基于攻击模拟实现高质量安全运营

安全运营现状与挑战

• 安全运营面临的问题包括：安全能力建设投入是否有效、如何确定安全投入方向和优先级、如何验证安全防护能力等。
• 企业在安全建设上面临的挑战包括：安全产品实际防护能力与宣传不符、安全规则配置不完善、新攻击手段防护能力不足、安全投入价值难以衡量等。
• 安全缺乏有效的度量方式。

什么是攻击模拟BAS

• BAS（Breach and Attack Simulation）是持续验证安全控制的有效性，模拟真实攻击行为，评估组织防御态势。
• BAS技术成熟度：2021年Gartner将其列为八大安全和风险管理趋势之一，预计未来2-5年将相对成熟。
• BAS与其他工具的差异：BAS模拟真实攻击，覆盖范围广，自动化程度高，系统性强。

基于BAS的安全验证

• 腾讯攻击模拟验证平台（TBAS）特点：自动化、真实化、无害化、可视化。
• 安全验证流程：确定防御检测场景、执行防御检测验证、失效分析和防护优化、辅助安全投入决策。
• 核心要素：剧本（攻击行为的原子操作）、场景（针对特定目标的攻击模拟集合）。
• 丰富的高价值攻击模拟剧本：覆盖Webshell、漏洞利用、钓鱼等攻击行为，支持自定义。
• 一键验证：内置场景一键执行，支持自定义场景编排。
• 基于指标的验证管理与结果分析：详细的执行结果、与安全设备告警联动。
• 全面防御体系态势分析：清晰识别安全防御有效性态势，精准定位安全防御弱点。

应用场景

• 作为红队攻击工具包，模拟特定攻击者进行测试。
• 持续评估整体网络安全防御态势，发现安全控制问题。
• 辅助红蓝演习，进行常态化实战对抗。

技术原理与部署方案

• 原理：在企业不同网络区域部署验证机和靶机，进行无害化的持续攻击验证。
• 核心组件：BAS模拟器（模拟攻击者）、BAS控制台（任务调度、数据分析）、靶机（部署防护软件/设备）。

实践与总结

• 开放云原生安全测试平台：腾讯云联合中国信通院和清华大学发起成立“云原生安全实验室”，开发“云原生安全测试平台”。
• 全面覆盖云原生安全能力验证：覆盖“云原生安全能力体系”五大安全能力域，实现安全风险可观测。
• 验证路径的可观测：容器提权、逃逸、反弹shell、文件篡改等场景验证，多维度验证数据。
• 实践分享：某大型头部券商客户使用BAS验证平台完成多款安全设备的有效性验证，发现多个安全防御缺陷。
• 优势分析：腾讯拥有顶尖安全能力、庞大威胁情报、大规模实践积累、国内顶尖安全实验室支持、持续化运营。
• 总结展望：通过BAS，让安全可度量，风险可观测，价值可衡量。