基于网络安全滑动标尺的安全防护体系建设探讨

基于网络安全滑动标尺的安全防护体系建设探讨作者：未知【摘要】2015年，美国系统网络安全协会（SANS）提出了网络安全滑动标尺模型，将网络安全体系建设过程分为架构建设、被动防御、积极防御、威胁情报和进攻反制五个阶段，按照每个阶段的建设水平来对安全防护能力进行评估，并指导未来安全防护能力的建设。本文将通过对网络安全滑动标尺模型的深入剖析，来探讨如何借助该模型更好的开展安全防护体系建设工作。【关键词】网络安全;安全滑动标尺中图分类号：TP309-65文献标识码：A文章编号：2095-2457（2019）10-0228-002DOI：10.19694/j.cnki.issn2095-2457.2019.10.100DiscussionontheConstructionofSafetyProtectionSystemBasedonNetworkSafetySlidingScaleLIHua-yu（OfficeInformationCenterofNorthernAnhuiCoalandElectricityGroup，SuzhouAnhui234000，China）【Abstract】In2015，theAmericanAssociationforSystemsandNetworkSecurity（SANS）proposedaslidingscalemodelfornetworksecurity，whichdividestheconstructionprocessofnetworksecuritysystemintofivestages：architectureconstruction，passivedefense，activedefense，ThreatIntelligenceandoffensivecountermeasure.Itevaluatesthesecurityprotectioncapabilityaccordingtotheconstructionlevelofeachstage，andguidestheconstructionoffuturesecurityprotectioncapability.Thispaperwilldiscusshowtousethismodeltobettercarryouttheconstructionofsecurityprotectionsystemthroughin-depthanalysisoftheslidingscalemodelofnetworksecurity.【Keywords】Networksecurity;Slidingruler0前言隨着信息技术迈入“云大物移智”时代，网络安全形势也发生了深刻的变化，但在实际工作中，安全建设的重点仍旧是合规驱动的硬件盒子采购，除等保测评外，缺少其他更有效的安全能力评估手段。传统的以边界隔离、特征库匹配检测为主要技术手段的安全防护体系建设，在新型安全威胁下，显得不堪一击。现阶段网络安全工作建设的困局，主要集中在以下几点：重设备采购轻架构安全目前，仍把安全设备采购作为安全防护体系建设的主要方案，对信息系统自身的架构安全缺乏重视，传统的网络安全设备三大件仍是采购主要对象。重硬件产品轻安全运营网络安全工作对人员专业化能力要求很高，目前很多国内企事业单位没有此方面的人才积累，导致了很多安全设备无法真正的发挥出应有的价值，在发生安全事件时也无法进行快速定位及应急响应。重合规缺有效安全能力评估措施等级保护政策在《网络安全法》正式颁布执行后已经成为网络安全工作的规定动作，但有个误区：认为通过等保测评后，安全工作就可以高枕无忧和万事大吉了。殊不知安全是一个动态、对抗的过程、如果仅以通过等保测评满足合规要求来推动安全建设，就会出现“只见树木不见森林”狭隘安全观。同时，由于缺少对安全能力或安全建设成熟度的客观评价，也会出现安全能力缺失，未来规划存在重复建设的风险。针对上述问题，迫切需要引入新思路、新技术和新方案来对现有安全防护体系进行改造，应更好的应对新形势下的网络安全威胁。1网络安全滑动标尺模型网络安全滑动标尺模型与传统的PDR、P2DR和IATF等安全模型相比，建立了一个分类框架。整体安全体系的建设是一个非割裂的连续过程，模型中用于属于各个类别的措施与属于相邻类别的措施之间是相互关联的，不是割裂的，本质上界线也没有那么清晰。左侧的安全能力是右侧的安全能力的基础和依赖，协同联动成整体的安全能力。第一阶段：架构安全。模型把架构安全建设放在标尺的最左边，通过完成架构安全建设，解决基础层面的安全问题，包括安全域划分、补丁管理、系统加固等工作，此阶段工作不依赖外部安全硬件设备来完成。第二阶段：被动防御。在做好架构安全建设后，进入被动防御阶段。在架构安全的基础上，部署防火墙、入侵检测等硬件安全设备，来提升安全能力，让系统具备基本的检测和防御能力，该阶段无人员介入，仅能靠安全设备提供可持续的威胁防护及威胁漏洞察力，核心为建设纵深防御体系。等保合规即包括架构安全和被动防御建设阶段。第三阶段：积极防御。积极防御阶段将安全运维人员引入，强调人员的参与，对所防御范围内的威胁进行性持续监控，可以主动进行分析检测、应对，包括从外部的攻击手段和手法进行学习，该阶段的核心能力为在人员参与情况下开展检测和响应工作。第四阶段：威胁情报。采用威胁情报为安全设备和人员进行赋能，通过收集各种安全数据、借助机器学习，进行建模及大数据分析，开展攻击行为的自学习和自识别，进行攻击画像、标签等活动，将收集到的各种数据加工成为有价值的信息。该阶段能够做到对攻击行为“知己知彼”。第五阶段：进攻反制。指利用法律及攻击自卫反击等技术对攻击者进行反制威慑。最后，该模型还很好的解决传统安全模型无法对安全能力根据建设阶段进行安全能力成熟度评价问题。每一阶段的安全能力都可以在模型上体现出来，随着安全能力从架构安全到进攻反制过程中的不断演进，安全能力成熟度也随之提升。2安全实践现阶段，网络安全建设以等保为重点目标展开，参考模型处于第一阶段和第二阶段，距离第三阶段积极防御还存在着不少的差距。接下来将从网络安全滑动标尺的视角结合国内部分企事业单位网络安全建设的现状来探讨如何做好安全防护体系建设。阶段一：架构安全;行动目标：科学规划、强身健体本阶段主要建设内容包括安全域划分、系统安全加固、补丁管理和应用内建安全等方面，上述内容在等保合规建设已经基本涉及，但仍需要重点考虑应用内建安全能力建设，包括应用代码问题、应用自身安全功能等方面。阶段二：被动防御;行动目标：构筑工事、纵深防御本阶段被动防御主要建设内容就是建设纵深防御体系，通过部署防火墙、网闸、入侵检测、抗D等传统安全硬件设备组成，达到基础对抗、收缩攻击面、消耗攻击机资源、迟滞攻击的目的。上述内容在等保合规建设已经基本涉及，需要重点考虑的是如何收缩攻击面的问题。阶段三：积极防御;行动目标：全面检测、快速响应目前，大部分企事业单位网络安全体系的构建在完成了从“安全架构”、到“被动防御”建设后、将进入到“积极防御”阶段。第一阶段“安全架构”是网络的根基，其确保网络结构的坚固，第二阶段“被动防御”则是消耗攻击资源、提升攻击成本的有效途径，而第三阶段“积极防御”是对“被动防护”能力的补充，用于对抗更为复杂的高级威胁。概括来讲，第三阶段“积极防御”应在保持网络结构坚固的基础上，不断巩固防线纵深，并持续提升监控、分析和响应能力。阶段四：威胁情报;行动目标：获取情报、准确预警威胁情报是继架构安全、被动防御、积极防御后更为高阶的网络安全方法。威胁情报能有效增强现有结构安全、被动防御、积极防御体系的防御能力。国内主流安全厂商的威胁情报中心解决方案可提供安全威脅事前预测、热点事件实时预警、公网资产安全核查、情报驱动设备防御、攻击事件溯源分析等技术支持。威胁情报可以对攻击者进行溯源、定位、画像，实现在整个安全事件处置过程中，不能能够“知己”而且能够“知彼”阶段五：进攻反制;行动目标：进攻反制、先发制人网络安全滑动标尺模型能够较客观的评价安全能力的成熟度，每阶段进入下一阶段，都将在安全能力方面有着较大的提升，向右通过不断演进最终达到一个比较理想的安全能力成熟度。按照网络安全滑动标尺模型构建安全体系，能够实现从“安全架构”、到“被动防御”、再到“积极防御”等阶段的叠加演进。“叠加演进”，其绝不仅仅是指前一阶段向后一阶段的进化，事实上每一阶段的能力体现均强依赖于前一阶段的建设，而这一点却往往被忽略。由此可见，防护尽管已不再可靠，但从攻防对抗的角度来讲，其依然具有重要的作用和战略意义，在失陷几乎成为必然的今天，防护应起到的作用是消耗攻击资源、迟滞攻击的成功，为其他安全措施“争取时间”。最后，总结一下如何借助该模型进行安全体系建设。第一，重新审视现有网络的基础架构，通过对内部网络进行更加精细的分段和隔离，构建内网的塔防体系。同时，通过提升对安全策略执行效果的感知能力，及时发现访问控制的疏漏，避免安全设备成为“摆设”，维持网络的结构坚固;第二，构建统一管理平台，加强安全设备维护管理，依靠自动化、半自动化的手段提升应急处置的效率与准确性，用户选择某一品类安全产品时应优先考虑同一品牌，以降低运维管理、应急响应的操作难度。第三，设置专业安全技术岗位，通过招聘或购买服务方式开展专业安全运营服务。日常安全运维中，重视持续监控，通过数据分析构建用户对于风险、威胁的发现和感知能力，向“积极防御”持续迈进。3未来展望网络安全滑动标尺模型能够很好地指引国内企事业单位开展安全防护体系建设工作，不仅指明了每一阶段的建设目标更给出了具体建设内容，而且具有很强的实践性和可操作性。