转载自金融电子化

前言

一切美好的结果，均源自于过程！

在网络安全领域，攻防交织、持续对抗，安全只是阶段性的，而威胁是持续性的。网络安全是一个动态的、持续的过程。持续的安全结果与安全状态需求持续的安全过程，安全防御体系建设需要从追求结果安全向坚持过程安全转变。

安博通提出了以安全策略统筹管理与安全策略建模为基础的过程安全架构，实现了主机资产、脆弱性、入侵事件与网络安全架构的关联分析，能够提供事前、事中、事后三个阶段闭环的网络安全管理与处置能力。希望能够给各类金融机构的安全防御体系建设带来借鉴作用。

网络安全是一个动态、持续的过程

从攻击与防御两个角度看，网络安全都可以描述为一个持续的过程。

2011年，洛克希德–马丁公司提出了网络入侵杀伤链模型，用于识别和预防网络入侵活动，这个模型描述了攻击者必须完成哪些工作才能实现其目标。杀伤链把网络入侵活动描述为一个系统的过程，这个过程分为七个阶段：侦查跟踪、武器构建、载荷投递、漏洞利用、安装植入、命令与控制和目标达成。这个过程在不同的网络入侵活动中被不断地重复着。

2014年，Gartner提出了自适应安全架构，将安全保护定义为一个连续的过程，这个过程分为四个阶段，即预测、预防、检测、响应。持续监控与分析是自适应保护安全架构的核心。2017年，Gartner进一步提出了持续自适应风险与信任评估战略方法，这个战略是一个庞大的体系，包括大数据、AI、机器学习、自动化、行为分析、威胁检测、安全防护、安全评估等方面。它强调对风险和信任的评估分析，而这个分析是一个权衡的过程，这个过程包括：风险、信任、自适应与持续。

网络安全的动态性与持续性对我们的网络安全防御体系提出了更高的要求，具体表现为需要具备更高的安全可见性、更强大的自动化处置能力、更严谨的安全运维流程。为此，安博通提出了SIIP过程安全架构。

基于安全策略建模实现过程安全架构

过程安全架构（SIIP：Security is in process）是安博通提出的面向网络安全管理与网络运维的框架。它强调网络安全是一个过程，一直在进行中，安全只是阶段性的，而威胁是持续性的。安全防御体系建设需要从追求结果安全向坚持过程安全转变，而这个转变并不意味着否定，安全是“果”，过程是“因”，我们需要运用控制论与系统论的思维方式来构建安全防御体系，从而实现因果兼施，持续提升整体安全防御水平。

过程安全架构基于大数据与AI技术，深度融合网络安全基础架构建模、 脆弱性评估与高级威胁检测技术，构建了可视化的网络安全风险评估、态势监测与响应处置模型。它实现了资产、业务、网络结构、安全控制、脆弱性与入侵事件等要素的关联分析，能够对给定网络系统脆弱性的暴露程度进行精确量化评估，可以提供更高的网络安全可见性，从而帮助使用者看清网络攻击面，并及时准确地发现网络攻击行为与过程。它可以根据预设的“剧本”，根据不同事件分类与优先级，提供自动化的响应与处置能力，提升安全管理工作的效率，避免使用者陷入网络安全疲劳状态。它可以提供系统化与自动化的网络安全策略变更工作流程，将网络安全防御工作融入到日常网络运维工作中，使网络安全工作常备不懈。

图：SIIP过程安全架构

过程安全架构面向用户视角，按照安全防御的事前、事中、事后三个阶段提供闭环的网络安全管理界面与处置能力。事前，实现网络攻击面的量化评估、优化漏洞处置排序与安全访问控制，收敛网络攻击面。事中，实现已知威胁检测与未知威胁检测结合，网络侧检测与主机侧检测关联，策略自动化编排下发，自动化响应攻击事件。事后，提供安全事件数据挖掘和回溯分析能力。

过程安全架构实现的重要基础是网络安全策略全局建模技术。该技术实现了网络中防火墙、路由器、交换机、负载均衡等设备安全控制策略信息的自动提取与解析，提取信息包括对网络安全访问产生影响的安全访问控制策略、NAT策略与路由信息等；在云化场景中还需要同时实现虚拟设备、安全组策略、主机访问控制等信息。在此基础上，计算网络中任意两点间的安全访问关系与路径，并运用可视化技术，输出逻辑连接拓扑与安全访问控制拓扑。网络安全策略全局建模技术是传统安全防御体系建设中的重要缺失。

过程安全架构应用价值举例

过程安全架构是一种网络安全理念、网络安全框架，但同时它是一个可落地、可演进的网络安全解决方案。接下来举例说明一下过程安全架构的业务流程与应用价值。

1、网络攻击面可视化评估与持续收敛，缓解网络风险

首先，介绍一下应用过程安全架构实现网络攻击面收敛与分析的业务流程。这个业务流程主要分为三个步骤，第一步是网络攻击面计算，第二步是风险排序，第三步是攻击面收敛。三个步骤循环往复，从而保持安全防御体系处于最佳状态，在攻防对抗中提升攻击门槛。

攻击面计算。资产盘点以及资产的脆弱性评估，传统方案中都会涉及，但过程安全架构根据网络攻击面的定义（网络攻击面：是一个给定的网络系统所能够被访问和利用的脆弱性总和），对网络安全基础架构进行了建模，并基于此对资产脆弱性的暴露风险进行计算，使得风险评估与优先级排序更加精确。为了保证分析结果的准确性、及时性与前瞻性，攻击面计算还引入了威胁情报进行关联分析。

风险排序。对攻击面计算的结果按风险高低进行排序，并根据不同的风险值与风险属性调用预设的攻击面收敛方式与流程。

攻击面收敛。具体分为三种方式或流程：第一种是联动补丁修复系统打补丁或推送漏洞修复建议；第二种是自动下发策略进行访问控制补偿，在网络侧或主机侧进行暴露路径阻断；第三种是安全加固，也就是在不允许漏洞修复或暴露路径阻断的情况下进行安全加固建议，这个建议可以执行在网络侧或主机侧。

2、多维度关联分析与自动化编排，提升检测精度并加速调查响应

接下来介绍一下应用过程安全架构实现安全检测与响应的业务流程，这个业务流程具体分为三个步骤，：检测、分类与处置。这个业务流程也是一个持续的过程，它的目标是：在攻防对抗中提升检测精度与效率。

检测。通过三种方式关联提升检测的精度，分别是：主机侧与网络侧的检测结果关联分析、通过机器学习与深度学习算法深度发现网络攻击行为，以及威胁情报引入与比对。

分类。根据检测结果的置信度与事件属性进行分类，并调用不同处置方式。

处置。主要包含两种处置方式，对于置信度高并且处置方式明确的事件，或紧急程度高的事件，进行网络侧与主机侧的安全策略自动下发。对于其他类型的事件调用人工处置流程，在人工处置流程中提供分析数据与分析工具。

3、安全策略变更全流程自动化，持续高效合规运营

接下来再介绍一下应用过程安全架构实现网络安全策略自动化运维的业务流程。网络安全策略是整个网络安全防御体系的基础，在一些组织机构中的网络安全策略运维的工作量比较大，占据网络管理部门工作量的30%-40%。传统的方法是通过人工的方式，准确性、合规性与效率均得不到保证。

应用过程安全架构实现了网络安全策略变更业务的全流程自动化，包括策略变更工单管理、路径仿真计算、路径合规与风险分析、策略开通与验证。大幅提升网络安全策略变更的效率，将大量人工方式转变为自动化的方式。但更主要的是实现了网络安全策略的合规管理，落地策略精细化管理的要求，从而保证在网络结构发生变化与策略变更的过程中不引入新的网络安全风险。

过程安全架构特点总结

1、安全架构与安全要素相结合

基于网络安全基础架构（逻辑连接与安全控制），实现资产、应用、业务、脆弱性与入侵事件等要素的关联分析，安全要素的位置与访问关系清晰可见，使得暴露风险评估、入侵检测响应、网络攻击溯源、事件调查处置等安全业务变得更加直观、精确。

2、风险分析与检测响应相结合

实现网络攻击面的量化评估，并提供网络攻击面自动化收敛的技术手段，提升网络攻击门槛。在此基础之上进行多维度的攻击检测，将被动检测上升为主动部署，做到知己知彼，有效提升网络安全防御体系的整体水平。

3、网络安全与网络运维相结合

一方面，实现网络安全业务事前防御优化、事中检测响应、事后回溯分析的全流程闭环，自动化的应急处置有效地提升网络攻击防御的效果与效率。另一方面，提供了多种网络安全运维应用，包括：安全策略全流程变更自动化、主机资产与脆弱性自动盘点、可视化逻辑拓扑与安全拓扑管理、可视化网络故障排查与优化。网络安全业务与网络运维业务实现了相互调用、相互促进。

结语

安博通过程安全架构（SIIP：Security is in process）是一个标准开放的架构，可以依托安博通自有能力完成攻击面分析、检测响应与调查处置等业务。同时支持通过Syslog、SNMP、Telnet/SSH、API对接等方式与第三安全检测能力、防御能力、SOC、态势感知系统进行对接，进一步提升安全检查的测精度与广度、进一步提升调查处置的能力与效率，从而帮助用户构建高可见性、高精度、高效率与高度自动化的网络安全防御体系。安博通愿意秉持开放、融合、互补的理念，与各位业界同仁一起为网络安全事业添砖加瓦。