安全有效性验证能力白皮书

CybersecurityValidation 目录 1.1国际相关概念......................................................................................81.2国内市场概况......................................................................................91.3行业需求与能力价值.........................................................................11 2.1安全有效性验证需要确保第三方中立性.............................................152.2懂攻防更要懂安全运营......................................................................162.3安全有效性验证必须实现无害化........................................................162.4安全有效性验证应高度自动化...........................................................172.5安全有效性验证需要包含攻防对抗和规则策略绕过的验证.................172.6基于最佳实践的验证用例积累...........................................................182.7安全有效性验证攻击用例的持续更新迭代..........................................182.8针对验证结果的策略优化..................................................................19 3.1传统安全防护体系存在脆弱性...........................................................203.2安全有效性验证与传统验证方式的差异.............................................213.3用户自己能否做验证.........................................................................23 4.核心能力...................................................................................................25 4.1验证流程...........................................................................................254.2功能架构...........................................................................................264.3逻辑架构...........................................................................................284.4用例设计...........................................................................................294.5策略制定...........................................................................................31 5.3网络攻防...........................................................................................345.4分支机构检查....................................................................................345.5安全意识...........................................................................................355.6纵深防御...........................................................................................355.7数据防泄露........................................................................................355.8信创安全...........................................................................................356.落地指引...................................................................................................376.1整体工作概述....................................................................................376.2验证准备阶段....................................................................................376.3验证执行阶段....................................................................................396.4结果分析阶段....................................................................................446.5持续改进...........................................................................................457.价值意义...................................................................................................477.1实现防护能力、运营能力精准提升....................................................477.2自动化策略巡检，为安全运营降本增效.............................................477.3可见的安全度量与投资回报...............................................................487.4监管分支机构的可靠抓手..................................................................488.行业客户案例............................................................................................508.1金融行业应用案例.............................................................................508.2能源行业应用案例.............................................................................548.3通信行业应用案例.............................................................................589.探索和展望................................................................................................65 前言 从互联网业务边界安全防护、到流量安全、主机安全、终端安全、邮件安全，从共享威胁情报，到统一运营管理，从用户行为管控，到安全意识教育，从安全管理规定，到应急响应流程……作为网络安全行业“最大的那条鱼”，安全运营囊括了防护、检测、响应、恢复等各个阶段，涵盖了从工具、平台、人到管理与流程的全部要素。可以说安全运营既蕴含着安全建设过往发展的历史，也代表了未来相当一段时间内机构安全体系化建设的方向。 伴随企业部署众多安全防护产品的同时，在各类攻防对抗、红蓝演练中依然会暴露出各种问题，导致边界被突破、权限被获取，数据被泄露，靶标被拿下甚至发生真实的信息安全事件，严重影响生产业务安全。为此，面对当前已部署的各类安全防护措施，企业安全团队需要关注： 1.已部署的各类安全防护措施和基线是否有效？是否按照预期执行防御和检测动作？是否可做到“应检尽检”？ 2.如何对当前已构建的防御体系真实效力持续评估、量化呈现？如何对安全防护措施的执行、落实、真实效力做考量和评价？ 经过对600多家金融、央企、制造业等单位的调研和实践证明，大多存在不同程度的“失去安全防护效力的情况”，这被称之为“防护失效”。 造成防护失效的原因中，90%难以通过日常巡检或依靠人工排查的方式发现异常，这些安全能力失效往往是在真实事件发生时才受重视或被感知。通过对大量案例和数据的分析，发现企业防护失效普遍呈现出“7-2-1”的共性态势。 针对各类安全防护必然存在失效或防护效力不及预期的问题，作为监管侧需要抓手，实现体系化、标准化的执行监督检查职责，及时发现和暴露组织单位安全防护的失效情况，联防联控，降低行业整体风险。作为承担安全防护主体责任的企业单位，应当在常态化安全防护中持续检验和评估自身安全防御能力，及时发现防护和检测缺失点，提升网络安全整体防护能力。为此，“安全有效性验证”作为全新的检查评价机制应运而生，既可以实现对企业单位已部署安全防护措施的自动化巡检核查，又可以作为监管单位的有效抓手。 通过对安全设备、平台、意识、流程等安全要素的有效性进行验证、度量，安全运营体系中的短板得以暴露，安全运营的价值得以体现。验证是手段，度量是价值。可以说，安全运营的灵魂即是验证与度量。安全有效性验证使得安全运营最重要的一块拼图得以补全。 近两年来，业内已经先后涌现出专门满足这一需求的初创安全企业，逐渐形成了安全有效性验证的创新赛道。在数世咨询发布的《能力指南-持续评估定义安全运营》报告中，已经对相关能力做了初步阐述。本报告将对“持续评估定义安全运营”中的主要技术路 线——安全有效性验证进行进一步调研阐述。 报告由北京知其安科技有限公司（下文简称“知其安”）与北京数字世界咨询有限公司（下文简称“数世咨询”）联合撰写、发布。 编写组成员： 知其安聂君、孟繁强、郭威、罗海龙、吕永朔数世咨询刘宸宇勘误与交