边界无限：红蓝对抗安全演练常态化的各方分析

虽然常态化演练尚未正式开始,但我们仍然希望对各方的表现进行一些分析和预测,以辅助我们对市场的判断和决策。同时,也希望通过这些初步的见解,抛砖引玉,引发更多有价值的讨论和观点。

“船停在码头是最安全的,但那不是造船的目的。”

让我们做一个极端假设,如果攻防演练只有一天,那么我相信可能90%以上的参演单位会采取应关尽关的策略,非核心业务一律关停,以最大限度地避免风险。但是,如果演练时间是一个月或两个月,又会如何呢?变量仅仅是时间,但时间意味着一切。长时间的演练不仅要求更高效的资源管理和防御策略,还需要持续的监控和应对,面对更多不可预见的挑战。

当我们讨论0Day时,我们在讨论什么?从2019年开始,红队逐渐囤积各种边界网络设备的0Day漏洞,目的是在2-3周的短期演练中能够快速实现网络隔离的突破。近几年,这一策略扩展到了Web应用和供应链系统的攻击,目标同样是尽可能快地实现网络隔离。北京边界无限科技有限公司(边界无限,BoundaryX)创始人、CEO陈佩文表示,0Day漏洞的本质在于利用过去积累的时间,在短期内换取快速突破网络边界的效果。假设演练时间延长到两个月,我们会发现上述的前提依然成立,提前准备仍然是关键,使用0Day漏洞在短时间内获取攻击入口的逻辑也不会改变。然而,时间的延长使得红队在演练过程中能够边打边挖,边挖边打,充分利用更长的时间窗口进行深入渗透和漏洞挖掘。这些仅仅是一种大面的判断,让我们深入攻防双方再来看看。

红队的视角

对于红队来说,常态化演练时间的延长既是机遇也是挑战。一方面,时间的延长为红队带来了更多实施复杂和隐蔽攻击策略的机会。例如,广义及狭义的供应链攻击在长期演练中变得可操作化,红队可以通过对供应商系统实施水坑攻击、植入后门等手段,借助供应链系统的漏洞或污染供应链代码来间接渗透目标。陈佩文表示,红队的攻击面也在扩大。随着时间的推移,边缘资产无法长期关闭,这意味着目标资产更多,红队的攻击面更广,防守单位的战线也被拉得更长。长时间的演练还使得红队的单点压强降低,红队的火力并不会每天都很凶猛。因此,错峰攻防成为可能,使防守方更难以防御。在足够长的时间下,一些在两周内不容易实施的攻击手段,如高级持续性攻击(APT)和多阶段攻击,也有了施展的空间。甚至一些在短期内无法预期的神奇的战法,可能在两个月内冒出来。安全防御需要运营,但安全的攻击也需要运营。拉长到两个月甚至更长时间来看,APT的逻辑便是攻击运营的思路之一。攻击长期运营起来后,甚至会比防御者更了解被攻击单位,这也是“网络安全的本质在对抗,对抗的本质在攻防两端能力较量”的体现之一。总结来说,时间的延长对红队来说既是压力也是挑战。在防守方的单点防御压强减少的情况下,局部不对称的攻防现象可能会增加,边缘资产的沦陷甚至网络隔离的突破也变得更为可能。

蓝队的视角

对于防守方,常态化演练时间的延长同样带来了巨大的挑战。首先,长时间的演练对防守方的人力和技术资源提出了更高要求。团队成员需要轮班工作,以保持长时间的持续防御,这不仅增加了人员的疲惫度,还需要更多的技术和设备支持,导致资源消耗、预算消耗的显著增加。因此,不太可能再像以前一样简单堆人同时7*24小时的值守来提升防护效果。

其次,在长时间的演练中,简单粗暴的关闭一些系统的策略无法一直生效。防守方无法随意关闭风险业务系统,同时必须确保这些系统在运行中的安全性。尤其是核心业务和边缘系统,防守方需要找到有效的防御措施,避免系统在演练期间被攻破。

长期的高强度防御对防守团队的心理状态也构成了巨大挑战。团队成员需要在高压环境下工作,保持高度的警惕性,这可能导致心理疲劳和工作效率下降。

然而,常态化演练也为防守方提供了建立长效安全机制的机会。通过长时间的演练,防守方能够建立一套全面的安全防护机制。这不仅包括技术层面的提升,还涉及到团队协作、应急响应和心理支持等方面,为组织的整体网络安全防御能力提供保障。

常态化演练还强调应急响应能力的提升。长时间、多样化的攻击手段要求防守方具备高效的应急响应能力,并能够迅速应对各种突发事件。随着演练时间的延长,防守方有更多时间考虑广义及狭义的供应链安全问题。通过全面评估和加强供应链各环节的安全措施,防守方可以建立更加稳固的防御体系,防止通过供应链进行的间接攻击。

监管的视角

大家习惯性地讨论攻防双方的思路,但演练中监管方的视角也是一块重要的视角。从监管角度来看,常态化演练的引入并非仅仅为了增加攻击和防御的难度,而是为了真正提升整体的网络安全防护能力。当前的运动式演练通常依赖于短期内的高强度防御措施,如临时关闭非核心业务系统,尽管这种方法在短期内有效,但它并没有解决根本问题。监管方意识到,网络边界防护并非无懈可击,持续的攻击总会找到突破口。因此,常态化演练旨在推动防守方从被动防御转向主动防御,实现“以攻促防,以攻促改”。

通过长时间的实战演练,防守方能够持续检测和应对攻击,发现系统中的深层次漏洞和薄弱环节。这样不仅可以提升防御系统的整体安全性,还能在实战中验证和改进现有的防御策略。实战演练的持续性和复杂性,迫使防守方在实际环境中面对真实威胁,逐步提升应对复杂攻击的能力。

此外,常态化演练还强调应急处置能力的完善。长时间、多样化的攻击手段要求防守方具备快速响应和灵活调整的能力。通过不断的演练和调整,防守方能够建立起一套高效的应急响应机制,在突发事件中迅速恢复系统的正常运行。这不仅提升了单个单位的防护能力,也为整个网络安全生态系统的稳定和安全提供了保障。

陈佩文表示,常态化演练不仅是对网络防御能力的强化测试,更是对整体安全策略的一次深刻检验。它迫使各方从短期利益和临时措施中走出来,真正构建起长期有效的安全防御体系。通过不断的实战检验和改进,我们才能在面对复杂多变的网络威胁时,更加从容和有效地应对。

而面对常态化演练场景下的新型攻击手段,比如0Day漏洞、内存马注入等,陈佩文也表示,举贤不避亲,基于多年实战攻防积淀以及对新型攻击手段的研究,边界无限推出了基于RASP技术的靖云甲ADR应用检测与响应系统,助力客户打造更完善的应用安全防护体系,并与多种产品、方案响应,助力客户建设高效的安全运营体系与纵深防御体系。

机遇和挑战并存,面对常态化演练,无须惊慌,演练终究是为了更好地“修炼内功”,发现问题,解决问题。