2022年12月8日，硅谷知名網(wǎng)絡(luò)安全投資基金Ten Eleven Ventures宣布，對(duì)一個(gè)專注于「安全有效性驗(yàn)證」方向的新種子Interpres 投資8.5M美金。
旋即，Interpres便被CSO Online列為2023值得關(guān)注的網(wǎng)絡(luò)安全初創(chuàng)公司之一。Interpres提供了一個(gè)讓客戶能夠更好地管理其「防御面Defense Surface」的平臺(tái)，通過(guò)持續(xù)的威脅分析識(shí)別網(wǎng)絡(luò)防御中的漏洞和低效之處，展示客戶當(dāng)前安全工具的能力，使安全團(tuán)隊(duì)能夠通過(guò)數(shù)據(jù)驅(qū)動(dòng)來(lái)改善安全態(tài)勢(shì)，企業(yè)的安全性能變得可理解和可證明。
隨著企業(yè)安全建設(shè)的發(fā)展，企業(yè)部署了繁多復(fù)雜的安全產(chǎn)品、平臺(tái)、規(guī)則策略。但與此同時(shí)，在各類攻防對(duì)抗、紅藍(lán)演練中依然會(huì)暴露出各種問(wèn)題，導(dǎo)致邊界被突破、權(quán)限被獲取，數(shù)據(jù)被泄露，靶標(biāo)被拿下甚至真實(shí)的發(fā)生信息安全事件，嚴(yán)重影響生產(chǎn)業(yè)務(wù)安全。根據(jù)Gartner的調(diào)查，97％的入侵行為發(fā)生在已經(jīng)部署適當(dāng)網(wǎng)絡(luò)安全防護(hù)系統(tǒng)的公司，99%的攻擊行為是使用已知并存在多年的攻擊方式或者漏洞，95%的繞過(guò)安全防護(hù)設(shè)備的入侵攻擊行為是因?yàn)殄e(cuò)誤的配置造成的。為此，面對(duì)當(dāng)前已部署的各類安全防護(hù)措施，我們需要回答：
已部署的各類安全防護(hù)措施是否有效，是否確實(shí)在正確的按照規(guī)則策略執(zhí)行防御和檢測(cè)動(dòng)作。是否可做到“應(yīng)檢盡檢，應(yīng)告警確實(shí)告警”。
已部署的各類安全防護(hù)措施實(shí)際效力如何？實(shí)際防護(hù)或檢測(cè)效力達(dá)到什么水準(zhǔn)？有什么檢測(cè)缺失點(diǎn)？是否存在運(yùn)營(yíng)使用中“低級(jí)錯(cuò)誤導(dǎo)致的高級(jí)威脅”？
通過(guò)與近百家金融、央企、制造業(yè)等機(jī)構(gòu)的溝通和實(shí)踐，我們認(rèn)為安全運(yùn)營(yíng)中最大的困擾是安全防護(hù)必然存在失效情況，已部署的安全措施可能無(wú)法按照預(yù)期起到應(yīng)有的防護(hù)效力。如何解決安全設(shè)備有效性的問(wèn)題？在應(yīng)對(duì)安全設(shè)備數(shù)量和安全日志告警急劇增多的同時(shí)，如何確保安全人員工作質(zhì)量的穩(wěn)定輸出？需要引入一套新的機(jī)制，實(shí)現(xiàn)對(duì)已部署的各類安全防護(hù)措施，全面的驗(yàn)證和持續(xù)監(jiān)測(cè)評(píng)估。做到：
常態(tài)化運(yùn)營(yíng)中，已部署的安全防護(hù)措施經(jīng)常是既定的。面對(duì)已知的攻擊手法和漏洞利用等，我們需要確保已部署的各類安全防護(hù)措施100%有效，充分發(fā)揮其應(yīng)有的防護(hù)檢測(cè)能力。
面對(duì)已知的最新的攻擊，我們需要有一套機(jī)制，實(shí)現(xiàn)大規(guī)模、自動(dòng)化、全覆蓋的對(duì)企業(yè)當(dāng)前多網(wǎng)域復(fù)雜部署的安全防護(hù)措施進(jìn)行驗(yàn)證，取代人工搭建環(huán)境、單點(diǎn)驗(yàn)證等方式。及時(shí)掌握和了解最新的防護(hù)檢測(cè)情況，有針對(duì)性的采取應(yīng)急響應(yīng)措施。
攻防對(duì)抗是交替迭代螺旋上升的過(guò)程，時(shí)刻都會(huì)有新型的攻擊、繞過(guò)、漏洞利用的出現(xiàn)。面對(duì)新型的攻擊，我們需要具備實(shí)時(shí)跟蹤、工程化技術(shù)驗(yàn)證的能力，對(duì)既定的安全防護(hù)體系進(jìn)行驗(yàn)證，及時(shí)掌握防護(hù)態(tài)勢(shì)，為安全運(yùn)營(yíng)全局提供重要數(shù)據(jù)支撐。
如何評(píng)估當(dāng)前安全體系建設(shè)的成熟度和有效性，是近年來(lái)國(guó)內(nèi)成熟企業(yè)中CSO們開(kāi)始關(guān)注的一個(gè)話題！缸詣(dòng)化安全風(fēng)險(xiǎn)評(píng)估ASRA」和「自動(dòng)化攻擊模擬BAS」作為國(guó)內(nèi)新興的賽道，其中的許多明星初創(chuàng)廠商也開(kāi)始積極響應(yīng)CSO的這一意識(shí)轉(zhuǎn)變，為當(dāng)前甲方安全體系的建設(shè)有效性和未來(lái)能力提升，提供輔助評(píng)估的自動(dòng)化平臺(tái)和配套的知識(shí)與工具。
目前，經(jīng)過(guò)幾年的發(fā)展，國(guó)外BAS技術(shù)已經(jīng)相對(duì)成熟，在2021年Gartner發(fā)布的安全運(yùn)營(yíng)技術(shù)成熟度曲線中，BAS仍處于高市場(chǎng)預(yù)期的熱門賽道。近兩年，國(guó)內(nèi)BAS廠商也不斷涌現(xiàn)，隨著技術(shù)的不斷成熟，BAS未來(lái)或?qū)⒊蔀橹髁鞯陌踩L(fēng)險(xiǎn)檢測(cè)技術(shù)。
簡(jiǎn)單來(lái)說(shuō)，BAS技術(shù)主要是為企業(yè)和機(jī)構(gòu)提供持續(xù)的安全防御體系評(píng)估能力。BAS整個(gè)體系分為管理中心和模擬器兩部分。
所有攻擊模擬行為的管理調(diào)度和展示中心。
部署在企業(yè)網(wǎng)絡(luò)各個(gè)區(qū)域里，作為攻擊的發(fā)起或被攻擊的一個(gè)端點(diǎn)，通過(guò)各種模擬器的組合，覆蓋各種攻擊場(chǎng)景下的攻擊模擬測(cè)試。
例如：可以針對(duì)互聯(lián)網(wǎng)邊界上的WAF進(jìn)行針對(duì)性的攻擊測(cè)試，也可以對(duì)從辦公終端到業(yè)務(wù)服務(wù)區(qū)、內(nèi)網(wǎng)數(shù)據(jù)核心區(qū)這樣完整的APT攻擊鏈進(jìn)行模擬測(cè)試。
1、紅隊(duì)安全的預(yù)模擬階段通常是最漫長(zhǎng)和最重要的部分。首先需要考慮多久執(zhí)行一次紅藍(lán)對(duì)抗它們可以每年、每六個(gè)月、每季度、每月或其他頻率舉行一次，而且這種紅藍(lán)隊(duì)測(cè)試需要安排大量人員，那么時(shí)間、人員、金錢上會(huì)消耗大量成本。如果通過(guò)BAS進(jìn)行ATT&CK模擬入侵，這樣在人員、時(shí)間、金錢上可以節(jié)省很多成本。
2、在紅藍(lán)對(duì)抗中是有規(guī)定靶標(biāo)資產(chǎn)，實(shí)際的對(duì)抗攻擊需要不斷的去探索下一個(gè)突破口，這難免會(huì)探測(cè)到我們靶標(biāo)以外的資產(chǎn)，BAS可以通過(guò)下定點(diǎn)的方法，P2P進(jìn)行攻擊。
3、隨著數(shù)據(jù)安全法的發(fā)布，數(shù)據(jù)安全也成為重點(diǎn)關(guān)注問(wèn)題，在ATT&CK攻擊時(shí)可能會(huì)導(dǎo)致我們的憑據(jù)和數(shù)據(jù)的泄漏，BAS可以在內(nèi)網(wǎng)中部署運(yùn)行，這樣可以避免數(shù)據(jù)泄漏的情況。
4、公司部署大量安全設(shè)備，進(jìn)行模擬攻擊可以來(lái)檢驗(yàn)安全運(yùn)營(yíng)的有效。因?yàn)榘踩到y(tǒng)需要不斷升級(jí)以應(yīng)對(duì)新的和高級(jí)的安全威脅，并且必須定期對(duì)這些升級(jí)后的系統(tǒng)進(jìn)行測(cè)試，來(lái)檢驗(yàn)它們是否甚至可以對(duì)抗?jié)撛诘木W(wǎng)絡(luò)安全威脅。
5、隨著組織遷移到云或考慮替代本地基礎(chǔ)架構(gòu)，作為一項(xiàng)新技術(shù)，bas可以部署到大多數(shù)基礎(chǔ)設(shè)施或網(wǎng)絡(luò)段。
基于對(duì)眾多企業(yè)用戶的研究和調(diào)研，我們認(rèn)為BAS在安全運(yùn)營(yíng)中的應(yīng)該具備和做到“四化三可”從而實(shí)現(xiàn)最佳落地實(shí)踐。
真正以攻擊者視角對(duì)當(dāng)前已部署的各類安全防護(hù)措施模擬攻擊驗(yàn)證，檢驗(yàn)當(dāng)前狀態(tài)下各類防護(hù)能力的實(shí)際有效性；
基于不同漏洞利用、攻擊工具、攻擊手法等實(shí)現(xiàn)對(duì)縱深防御不同場(chǎng)景下的安全防護(hù)驗(yàn)證，實(shí)現(xiàn)體系化的全局驗(yàn)證和掌握；
與安全運(yùn)營(yíng)高度融合，通過(guò)常態(tài)化的安全有效性驗(yàn)證先于攻擊者發(fā)現(xiàn)安全能力薄弱點(diǎn)，縮短問(wèn)題存在時(shí)間窗，最終實(shí)現(xiàn)穩(wěn)定、高水準(zhǔn)的安全防護(hù)態(tài)勢(shì)；
上述所有的實(shí)現(xiàn)，都應(yīng)該基于自動(dòng)化的方式來(lái)實(shí)踐，不需要額外的專人投入，通過(guò)自動(dòng)化的方式實(shí)現(xiàn)攻擊場(chǎng)景構(gòu)建、任務(wù)調(diào)度、事件日志獲取與分析評(píng)估，最終實(shí)現(xiàn)全自動(dòng)化的驗(yàn)證和結(jié)果輸出；
操作詳情可回溯、可審計(jì)、可復(fù)測(cè)，所有驗(yàn)證數(shù)據(jù)可量化、可視化、可度量給出安全全貌，指導(dǎo)安全運(yùn)營(yíng)投入，讓安全投入有的放矢，回報(bào)可見(jiàn)，安全建設(shè)資金高效利用可持續(xù)；
通過(guò)平臺(tái)持續(xù)跟蹤和更新，快速上線最新的、熱點(diǎn)高危漏洞利用和攻擊驗(yàn)證場(chǎng)景用例，及時(shí)對(duì)全局安全措施實(shí)現(xiàn)全覆蓋的自動(dòng)化驗(yàn)持續(xù)驗(yàn)證，確保安全防護(hù)措施有效且處于穩(wěn)定狀態(tài)；
安全有效性驗(yàn)證作為安全運(yùn)營(yíng)的重要組成，全流程具備可運(yùn)營(yíng)特性，基于各類攻擊場(chǎng)景、防護(hù)措施、驗(yàn)證數(shù)據(jù)實(shí)現(xiàn)自身可運(yùn)營(yíng)的驗(yàn)證閉環(huán)。
BAS作為一種不會(huì)對(duì)企業(yè)真實(shí)業(yè)務(wù)環(huán)境造成影響的無(wú)損檢測(cè)評(píng)估技術(shù)，在以下場(chǎng)景中被廣泛應(yīng)用：
通過(guò)自動(dòng)化的攻擊模擬幫助企業(yè)持續(xù)評(píng)估整體的網(wǎng)絡(luò)安全防御態(tài)勢(shì)，及時(shí)發(fā)現(xiàn)安全控制中存在的策略問(wèn)題或者防護(hù)漏洞，提升安全可見(jiàn)性和能見(jiàn)度，幫助安全團(tuán)隊(duì)持續(xù)改善企業(yè)的網(wǎng)絡(luò)安全態(tài)勢(shì)。
BAS可以作為紅隊(duì)工具包，在攻防演練場(chǎng)景、SOC訓(xùn)練中，模擬特定的攻擊者，對(duì)特定或者全局網(wǎng)絡(luò)進(jìn)行模擬攻擊測(cè)試，以評(píng)估企業(yè)安全團(tuán)隊(duì)是否能發(fā)現(xiàn)和響應(yīng)特定的攻擊行為，提高企業(yè)對(duì)入侵攻擊的響應(yīng)和處置能力。
BAS可以針對(duì)等保2.0中提及的相關(guān)網(wǎng)絡(luò)和通信安全、設(shè)備和計(jì)算安全、應(yīng)用和數(shù)據(jù)安全、集中管控能力等有效性進(jìn)行評(píng)估，驗(yàn)證有效性、安全配置與安全策略的一致性，評(píng)估安全管理制度的執(zhí)行情況。
安全建設(shè)的初衷，就是希望能夠防護(hù)資產(chǎn)、數(shù)據(jù)，對(duì)各類真實(shí)存在的威脅進(jìn)行對(duì)抗和防護(hù)。但精細(xì)化運(yùn)營(yíng)后，我們往往困惑，已經(jīng)建設(shè)的各類安全防護(hù)措施所產(chǎn)生的實(shí)際效果是否真的符合我們的預(yù)期？已部署的安全防護(hù)措施、策略可能無(wú)法按照預(yù)期起到應(yīng)有的防護(hù)效力，例如安全設(shè)備升級(jí)后異常、日志丟失、設(shè)備性能不足、覆蓋度不全、策略優(yōu)化不足、告警延遲、封禁延遲等問(wèn)題。這就需要引入一套類似BAS的技術(shù)體系，實(shí)現(xiàn)對(duì)已建設(shè)的各類安全防護(hù)措施和策略，自動(dòng)化、全面化、持續(xù)化的進(jìn)行效力的驗(yàn)證和確認(rèn)，以縮短防護(hù)失效的時(shí)間窗口，降低威脅對(duì)抗的風(fēng)險(xiǎn)，幫助企業(yè)建立精細(xì)化安全運(yùn)營(yíng)能力。
上一篇：回眸2022，奮進(jìn)2023丨來(lái)看看天暢信息熱點(diǎn)事件回放
下一篇：網(wǎng)絡(luò)安全熱點(diǎn) | 零信任架構(gòu)技術(shù)探討及實(shí)踐建議
<b id="lemuw"><abbr id="lemuw"></abbr></b>