文章总结： 文章探讨常态化网络安全攻防演练中时间延长对红队、蓝队及监管方的影响。红队可利用更长时间实施供应链攻击和APT策略，蓝队面临资源消耗与心理压力需建立长效防御机制，监管方旨在通过实战推动主动防御。建议防守方加强应急响应与供应链安全建设，实现以攻促防。
综合评分： 82
文章分类： 实战经验,红队,安全建设,应急响应,供应链安全
常态化演练下的各方分析
实战攻防
2024年6月25日 17:01
北京
在小说阅读器读本章
去阅读
以下文章来源于边界无限
，作者陈佩文
边界无限
.
边界无限是国内提供全链路云安全防护产品和实战化攻防体系建设的新锐网络安全企业，致力于通过还原真实攻防来帮助政企客户构建更安全、更灵动的网络及更动态、更有价值的纵深防御体系。
虽然常态化演练尚未正式开始，但我们仍然希望对各方的表现进行一些分析和预测，以辅助我们对市场的判断和决策。同时，也希望通过这些初步的见解，抛砖引玉，引发更多有价值的讨论和观点。
“船停在码头是最安全的，但那不是造船的目的。”
让我们做一个极端假设，如果攻防演练只有一天，那么我相信可能90%以上的参演单位会采取应关尽关的策略，非核心业务一律关停，以最大限度地避免风险。但是，如果演练时间是一个月或两个月，又会如何呢？变量仅仅是时间，但时间意味着一切。长时间的演练不仅要求更高效的资源管理和防御策略，还需要持续的监控和应对，面对更多不可预见的挑战。
当我们讨论0Day时，我们在讨论什么？
从2019年开始，红队逐渐囤积各种边界网络设备的0Day漏洞，目的是在2-3周的短期演练中能够快速实现网络隔离的突破。近几年，这一策略扩展到了Web应用和供应链系统的攻击，目标同样是尽可能快地实现网络隔离。0Day漏洞的本质在于利用过去积累的时间，在短期内换取快速突破网络边界的效果。假设演练时间延长到两个月，我们会发现上述的前提依然成立，提前准备仍然是关键，使用0Day漏洞在短时间内获取攻击入口的逻辑也不会改变。然而，时间的延长使得红队在演练过程中能够边打边挖，边挖边打，充分利用更长的时间窗口进行深入渗透和漏洞挖掘。
这些仅仅是一种大面的判断，让我们深入攻防双方再来看看。
红队的视角
对于红队来说，常态化演练时间的延长既是机遇也是挑战。一方面，时间的延长为红队带来了更多实施复杂和隐蔽攻击策略的机会。例如，广义及狭义的供应链攻击在长期演练中变得可操作化，红队可以通过对供应商系统实施水坑攻击、植入后门等手段，借助供应链系统的漏洞或污染供应链代码来间接渗透目标。
同时，红队的攻击面也在扩大。随着时间的推移，边缘资产无法长期关闭，这意味着目标资产更多，红队的攻击面更广，防守单位的战线也被拉得更长。长时间的演练还使得红队的单点压强降低，红队的火力并不会每天都很凶猛。因此，错峰攻防成为可能，使防守方更难以防御。在足够长的时间下，一些在两周内不容易实施的攻击手段，如高级持续性攻击（APT）和多阶段攻击，也有了施展的空间。甚至一些在短期内无法预期的神奇的战法，可能在两个月内冒出来。
安全防御需要运营，但安全的攻击也需要运营。拉长到两个月甚至更长时间来看，APT的逻辑便是攻击运营的思路之一。攻击长期运营起来后，甚至会比防御者更了解被攻击单位，这也是“网络安全的本质在对抗，对抗的本质在攻防两端能力较量”的体现之一。
总结来说，时间的延长对红队来说既是压力也是挑战。在防守方的单点防御压强减少的情况下，局部不对称的攻防现象可能会增加，边缘资产的沦陷甚至网络隔离的突破也变得更为可能。
蓝队的视角
对于防守方，常态化演练时间的延长同样带来了巨大的挑战。首先，长时间的演练对防守方的人力和技术资源提出了更高要求。团队成员需要轮班工作，以保持长时间的持续防御，这不仅增加了人员的疲惫度，还需要更多的技术和设备支持，导致资源消耗、预算消耗的显著增加。因此，不太可能再像以前一样简单堆人同时7*24小时的值守来提升防护效果。
其次，在长时间的演练中，简单粗暴的关闭一些系统的策略无法一直生效。防守方无法随意关闭风险业务系统，同时必须确保这些系统在运行中的安全性。尤其是核心业务和边缘系统，防守方需要找到有效的防御措施，避免系统在演练期间被攻破。
长期的高强度防御对防守团队的心理状态也构成了巨大挑战。团队成员需要在高压环境下工作，保持高度的警惕性，这可能导致心理疲劳和工作效率下降。
然而，常态化演练也为防守方提供了建立长效安全机制的机会。通过长时间的演练，防守方能够建立一套全面的安全防护机制。这不仅包括技术层面的提升，还涉及到团队协作、应急响应和心理支持等方面，为组织的整体网络安全防御能力提供保障。
常态化演练还强调应急响应能力的提升。长时间、多样化的攻击手段要求防守方具备高效的应急响应能力，并能够迅速应对各种突发事件。随着演练时间的延长，防守方有更多时间考虑广义及狭义的供应链安全问题。通过全面评估和加强供应链各环节的安全措施，防守方可以建立更加稳固的防御体系，防止通过供应链进行的间接攻击。
监管的视角
大家习惯性地讨论攻防双方的思路，但演练中监管方的视角也是一块重要的视角。从监管角度来看，常态化演练的引入并非仅仅为了增加攻击和防御的难度，而是为了真正提升整体的网络安全防护能力。当前的运动式演练通常依赖于短期内的高强度防御措施，如临时关闭非核心业务系统，尽管这种方法在短期内有效，但它并没有解决根本问题。监管方意识到，网络边界防护并非无懈可击，持续的攻击总会找到突破口。因此，常态化演练旨在推动防守方从被动防御转向主动防御，实现“以攻促防，以攻促改”。
通过长时间的实战演练，防守方能够持续检测和应对攻击，发现系统中的深层次漏洞和薄弱环节。这样不仅可以提升防御系统的整体安全性，还能在实战中验证和改进现有的防御策略。实战演练的持续性和复杂性，迫使防守方在实际环境中面对真实威胁，逐步提升应对复杂攻击的能力。
此外，常态化演练还强调应急处置能力的完善。长时间、多样化的攻击手段要求防守方具备快速响应和灵活调整的能力。通过不断的演练和调整，防守方能够建立起一套高效的应急响应机制，在突发事件中迅速恢复系统的正常运行。这不仅提升了单个单位的防护能力，也为整个网络安全生态系统的稳定和安全提供了保障。
综上所述，常态化演练不仅是对网络防御能力的强化测试，更是对整体安全策略的一次深刻检验。它迫使各方从短期利益和临时措施中走出来，真正构建起长期有效的安全防御体系。通过不断的实战检验和改进，我们才能在面对复杂多变的网络威胁时，更加从容和有效地应对。
文章来源：边界无限
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：实战攻防 《常态化演练下的各方分析》