基于零信任策略在网络攻防演练中的实践研究.pdf

60 Vol.40,No.1January,2024第 40 卷第 1 期2024 年 1 月IT REPORT0 引言随着互联网信息技术的发展，基于传统安全边界模型的网络架构已不再具备防御复杂且多变的安全风险能力。2010 年 Forrester 公司首次提出了零信任模型概念，它的核心思想是“Never Trust,Always Verify”。零信任模型在重新评估了当前网络安全领域新威胁后，为现代网络安全架构设计提出了全新的解决方案。近年来网络攻防实战演练活动作为一种衡量组织在网络安全防御能力的实践方法得到大力发展。实战演练活动通过对指定目标的不限技术、方法的多角度入侵方式，模拟真实的网络攻击行为，旨在最大程度地还原网络攻击情景。本篇文章主要基于大型企业内部的模拟实战来展开，讨论如何基于零信任模型思想，加强企业网络安全防御能力并在实战演练活动预备阶段、实战防护以及复盘总结等关键阶段的防御思路。基于零信任策略在网络攻防演练中的实践研究李治宇（万达信息股份有限公司，上海201112）摘要：近年来网络攻防实战演练活动作为一种衡量组织在网络安全防御能力的实践方法得到大力发展，通过对零信任策略在网络攻防演练活动中的实践应用能力的研究，在网络攻防演练实战活动的准备阶段、实战演练和复盘总结阶段，贯彻落实零信任策略的核心防御思想，为企业组织参与网络攻防演练活动提供了积极的指导意义。关键词：零信任模型；攻防演练；网络安全；安全防御中图分类号：TN918文献标志码：A文章编号：1672-4739（2024）01-0060-03Practical Research on the Implementation of Zero Trust Policies in Cyber Attack and Defense DrillsLI Zhiyu（Wonders Information Co.,LTD.,Shanghai 201112,China）Abstract：In recent years,hands-on cyber attack and defense drills have been vigorously promoted as a practical method for assessing an organizations capabilities in cybersecurity defense.Through research on the practical application capabilities of the Zero Trust policy in these drills,this paper offers an in-depth look at the incorporation of the policys core principles during the preparation phase,the live drill phase,and the review and summary phase of the exercise.The findings offer substantial guidance for corporate organizations participating in cyber attack and defense drills.Keywords：zero trust model；attack and defense drills；cybersecurity；security defense1 相关研究1.1 零信任模型概念20 世纪 90 年代网络社区中提出过有关去边界化网络安全的讨论，目标是为解决大型网络中单一静态防御的局限性和去除基于网络位置的隐含信任，直至近年来Google 发布了基于零信任架构项目 BeyondCorp，初步实现员工不再依赖使用传统 VPN 技术进行远程访问内部资源，尤其适合当前企业上云趋势、微服务和分布式架构的业务场景1。零信任模型关注每个资源请求，实时评估连接的合法性以及风险水平。这一实现依赖于策略引擎来持续监控和调整对企业资源的访问状态，从而使企业能够更有效地应对复杂和不断变化的业务环境。1.2 网络攻防实战演练近年来随着互联网技术的发展，大型企业在经营活动中不断推动信息化建设，企业内部的网络架构和信息安全管理体系逐步完善，通过定期举办网络攻防实战演练，对于检验网络安全防御能力具有重大意义。在实践过程中，大型企业结合自身组织规模和活动指挥部，从而有效保障演练实践过程中的全面指挥和协调工作顺利进行，指挥部需要对整体的网络安全攻防演习工作收稿日期：2023-11-28作者简介：李治宇（1990.08-），男，汉族，上海人，本科，工程师，研究方向：企业信息安全管理、网络攻防实战以及网络和数据安全等。61 Vol.40,No.1January,2024第 40 卷第 1 期2024 年 1 月IT REPORT进行统一规划，提高演习设计的科学性，确保全面的演习目标和工作范围都在计划中得到体现2。2 零信任模型概述2.1 零信任模型的核心思想零信任模型核心思想是将网络防护能力从网络边界位置、粗粒度的防护策略收缩到资源请求客体和主体资源，不依赖用户信任凭据和授权策略，消除对系统和用户的隐含信任，并且与其所在物理和网络位置无关。图1 零信任模型逻辑架构零信任模型的控制部分称为控制平面，其余部分称为数据平面，控制平面主要功能是分析每个访问资源请求的合法性，策略引擎根据访问请求中的用户信息、用户属性角色、历史行为、威胁情报等信息综合评判后，由策略管理器动态协调配置连接信息，实现允许或拒绝其请求，从而，赋予企业网络安全防御机制更高的灵活性与伸缩性。策略引擎通过输入多个数据源信息对每个访问源请求进行分析。其中，资源库主要包括企业所有登记资产信息的数据源；用户行为数据库包括用户历史行为数据，例如登录时间、登录设备、地理位置、访问系统等；身份管理系统主要包含企业用户和角色授权策略信息；外部威胁情报库利用第三方提供的风险提示信息，为访问资源请求携带的元数据提供攻击特征分析3。3 网络攻防演练活动自网络安全法正式实施以来，对各个行业以及网络安全主管部门提出了定期开展相关演练工作的要求。攻防演练活动正逐步转变为评估网络安全防护能力、检验网络防御机制有效性的主要措施。目前，各省市地区、行业主管单位每年都会通过组织攻防演练活动，以检测和增强网络安全整体保障及应急反应能力、提高网络安全专业人员的实战能力，对加强安全风险意识等方面发挥出显著作用。通过防守方的视角讨论在网络攻防实战演练活动中的主要内容，包括：前期准备阶段、实战演练阶段和总结复盘阶段。3.1 活动准备阶段在攻防演练活动中，前期准备阶段的工作至关重要，直接关系到本次活动是否能够取得成功的关键性因素4。其中，可分为成立演习活动组织机构、系统资产情况梳理和制定防守方案等部分。图 2 防守方组织机构1）组织团队：设立演练领导小组，负责组织协调资源和制定演练活动总体目标。根据系统资产的梳理情况，确定在线运行的系统数量，可能涉及的业务部门和第三方技术支持单位，并且设立运维监测分析小组和研判溯源专家小组以及应急处置小组等。2）系统资产梳理：包括收集组织内部各个信息化系统，例如 OA 系统、邮件系统、业务系统等，还要掌握各个系统的漏洞、补丁以及网络安全的整体状况等。3）制定防守方案：根据系统的实际情况，应在演练开始前完成防守方案的编写，以指导防守工作的进行，进一步收敛风险暴露面，确保防守工作的效果，使攻防实战演练活动能够按计划逐步有效地进行。3.2 实战演练阶段在实战演练阶段，需要集中精力加大安全保障工作的力度，各个防守工作小组全方位强化攻击监测、分析和阻断以及溯源追踪等方面的安全防护效果。1）实时监测安全事件：借助专业网络安全防护设备，例如流量分析设备、Web 防火墙、入侵防护系统（IPS）、态势感知系统等，通过实时监测，确认发现的攻击行为，详细记录攻击相关数据，为后续处理工作提供信息。2）事件分析和处理：根据监测到的安全事件，协调进行分析和确认。如有必要，可以通过主机日志、网络设备日志、入侵检测设备日志等信息进行攻击行为分析，从而找出攻击者的源 IP 地址、攻击服务器 IP 地址、邮件地址等信息，并对攻击方法、攻击方式、攻击路径和工具等进行分析研判，开展追踪溯源工作5。3）威胁信息共享：对于已经分析并确认的攻击事件，将涉及的 IP 地址、攻击方式、攻击行为以及相关威胁信息等进行整理后共享给企业相关分支机构，共同构建攻击防护情报网络。3.3 总结复盘阶段对本次攻防演练各阶段的工作情况进行全面总结，涵 62 Vol.40,No.1January,2024第 40 卷第 1 期2024 年 1 月IT REPORT盖团队组织的构成与协调、攻击的具体情况与模式、防守的效果与遗留问题、实施的安全防护措施的有效性、采取的监测手段的精确性，以及响应过程中的协同处理情况等重要方面。对于在演练过程中暴露出的脆弱点和防护策略的缺失，需要开展针对性的整改工作，优化安全防护策略，进一步提升目标系统的安全防护能力，以便在面对未来可能的攻击时，能够更好地防御和应对6。4 零信任策略在攻防演练活动中的实践应用在本章我们将探讨基于零信任策略在网络攻防实战演习活动中的实践措施，主要分为以下六个部分：4.1 数据与资产基于零信任模型的核心思想，企业在实施零信任策略过程中，需要确定系统和数据资产来创建资产清单，包括各类系统、软硬件、关键数据和其他资源等。并根据数据资产的敏感性和重要程度，基于数据类型、用途和法规要求进行数据分类分级管理。在网络安全攻防实战演练中，按照演练规则预先指定防守方某个系统作为目标，一旦目标系统被攻破，则代表防守失败，所以通过调整零信任策略对演练目标进行重点防护，能够有效提升系统整体安全防护能力。4.2 最小权限策略在零信任模型中，访问者通过控制平面的策略引擎来判断每个访问请求是否合法有效，基于历史请求和信任度来判断访问者的合法性能够在网络攻防演练活动中带来简单快速的决策。最小权限策略是赋予访问用户或系统完成任务所需的最小权限，相对较容易理解，在设计系统访问策略时需要识别每个用户或系统的角色和职责，并以此来决定授予权限7。其次通过角色和职责来定义用户和系统应当能够访问的资源和权限。4.3 强化身份和访问管理在零信任策略中用户不具有默认的高权限访问能力，而是通过策略引擎来判断用户的可信度，利用这一特性能够有效防御在网络攻防演练活动中大量陌生或异常行为的用户访问请求，从而进一步提高了系统整体安全防护能力。对于网络攻防演练活动期间，重要核心系统应当启用多重身份验证功能，例如使用生物识别验证和多因素验证机制，并且基于零信任模型要求系统通过策略引擎持续性验证用户访问行为是否正常。4.4 网络分段管理通过实施网络分段管理能够降低攻击者在企业网络中的横向移动和访问能力。网络分段作为实现零信任策略的一种方式，通过将网络划分为独立的段，以此限制内外部网络中的任何访问设备和用户，提供了减少内部威胁和潜在攻击面的技术优势。需要注意的是网络分段管理与传统网络区域划分有着本质区别，网络分段管理的目标在于限制访问请求在合理的网络区间内，强调赋予用户或设备完成请求所需的最小权限，传统网络区域划分是用来将网络架构划分为多个逻辑网络，目标是用来改善网络管理和性能，配置策略也是基于规则的静态管理。4.5 持续监控与自动化响应在网络攻防演练活动中，持续地监控和处置响应流程是整个防守行动的关键环节，零信任策略充分利用流量监控设备和 SIEM 系统，能够有效保证攻击事件被及时地发现和快速处置8。在零信任策略中通过上下文感知技术、用户行为模式风险评分和实时监控/响应机制，来实时评估每个访问请求的风险程度，进而实现持续性动态监控与响应。4.6 安全意识教育在网络攻防实战活动中，通过邮件钓鱼、水坑攻击等社会工程学手段来实施入侵行为，已经成为一种低投入高回报的技术手段。在活动准备阶段应当在企业内部全员贯彻网络安全意识教育工作，通过实际案例培训员工如何安全地访问和使用企业资源，以及在遇到安全问题时应当如何报告和应对。5 结论本文基于零信任策略讨论在网络攻防实战演练活动中的实践应用，与传统基于边界访问控制模型和静态安全防护规则相比，充分发挥了零信任模型中访问控制策略的灵活性和安全性，也提升了系统抵御攻防实战演练中的网络防御能力。通过网络攻防演练活动，结合自身系统的特性、业务特征以及运营能力，可以有效提升系统的安全级别，当有实际的信息安全事件发生时，将有足够的自信、能力和经验来做出正确的应对和处理。参考文献：1 孙梅梅,朱彦斐,刘刚.基于“零信任”模型的安全网络构建 J.科技与创新,2021,(09):72-73.2李维刚,李强.基于零信任网络模型的环境监测网络安全分析J.四川环境,2021,40(03):60-63.3孙瑞,张正.基于多因素认证的零信任网络构建J.金陵科技学院学报,2020,36(01):21-26.4罗建东.大型央企网络安全攻防演练设计和实践J.中国信息安全,2019,(01):46-47.5吴云坤.网络安全演习探索与实践J.中国信息安全,2019,(01):39-42.6李欣,高见.网络攻防演练及其现实意义J.中国信息安全,2019,(01):33-35.7 刘志诚.新常态下数字化转型企业网络信息安全体系建设 J.网络空间安全,2018,9(11):80-87.8盛威.国外网络靶场现状与趋势分析J.网信军民融合,2017,(04):68-72.