2024-07-04 15:45:31 天极网
虽然常态化演练尚未正式开始，但我们仍然希望对各方的表现进行一些分析和预测，以辅助我们对市场的判断和决策。同时，也希望通过这些初步的见解，抛砖引玉，引发更多有价值的讨论和观点。
“船停在码头是最安全的，但那不是造船的目的。”
让我们做一个极端假设，如果攻防演练只有一天，那么我相信可能90%以上的参演单位会采取应关尽关的策略，非核心业务一律关停，以最大限度地避免风险。但是，如果演练时间是一个月或两个月，又会如何呢?变量仅仅是时间，但时间意味着一切。长时间的演练不仅要求更高效的资源管理和防御策略，还需要持续的监控和应对，面对更多不可预见的挑战。
当我们讨论0Day时，我们在讨论什么?
从2019年开始，红队逐渐囤积各种边界网络设备的0Day漏洞，目的是在2-3周的短期演练中能够快速实现网络隔离的突破。近几年，这一策略扩展到了Web应用和供应链系统的攻击，目标同样是尽可能快地实现网络隔离。北京边界无限科技有限公司(边界无限，BoundaryX)创始人、CEO陈佩文表示，0Day漏洞的本质在于利用过去积累的时间，在短期内换取快速突破网络边界的效果。假设演练时间延长到两个月，我们会发现上述的前提依然成立，提前准备仍然是关键，使用0Day漏洞在短时间内获取攻击入口的逻辑也不会改变。然而，时间的延长使得红队在演练过程中能够边打边挖，边挖边打，充分利用更长的时间窗口进行深入渗透和漏洞挖掘。
这些仅仅是一种大面的判断，让我们深入攻防双方再来看看。
红队的视角
对于红队来说，常态化演练时间的延长既是机遇也是挑战。一方面，时间的延长为红队带来了更多实施复杂和隐蔽攻击策略的机会。例如，广义及狭义的供应链攻击在长期演练中变得可操作化，红队可以通过对供应商系统实施水坑攻击、植入后门等手段，借助供应链系统的漏洞或污染供应链代码来间接渗透目标。
陈佩文表示，红队的攻击面也在扩大。随着时间的推移，边缘资产无法长期关闭，这意味着目标资产更多，红队的攻击面更广，防守单位的战线也被拉得更长。长时间的演练还使得红队的单点压强降低，红队的火力并不会每天都很凶猛。因此，错峰攻防成为可能，使防守方更难以防御。在足够长的时间下，一些在两周内不容易实施的攻击手段，如高级持续性攻击(APT)和多阶段攻击，也有了施展的空间。甚至一些在短期内无法预期的神奇的战法，可能在两个月内冒出来。
安全防御需要运营，但安全的攻击也需要运营。拉长到两个月甚至更长时间来看，APT的逻辑便是攻击运营的思路之一。攻击长期运营起来后，甚至会比防御者更了解被攻击单位，这也是“网络安全的本质在对抗，对抗的本质在攻防两端能力较量”的体现之一。
总结来说，时间的延长对红队来说既是压力也是挑战。在防守方的单点防御压强减少的情况下，局部不对称的攻防现象可能会增加，边缘资产的沦陷甚至网络隔离的突破也变得更为可能。
蓝队的视角
对于防守方，常态化演练时间的延长同样带来了巨大的挑战。首先，长时间的演练对防守方的人力和技术资源提出了更高要求。团队成员需要轮班工作，以保持长时间的持续防御，这不仅增加了人员的疲惫度，还需要更多的技术和设备支持，导致资源消耗、预算消耗的显著增加。因此，不太可能再像以前一样简单堆人同时7*24小时的值守来提升防护效果。
其次，在长时间的演练中，简单粗暴的关闭一些系统的策略无法一直生效。防守方无法随意关闭风险业务系统，同时必须确保这些系统在运行中的安全性。尤其是核心业务和边缘系统，防守方需要找到有效的防御措施，避免系统在演练期间被攻破。
长期的高强度防御对防守团队的心理状态也构成了巨大挑战。团队成员需要在高压环境下工作，保持高度的警惕性，这可能导致心理疲劳和工作效率下降。
然而，常态化演练也为防守方提供了建立长效安全机制的机会。通过长时间的演练，防守方能够建立一套全面的安全防护机制。这不仅包括技术层面的提升，还涉及到团队协作、应急响应和心理支持等方面，为组织的整体网络安全防御能力提供保障。
常态化演练还强调应急响应能力的提升。长时间、多样化的攻击手段要求防守方具备高效的应急响应能力，并能够迅速应对各种突发事件。随着演练时间的延长，防守方有更多时间考虑广义及狭义的供应链安全问题。通过全面评估和加强供应链各环节的安全措施，防守方可以建立更加稳固的防御体系，防止通过供应链进行的间接攻击。
监管的视角
大家习惯性地讨论攻防双方的思路，但演练中监管方的视角也是一块重要的视角。从监管角度来看，常态化演练的引入并非仅仅为了增加攻击和防御的难度，而是为了真正提升整体的网络安全防护能力。当前的运动式演练通常依赖于短期内的高强度防御措施，如临时关闭非核心业务系统，尽管这种方法在短期内有效，但它并没有解决根本问题。监管方意识到，网络边界防护并非无懈可击，持续的攻击总会找到突破口。因此，常态化演练旨在推动防守方从被动防御转向主动防御，实现“以攻促防，以攻促改”。
通过长时间的实战演练，防守方能够持续检测和应对攻击，发现系统中的深层次漏洞和薄弱环节。这样不仅可以提升防御系统的整体安全性，还能在实战中验证和改进现有的防御策略。实战演练的持续性和复杂性，迫使防守方在实际环境中面对真实威胁，逐步提升应对复杂攻击的能力。
此外，常态化演练还强调应急处置能力的完善。长时间、多样化的攻击手段要求防守方具备快速响应和灵活调整的能力。通过不断的演练和调整，防守方能够建立起一套高效的应急响应机制，在突发事件中迅速恢复系统的正常运行。这不仅提升了单个单位的防护能力，也为整个网络安全生态系统的稳定和安全提供了保障。
陈佩文表示，常态化演练不仅是对网络防御能力的强化测试，更是对整体安全策略的一次深刻检验。它迫使各方从短期利益和临时措施中走出来，真正构建起长期有效的安全防御体系。通过不断的实战检验和改进，我们才能在面对复杂多变的网络威胁时，更加从容和有效地应对。
而面对常态化演练场景下的新型攻击手段，比如0Day漏洞、内存马注入等，陈佩文也表示，举贤不避亲，基于多年实战攻防积淀以及对新型攻击手段的研究，边界无限推出了基于RASP技术的靖云甲ADR应用检测与响应系统，助力客户打造更完善的应用安全防护体系，并与多种产品、方案响应，助力客户建设高效的安全运营体系与纵深防御体系。
机遇和挑战并存，面对常态化演练，无须惊慌，演练终究是为了更好地“修炼内功”，发现问题，解决问题。
