重保季 | NDR+安全湖防守三部曲，开启2024常态化实战攻防演练新篇章

随着国际、国内网络安全局面的复杂化、企业数字化程度的加深以及数字世界不同主体之间的联动加深,网络安全不再是某一家企业、某一个部门的责任,而逐渐成为兼具企业经济责任和社会责任的“广义”安全命题。因此,组织、参与实战演练就成为政府、企业及社会各界非常重视,也是我们安全建设者们一年一度的重要工作。实战演练也是对安全厂商的一次“大考”,通过真刀真枪的对抗,来检验安全产品的性能、安全体系的稳定程度、安全人才的实力。

在历年对抗中,蓝方(防守方)的经验越来越丰富,工具越来越强大,直接导致红方(攻击方)的手段花样翻新,且越来越真实。针对今年攻防演练行动的特殊变化,也需要相应的能力升级。

例如,时间长度的拉长和参与主体的增多,一方面会导致原有安全防御策略的失效,另一方面也会更大程度暴露攻击面,尤其是一些新纳入攻防演练的主体,可能会陷入“被攻破后原地躺平”的风险。

俗话说,“工欲善其事,必先利其器”,这里我们就针对2024年的一些新任务、新变化和新挑战,通过连载的方式,为大家推荐 “专季专用”的神器,在重点演练场景中的应用攻略。

——NDR&安全湖——

由于攻防演练常态化,攻方最常用的手段就是侦查、渗透、提权、长期驻留,防守方对应的策略也可以利用这些攻击溯源反渗透和反侦察、因此,是否能够完整、全面、客观、敏捷的对攻防期间的数据和流量进行分析,就成了致胜的“胜负手”。

根据数世咨询发布的《NDR能力指南》,NDR&威胁情报可以在攻防演练场景的如下维度发挥重要作用:

●提供全流量会话PCAP文件形式的存储,还原攻击事件和异常行为,供用户随时调取;

●以时间为主线,分析黑客行为。要能清晰完整呈现攻击IP的攻击次数、攻击手法、攻击工具,为溯源提供数据支撑;

●接到监管单位、上级单位的预警通知,以及安全告警事件后,溯源分析关键时间点的数据包上下文,还原当时的攻击场景,为分析研判提供支撑;

●威胁情报关联分析,即对流量数据与内部威胁情报进行联动分析。通过匹配黑IP、黑域名的外部威胁情报库,记录告警资产与黑客的会话连接数据,同时,记录黑客在资产区的全部活动轨迹。

腾讯云NDR产品(由NDR御界高级威胁检测系统和NDR天幕安全治理平台组成)基于云端协同的全流量检测,覆盖勒索病毒、邮件安全、密码安全等八大安全场景,开箱即用,通过安全专题将威胁聚焦,结合可视化分析帮助客户针对性解决风险问题;在检测能力方面,AI算法+威胁情报+哈勃沙箱+规则引擎四大领先利器,强力对抗攻击绕过和0day漏洞;在响应速度上,腾讯云NDR具备全面的互联网漏洞检测机制及国内领先的威胁情报库,能实现实时联动,快速响应最新漏洞和事件;在阻断效果上,腾讯云NDR采用非侵入式旁路阻断攻击行为,闭环处置事件,阻断成功率高达99.99%。

由于参与攻防演练的政府部门和企业,大多属于“关基”范畴,相关的安全数据规模巨大、管理、查询、追溯的成本都非常高(既包括财务成本,也包括技术和人员成本)。

基于腾讯云安全湖产品,实现低成本、高性能、全栈国产化,为所有泛安全数据提供一体化的数据接入、架构、存储、分析、检索、报表和可视化能力,降低90%存储成本,PB级数据分析秒级响应。基于威胁情报的能力,提供全流量数据存储与分析溯源方案,能发现180天以上的长周期历史数据中的未知威胁,并提供情报回溯、威胁狩猎等能力,帮助企业快速应对APT、0day漏洞等高危事件,回扫历史数据,发现潜在威胁,御敌千里之外。