1. 護(hù)網(wǎng)到底怎么做先把60道工序的完整框架擺出來1.1 為什么護(hù)網(wǎng)必須當(dāng)一條工序流水線來對(duì)待這幾年“護(hù)網(wǎng)”幾乎成了安全圈繞不開的詞。它不是某一次特定活動(dòng)的代號(hào)而是一類高強(qiáng)度攻防對(duì)抗的統(tǒng)稱攻擊方會(huì)想盡辦法突破邊界防守方要在一個(gè)有限時(shí)間段內(nèi)守住所有系統(tǒng)。只要參與過一次的人都會(huì)明白護(hù)網(wǎng)不是靠某一臺(tái)設(shè)備撐起來的也不是靠幾個(gè)安全工程師臨時(shí)爆發(fā)扛下來的它本質(zhì)上是一條從準(zhǔn)備到實(shí)戰(zhàn)再到復(fù)盤的完整工序流水線。很多人問我護(hù)網(wǎng)怎么做我的答案從來不是“買什么產(chǎn)品”而是先把自己要做的60道工序一道一道列出來再反推每一個(gè)環(huán)節(jié)缺什么人、缺什么數(shù)據(jù)、缺什么權(quán)限。這篇文章我把護(hù)網(wǎng)前、護(hù)網(wǎng)中、護(hù)網(wǎng)后三個(gè)階段總共60道工序完整展開每道工序都會(huì)講清楚做什么、為什么這么做、最容易掉進(jìn)去的坑是什么。適合剛接手防守任務(wù)的安全工程師也適合想系統(tǒng)梳理護(hù)網(wǎng)方法論的管理者。護(hù)網(wǎng)里沒有玄學(xué)只有把每個(gè)動(dòng)作做到位以后自然形成的防護(hù)厚度。1.2 60道工序總覽前、中、后各20道為什么是60道不是50道也不是100道這是我多次參與護(hù)網(wǎng)項(xiàng)目后梳理出來的一個(gè)相對(duì)平衡的顆粒度。少一道某些關(guān)鍵動(dòng)作就容易被漏掉再多一些執(zhí)行起來會(huì)很累反而讓人抓不住重點(diǎn)。整個(gè)框架分三階段。階段工序編號(hào)核心目標(biāo)護(hù)網(wǎng)前第1-20道摸清家底、收斂暴露面、準(zhǔn)備好應(yīng)急預(yù)案和應(yīng)急力量護(hù)網(wǎng)中第21-40道快速發(fā)現(xiàn)攻擊、正確研判處置、保持團(tuán)隊(duì)協(xié)同和信息同步護(hù)網(wǎng)后第41-60道復(fù)盤整改、修復(fù)根因、沉淀規(guī)則流程、規(guī)劃下一年度工作下面一道一道展開每個(gè)階段的小節(jié)里先講整體思路再逐條拆解工序細(xì)節(jié)。你可以把這份清單直接拿去做成表格分配責(zé)任人和時(shí)間點(diǎn)會(huì)比臨時(shí)拍腦袋可靠得多。2. 護(hù)網(wǎng)前20道工序勝負(fù)在開打前就定了護(hù)網(wǎng)前的工作比護(hù)網(wǎng)中更關(guān)鍵。攻擊方通常提前很久就開始搜集信息防守方如果連自己有什么資產(chǎn)、哪些漏洞、幾套流程都沒搞清楚開打后一定會(huì)被打亂陣腳。前20道工序的目標(biāo)就一句話讓所有風(fēng)險(xiǎn)在開打前暴露能修的修不能修的至少知道怎么臨時(shí)規(guī)避。2.1 第1-10道資產(chǎn)與暴露面少記錄一條就是一個(gè)坑工序1成立護(hù)網(wǎng)指揮小組。所有護(hù)網(wǎng)工作開始之前先解決“誰說了算”。通常要指定總負(fù)責(zé)人、技術(shù)負(fù)責(zé)人、聯(lián)絡(luò)人再按監(jiān)測(cè)組、研判組、處置組、業(yè)務(wù)協(xié)調(diào)組拆開。每個(gè)組要有明確接口人確保攻擊發(fā)生時(shí)不需要臨時(shí)找人拍板。很多團(tuán)隊(duì)把這一步省了結(jié)果告警一來一堆人都在群里問“要不要封IP”浪費(fèi)的正是最寶貴的響應(yīng)時(shí)間。指揮小組還要提前約定上報(bào)路徑普通員工發(fā)現(xiàn)異常該找誰技術(shù)負(fù)責(zé)人什么時(shí)候直接拍板都寫清楚。工序2確定防守范圍和目標(biāo)。明確這次護(hù)網(wǎng)要保護(hù)哪些系統(tǒng)邊界在哪里。核心業(yè)務(wù)系統(tǒng)、重要數(shù)據(jù)資產(chǎn)、對(duì)外服務(wù)、接入終端都要列進(jìn)去同時(shí)還要標(biāo)注每套系統(tǒng)的業(yè)務(wù)負(fù)責(zé)人。沒有范圍就沒有優(yōu)先級(jí)后面所有工作都會(huì)變成眉毛胡子一把抓。我見過有企業(yè)連自己的測(cè)試域名都忘了統(tǒng)計(jì)結(jié)果攻擊者從測(cè)試站一路打進(jìn)內(nèi)網(wǎng)。防守范圍一定要拉上業(yè)務(wù)部門一起確認(rèn)不要只靠安全團(tuán)隊(duì)自己猜。工序3資產(chǎn)探測(cè)與臺(tái)賬整理。把域名、IP、端口、Web應(yīng)用、中間件、數(shù)據(jù)庫全部掃一遍形成最新臺(tái)賬。這里要注意臺(tái)賬不是列表而是要有關(guān)系。哪臺(tái)服務(wù)器跑什么服務(wù)、開放哪些端口、用的是哪個(gè)版本、歸屬哪個(gè)業(yè)務(wù)線越細(xì)越好。工具掃描拿到的是線索人工確認(rèn)才是最終結(jié)論。資產(chǎn)臺(tái)賬至少每天更新一次護(hù)網(wǎng)中新增的資產(chǎn)要能第一時(shí)間反映出來。很多人只做一次資產(chǎn)盤點(diǎn)就完事這是遠(yuǎn)遠(yuǎn)不夠的。工序4網(wǎng)絡(luò)拓?fù)淅L制與訪問關(guān)系梳理。畫一張從互聯(lián)網(wǎng)邊界到核心機(jī)房的訪問關(guān)系圖梳理清內(nèi)外網(wǎng)如何互聯(lián)、哪些路徑能直通數(shù)據(jù)庫、哪些系統(tǒng)有外網(wǎng)訪問權(quán)限。護(hù)網(wǎng)中使用防火墻隔離時(shí)這張圖就是你的作戰(zhàn)地圖。很多企業(yè)網(wǎng)絡(luò)拓?fù)鋱D已經(jīng)兩年沒更新真正要切換路由時(shí)根本不敢動(dòng)只能臨時(shí)抱佛腳。提前把拓?fù)浜途S護(hù)團(tuán)隊(duì)對(duì)了又對(duì)確認(rèn)每一個(gè)鏈路都有對(duì)應(yīng)負(fù)責(zé)人這個(gè)功夫省不得。工序5互聯(lián)網(wǎng)暴露面測(cè)繪。通過外部掃描和搜索引擎把所有能對(duì)外訪問的資產(chǎn)都撈出來不單是官網(wǎng)和業(yè)務(wù)系統(tǒng)還包括測(cè)試頁、后臺(tái)地址、老舊應(yīng)用、第三方托管頁面。攻擊者一定比你自己更清楚你的暴露面所以這一步要站在攻擊者視角做。發(fā)現(xiàn)不在預(yù)期內(nèi)的服務(wù)能下線就下線不能下線的要單獨(dú)加防護(hù)。暴露面測(cè)繪建議每周做一次因?yàn)樽o(hù)網(wǎng)前的一段時(shí)間里開發(fā)人員可能還在頻繁上新系統(tǒng)。工序6敏感信息泄露排查。在公開代碼托管平臺(tái)、網(wǎng)盤搜索引擎、社區(qū)文檔里搜企業(yè)域名、郵箱、關(guān)鍵詞看有沒有員工把配置文件、賬號(hào)密碼、內(nèi)部文檔傳上去。很多攻擊的開端就是一份泄露的配置文件。這個(gè)排查建議由專人負(fù)責(zé)哪怕暫時(shí)沒結(jié)果也要形成記錄。重點(diǎn)還要查離職員工手里的共享賬號(hào)是否回收這類越權(quán)訪問往往最隱蔽。如果有人已經(jīng)在外網(wǎng)泄露了密鑰還在護(hù)網(wǎng)前不處理那基本等于把大門鑰匙掛在了門把手上。工序7供應(yīng)鏈資產(chǎn)盤點(diǎn)。排查系統(tǒng)用了哪些第三方組件、開源庫、SaaS服務(wù)、外包接口建立供應(yīng)鏈清單。護(hù)網(wǎng)期間攻擊者很擅長通過供應(yīng)鏈間接滲透比如找一個(gè)第三方組件漏洞或外包人員的差錯(cuò)。清單里要標(biāo)出每個(gè)組件的版本和升級(jí)狀態(tài)緊急情況發(fā)生時(shí)才能快速定位影響范圍。供應(yīng)鏈盤點(diǎn)要延伸到權(quán)限層面外包人員能訪問哪些系統(tǒng)、賬號(hào)什么時(shí)候過期都應(yīng)該有記錄。這個(gè)工序平時(shí)容易被忽略但往往能救命。工序8主機(jī)和終端漏洞掃描。對(duì)全網(wǎng)服務(wù)器、辦公終端進(jìn)行漏洞掃描尤其關(guān)注操作系統(tǒng)級(jí)漏洞和高危CVE。掃描結(jié)果要合并去重按風(fēng)險(xiǎn)等級(jí)排序不能只看數(shù)量。很多團(tuán)隊(duì)在護(hù)網(wǎng)前匆忙掃一遍打印出一堆報(bào)告就完事其實(shí)真正要處理的是“可被遠(yuǎn)程利用未打補(bǔ)丁”的組合。建議把修復(fù)責(zé)任直接分配到系統(tǒng)負(fù)責(zé)人并設(shè)一個(gè)收尾時(shí)間。掃描不是目的修復(fù)才是。如果無能力全量修復(fù)至少把暴露在公網(wǎng)的主機(jī)優(yōu)先級(jí)提到最高。工序9Web漏洞掃描和自查。針對(duì)Web系統(tǒng)做專項(xiàng)掃描重點(diǎn)關(guān)注SQL注入、命令執(zhí)行、文件上傳、越權(quán)這類能直接打進(jìn)內(nèi)網(wǎng)的漏洞。除了自動(dòng)化掃描還要安排一次人工測(cè)試模擬攻擊者的思路。護(hù)網(wǎng)中的大量突破都是從一個(gè)不起眼的Web漏洞開始比如后臺(tái)弱口令加文件上傳。掃描器出報(bào)告后至少要驗(yàn)證一遍避免誤報(bào)告誤導(dǎo)決策。人工測(cè)試的重點(diǎn)應(yīng)該放在業(yè)務(wù)邏輯漏洞上比如訂單金額篡改、驗(yàn)證碼繞過、越權(quán)訪問別的用戶數(shù)據(jù)這些自動(dòng)化工具往往測(cè)不出來。工序10弱口令和默認(rèn)口令專項(xiàng)整改。全網(wǎng)排查設(shè)備密碼、數(shù)據(jù)庫密碼、運(yùn)維賬號(hào)是否還停留在默認(rèn)狀態(tài)或常見弱口令。這一步聽著基礎(chǔ)卻是每年護(hù)網(wǎng)翻車的高發(fā)原因。整改后要建立密碼策略強(qiáng)制使用高復(fù)雜度口令并要求定期更換。對(duì)網(wǎng)絡(luò)設(shè)備、堡壘機(jī)、核心業(yè)務(wù)庫的密碼建議由安全團(tuán)隊(duì)直接抽測(cè)不要只信臺(tái)賬。有效口令管理能擋住至少三成的初探。要特別注意攝像頭、門禁系統(tǒng)、打印機(jī)這類邊緣設(shè)備的默認(rèn)口令攻擊者經(jīng)常先拿它們當(dāng)跳板。2.2 第11-20道加固、備份與提前演練工序11中間件與數(shù)據(jù)庫基線核查。對(duì)Tomcat、Nginx、Redis、MySQL、WebLogic等常見中間件和數(shù)據(jù)庫做基線檢查重點(diǎn)看配置是否存在不合理開放、默認(rèn)路徑、危險(xiǎn)函數(shù)未禁用等問題。很多中間件漏洞其實(shí)是由于配置不當(dāng)引起的比如管理后臺(tái)暴露到公網(wǎng)、未授權(quán)訪問可直連?；€核查最好做成可執(zhí)行的檢查腳本把結(jié)果固化成標(biāo)準(zhǔn)避免換個(gè)環(huán)境又回到老樣子。對(duì)Redis這類容易未授權(quán)訪問的組件要強(qiáng)制設(shè)置訪問控制把端口限制在可信網(wǎng)段。工序12防火墻/WAF策略梳理。把防火墻安全策略、WAF攔截規(guī)則、負(fù)載均衡白名單全部過一遍刪除過期規(guī)則補(bǔ)上缺失邏輯。尤其要注意護(hù)網(wǎng)中必然有人嘗試?yán)@過WAF所以WAF規(guī)則要基于業(yè)務(wù)場(chǎng)景而不是默認(rèn)模板。梳理策略的同時(shí)要確認(rèn)所有變更流程護(hù)網(wǎng)期間誰有權(quán)加白、誰有權(quán)放行必須提前約定好不然處置時(shí)會(huì)扯皮。策略梳理還要檢查是否存在全通規(guī)則有些防火墻里“允許所有IP訪問所有端口”的隱藏規(guī)則很可能就是很多年前遺留的坑。工序13DNS和CDN配置檢查。檢查域名解析記錄、CDN節(jié)點(diǎn)配置、證書有效期確保對(duì)外服務(wù)不會(huì)因?yàn)镈NS劫持或證書錯(cuò)誤被攻擊者利用。同時(shí)把CDN回源IP保護(hù)起來避免攻擊者繞過CDN直接打源站。這里有個(gè)常見坑啟用CDN后會(huì)自然隱藏源站IP但如果源站IP已經(jīng)通過歷史解析記錄泄露就必須先改配置再談隱藏。域名相關(guān)的變更要留窗口期別臨戰(zhàn)前亂動(dòng)。證書到期也是每年必見的低級(jí)問題到期前一個(gè)月就該在日歷里設(shè)好提醒。工序14日志與流量探針部署。把服務(wù)器系統(tǒng)日志、應(yīng)用日志、WAF日志、網(wǎng)絡(luò)流量日志全部統(tǒng)一接入日志平臺(tái)并確認(rèn)時(shí)間同步和字段完整性。沒有日志的護(hù)網(wǎng)就是盲打任何告警都無法溯源。建議在護(hù)網(wǎng)前把所有關(guān)鍵系統(tǒng)的日志留存時(shí)長調(diào)整為至少30天關(guān)鍵應(yīng)用的訪問日志還要額外做全量采集。部署完成后要做一次攻擊模擬測(cè)試驗(yàn)證日志有沒有真實(shí)記錄到。平時(shí)不檢查日志平臺(tái)等到需要查的時(shí)候發(fā)現(xiàn)少字段、缺時(shí)間是最讓人崩潰的事。工序15威脅情報(bào)與封禁策略準(zhǔn)備。接入可靠的威脅情報(bào)源把攻擊IP、惡意域名、惡意樣本Hash等數(shù)據(jù)提前準(zhǔn)備好并配置成自動(dòng)或半自動(dòng)封禁策略。情報(bào)的價(jià)值在于“未知攻擊出現(xiàn)之前先認(rèn)識(shí)它”所以不能只采購情報(bào)還要在日常安全設(shè)備中驗(yàn)證誤報(bào)率。封禁策略建議做成三級(jí)高危IP直接封、可疑IP限速、未知IP加觀察名單。別一刀切否則誤封業(yè)務(wù)來源會(huì)引發(fā)更大的亂子。還要準(zhǔn)備一個(gè)封禁操作手冊(cè)明確不同場(chǎng)景下用什么工具封、誰來封。工序16安全產(chǎn)品告警規(guī)則調(diào)優(yōu)。把態(tài)勢(shì)感知、IDS/IPS、EDR、WAF的告警規(guī)則逐條過一遍優(yōu)先關(guān)注能連通的攻擊鏈比如Web訪問連串的內(nèi)網(wǎng)探測(cè)行為。這一步要做減法把重復(fù)告警和無效告警去掉不然值守人員很快會(huì)被告警疲勞打垮。調(diào)優(yōu)需要一個(gè)過程可以用歷史攻擊日志來回放看已有規(guī)則能不能命中命中率低的規(guī)則果斷重寫寧可少而準(zhǔn)不要多而雜。還有一件事情容易被忽略所有規(guī)則要有注釋寫清楚這條規(guī)則是為了防什么方便后人理解。工序17備份與恢復(fù)演練準(zhǔn)備。確認(rèn)所有關(guān)鍵系統(tǒng)備份任務(wù)正常運(yùn)行備份數(shù)據(jù)不是只有一份還要有離線或跨機(jī)房副本并實(shí)際做一次恢復(fù)驗(yàn)證。很多企業(yè)只在日常做了備份卻沒做過恢復(fù)測(cè)試等勒索攻擊或誤操作導(dǎo)致數(shù)據(jù)丟失時(shí)才發(fā)現(xiàn)備份不可用。護(hù)網(wǎng)中有恢復(fù)能力非常關(guān)鍵至少要把核心數(shù)據(jù)庫和生產(chǎn)系統(tǒng)的恢復(fù)時(shí)間定在可接受的范圍內(nèi)并記錄實(shí)際恢復(fù)耗時(shí)。如果恢復(fù)需要6小時(shí)而業(yè)務(wù)容忍時(shí)間是半小時(shí)那這個(gè)備份方案等于沒有。工序18應(yīng)急處置流程編寫。把每一步操作寫成可直接翻閱的處置手冊(cè)包括告警確認(rèn)、初判、上報(bào)、隔離、取證、恢復(fù)、復(fù)核。每個(gè)角色要清楚自己負(fù)責(zé)的動(dòng)作而不是都等安全負(fù)責(zé)人下命令。流程里還要明確與業(yè)務(wù)方的協(xié)作方式比如隔離一臺(tái)服務(wù)器是否需要業(yè)務(wù)簽字提前商量好。護(hù)網(wǎng)中的快速處置不是靠個(gè)人反應(yīng)而是靠流程跑出來的。處置手冊(cè)要放在所有人能快速找到的地方別鎖在某個(gè)同事的電腦里。工序19紅藍(lán)對(duì)抗模擬演練。在正式護(hù)網(wǎng)前至少做一次內(nèi)部攻防演練用自己人扮演攻擊方專門來打防守方。演練不必太復(fù)雜可以從一個(gè)真實(shí)的Web漏洞或者釣魚郵件開始完整走一遍發(fā)現(xiàn)、上報(bào)、處置的流程。這個(gè)過程能暴露大量流程漏洞比如告警沒人看、封禁權(quán)限不足、找不到系統(tǒng)負(fù)責(zé)人。模擬演練的目的是讓團(tuán)隊(duì)帶著經(jīng)驗(yàn)上戰(zhàn)場(chǎng)而不是第一次打仗就遇到真槍實(shí)彈。演練結(jié)束后一定要寫總結(jié)把發(fā)現(xiàn)的問題全部修掉再開正賽。工序20全員安全意識(shí)宣貫和授權(quán)管理。對(duì)全體員工做一次安全意識(shí)宣貫重點(diǎn)提醒釣魚郵件、陌生人請(qǐng)求、U盤安全等常見風(fēng)險(xiǎn)同時(shí)把內(nèi)部系統(tǒng)授權(quán)重新梳理一遍回收多余權(quán)限。業(yè)務(wù)人員往往是無意間打開攻擊路徑的最大來源所以宣貫不能只發(fā)一封郵件要讓員工知道護(hù)網(wǎng)期間有哪些特殊要求比如遇到可疑郵件要上報(bào)、不在群里傳內(nèi)部文件。越是臨近實(shí)戰(zhàn)越要強(qiáng)調(diào)人的因素。如果員工連什么是釣魚郵件都分不清那前面所有技術(shù)工作都會(huì)留下一條人肉后門。3. 護(hù)網(wǎng)中20道工序打起來之后拼的是反應(yīng)速度護(hù)網(wǎng)開始后防守方的狀態(tài)會(huì)從“準(zhǔn)備”切換到“作戰(zhàn)”。這時(shí)候不再有充裕的時(shí)間做全局規(guī)劃核心只有四件事看得見、判得準(zhǔn)、處置快、傳得清。中期的20道工序就是圍繞這四件事展開的。前10道偏監(jiān)測(cè)和研判后10道偏處置和協(xié)同。3.1 第21-30道監(jiān)控與研判把可疑事件壓縮到最小工序21每日戰(zhàn)情通報(bào)會(huì)。每天固定時(shí)間開一次簡短戰(zhàn)情會(huì)把前24小時(shí)的告警統(tǒng)計(jì)、攻擊趨勢(shì)、已處置事件、待辦事項(xiàng)說清楚。會(huì)議控制在15分鐘以內(nèi)只談結(jié)論和分工不展開討論。護(hù)網(wǎng)期間的神經(jīng)系統(tǒng)就靠這個(gè)會(huì)維持一旦中斷第二天所有工作都會(huì)亂。開會(huì)前由分析人員準(zhǔn)備一頁紙戰(zhàn)報(bào)包含高壓IP、新增漏洞、封禁數(shù)量、可疑域名讓所有人只看關(guān)鍵指標(biāo)。戰(zhàn)報(bào)不要寫成長篇大論重點(diǎn)寫今天要做什么。工序22態(tài)勢(shì)感知大屏監(jiān)控。把流量、告警、封禁、資產(chǎn)在線狀態(tài)統(tǒng)一投到大屏由專人不間斷觀察。大屏不是給領(lǐng)導(dǎo)看的擺設(shè)而是給值守團(tuán)隊(duì)提供“全局感”。異常流量或大范圍主機(jī)告警會(huì)在大屏上直接暴露形態(tài)。建議設(shè)置自動(dòng)刷新和異常顏色規(guī)則比如單個(gè)IP流量突增、某網(wǎng)段大量新建連接、某應(yīng)用錯(cuò)誤率上升。大屏配合實(shí)時(shí)告警才能做到第一時(shí)間發(fā)現(xiàn)苗頭。很多大屏做得漂亮但數(shù)據(jù)延遲幾分鐘真出事時(shí)看到的已經(jīng)是過去式這一點(diǎn)接入時(shí)就要測(cè)試好。工序23攻擊IP情報(bào)聯(lián)動(dòng)封禁。護(hù)網(wǎng)開始后攻擊源IP會(huì)源源不斷出現(xiàn)要第一時(shí)間聯(lián)動(dòng)防火墻、WAF、CDN做封禁。封禁策略不能拍腦袋要先看IP是否來自云機(jī)房、是否命中威脅情報(bào)、是否對(duì)業(yè)務(wù)發(fā)起真實(shí)攻擊。建議把“封禁后的觀察期”設(shè)定好比如臨時(shí)封禁24小時(shí)后續(xù)再根據(jù)攻擊次數(shù)調(diào)整。有些IP僅做掃描探測(cè)可以先觀察如果已經(jīng)發(fā)起漏洞利用立刻永久封禁。別把所有掃IP都拉黑否則封禁列表會(huì)很快失控。封禁操作還要留痕后續(xù)需要反查時(shí)才有依據(jù)。工序24日志實(shí)時(shí)分析與研判。把日志平臺(tái)的檢索能力用起來針對(duì)可疑IP、可疑路徑、異常賬號(hào)做實(shí)時(shí)分析。研判過程要形成固定套路先看時(shí)間線再看來源IP再看請(qǐng)求參數(shù)最后看返回碼和影響范圍。不能拿原始日志一屏一屏地翻要會(huì)用檢索語法和統(tǒng)計(jì)圖表把行為畫像做出來。建議給每個(gè)高優(yōu)先級(jí)告警配一個(gè)公共群分析人員把研判鏈路同步粘貼既留痕又能互相補(bǔ)位。研判結(jié)論要寫清楚是誤報(bào)、掃描探測(cè)還是真實(shí)攻擊別把“正在排查”一直掛著。工序25流量異常分析。關(guān)注服務(wù)器與外部IP之間的異常連接比如外連陌生地址、非業(yè)務(wù)端口、大流量上下載、DNS請(qǐng)求異常。攻擊者拿到權(quán)限后往往要回連控制端或竊取數(shù)據(jù)流量層面一定會(huì)露出痕跡。一旦發(fā)現(xiàn)加密隧道特征或非常規(guī)協(xié)議不要急著斷開連接先做全流量抓包和數(shù)據(jù)包留存再根據(jù)通信行為判斷是否已成失陷。保留證據(jù)比解決單個(gè)事件更重要。如果內(nèi)網(wǎng)有大量主機(jī)同時(shí)外連同一個(gè)陌生IP基本可以判定是批量中招要馬上啟動(dòng)大范圍排查。工序26Web攻擊行為監(jiān)測(cè)。重點(diǎn)監(jiān)測(cè)SQL注入、命令注入、文件上傳、越權(quán)訪問等Web攻擊行為。WAF會(huì)有攔截日志但攻擊者會(huì)用編碼、分段、大小寫變形繞過所以值守人員要習(xí)慣看原始請(qǐng)求和響應(yīng)。發(fā)現(xiàn)攻擊后馬上把攻擊IP、攻擊路徑、使用Payload整理歸檔并確認(rèn)是否已命中真實(shí)漏洞。如果某個(gè)接口已經(jīng)被連續(xù)打了很多次就要考慮臨時(shí)開啟登錄驗(yàn)證碼或加強(qiáng)頻控。不要只盯著WAF應(yīng)用層日志里往往藏著更多線索。工序27主機(jī)異常行為檢測(cè)。關(guān)注服務(wù)器上的異常登錄、新建賬號(hào)、進(jìn)程執(zhí)行、計(jì)劃任務(wù)變化、文件改動(dòng)。EDR或主機(jī)監(jiān)控如果發(fā)現(xiàn)某個(gè)進(jìn)程從臨時(shí)目錄發(fā)起外連或者系統(tǒng)組件被異常替換基本可以判定失陷。一旦確認(rèn)處置優(yōu)先級(jí)要提到最高先斷網(wǎng)再排查。很多攻擊在Web層被防住后會(huì)轉(zhuǎn)而投遞文件落地所以主機(jī)側(cè)的檢測(cè)是護(hù)網(wǎng)中的第二道防線絕對(duì)不可省。主機(jī)側(cè)還要關(guān)注反彈Shell、權(quán)限提升、橫向移動(dòng)的常見痕跡。工序28郵箱釣魚監(jiān)測(cè)。護(hù)網(wǎng)期間攻擊者會(huì)大量發(fā)送釣魚郵件以同音域名、偽造系統(tǒng)通知、常用文檔名作誘餌。要設(shè)置郵箱網(wǎng)關(guān)的惡意鏈接和附件檢測(cè)同時(shí)安排專人抽查員工郵箱內(nèi)可疑郵件。一旦發(fā)現(xiàn)釣魚郵件被打開要立刻聯(lián)系員工做確認(rèn)必要時(shí)強(qiáng)制找回會(huì)話并改密。釣魚防不勝防所以更重要的是建立快速上報(bào)機(jī)制員工收到可疑郵件后敢報(bào)而不是刪掉。別等員工自己發(fā)現(xiàn)異常才上報(bào)那往往已經(jīng)是幾小時(shí)后了。工序29威脅告警分級(jí)處置。把告警分為緊急、高、中、低四級(jí)緊急告警指已確認(rèn)失陷或正在橫向移動(dòng)高告警指疑似漏洞利用成功中告警指可疑但不構(gòu)成直接危害低告警指掃描探測(cè)和誤報(bào)。分級(jí)后成立兩級(jí)響應(yīng)機(jī)制低級(jí)別由監(jiān)控組處置高級(jí)別馬上上報(bào)研判組并啟動(dòng)應(yīng)急。分級(jí)不是固定不變的要根據(jù)當(dāng)前攻擊階段動(dòng)態(tài)調(diào)整比如對(duì)方已經(jīng)開始內(nèi)網(wǎng)掃描所有內(nèi)網(wǎng)異常告警級(jí)別都要上調(diào)。分級(jí)標(biāo)準(zhǔn)要在戰(zhàn)前就定好別等告警來了才商量。工序30應(yīng)急響應(yīng)啟動(dòng)與止損。一旦確認(rèn)安全事件立即啟動(dòng)應(yīng)急響應(yīng)流程。第一步止損斷掉受影響主機(jī)外連、隔離網(wǎng)段、禁用賬號(hào)防止攻擊繼續(xù)擴(kuò)散。第二步上報(bào)按預(yù)案通知業(yè)務(wù)負(fù)責(zé)人和安全負(fù)責(zé)人同步一句話事件簡報(bào)。第三步收集保留內(nèi)存、進(jìn)程、日志、流量包等證據(jù)。護(hù)網(wǎng)中最忌諱的是先開會(huì)再動(dòng)作前10分鐘做的事決定了事件范圍最終有多大。啟動(dòng)應(yīng)急的同時(shí)要建立一個(gè)事件專群把相關(guān)人員拉進(jìn)來所有動(dòng)作都在群里同步。3.2 第31-40道處置、溯源與協(xié)同讓隊(duì)伍真正轉(zhuǎn)起來工序31服務(wù)器隔離與取證。確認(rèn)失陷主機(jī)后先通過防火墻或交換機(jī)將該主機(jī)隔離到專用安全區(qū)不要直接拔網(wǎng)線以免丟失內(nèi)存信息和遠(yuǎn)程管理能力。隔離后做內(nèi)存轉(zhuǎn)儲(chǔ)、進(jìn)程列表、網(wǎng)絡(luò)連接、計(jì)劃任務(wù)、登錄日志等取證動(dòng)作。如果條件允許把鏡像完整保存后續(xù)溯源和加固都要用到。切記住取證的目的是還原攻擊路徑不要急著格式化重裝否則什么都查不到。如果涉及勒索病毒先把磁盤鏡像做完再去查加密信息。工序32反查攻擊路徑與漏洞定位。根據(jù)告警、日志和證據(jù)鏈反推攻擊者從哪個(gè)入口進(jìn)來的在哪個(gè)系統(tǒng)上執(zhí)行了什么操作走到了哪一步。反查時(shí)把所有相關(guān)日志的時(shí)間線對(duì)齊重點(diǎn)看首跳來源和第一個(gè)被利用的漏洞。定位到漏洞后先做臨時(shí)緩解比如關(guān)掉問題接口、修改配置、限制來源IP再安排代碼修復(fù)。只有找到根因才能讓防護(hù)動(dòng)作真正生效而不是表面上安靜了、攻擊入口還留著。反查過程要讓研發(fā)和運(yùn)維一起參與因?yàn)樗麄儾胖罉I(yè)務(wù)正常邏輯是什么樣的。工序33補(bǔ)丁修復(fù)與快速驗(yàn)證。對(duì)已確認(rèn)的漏洞盡快打補(bǔ)丁或應(yīng)用繞過方案補(bǔ)丁前至少要在測(cè)試環(huán)境做一次驗(yàn)證避免補(bǔ)丁影響到業(yè)務(wù)。驗(yàn)證通過后直接上生產(chǎn)并復(fù)測(cè)漏洞是否真實(shí)失效。護(hù)網(wǎng)中時(shí)間緊張可以采用“先臨時(shí)策略封堵、再安排補(bǔ)丁窗口”的方式但不能因?yàn)榕聵I(yè)務(wù)中斷就一直拖著。很多攻擊的第二次嘗試就會(huì)走同一個(gè)漏洞堵不住就會(huì)變成反復(fù)被刷。補(bǔ)丁修復(fù)后還要觀察一段時(shí)間確認(rèn)業(yè)務(wù)運(yùn)行穩(wěn)定。工序34重點(diǎn)系統(tǒng)零信任策略調(diào)整。在護(hù)網(wǎng)期間動(dòng)態(tài)調(diào)整訪問控制策略對(duì)核心系統(tǒng)開啟更嚴(yán)格的訪問限制只能通過堡壘機(jī)訪問只允許特定IP網(wǎng)段賬號(hào)開啟MFA校驗(yàn)。表面上看這是給內(nèi)部用戶增加了步驟但在對(duì)抗期間非常有用。零信任的思路是“持續(xù)驗(yàn)證”不要只在登錄時(shí)驗(yàn)證在訪問敏感資源、執(zhí)行高危命令時(shí)也要進(jìn)行二次確認(rèn)。調(diào)整之前要和業(yè)務(wù)部門溝通好別把所有內(nèi)部用戶鎖在門外。可以給核心系統(tǒng)單獨(dú)開一個(gè)應(yīng)急入口但入口同樣要受監(jiān)管。工序35新增開放端口與賬號(hào)攻擊面收斂。護(hù)網(wǎng)中隨時(shí)可能發(fā)現(xiàn)有人臨時(shí)開放了測(cè)試端口、新增了業(yè)務(wù)賬號(hào)這些變動(dòng)往往繞過常規(guī)審批成為攻擊者最喜歡的口子。每天定時(shí)對(duì)關(guān)鍵系統(tǒng)做端口和賬號(hào)比對(duì)基線之外的端口和賬號(hào)一律清理。如果確實(shí)因業(yè)務(wù)需要新增開放也要走臨時(shí)審批并加規(guī)則保護(hù)。運(yùn)維人員的臨時(shí)操作是防護(hù)的盲區(qū)沒有監(jiān)控就等于放任攻擊者利用。建議在護(hù)網(wǎng)期間暫停非必要的變更所有變更統(tǒng)一走安全審批。工序36防御繞過評(píng)估與策略升級(jí)。當(dāng)發(fā)現(xiàn)攻擊手法繞過現(xiàn)有防護(hù)時(shí)馬上分析繞過原理是規(guī)則覆蓋不足、解碼鏈路問題還是白名單過寬。針對(duì)性升級(jí)WAF規(guī)則、IPS特征或主機(jī)檢測(cè)規(guī)則并驗(yàn)證升級(jí)后之前的攻擊Payload是否被攔截。護(hù)網(wǎng)中攻擊者每天都在變防守方也要每天做一次策略迭代。不要迷信產(chǎn)品自帶的規(guī)則關(guān)鍵是要結(jié)合自己業(yè)務(wù)流量調(diào)整到適合的狀態(tài)。每次策略升級(jí)后記錄一下變更內(nèi)容方便出問題時(shí)回退。工序37攻擊行為溯源與反制。在不違反法律邊界的前提下對(duì)攻擊行為做溯源收集攻擊者使用的C2地址、郵箱、服務(wù)器歷史記錄、攻擊工具指紋等信息評(píng)估對(duì)方的身份畫像和攻擊組織。溯源結(jié)果一方面用于封禁和情報(bào)共享另一方面用來判斷攻擊意圖。要注意防守方不能反過來去攻擊對(duì)方系統(tǒng)這是紅線。護(hù)網(wǎng)中的反制更多是隔離和阻斷而不是主動(dòng)進(jìn)犯。溯源報(bào)告要做到證據(jù)充分每條結(jié)論都能對(duì)應(yīng)到具體日志或樣本。工序38每日數(shù)據(jù)匯總與報(bào)告。每天把攻擊事件、處置動(dòng)作、封禁情況、漏洞發(fā)現(xiàn)、系統(tǒng)狀態(tài)匯總成一份數(shù)據(jù)報(bào)告。報(bào)告不只是給領(lǐng)導(dǎo)看也是給團(tuán)隊(duì)自己復(fù)盤用的。要用統(tǒng)一模板減少填寫成本。數(shù)據(jù)要真實(shí)不要為了數(shù)字好看而隱藏誤報(bào)或漏報(bào)。護(hù)網(wǎng)結(jié)束后的一切改進(jìn)都基于這些數(shù)據(jù)。如果每天的報(bào)告都寫不清楚“今天出了什么事、怎么處理的”后面的復(fù)盤會(huì)非常困難。報(bào)告建議當(dāng)天寫別攢到第二天早上很多細(xì)節(jié)一過夜就記不清了。工序39一線監(jiān)控班組交接。值守人員分班輪換時(shí)要有完整的交接記錄包括當(dāng)前盯著的告警、未完成封禁、正在處置的事件、需要注意的資產(chǎn)等。交接不是口頭說兩句要用交接清單逐條打鉤。最容易出問題的時(shí)間點(diǎn)就是換班前后的半小時(shí)新班組還沒進(jìn)入狀態(tài)舊班組急著下班很多告警就在這個(gè)縫隙里溜過去。建議兩個(gè)班組有15分鐘重疊把關(guān)鍵信息當(dāng)面過一遍。交接記錄還要?dú)w檔后面如果發(fā)現(xiàn)漏報(bào)可以回溯是哪次交接出了問題。工序40與業(yè)務(wù)部門和高層的情報(bào)同步。每天向業(yè)務(wù)部門和高層同步一份安全態(tài)勢(shì)簡訊告訴他們當(dāng)前攻擊等級(jí)、受影響范圍、正在處理的異常事件。同步目的是讓決策層理解安全團(tuán)隊(duì)的行動(dòng)避免臨時(shí)被要求解釋。業(yè)務(wù)部門也要知道哪些處置動(dòng)作可能影響業(yè)務(wù)比如封IP、重啟服務(wù)、限制訪問提前溝通能減少對(duì)抗。護(hù)網(wǎng)中安全不是獨(dú)立部門的事整個(gè)公司的協(xié)作效率才真正決定防守結(jié)果。簡訊不要寫太技術(shù)化用“發(fā)生了什么、影響什么、我們正在做什么”的結(jié)構(gòu)就夠了。4. 護(hù)網(wǎng)后20道工序不做復(fù)盤明年還會(huì)踩同一個(gè)坑護(hù)網(wǎng)結(jié)束不意味著工作結(jié)束而是安全工作新周期的開始。后半程的20道工序決定了這次護(hù)網(wǎng)的經(jīng)驗(yàn)?zāi)懿荒芰粝聛怼栴}能不能徹底解決、下一次能不能不再重蹈覆轍。很多團(tuán)隊(duì)護(hù)網(wǎng)一結(jié)束就全員放松把大量的攻擊日志和處置經(jīng)驗(yàn)全部丟棄這是最可惜的事。4.1 第41-50道復(fù)盤與整改把暴露的問題真正堵上工序41防守復(fù)盤會(huì)議把問題攤在桌面上。護(hù)網(wǎng)結(jié)束后召集所有參與部門開復(fù)盤會(huì)按時(shí)間軸把重點(diǎn)攻擊、處置決策、成功經(jīng)驗(yàn)和失敗教訓(xùn)全部過一遍。復(fù)盤會(huì)一定要邀請(qǐng)不直接參與值守的觀察者或管理者參加讓他們從外部視角提問。很多問題在戰(zhàn)時(shí)被忽略比如決策太慢、溝通混亂、規(guī)則誤傷只有在復(fù)盤時(shí)才能看清楚。會(huì)議結(jié)論要落實(shí)到具體整改項(xiàng)不要開成表揚(yáng)大會(huì)。每條整改都要有負(fù)責(zé)人和截止時(shí)間下次護(hù)網(wǎng)前逐條核銷。工序42攻擊數(shù)據(jù)深挖與漏洞復(fù)測(cè)。把護(hù)網(wǎng)期間所有攻擊流量和告警重新整理找到那些被漏掉或處置不徹底的事件。重點(diǎn)分析攻擊者有沒有留下后門、賬號(hào)、木馬文件再對(duì)曾經(jīng)暴露的漏洞做一次復(fù)測(cè)。護(hù)網(wǎng)結(jié)束后很多攻擊并沒有真正停止殘留的入口需要徹底清理。這一步建議安排級(jí)別比較高的安全人員來做因?yàn)橐诤Ａ咳罩纠镒龆闻挪榻?jīng)驗(yàn)不足的人很容易被噪音帶偏。如果使用了攻擊者的樣本還要做一次本地沙箱分析了解行為特征。工序43溯源報(bào)告編制。把整個(gè)攻擊鏈條還原成文檔包括攻擊時(shí)間線、利用漏洞、影響范圍、攻擊者可能使用的工具和行為特征。溯源報(bào)告的價(jià)值有兩個(gè)對(duì)外可以作為安全的整體結(jié)論對(duì)內(nèi)可以作為下一步培訓(xùn)的案例。報(bào)告里要區(qū)分“確認(rèn)事實(shí)”和“推斷結(jié)論”不要把猜測(cè)寫成結(jié)果。如果某個(gè)環(huán)節(jié)證據(jù)不足寧可注明存疑也不要為了完整而編造。報(bào)告長度控制在五頁以內(nèi)太長沒人看附錄可以放詳細(xì)數(shù)據(jù)。工序44安全設(shè)備規(guī)則與策略優(yōu)化。根據(jù)護(hù)網(wǎng)期間的真實(shí)攻擊樣本更新WAF、IPS、EDR、防火墻規(guī)則。該補(bǔ)的攔截特征補(bǔ)上誤報(bào)率過高的規(guī)則調(diào)整閾值。優(yōu)化后的規(guī)則最好做一次回歸驗(yàn)證確保原有業(yè)務(wù)不受影響。很多團(tuán)隊(duì)護(hù)網(wǎng)一結(jié)束就把策略恢復(fù)到初始狀態(tài)這是最浪費(fèi)的做法護(hù)網(wǎng)留下的規(guī)則資產(chǎn)應(yīng)該直接固化成日常防護(hù)能力。好的優(yōu)化是從每個(gè)攻擊樣本中提煉出可持續(xù)利用的檢測(cè)邏輯而不是把臨時(shí)規(guī)則堆在一起。工序45事件整改與后續(xù)跟蹤。把護(hù)網(wǎng)中發(fā)現(xiàn)的所有問題逐條登記明確責(zé)任部門、整改措施、完成時(shí)限和驗(yàn)證人。整改不能止于打補(bǔ)丁還要追根因配置為什么會(huì)錯(cuò)流程為什么沒攔住責(zé)任邊界為什么不清整改完成后要安排一次抽查復(fù)驗(yàn)確認(rèn)沒有只改文檔不真改。追蹤表要掛在公共系統(tǒng)里每周更新一次直到所有問題都關(guān)閉為止。有些問題可能幾個(gè)月都修不完那至少要保留風(fēng)險(xiǎn)接受說明。工序46安全事件歸檔。把護(hù)網(wǎng)期間的所有安全事件按時(shí)間、類型、影響、處置過程分類歸檔形成可檢索的事件庫。歸檔不是把文件存起來而是要標(biāo)注檢索字段和結(jié)果摘要方便未來遇到類似事件時(shí)快速查到參考方案。事件庫可以作為下一年培訓(xùn)的核心素材。歸檔的顆粒度要有講究太粗后續(xù)找不到太細(xì)則錄入人員工作量巨大建議按攻擊類型加關(guān)鍵指標(biāo)來組織。歸檔時(shí)要脫敏把真實(shí)IP、賬號(hào)等敏感信息處理掉后放公共平臺(tái)。工序47資產(chǎn)臺(tái)賬終版更新。把護(hù)網(wǎng)中新增、刪除、變更的資產(chǎn)信息合并回臺(tái)賬并清理臨時(shí)賬號(hào)、臨時(shí)端口、臨時(shí)放行策略。很多時(shí)候護(hù)網(wǎng)期間為了處置問題臨時(shí)加白名單結(jié)束后忘了刪留下長期風(fēng)險(xiǎn)。所以要專門做一次“清理臨時(shí)痕跡”動(dòng)作把權(quán)限和策略恢復(fù)到符合正式運(yùn)營的標(biāo)準(zhǔn)。資產(chǎn)臺(tái)賬要做到與實(shí)際環(huán)境一致后續(xù)安全工作才有一個(gè)可信的底座。清理時(shí)牽頭的必須是安全團(tuán)隊(duì)運(yùn)維和研發(fā)配合不能各管各的。工序48漏洞修復(fù)責(zé)任人確認(rèn)與時(shí)限管理。對(duì)所有未完成修復(fù)的漏洞建立問題清單明確每項(xiàng)修復(fù)的唯一責(zé)任人和計(jì)劃完成時(shí)間。漏洞修復(fù)最怕的就是責(zé)任懸空安全團(tuán)隊(duì)催了所有部門但沒有一個(gè)部門真正推進(jìn)?？梢越柚延械墓蜗到y(tǒng)生成修復(fù)任務(wù)把嚴(yán)重程度、技術(shù)方案、阻塞問題都記錄在案。安全團(tuán)隊(duì)的角色是推動(dòng)者和驗(yàn)收者而不是所有漏洞的直接修復(fù)者。時(shí)限要合理別用過于激進(jìn)的Deadline逼出新的問題。工序49權(quán)限賬號(hào)全面清理。對(duì)護(hù)網(wǎng)期間生成的臨時(shí)賬號(hào)、外包賬號(hào)、共享賬號(hào)、遺留會(huì)話做一次全面清查。重點(diǎn)檢查離職員工賬號(hào)、無主賬號(hào)、密碼長期未改的高權(quán)限賬號(hào)。清理完成后重新梳理賬號(hào)審批流程確保新賬號(hào)申請(qǐng)、變更、注銷都有記錄。權(quán)限是頑固的風(fēng)險(xiǎn)源一次清理解決不了長期問題更關(guān)鍵的是把賬號(hào)生命周期管理規(guī)則落地日常運(yùn)維?？梢园才乓淮蝺?nèi)部審計(jì)看看有沒有人能繞過審批直接開權(quán)限。工序50安全培訓(xùn)補(bǔ)課。針對(duì)護(hù)網(wǎng)中暴露出來的薄弱環(huán)節(jié)安排針對(duì)性培訓(xùn)比如釣魚郵件識(shí)別、安全編碼、應(yīng)急響應(yīng)操作。培訓(xùn)不要泛泛地講安全知識(shí)要結(jié)合護(hù)網(wǎng)里的真實(shí)案例讓相關(guān)人員知道自己錯(cuò)在哪里。培訓(xùn)效果可以用模擬演練來驗(yàn)證比如再發(fā)一輪釣魚郵件看點(diǎn)擊率是否下降。安全培訓(xùn)很難一次到位但每一次護(hù)網(wǎng)都是推動(dòng)全員安全意識(shí)升級(jí)的最好時(shí)機(jī)。培訓(xùn)結(jié)束后要收集反饋評(píng)估哪些內(nèi)容對(duì)實(shí)際工作真正有用。4.2 第51-60道沉淀與規(guī)劃讓護(hù)網(wǎng)價(jià)值延續(xù)到日常工序51應(yīng)急響應(yīng)體系修編。根據(jù)護(hù)網(wǎng)中的實(shí)戰(zhàn)反饋修訂應(yīng)急預(yù)案、處置手冊(cè)和通訊錄把流程里不合理的地方改掉。修編時(shí)要明確職責(zé)邊界、升級(jí)閾值、響應(yīng)時(shí)限避免下次護(hù)網(wǎng)還在同一個(gè)環(huán)節(jié)卡住。應(yīng)急體系是活的文件不能封檔入庫要設(shè)置定期審查機(jī)制。我習(xí)慣在流程里加“前置條件”和“退出條件”讓執(zhí)行者清楚什么情況下可以靈活處理什么情況下必須按標(biāo)準(zhǔn)來。修編完成后要給所有相關(guān)人員做一次培訓(xùn)讓大家知道新版流程改了哪里。工序52重保流程模板沉淀。把這次護(hù)網(wǎng)前中后的時(shí)間表、清單、報(bào)告模板整理成一套可復(fù)用的重保流程模板。下次無論面對(duì)護(hù)網(wǎng)、重保還是大型活動(dòng)只需要修改參數(shù)就能快速啟動(dòng)。模板沉淀能極大減少組織成本避免每次都從零開始討論分工。模板里除了工序清單還要包括會(huì)務(wù)準(zhǔn)備、工具賬號(hào)開通過程和各方聯(lián)系人表。只有把經(jīng)驗(yàn)結(jié)構(gòu)化才能真正變成組織能力。沉淀好后要在非護(hù)網(wǎng)時(shí)段模擬跑一遍驗(yàn)證模板完整性。工序53監(jiān)控規(guī)則庫與告警調(diào)優(yōu)沉淀。把護(hù)網(wǎng)中有效攻擊檢測(cè)規(guī)則、誤報(bào)排除規(guī)則、查詢語句統(tǒng)一收進(jìn)規(guī)則庫并標(biāo)注適用范圍和驗(yàn)證時(shí)間。規(guī)則庫要跟設(shè)備聯(lián)動(dòng)定期推送到各安全產(chǎn)品。同時(shí)記錄規(guī)則調(diào)整的歷史便于判斷某條規(guī)則為什么存在。很多團(tuán)隊(duì)在護(hù)網(wǎng)中試出很多好用的規(guī)則結(jié)束后卻散落在臨時(shí)文件里這是極大的浪費(fèi)。規(guī)則庫建議由專人維護(hù)按照攻擊階段定期增刪改。規(guī)則標(biāo)注要包含作者、日期、驗(yàn)證結(jié)果、關(guān)聯(lián)攻擊類型。工序54自動(dòng)化編排與響應(yīng)能力建設(shè)。挑幾個(gè)高頻處置動(dòng)作做成自動(dòng)化劇本比如IP封禁、告警情報(bào)查詢、樣本哈希比對(duì)、初步取證信息收集。自動(dòng)化不是為了替代分析師而是把重復(fù)勞動(dòng)減掉讓人集中精力做研判。在建設(shè)自動(dòng)化時(shí)要小心誤操作放大所有自動(dòng)化動(dòng)作都要有審批記錄和回滾方案。先選低頻風(fēng)險(xiǎn)動(dòng)作試點(diǎn)跑通后再擴(kuò)大范圍別一上來就做全自動(dòng)化應(yīng)急。自動(dòng)化劇本要定期演練確保環(huán)境變化后仍然可用。工序55供應(yīng)鏈安全等級(jí)更新。根據(jù)護(hù)網(wǎng)期間供應(yīng)商服務(wù)表現(xiàn)和漏洞暴露情況重新評(píng)估第三方服務(wù)商的安全等級(jí)高風(fēng)險(xiǎn)供應(yīng)商需要整改或更換。同時(shí)完善外包人員權(quán)限和入網(wǎng)流程把第三方訪問限制到最小范圍。很多企業(yè)平時(shí)太依賴外包護(hù)網(wǎng)中才發(fā)現(xiàn)外包人員有大量不必要的生產(chǎn)權(quán)限。供應(yīng)鏈安全的本質(zhì)是風(fēng)險(xiǎn)管理不是把所有合作方都拒之門外而是讓風(fēng)險(xiǎn)可見、可量化。更新后的安全等級(jí)要錄入供應(yīng)商管理臺(tái)賬后續(xù)合同里加入安全條款。工序56威脅情報(bào)常態(tài)化訂閱。把護(hù)網(wǎng)期間接的威脅情報(bào)源納入日常訂閱每天自動(dòng)更新IOC并推動(dòng)安全設(shè)備同步。威脅情報(bào)的價(jià)值依賴于持續(xù)運(yùn)營只靠護(hù)網(wǎng)期間臨時(shí)接入很難發(fā)揮效果。情報(bào)運(yùn)營要注意誤報(bào)率的跟蹤定期把情報(bào)命中情況與實(shí)際告警對(duì)比過濾掉無用的信息源。常態(tài)化訂閱之后要保留人工審核環(huán)節(jié)避免誤封合法IP造成業(yè)務(wù)事故。情報(bào)源的選擇要結(jié)合自己業(yè)務(wù)場(chǎng)景不是越多越好。工序57安全預(yù)算與人員編制計(jì)劃。根據(jù)護(hù)網(wǎng)復(fù)盤結(jié)果計(jì)劃下一階段的安全投入該買設(shè)備買設(shè)備、該上平臺(tái)上平臺(tái)、該補(bǔ)人手補(bǔ)人手。預(yù)算申請(qǐng)要有數(shù)據(jù)支撐把護(hù)網(wǎng)期間的告警量、人工處置耗時(shí)、漏報(bào)事件數(shù)寫清楚讓管理者理解投入必要性。人員編制也要重新評(píng)估如果值守團(tuán)隊(duì)長期靠加班支撐那就要考慮引進(jìn)自動(dòng)化工具或增加人力。護(hù)網(wǎng)的最終目標(biāo)不是單次考核而是把安全能力沉淀為公司長期競(jìng)爭(zhēng)力。預(yù)算要分優(yōu)先級(jí)核心系統(tǒng)和核心數(shù)據(jù)永遠(yuǎn)排最前面。工序58紅隊(duì)視角專項(xiàng)滲透復(fù)核。聘請(qǐng)第三方或內(nèi)部紅隊(duì)對(duì)重點(diǎn)系統(tǒng)做一次深度滲透測(cè)試當(dāng)作護(hù)網(wǎng)后的真刀真槍檢驗(yàn)。這次測(cè)試可以比護(hù)網(wǎng)更聚焦專查防護(hù)中被繞過的地方和誤拆的臨時(shí)措施。滲透測(cè)試報(bào)告要轉(zhuǎn)化為加固項(xiàng)納入整改追蹤。很多團(tuán)隊(duì)護(hù)網(wǎng)后松懈了結(jié)果殘留的問題在下一次攻擊中重新暴露。定期用紅隊(duì)視角做壓力測(cè)試是防止安全水平滑坡最有效的方式。復(fù)核完成后組織一次結(jié)果宣講讓相關(guān)研發(fā)和運(yùn)維了解自己負(fù)責(zé)的系統(tǒng)還有什么問題。工序59安全文化建設(shè)與持續(xù)改進(jìn)。把護(hù)網(wǎng)中員工重視安全的積極性轉(zhuǎn)化為制度和文化比如建立安全隨手報(bào)的獎(jiǎng)勵(lì)、定期發(fā)布安全態(tài)勢(shì)周報(bào)、組織小型CTF或釣魚演練。安全文化建設(shè)不像技術(shù)整改那樣立竿見影但能大幅降低未來的社工攻擊成功率。文化要落地需要高層和管理層的支持可以每次護(hù)網(wǎng)后發(fā)布一封感謝信把安全團(tuán)隊(duì)和業(yè)務(wù)配合優(yōu)秀的小組拿出來表揚(yáng)。只有大家把安全當(dāng)成共同責(zé)任護(hù)網(wǎng)才不會(huì)成為孤軍作戰(zhàn)。日常工作中要有表彰機(jī)制發(fā)現(xiàn)一個(gè)漏洞就及時(shí)獎(jiǎng)勵(lì)一個(gè)。工序60下一年度護(hù)網(wǎng)規(guī)劃啟動(dòng)。把本次護(hù)網(wǎng)的所有材料整理成“年度安全運(yùn)營建議清單”同時(shí)啟動(dòng)下一輪護(hù)網(wǎng)的規(guī)劃。規(guī)劃不是等通知下來再動(dòng)手而是提前確定目標(biāo)、差距、里程碑。通過PDCA循環(huán)把護(hù)網(wǎng)從一次臨時(shí)戰(zhàn)役變成持續(xù)改進(jìn)的年度工作。年度規(guī)劃要包含技術(shù)路線、人員技能、流程工具、預(yù)算申請(qǐng)和演練安排。做完這一步60道工序才是完整閉環(huán)護(hù)網(wǎng)才真正成為推動(dòng)公司安全水平提升的引擎。5. 護(hù)網(wǎng)排程里最容易翻車的三個(gè)細(xì)節(jié)5.1 值守輪換比告警規(guī)則更重要我見過不止一次護(hù)網(wǎng)開始三天后值守人員因?yàn)檫B續(xù)熬夜盯屏質(zhì)量肉眼可見下降。再好的態(tài)勢(shì)感知和告警規(guī)則到最后還是需要人判斷。排班一定要保留兩個(gè)小時(shí)的黃金重疊期并且明確夜班的休息安排不要搞連軸轉(zhuǎn)?？梢栽O(shè)置監(jiān)控組每兩小時(shí)輪換一次盯屏任務(wù)但分析組要保持連續(xù)性。人垮了工序就斷了。護(hù)網(wǎng)打得不是單點(diǎn)爆發(fā)而是持續(xù)作戰(zhàn)能力。5.2 變更管理失控比攻擊更可怕護(hù)網(wǎng)中為了應(yīng)對(duì)攻擊會(huì)不斷調(diào)整防火墻策略、封禁IP、升級(jí)規(guī)則。這些變更如果沒做記錄后續(xù)排查時(shí)你會(huì)發(fā)現(xiàn)連自己都搞不清某條策略是為什么加的。我習(xí)慣給所有處置動(dòng)作加一個(gè)編號(hào)記錄操作人、時(shí)間、原因、有效期。臨時(shí)封禁到時(shí)間要自動(dòng)復(fù)核到期未確認(rèn)的要提醒。護(hù)網(wǎng)中的安全是動(dòng)態(tài)的變更管理不到位最后會(huì)留下大量后門一樣的策略殘留。每次變更之后都要更新相關(guān)文檔哪怕只是群里發(fā)一條記錄也好。5.3 流程沒有提前跑通等于沒有流程很多團(tuán)隊(duì)寫了應(yīng)急預(yù)案但從沒真跑過。護(hù)網(wǎng)中真出事時(shí)發(fā)現(xiàn)電話打不通、設(shè)備權(quán)限沒開、工具不在手邊整個(gè)流程就是紙面文章。所以我在護(hù)網(wǎng)前一定會(huì)做一次桌面推演把從告警發(fā)生到處置結(jié)束的全流程壓縮到半小時(shí)跑一遍專門測(cè)試流程卡點(diǎn)。跑不通過的地方寧可現(xiàn)在暴露也不要戰(zhàn)時(shí)暴露。這就是工序存在的價(jià)值。推演時(shí)讓每個(gè)角色都說說自己該干什么很多人說完才發(fā)現(xiàn)自己的職責(zé)跟別人重疊了。這60道工序看起來很多實(shí)際執(zhí)行時(shí)并不是每道都要平均用力。根據(jù)我自己的經(jīng)驗(yàn)護(hù)網(wǎng)前把資產(chǎn)和暴露面做扎實(shí)護(hù)網(wǎng)中把研判和處置鏈路做通護(hù)網(wǎng)后把規(guī)則和流程固化好這三件事抓牢剩下很多工序都會(huì)順帶完成。安全這件事從來沒有一勞永逸護(hù)網(wǎng)一年比一年難防守方也必須一年比一年細(xì)。希望這篇工序拆解能幫你少走一點(diǎn)彎路把力氣花在真正有用的地方。