的是需要具備對(duì)資產(chǎn)的快速識(shí)別和提升實(shí)戰(zhàn)化攻防水平的能力。就算有再多的防護(hù)策略、監(jiān)控策略和管理策略，如果資產(chǎn)底數(shù)不清，安全建設(shè)仍將面臨巨大的隱患。”權(quán)小文表示。
該方案以網(wǎng)絡(luò)資產(chǎn)的自動(dòng)化識(shí)別和安全治理為核心，以威脅監(jiān)控為抓手，以縱深防御為保障，再通過(guò)態(tài)勢(shì)感知平臺(tái)來(lái)做統(tǒng)一的安全管理，讓管理流程化、平臺(tái)化，同時(shí)實(shí)現(xiàn)態(tài)勢(shì)可視化，最終做到靜態(tài)合規(guī)建設(shè)向動(dòng)態(tài)安全能力的升級(jí)轉(zhuǎn)變。
在整個(gè)架構(gòu)當(dāng)中，以“一個(gè)中心、三重防護(hù)”為建設(shè)核心，安全管理體系和運(yùn)營(yíng)服務(wù)體系作為管理保障，網(wǎng)絡(luò)資產(chǎn)的治理體系作為技術(shù)保障，通過(guò)對(duì)保護(hù)對(duì)象的學(xué)習(xí)和梳理來(lái)自動(dòng)識(shí)別網(wǎng)絡(luò)空間資產(chǎn)信息和安全風(fēng)險(xiǎn)、合理劃分安全域；再通過(guò)針對(duì)性的防護(hù)策略和持續(xù)性的安全監(jiān)控來(lái)強(qiáng)化安全區(qū)域邊界及主動(dòng)安全防御；最后利用協(xié)同聯(lián)動(dòng)和安全情報(bào)等手段做到應(yīng)急響應(yīng)，將所有相關(guān)的安全能力串聯(lián)起來(lái)，覆蓋關(guān)鍵信息系統(tǒng)和網(wǎng)絡(luò)空間資產(chǎn)的全生命周期。在安全管理中心層面，結(jié)合系統(tǒng)資產(chǎn)、脆弱性風(fēng)險(xiǎn)和入侵威脅三要素進(jìn)行綜合研判，形成全局的態(tài)勢(shì)感知。
• 方案優(yōu)勢(shì)一：覆蓋資產(chǎn)全生命周期的安全治理
該解決方案能夠通過(guò)主被動(dòng)探測(cè)相結(jié)合的技術(shù)手段，自動(dòng)發(fā)現(xiàn)網(wǎng)絡(luò)中開(kāi)放的服務(wù)、存在的信息系統(tǒng)、網(wǎng)絡(luò)設(shè)備和安全設(shè)備等資產(chǎn)自動(dòng)發(fā)現(xiàn)，同時(shí)結(jié)合指紋標(biāo)簽進(jìn)行準(zhǔn)確識(shí)別，通過(guò)不同的資產(chǎn)屬性來(lái)確定其應(yīng)屬的安全域，界定不同類型資產(chǎn)的風(fēng)險(xiǎn)級(jí)別，從而制定合理的訪問(wèn)控制措施，之后在相應(yīng)的安全邊界建立對(duì)應(yīng)的安全防護(hù)和安全監(jiān)測(cè)手段。在此基礎(chǔ)上，實(shí)現(xiàn)在線資產(chǎn)持續(xù)安全自查、問(wèn)題資產(chǎn)快速應(yīng)急處置、安全事件精準(zhǔn)協(xié)同防護(hù)。
在對(duì)資產(chǎn)整個(gè)生命周期進(jìn)行治理的過(guò)程中，也能夠達(dá)到技術(shù)和管理的同步建設(shè)，一方面按照資產(chǎn)管理的不同階段建立相應(yīng)的資產(chǎn)管理制度、資產(chǎn)分類規(guī)范、網(wǎng)絡(luò)安全管理制度和應(yīng)急響應(yīng)管理制度，另一方面利用平臺(tái)化的能力將制度的落實(shí)和執(zhí)行落到管控策略上，通過(guò)建立本地的申請(qǐng)審核、審批備案、準(zhǔn)入控制和一鍵下線等手段，建立每一步的紅線要求，利用訪問(wèn)控制策略進(jìn)行實(shí)現(xiàn)，將線下的管理規(guī)范轉(zhuǎn)化為線上的管控流程。
• 方案優(yōu)勢(shì)二：統(tǒng)一的安全管理
等保2.0建設(shè)的另一個(gè)重點(diǎn)是統(tǒng)一安全管理，在等保2.0的要求當(dāng)中著重強(qiáng)調(diào)和細(xì)化了集中管控的要求，包括安全設(shè)備的集中監(jiān)控、安全策略的集中管理以及安全事件的綜合分析等。傳統(tǒng)的集中管理方案通常側(cè)重于設(shè)備狀態(tài)或策略的集中管理，或者針對(duì)攻擊做大數(shù)據(jù)的統(tǒng)計(jì)和可視化呈現(xiàn)，維度相對(duì)單一，我們?cè)趹?yīng)用時(shí)會(huì)面臨各種各樣的問(wèn)題。
這種情況下，我們所需要的集中管理不單單是能夠存儲(chǔ)足夠數(shù)量的歷史事件，也不僅僅是能夠支持多種條件的查詢檢索或各種歸并過(guò)濾的手段，我們還需要建立有效的聯(lián)系，而資產(chǎn)就是這些聯(lián)系的核心。只有加入資產(chǎn)監(jiān)控的內(nèi)容，集中管理才是一個(gè)三維的體系。該解決方案一方面可以從風(fēng)險(xiǎn)的角度來(lái)衡量網(wǎng)絡(luò)系統(tǒng)的脆弱性情況，另一方面從攻擊者的角度來(lái)評(píng)價(jià)當(dāng)前網(wǎng)絡(luò)受攻擊的威脅程度，最后從用戶資產(chǎn)的角度將線索組織起來(lái)，明確是否有確認(rèn)在線、并且存在高危漏洞的資產(chǎn)正在被掃描或是被竊密，這樣才能明確風(fēng)險(xiǎn)等級(jí)，給出正確的處置建議。
新品二：便攜式網(wǎng)絡(luò)安全檢查裝備
在等保2.0的網(wǎng)絡(luò)安全保障工作中，網(wǎng)絡(luò)安全現(xiàn)場(chǎng)檢查是非常重要的一項(xiàng)工作內(nèi)容。但是，常規(guī)的現(xiàn)場(chǎng)檢查方案較為笨重，不便于檢查的開(kāi)展。為了解決此問(wèn)題，盛邦安全推出了便攜式網(wǎng)絡(luò)安全檢查裝備，可以通過(guò)便攜式一體化專用工具，綜合利用智能主機(jī)服務(wù)發(fā)現(xiàn)、智能化爬蟲(chóng)和狀態(tài)檢測(cè)等技術(shù)進(jìn)行綜合性資產(chǎn)脆弱性檢查以及資產(chǎn)合規(guī)性檢查，助力提升網(wǎng)絡(luò)安全檢查的常態(tài)化、標(biāo)準(zhǔn)化和規(guī)范化水平。
該產(chǎn)品是基于盛邦安全RayOS操作系統(tǒng)而研發(fā)的一款綜合漏洞發(fā)現(xiàn)與系統(tǒng)安全評(píng)估的網(wǎng)絡(luò)安全檢查裝備，不僅能夠針支持網(wǎng)絡(luò)環(huán)境中多種類型主機(jī)的漏洞掃描和脆弱性檢測(cè)，還能夠滿足Web漏洞掃描、數(shù)據(jù)庫(kù)漏洞掃描、安全基線檢測(cè)、弱口令掃描等需求。該設(shè)備體積小巧便攜，功能全面，不僅能夠應(yīng)用于網(wǎng)絡(luò)安全檢查，還能夠滿足網(wǎng)絡(luò)安全自查的需求，可以通過(guò)有線或無(wú)線靈活接入網(wǎng)絡(luò)，提供專業(yè)檢查知識(shí)和檢查方法，對(duì)目標(biāo)單位資產(chǎn)進(jìn)行安全合規(guī)檢測(cè)和風(fēng)險(xiǎn)隱患排查，有助于及時(shí)了解系統(tǒng)和網(wǎng)絡(luò)的安全狀況。
會(huì)議期間，盛邦安全展臺(tái)除了重點(diǎn)展示了新品實(shí)物之外，還帶來(lái)了網(wǎng)絡(luò)空間資產(chǎn)探測(cè)系統(tǒng)和網(wǎng)絡(luò)安全單兵偵測(cè)系統(tǒng)等創(chuàng)新產(chǎn)品與應(yīng)用，吸引了現(xiàn)場(chǎng)許多參會(huì)嘉賓到展臺(tái)駐足交流和體驗(yàn)。
盛邦安全展位吸引了許多參會(huì)者前來(lái)交流和體驗(yàn)產(chǎn)品
作為網(wǎng)絡(luò)空間資產(chǎn)安全治理的倡導(dǎo)者和先行者，盛邦安全的“安全有道，治理先行”的安全理念和五步法安全治理體系已在多個(gè)重要行業(yè)落地應(yīng)用并取得了良好的效果與市場(chǎng)口碑。未來(lái)，盛邦安全將繼續(xù)持續(xù)加大在網(wǎng)絡(luò)空間地圖測(cè)繪和資產(chǎn)安全治理領(lǐng)域的研發(fā)投入，助力各行業(yè)客戶做到摸清資產(chǎn)家底、精準(zhǔn)識(shí)別、精確防御。
