BAS在安全运营中的最佳实践要点

攻防
1年前

20221224221019.png

　　“2017年全球著名的信息技术研究和咨询公司Gartner在发布的《面向威胁技术的成熟度曲线》(Hype Cycle for Threat-Facing Technologies) 中首次出现BAS入侵与攻击模拟 (Breach and Attack Simulation) 概念，并将之归到了新兴技术行列。如 Gartner 描述的，该框架 “可供安全团队以一致的方式持续测试安全控制措施，贯穿从预防到检测（乃至响应）的整个过程。”

　　“Gartner在《2021年八大安全和风险管理趋势》、2021及2022《安全运营技术成熟度曲线》等报告中，连续提到BAS技术的必要性，将成为IT安全建设重要技术手段。”

　　“2022年8月权威机构Forrester《规划指南2023：安全与风险》中明确提出在运营技术（OT）威胁情报、安全分析平台等8个领域将成为全球企业重点建设投入的方向。（安全）运营技术，是未来发展重心，而自动化运营将会是重要发展路径”

安全运营中需要回答的问题

　　伴随这几年企业安全建设的高速发展，越来越多的企业部署了繁多复杂的安全产品、平台、规则策略。但与此同时，在各类攻防对抗、红蓝演练中依然会暴露出各种问题，导致边界被突破、权限被获取，数据被泄露，靶标被拿下甚至真实的发生信息安全事件，严重影响生产业务安全。为此，面对当前已部署的各类安全防护措施，我们需要回答：

　　1、已部署的各类安全防护措施是否有效，是否确实在正确的按照规则策略执行防御和检测动作。是否可做到“应检尽检，应告警确实告警”。
　　2、已部署的各类安全防护措施实际效力如何？实际防护或检测效力达到什么水准？有什么检测缺失点？是否存在运营使用中“低级错误导致的高级威胁”？

　　通过与近百家金融、央企、制造业等机构的沟通和实践，我们认为安全运营中最大的困扰是安全防护必然存在失效情况，已部署的安全措施可能无法按照预期起到应有的防护效力。需要引入一套新的机制，实现对已部署的各类安全防护措施，全面的验证和持续监测评估。做到：

● 已知攻击，已有检测能力
　　常态化运营中，已部署的安全防护措施经常是既定的。面对已知的攻击手法和漏洞利用等，我们需要确保已部署的各类安全防护措施100%有效，充分发挥其应有的防护检测能力。

● 已知攻击，不确定检测能力
　　面对已知的最新的攻击，我们需要有一套机制，实现大规模、自动化、全覆盖的对企业当前多网域复杂部署的安全防护措施进行验证，取代人工搭建环境、单点验证等方式。及时掌握和了解最新的防护检测情况，有针对性的采取应急响应措施。

● 新型攻击，不确定检测能力
　　攻防对抗是交替迭代螺旋上升的过程，时刻都会有新型的攻击、绕过、漏洞利用的出现。面对新型的攻击，我们需要具备实时跟踪、工程化技术验证的能力，对既定的安全防护体系进行验证，及时掌握防护态势，为安全运营全局提供重要数据支撑。

BAS在安全运营实践中的要点

　　BAS入侵与攻击模拟，从落地实践简单来说，基于这项技术框架，打造出自适应的平台帮助在企业内部自行构造不同的模拟攻击验证场景，对企业已部署的各类安全防护措施及规则策略开展全面的模拟攻击验证，通过对攻击结果的汇集分析来评估整体防护的有效性。我们称之为“安全有效性验证”。

　　基于对众多企业用户的研究和调研，我们认为BAS在安全运营中的应该具备和做到“四化三可”从而实现最佳落地实践。

BAS.png图 BAS在安全运营实践中的“四化三可”

　　● 实战化：真正以攻击者视角对当前已部署的各类安全防护措施模拟攻击验证，检验当前状态下各类防护能力的实际有效性；
　　● 体系化：基于不同漏洞利用、攻击工具、攻击手法等实现对纵深防御不同场景下的安全防护验证，实现体系化的全局验证和掌握；
　　● 常态化：与安全运营高度融合，通过常态化的安全有效性验证先于攻击者发现安全能力薄弱点，缩短问题存在时间窗，最终实现稳定、高水准的安全防护态势；
　　● 自动化：上述所有的实现，都应该基于自动化的方式来实践，不需要额外的专人投入，通过自动化的方式实现攻击场景构建、任务调度、事件日志获取与分析评估，最终实现全自动化的验证和结果输出；
　　● 可量化：操作详情可回溯、可审计、可复测，所有验证数据可量化、可视化、可度量给出安全全貌，指导安全运营投入，让安全投入有的放矢，回报可见，安全建设资金高效利用可持续；
　　● 可持续：通过平台持续跟踪和更新，快速上线最新的、热点高危漏洞利用和攻击验证场景用例，及时对全局安全措施实现全覆盖的自动化验持续验证，确保安全防护措施有效且处于稳定状态；
　　● 可运营：安全有效性验证作为安全运营的重要组成，全流程具备可运营特性，基于各类攻击场景、防护措施、验证数据实现自身可运营的验证闭环。


离朱-安全验证平台——安全有效性验证的最佳实践

　　离朱安全有效性验证平台是知其安公司推出的国内首个商业化、规模化落地的安全有效性验证产品。利用BAS技术，通过丰富全面的验证场景和用例，自动化的闭环手段，对企业纵深防御体系的有效性进行实时、全面的验证，帮助企业面对真实攻击的防御检测能力进行度量，切实提高运营效率、发现和解决安全失效问题、全面提升安全能力，为安全运营提供全面可靠的数据支撑。离朱-安全验证平台已成功应用于数十家大型股份制银行、证券和基金公司、央企、部委、互联网公司、高端制造企业，帮助企业建立精细化安全运营能力，针对安全防护脆弱性精准提升安全水位。

数世点评

　　在满足攻击面管理、威胁检测与响应等实战化需求的过程中，无论是对于新成立的安全团队，还是已经较为成熟的安全运营体系，“安全有效性验证”都可以提供闭环式的能力补充，为安全运营工作持续提供自动、量化、成体系的迭代依据。因此正越来越多进入行业用户一线安全运营团队的视野。数世咨询会持续关注这一领域。


【关于知其安】
北京知其安科技有限公司，致力于技术和产品创新驱动的新一代网络安全企业，专注在安全运营系列工具研发，是国内安全有效性验证领域开创者和领导者。创始人聂君是国内安全运营最早的提出者和实践者，被誉为“安全运营四杰”。创始团队来自阿里、腾讯等头部企业，具备丰富的甲方安全运营实践经验。知其安基于创始团队多年甲方实践经验，推出“离朱-安全有效性验证”产品和服务，率先在国内提出并推广“安全有效性验证”理念，让安全验证成为企业安全运营重要基础平台。公司也获得了“CCIA2022年中国网安产业潜力之星”、数世咨询《年度创新力十强》等多项大奖荣誉，也已获得红衫中国种子基金、红点中国、晨晖创投等多家顶级投资机构的投资。


参考阅读
[调研]推进安全运营自动化
七个指标衡量安全运营有效性
与安全运营相关的五个攻击面难题
人机合智：安全运营中的人工智能