2022年12月8日，硅谷知名網(wǎng)絡(luò)安全投資基金Ten Eleven Ventures宣布，對一個專注于「安全有效性驗證」方向的新種子Interpres 投資8.5M美金。
旋即，Interpres便被CSO Online列為2023值得關(guān)注的網(wǎng)絡(luò)安全初創(chuàng)公司之一。Interpres提供了一個讓客戶能夠更好地管理其「防御面Defense Surface」的平臺，通過持續(xù)的威脅分析識別網(wǎng)絡(luò)防御中的漏洞和低效之處，展示客戶當(dāng)前安全工具的能力，使安全團隊能夠通過數(shù)據(jù)驅(qū)動來改善安全態(tài)勢，企業(yè)的安全性能變得可理解和可證明。
隨著企業(yè)安全建設(shè)的發(fā)展，企業(yè)部署了繁多復(fù)雜的安全產(chǎn)品、平臺、規(guī)則策略。但與此同時，在各類攻防對抗、紅藍演練中依然會暴露出各種問題，導(dǎo)致邊界被突破、權(quán)限被獲取，數(shù)據(jù)被泄露，靶標(biāo)被拿下甚至真實的發(fā)生信息安全事件，嚴(yán)重影響生產(chǎn)業(yè)務(wù)安全。根據(jù)Gartner的調(diào)查，97％的入侵行為發(fā)生在已經(jīng)部署適當(dāng)網(wǎng)絡(luò)安全防護系統(tǒng)的公司，99%的攻擊行為是使用已知并存在多年的攻擊方式或者漏洞，95%的繞過安全防護設(shè)備的入侵攻擊行為是因為錯誤的配置造成的。為此，面對當(dāng)前已部署的各類安全防護措施，我們需要回答：
已部署的各類安全防護措施是否有效，是否確實在正確的按照規(guī)則策略執(zhí)行防御和檢測動作。是否可做到“應(yīng)檢盡檢，應(yīng)告警確實告警”。
已部署的各類安全防護措施實際效力如何？實際防護或檢測效力達到什么水準(zhǔn)？有什么檢測缺失點？是否存在運營使用中“低級錯誤導(dǎo)致的高級威脅”？
通過與近百家金融、央企、制造業(yè)等機構(gòu)的溝通和實踐，我們認為安全運營中最大的困擾是安全防護必然存在失效情況，已部署的安全措施可能無法按照預(yù)期起到應(yīng)有的防護效力。如何解決安全設(shè)備有效性的問題？在應(yīng)對安全設(shè)備數(shù)量和安全日志告警急劇增多的同時，如何確保安全人員工作質(zhì)量的穩(wěn)定輸出？需要引入一套新的機制，實現(xiàn)對已部署的各類安全防護措施，全面的驗證和持續(xù)監(jiān)測評估。做到：
常態(tài)化運營中，已部署的安全防護措施經(jīng)常是既定的。面對已知的攻擊手法和漏洞利用等，我們需要確保已部署的各類安全防護措施100%有效，充分發(fā)揮其應(yīng)有的防護檢測能力。
面對已知的最新的攻擊，我們需要有一套機制，實現(xiàn)大規(guī)模、自動化、全覆蓋的對企業(yè)當(dāng)前多網(wǎng)域復(fù)雜部署的安全防護措施進行驗證，取代人工搭建環(huán)境、單點驗證等方式。及時掌握和了解最新的防護檢測情況，有針對性的采取應(yīng)急響應(yīng)措施。
攻防對抗是交替迭代螺旋上升的過程，時刻都會有新型的攻擊、繞過、漏洞利用的出現(xiàn)。面對新型的攻擊，我們需要具備實時跟蹤、工程化技術(shù)驗證的能力，對既定的安全防護體系進行驗證，及時掌握防護態(tài)勢，為安全運營全局提供重要數(shù)據(jù)支撐。
如何評估當(dāng)前安全體系建設(shè)的成熟度和有效性，是近年來國內(nèi)成熟企業(yè)中CSO們開始關(guān)注的一個話題！缸詣踊踩L(fēng)險評估ASRA」和「自動化攻擊模擬BAS」作為國內(nèi)新興的賽道，其中的許多明星初創(chuàng)廠商也開始積極響應(yīng)CSO的這一意識轉(zhuǎn)變，為當(dāng)前甲方安全體系的建設(shè)有效性和未來能力提升，提供輔助評估的自動化平臺和配套的知識與工具。
目前，經(jīng)過幾年的發(fā)展，國外BAS技術(shù)已經(jīng)相對成熟，在2021年Gartner發(fā)布的安全運營技術(shù)成熟度曲線中，BAS仍處于高市場預(yù)期的熱門賽道。近兩年，國內(nèi)BAS廠商也不斷涌現(xiàn)，隨著技術(shù)的不斷成熟，BAS未來或?qū)⒊蔀橹髁鞯陌踩L(fēng)險檢測技術(shù)。
簡單來說，BAS技術(shù)主要是為企業(yè)和機構(gòu)提供持續(xù)的安全防御體系評估能力。BAS整個體系分為管理中心和模擬器兩部分。
所有攻擊模擬行為的管理調(diào)度和展示中心。
部署在企業(yè)網(wǎng)絡(luò)各個區(qū)域里，作為攻擊的發(fā)起或被攻擊的一個端點，通過各種模擬器的組合，覆蓋各種攻擊場景下的攻擊模擬測試。
例如：可以針對互聯(lián)網(wǎng)邊界上的WAF進行針對性的攻擊測試，也可以對從辦公終端到業(yè)務(wù)服務(wù)區(qū)、內(nèi)網(wǎng)數(shù)據(jù)核心區(qū)這樣完整的APT攻擊鏈進行模擬測試。
1、紅隊安全的預(yù)模擬階段通常是最漫長和最重要的部分。首先需要考慮多久執(zhí)行一次紅藍對抗它們可以每年、每六個月、每季度、每月或其他頻率舉行一次，而且這種紅藍隊測試需要安排大量人員，那么時間、人員、金錢上會消耗大量成本。如果通過BAS進行ATT&CK模擬入侵，這樣在人員、時間、金錢上可以節(jié)省很多成本。
2、在紅藍對抗中是有規(guī)定靶標(biāo)資產(chǎn)，實際的對抗攻擊需要不斷的去探索下一個突破口，這難免會探測到我們靶標(biāo)以外的資產(chǎn)，BAS可以通過下定點的方法，P2P進行攻擊。
3、隨著數(shù)據(jù)安全法的發(fā)布，數(shù)據(jù)安全也成為重點關(guān)注問題，在ATT&CK攻擊時可能會導(dǎo)致我們的憑據(jù)和數(shù)據(jù)的泄漏，BAS可以在內(nèi)網(wǎng)中部署運行，這樣可以避免數(shù)據(jù)泄漏的情況。
4、公司部署大量安全設(shè)備，進行模擬攻擊可以來檢驗安全運營的有效。因為安全系統(tǒng)需要不斷升級以應(yīng)對新的和高級的安全威脅，并且必須定期對這些升級后的系統(tǒng)進行測試，來檢驗它們是否甚至可以對抗?jié)撛诘木W(wǎng)絡(luò)安全威脅。
5、隨著組織遷移到云或考慮替代本地基礎(chǔ)架構(gòu)，作為一項新技術(shù)，bas可以部署到大多數(shù)基礎(chǔ)設(shè)施或網(wǎng)絡(luò)段。
基于對眾多企業(yè)用戶的研究和調(diào)研，我們認為BAS在安全運營中的應(yīng)該具備和做到“四化三可”從而實現(xiàn)最佳落地實踐。
真正以攻擊者視角對當(dāng)前已部署的各類安全防護措施模擬攻擊驗證，檢驗當(dāng)前狀態(tài)下各類防護能力的實際有效性；
基于不同漏洞利用、攻擊工具、攻擊手法等實現(xiàn)對縱深防御不同場景下的安全防護驗證，實現(xiàn)體系化的全局驗證和掌握；
與安全運營高度融合，通過常態(tài)化的安全有效性驗證先于攻擊者發(fā)現(xiàn)安全能力薄弱點，縮短問題存在時間窗，最終實現(xiàn)穩(wěn)定、高水準(zhǔn)的安全防護態(tài)勢；
上述所有的實現(xiàn)，都應(yīng)該基于自動化的方式來實踐，不需要額外的專人投入，通過自動化的方式實現(xiàn)攻擊場景構(gòu)建、任務(wù)調(diào)度、事件日志獲取與分析評估，最終實現(xiàn)全自動化的驗證和結(jié)果輸出；
操作詳情可回溯、可審計、可復(fù)測，所有驗證數(shù)據(jù)可量化、可視化、可度量給出安全全貌，指導(dǎo)安全運營投入，讓安全投入有的放矢，回報可見，安全建設(shè)資金高效利用可持續(xù)；
通過平臺持續(xù)跟蹤和更新，快速上線最新的、熱點高危漏洞利用和攻擊驗證場景用例，及時對全局安全措施實現(xiàn)全覆蓋的自動化驗持續(xù)驗證，確保安全防護措施有效且處于穩(wěn)定狀態(tài)；
安全有效性驗證作為安全運營的重要組成，全流程具備可運營特性，基于各類攻擊場景、防護措施、驗證數(shù)據(jù)實現(xiàn)自身可運營的驗證閉環(huán)。
BAS作為一種不會對企業(yè)真實業(yè)務(wù)環(huán)境造成影響的無損檢測評估技術(shù)，在以下場景中被廣泛應(yīng)用：
通過自動化的攻擊模擬幫助企業(yè)持續(xù)評估整體的網(wǎng)絡(luò)安全防御態(tài)勢，及時發(fā)現(xiàn)安全控制中存在的策略問題或者防護漏洞，提升安全可見性和能見度，幫助安全團隊持續(xù)改善企業(yè)的網(wǎng)絡(luò)安全態(tài)勢。
BAS可以作為紅隊工具包，在攻防演練場景、SOC訓(xùn)練中，模擬特定的攻擊者，對特定或者全局網(wǎng)絡(luò)進行模擬攻擊測試，以評估企業(yè)安全團隊是否能發(fā)現(xiàn)和響應(yīng)特定的攻擊行為，提高企業(yè)對入侵攻擊的響應(yīng)和處置能力。
BAS可以針對等保2.0中提及的相關(guān)網(wǎng)絡(luò)和通信安全、設(shè)備和計算安全、應(yīng)用和數(shù)據(jù)安全、集中管控能力等有效性進行評估，驗證有效性、安全配置與安全策略的一致性，評估安全管理制度的執(zhí)行情況。
安全建設(shè)的初衷，就是希望能夠防護資產(chǎn)、數(shù)據(jù)，對各類真實存在的威脅進行對抗和防護。但精細化運營后，我們往往困惑，已經(jīng)建設(shè)的各類安全防護措施所產(chǎn)生的實際效果是否真的符合我們的預(yù)期？已部署的安全防護措施、策略可能無法按照預(yù)期起到應(yīng)有的防護效力，例如安全設(shè)備升級后異常、日志丟失、設(shè)備性能不足、覆蓋度不全、策略優(yōu)化不足、告警延遲、封禁延遲等問題。這就需要引入一套類似BAS的技術(shù)體系，實現(xiàn)對已建設(shè)的各類安全防護措施和策略，自動化、全面化、持續(xù)化的進行效力的驗證和確認，以縮短防護失效的時間窗口，降低威脅對抗的風(fēng)險，幫助企業(yè)建立精細化安全運營能力。