如何构建进攻性的网络安全防护策略

进攻性安全（Offensive security）是指一系列主动安全策略，这些策略与恶意行为者在现实世界的攻击中使用的策略相同，区别在于其目的是加强而非损害网络安全。常见的进攻性安全方法包括红队、渗透测试和漏洞评估。

进攻性安全行动通常由道德黑客实施，这些网络安全专业人士会利用他们的黑客技能来发现和修复IT系统的漏洞。与真正的网络犯罪分子侵入系统窃取敏感数据或注入恶意软件不同，道德黑客是在获得许可的情况下进行模拟入侵。他们不会造成真正的破坏，而是利用模拟攻击的发现来帮助组织提高防御能力。

进攻性安全策略的价值

为了理解进攻性安全的价值，我们可以将其和防御性安全（defensive security）进行比较。防御性安全措施包括组织为保护自身免受攻击所做的一切努力。部署安全解决方案、制定安全策略、培训员工识别网络钓鱼攻击以及类似的工作都属于防御范畴。传统上，由于以下关键原因，大公司主要依赖防御性网络安全策略：

1. 防御有助于降低风险，降低网络攻击的可能性，并最大限度地减少对数据和系统的潜在损害；

2.法规遵从性通常要求更注重防御措施，以保护敏感信息，并与行业特定的网络安全法规保持一致；

3.保护组织的声誉，因为网络攻击会损害信任，因此防御是重中之重。此外，与违规后补救相比，预防的成本效益证明了防御方法的合理性。

不过，虽然防御性安全策略可以帮助阻止正在进行的网络攻击，但这些方法也会给安全团队带来沉重的工作量。分析师必须对海量的警报和数据进行分类，将真正的威胁与虚假警报区分开来。此外，防御性安全措施只能防止已知的攻击媒介，使组织暴露在新的和未知的网络威胁之下。

进攻性安全是防御性安全的补充，可以为组织提供一种测试其防御和识别需要解决的安全漏洞的方法。通过模拟真实世界的攻击，进攻性网络安全测试可以识别对组织构成最大风险的漏洞，使公司能够将安全投资和精力集中在能够提供最大投资回报的地方。

而且，进攻性安全策略也比防御性安全策略更具前瞻性。安全团队可以使用策略来发现和响应其他安全措施可能遗漏的未知攻击向量。进攻性安全措施不是在网络攻击发生时才被动做出反应，而是在攻击者利用漏洞之前主动发现并解决漏洞。

简而言之，进攻性安全策略可以使防御性安全策略更加有效。一个成熟的网络安全计划应该包含进攻性和防御性的网络安全活动。这种组合既可以保护组织免受网络威胁，又可以使用进攻性网络安全技术来完善和改进这些防御手段。

进攻性安全策略的类型

进攻性安全策略所使用的战术、技术和程序（TTPs）与攻击者使用的TTPs非常相似。通过使用这些TTPs，进攻性安全专业人员可以发现并修复攻击者可能使用的潜在漏洞。

当前，企业可以采用的主要进攻性安全策略包括：

一、漏洞扫描

漏洞扫描是用于检测组织IT资产中的漏洞的自动化过程。漏洞扫描程序可以搜索与特定软件版本相关的已知漏洞。它们还可以执行更主动的测试，比如查看应用程序如何响应常见的SQL注入字符串或其他恶意输入。

黑客经常使用漏洞扫描来识别他们可以在攻击期间利用的漏洞。反过来，也可以使用相同的漏洞扫描程序来发现潜在漏洞，并在黑客利用它们之前关闭这些漏洞。这种积极主动的方法使组织能够领先于威胁并加强防御。漏洞扫描服务主要的优势在于：

一、扫描全面

涵盖多种类型资产扫描，支持云内外网站和主机扫描，支持内网扫描、智能关联各资产之间的联系，自动发现资产指纹信息，避免扫描盲区。

二、高效精准

采用web2.0智能爬虫技术，内部验证机制不断自测和优化，提高检测准确率，时刻关注业界紧急CVE爆发漏洞情况，自动扫描，最快速了解资产安全风险。

三、简单易用

配置简单，一键全网扫描。可自定义扫描事件，分类管理资产安全，让运维工作更简单，风险状况更清晰了然。

四、报告全面

清晰简洁的扫描报告，多角度分析资产安全风险，多元化数据呈现，将安全数据智能分析和整合，使安全现状清晰明了。

漏洞扫描服务能提供的服务内容：

一、针对Web漏洞扫描--网站的漏洞与弱点易于被黑客利用，形成攻击，带来不良影响，造成经济损失。

1.常规漏洞扫描

丰富的漏洞规则库，可针对各种类型的网站进行全面深入的漏洞扫描，提供专业全面的扫描报告。

2.最紧急漏洞扫描

针对最紧急爆发的VCE漏洞，安全专家第一时间分析漏洞、更新规则、提供最快速专业的VCE漏洞扫描。

二、针对弱密码扫描--主机或中间件等资产一般使用密码进行远程登录，攻击者往往使用扫描技术来探测其用户名和弱口令。

1.多场景可用

全方位的OS连接，涵盖90%的中间件，支持标准Web业务弱密码检测、操作系统、数据库等弱口令检测。

2.丰富的弱密码库

丰富的弱密码匹配库，模拟黑客对各场景进行弱口令探测，同时支持自定义字典进行密码检测。

三、针对中间件扫描--中间件可帮助用户灵活、高效地开发和集成复杂的应用软件，一旦被黑客发现漏洞并利用，将影响上下层安全。

1.丰富的扫描场景

支持主流Web容器、前台开发框架、后台微服务技术栈的版本漏洞和配置合规扫描。

2.多扫描方式可选

支持通过标准包或者自定义安装等多种方式识别服务器中的中间件及其版本，全方位发现服务器中的漏洞风险。

四、针对内容合规检测--网站被发现有不合规言论时，会给企业造成品牌和经济上的多重损失。

1.精准识别

同步更新时政热点和舆情事件的样本数据，准确定位各种涉黄、涉暴涉恐、涉政等敏感内容。

2.智能高效

对文本、图片内容进行上下文语义分析，智能识别复杂变种文本。

二、渗透测试

渗透测试是使用模拟网络攻击来发现计算机系统中的漏洞。从本质上讲，渗透测试人员通过模仿真正的黑客来搜索网络漏洞。因为渗透测试人员采用攻击者的视角，所以他们通常可以精确地指出恶意行为者最有可能瞄准的漏洞。

网络安全专家的参与有助于检测到安全工具可能错过的漏洞，同时减少误报的可能性。而且由于渗透测试通常是由第三方安全服务提供的，他们经常可以发现内部安全团队可能遗漏的漏洞。主要的服务内容在于：漏洞挖掘、修复建议以及回归测试。

1.安全性漏洞挖掘

找出应用中存在的安全漏洞。安全应用检测是对传统安全弱点的串联并形成路径，最终通过路径式的利用而达到模拟入侵的效果。发掘应用中影响业务正常运行、导致敏感信息泄露、造成现金和信誉损失的等的漏洞。

2.漏洞修复方案

渗透测试目的是防御，故发现漏洞后，修复是关键。安全专家针对漏洞产生的原因进行分析，提出修复建议，以防御恶意攻击者的攻击。

3.回归测试

漏洞修复后，对修复方案和结果进行有效性评估，分析修复方案的有损打击和误打击风险，验证漏洞修复结果。汇总漏洞修复方案评估结果，标注漏洞修复结果，更新并发送测试报告。

三、红队演练

红队演练，也被称为“对抗模拟”，是一组专家使用现实世界网络罪犯的TTPs对计算机系统发动模拟攻击的一种演习。

与渗透测试不同，网络安全红队是一种对抗性的安全评估。红队会积极利用各种攻击向量（不造成实际伤害），看看他们能够实现多大的破坏力。红队还要面对一支由安全工程师组成的蓝队，蓝队的目标是阻止他们。这使组织有机会测试其实际操作的事件响应过程。

为了测试技术防御和员工意识，红队的行动可能会使用一系列的战术。红队常用的方法包括模拟勒索软件攻击、网络钓鱼和其他社会工程模拟等。

四、社会工程测试

许多网络威胁行为者在攻击中将针对人为因素，而不是试图识别和利用软件漏洞。社会工程测试的重点是评估组织的员工、承包商等对其数据和系统的保护程度。社会工程师将使用欺骗、操纵和类似的技术来欺骗或强迫目标执行一些对攻击者有利的操作，例如交出敏感数据或授予对公司应用程序或空间的访问权。

构建进攻性的网络安全防护策略是应对当前网络安全威胁的有效手段之一。通过掌握多种技能和方法，可以建立起一道坚不可摧的网络安全防线，保护自己的核心利益不受侵犯。