細數攻防演練中十大關鍵防守點

實戰攻防演練已成為檢驗參演機構網絡安全防禦能力和水平的“試金石”，以及參演機構應對網絡攻擊能力的“磨刀石”。近些年在實戰攻防演練中主要暴露問題，也是需要在演練中做好重點防護的地方。

一、互聯網未知資產或服務大量存在

在實戰攻防演練中，資產的控制權和所有權始終是攻防雙方的爭奪焦點。互聯網暴露面作為流量的入口，是攻擊方重要的攻擊對象。資產不清是很多企事業單比特面臨的現狀。數字化轉型帶來的互聯網暴露面不斷擴大，單比特的資產範圍不斷外延。除了看得到的“冰面資產”之外，還有大量的冰面之下的資產，包括無主資產、灰色資產、僵屍資產等。在實戰攻防演練中，一些單比特存在年久失修、無開發維護保障的老舊系統和僵屍系統，因為清理不及時，這些系統容易成為攻擊者的跳板，構成嚴重的安全隱患。

二、網絡及子網內部安全域之間隔離措施不到比特

網絡內部的隔離措施是考驗企業網絡安全防護能力的重要因素。很多機構沒有嚴格的訪問控制（ACL）策略，在DMZ（隔離區）和辦公網之間不進行或很少進行網絡隔離，辦公網和互聯網相通，網絡區域劃分不嚴格，可以直接使遠程控制程序上線，導致攻擊方可以輕易實現跨區攻擊。

不同區域內網間缺乏必要的隔離管控措施，缺乏足够有效的網絡訪問控制。這就導致藍隊一旦突破了子公司或分公司的防線，便可以通過內網進行橫向滲透，直接攻擊集團總部，或是漫遊整個企業內網，攻擊任意系統。

三、互聯網應用系統常規漏洞過多

在實戰攻防演練期間，已知應用系統漏洞、中間件漏洞以及因配置問題產生的常規漏洞，是攻擊方發現的明顯問題和主要攻擊渠道。從中間件來看，WebLogic、WebSphere、Tomcat、Apache、Nginx、IIS都有人使用。WebLogic應用比較廣泛，因存在反序列化漏洞，所以常常會被作為打點和內網滲透的突破點。所有行業基本上都有對外開放的郵件系統，可以針對郵件系統漏洞，比如跨站漏洞、CoreMail漏洞、XXE漏洞來開展攻擊，也可以通過釣魚郵件和魚叉郵件攻擊來開展社工工作，這些均是比較好的突破點。

四、互聯網敏感信息泄露明顯

網絡拓撲、用戶信息、登錄憑證等敏感信息在互聯網上被大量泄露，成為攻擊方突破點。大量互聯網敏感數據泄露，為攻擊者進入內部網絡和開展攻擊提供了便利。

五、邊界設備成為進入內網的缺口

互聯網出口和應用都是攻入內部網絡的入口和途徑。目前企事業單比特的接入防護措施良莠不齊，給藍隊創造了大量的機會。針對VPN系統等開放於互聯網邊界的設備或系統，為了避免影響員工使用，很多機構沒有在其傳輸通道上增加更多的防護手段；再加上此類系統多會集成統一登錄，一旦獲得了某個員工的賬號密碼，藍隊可以通過這些系統突破邊界直接進入內部網絡。

六、內網管理設備成為擴大戰果的突破點

主機承載著政企機構的關鍵業務應用，須重點關注，重點防護。但很多機構的內部網絡的防禦機制脆弱，在實戰攻防演練期間，經常出現早已披露的陳年漏洞未修複，特別是內部網絡主機、服務器以及相關應用服務補丁修複不及時的情况。對於藍隊來說，這些脆弱點是可利用的重要途徑，可以用來順利拿下內部網絡服務器及數據庫權限。

同時集權類系統也是主要目標，一旦被突破，整個內部的應用和系統也基本全部被突破，藍隊可以借此實現以點打面，掌握對其所屬管轄範圍內的所有主機的控制權。

七、安全設備自身安全成為新的風險點

在實戰攻防演練中，被發現和利用的各類安全產品0day漏洞主要涉及安全網關、身份與訪問管理、安全管理、終端安全等類型的安全產品。利用這些安全產品的漏洞，藍隊可以：突破網絡邊界，獲取控制權限並進入網絡；獲取用戶賬戶信息，並快速拿下相關設備和網絡的控制權限。最近幾年，出現了多起VPN、堡壘機、終端管理等重要安全設備被藍隊利用重大漏洞完成突破的案例，這些安全設備被攻陷，直接造成網絡邊界防護失效，大量管理權限被控制。

八、供應鏈攻擊成為攻擊方的重要突破口

在攻防演練過程中，隨著防守方對攻擊行為的監測、發現和溯源能力大幅增强，攻擊隊開始更多地轉向供應鏈攻擊等新型作戰策略。藍隊會從IT（設備及軟件）服務商、安全服務商、辦公及生產服務商等供應鏈機構入手，尋找軟件、設備及系統漏洞，發現人員及管理薄弱點並實施攻擊。常見的系統突破口有郵件系統、OA系統、安全設備、社交軟件等，常見的突破方式有利用軟件漏洞、管理員弱口令等。由於攻擊對象範圍廣，攻擊方式隱蔽，供應鏈攻擊成為攻擊方的重要突破口，給企事業單比特安全防護帶來了極大的挑戰。

九、員工安全意識淡薄是攻擊的突破口

很多情况下，攻擊人要比攻擊系統容易得多。利用人員安全意識不足或安全能力不足，實施社會工程學攻擊，通過釣魚郵件或社交平臺進行誘騙，是攻擊方經常使用的手法。

人是支撐安全業務的最重要因素，專業人才缺乏是很多企業面臨的挑戰之一。在攻防演練期間，有大量防守工作需要開展，而且專業性較强，要求企業配備足够强大的專業化網絡安全人才隊伍。

十、內網安全檢測能力不足

攻防演練中，攻擊方攻擊測試，對防守方的檢測能力要求更高。網絡安全監控設備的部署、網絡安全態勢感知平臺的建設，是實現安全可視化、安全可控的基礎。部分企業采購並部署了相關工具，但是每秒上千條告警，很難從中甄別出實際攻擊事件。

此外，部分老舊的防護設備，策略配置混亂，安全防護依靠這些系統發揮中堅力量，勢必力不從心。流量監測及主機監控工具缺失，僅依靠傳統防護設備的告警，甚至依靠人工翻閱海量日志來判斷攻擊。更重要的是，精於內部網絡隱蔽滲透的攻擊方在內部網絡進行非常謹慎而隱蔽的橫向拓展，很難被流量監測設備或態勢感知系統檢測。

從以上十方面做好網絡安全防護是網絡安全工作中非常重要的方面。重視並建設好企事業單比特網絡安全監控體系，持續運營並優化網絡安全監控策略，是真正可以經受實戰化考驗的重要舉措。