mztkn123456

选自公众号：星尘安全

原文链接：https://mp.weixin.qq.com/s/b2C2QoCjjS0RzayO9DYjBQ

技术实现路径:

带来的好处:

相比传统方法和普通AI的优势:

技术实现路径:

带来的好处:

相比传统方法和普通AI的优势:

技术实现路径:

带来的好处:

相比传统方法和普通AI的优势:

技术实现路径:

带来的好处:

相比传统方法和普通AI的优势:

技术实现路径:

带来的好处:

相比传统方法和普通AI的优势:

技术实现路径:

带来的好处:

相比传统方法的优势:

技术实现路径:

带来的好处:

相比传统方法的优势:

技术实现路径:

带来的好处:

相比传统方法的优势:

技术实现路径:

带来的好处:

相比传统方法的优势:

技术实现路径:

带来的好处:

相比传统方法的优势:

网络安全AI说补充：除了上面总结的，咱还知道点作为参考：某厂商在做数据安全的大模型，主要聚焦数据分类分级；某厂商在做零信任的大模型做行为评估分析；某厂商用在代码审计领域；某厂商用做钓鱼邮件检测内容和打开加密附件和扫码邮件中的二维码。

本文部分内容选自公众号：君哥的体历

原文链接：https://mp.weixin.qq.com/s/aL5W3HmJM09J0GD3TUYeXA

一、老思路是什么

勒索病毒防护：依靠防入侵+数据恢复。

防入侵，即是利用杀毒软件、EDR终端检测响应、IPS、防病毒等鸡技术设备，在终端侧、网络侧进行检测及防护。

数据恢复，即是针对数据进行备份备份，配合数据恢复演练，帮企业的备份系统做一个异常的兜底。这个系统做好之后，还能缓释另外一个风险：删库跑路。

关于防入侵和数据恢复是两个大话题，后续有机会再探讨。本文分享一种勒索防护新思路：通过安全验证提升勒索防护能力。

二、新思路

做勒索防护能力验证，发现安全失效点，进而实现优化安全策略，提升防护能力

以银行作为案例，一次典型的勒索攻击，主要分成三个阶段：

1、第一阶段是通过三种主要的攻击方式进行感染植入：边界漏洞攻击、邮件攻击、主机和终端恶意软件投递。包括使用404个高危漏洞去感染和植入勒索软件（404个高危漏洞是人民银行下发的勒索软件自查清单里面定义的）

2、一旦勒索软件获得了内网的权限，就会转成半人工或纯人工，勒索软件会去进行横向移动和爆破，来获取和感染更多的机器和权限，直到获得最重要的资产和目标数据库的权限。比如他会去横向移动，RDP3389端口的爆破，会去请求勒索组织的域名、下载勒索组织的样本，然后还会建立持久化与C2的通讯。同时他还会去批处理的移除防病毒的软件、关闭备份、拷贝数据等。

3、当攻击者移动到最核心目标的数据库和重要资产时，它会开始最终的第三阶段：进行加密和勒索。

勒索防护能力验证，是通过模拟勒索软件三个阶段的各种各样的行为，然后去收集防御体系的拦截和告警结果，从而进行自动化比对，看看勒索组织的这些动作和行为，我们能够做到多少有效拦截和告警。从而来评估勒索防护能力的真实情况，以发现我们勒索防护措施的短板和失效点。以反向的方式去验证和评估企业的勒索软件防护能力。

三、方案详述

1）感染植入阶段验证：

模拟勒索软件感染植入的三种方式：

2）传播扩散阶段验证：

在传播扩散阶段，重点模拟勒索软件在企业内部网络中的横向扩散和蔓延能力。勒索病毒一旦进入到企业内网，会千方百计进行横向移动，感染到核心数据库服务器和核心目标服务器。勒索软件行为包括：各种横向移动、RDP3389 端口爆破、MS17-010 扫描、与 C2 服务器建立持久化通讯，有的还会移除防病毒软件、关闭数据备份服务、拷贝敏感数据等。

3）加密勒索阶段验证：

在加密勒索阶段，模拟勒索软件的核心破坏行为，以评估防御体系在最后一道防线上的表现。这包括模拟勒索软件对目标文件系统的加密操作、模拟锁定与破坏、模拟数据销毁或篡改，以验证终端/主机的防护能力。

四、《网络安全AI说》补充

上文说的一种方式很不错，是一个叫知其安的公司出的。

本播客在这个基础上，补充另外几种可能用到的技术作为参考：

1、勒索软件很可能做了免杀，有的可能用了白利用手段（用好的系统进程干坏的事情），你的杀毒软件是查不出来的，需要用真EDR技术的终端安全软件，对终端上的各种行为做检测（文件、进程、注册表、计划任务、WMI等），从而判断是否可能为勒索。一般奇安信、深信服、亚信等均有（排名不分先后）。

2、尝试实用化具备AI泛化检测能力的终端安全软件，即便杀毒软件是从来没出现过的，规则库里面没有，那也有一定的可能靠AI的学习能力检测得出来。

3、轻量的备份，如果是PC电脑，可以尝试选有终端备份能力的安全软件。比如安全软件识别了下这个程序，他也不知道这个软件是好还是坏，他就针对你这个软件要对文件做操作时先去备份（一般只能备份几个G），如果3秒之后，发现你这个软件真的在对那些文件做加密，他就阻断你这个软件的进程，并且把他之前备份过的文件回滚。

选自：公众号A9 Team

原文链接：https://mp.weixin.qq.com/s/hKJNonfb3ZJdjtFLasK7JA

这篇文章干货贼多，本期仅取用部分，感兴趣的朋友不妨点进上面链接深入瞅瞅

围绕着资产、风险、人、工具、流程进行

1、知己知彼，才能百战不殆

资产：这里的资产指的就是一家公司他所拥有的所有资产，当然我们也没办法去做到非常细因为资源有限，需要利用有限的资源去创造更大的价值，那么我们就需要去关注核心资产、核心业务所关联的"资产"，只有明确了我们需要保护的核心业务及资产，才能更好的去把识别其可能面临的风险、挖掘出潜在的风险提前去做好应对，这个叫做"知己"；

风险： 风险其实就是"知彼"，除了对于已知的历史风险漏洞、供应链问题、木马特征等，还是需要持续性的获取到最新的风险，且快速的去匹配公司可能受影响的资产，赶在风险被利用的前面修复它，避免核心资产、业务受到影响，故拥有一支优秀的情报小组也是十分重要的，并且能做到持续学习，持续提升，毕竟每天都在产生大量的漏洞和其他潜在的风险；

2、人尽其才，物尽其用

对于所有设备，作为告警运营的负责人，对于前面提到的资产和风险，那么这里的物就是需要你去思考，每个设备到底有啥能力，它所覆盖的范围是什么，在哪些场景下你能去充分的使用它。如：有些HIDS产品或者监控agent能去监控系统的补丁，对于熟悉产品能力的人能结合这个去把派发下去的漏洞工单做自动化关联，如果显示补丁打了就自动关单；不熟悉产品能力的人却需要等系统负责人截图证明，那要是系统负责人处理了后忘记提交工单复核，你还需要一个个去问。故对于一个设备，尽管你不需要去深入了解它的检测原理，但是它具备什么能力，它的定位是什么都值得去深思并做好相对应的规划，才能做到物尽其用！除了对于整个小组成员的共同提升（定期分享、组织复盘）以及个别较为自觉的主动提升外；我更喜欢的是去倾听一线的声音，辅助一线分析他们所遇到的问题，并站在更广的视角去给他们寻求资源和解决方案来共同提升整个小组的能效；

3、流程高效，持续提升

前面大概的介绍了资产、风险、人、物，那么把这些东西串起来并高效运转、持续的提升就是流程或会议了；这里简单分享下我们认为相对有比较多辅助于我们告警小组提升的流程或会议。

（1）自动化需求收集会议：定期对现有或者近期新增的安全设备（能力）、告警响应流程等做分析，看看是否可通过自动化来对现有的流程做优化或能力关联运用，做到提质增效；

（2）告警分类分级： 对从设备产出的告警，通过告警的攻击来源、受害范围、攻击类型、资产等级几个做对应的权重，在每个设备告警吐出来后通过SOAR去做计算给出对应告警的权重值，越高的值越需要重点去及时响应，避免被其他低中危风险影响到真实存在且严重的风险对业务造成影响，而权重低的可以放后确认，做好抓大放小；

（3）白名单（例外）流程： 前面提到告警可能会有大量误报或者已知风险但已经过领导层认可表示风险可接受的告警重复出现、又或者是临时需要使用且能接受风险的中低风险的持续告警，这都会影响整个告警组处置告警的效率，毕竟单单都需要反馈和复核，那么白名单流程就是临时或永久对规则做 白名单（例外），并定期组织复盘对原定的白名单在现在是否仍需执行，是否要对该策略做优化，策略优化是否解决了这块告警噪音，如果是则取消原定的白名单策略，避免相关被误用而导致风险行为未能被监测，持续做好降噪增效；

（4）告警复盘： 告警可能可以分为个别告警复盘或者对全局告警回顾，至于这个时间多久一次可能就见仁见智了，而复盘我建议是当天如果出现较为重大的告警响应，应在当天告警处理的差不多的时候，及时把整个小组拉齐做复盘，一方面互相分享排查思路，一方面就是分享下排查过程中流程、相互配合、思路、工具等是否存在问题，是否可以优化提升，同时也能分析出是否有遗漏的风险需要去做进一步确认，注意最好是当天，上午发生的告警，在下午忙的差不多的时候组织大家共同复盘，复盘后大家都认为收获满满同时经验较少的人也能通过此次复盘汲取到经验较为丰富的人的排查思路，做到人的能力共同提升，同时流程、工具也有可能会在这个环节做到持续提升。

选自公众号：阿肯的不惑之年

原文链接：

不同阶段、不同规模、不同行业的企业，安全组织形态也不一样，比如：有些企业规模还小，可能一个兼职的安全人员就行，大企业一般会有完整的安全组织，包含虚拟组织和实体组织。

1、组织架构和职责

比如大型科技企业的经营组织架构一般有三层：

对比经营组织来看，企业的安全组织也是三层：

关于企业安全组织架构，这里强调3点：

2、机制和流程

很多企业设立了信息安全委员会，但是一年都不开一次会，也没有具体工作，这个组织就变成了一个摆设。而好的机制流程，以及细节的设计，就能够让大家一起共建，成事为乐。比如上面提到大型科技制造企业的委员会，就有会议、评议、通报、检查、表彰等机制流程。

3、以数据分类分级工作为例，看一个实际的组织流程例

基于上面介绍的安全组织架构、机制和流程，这里以数据分类分级工作为例，来看下集团与各个单位之间具体是如何运作的。

第一步：收集信息，策划项目

信息安全部，作为信息安全管理委员会的办公室，是一个实体团队，有专业人员和能力。可以由这个专业部门研究相关法律法规、安全标准、同行实践，然后会同自己企业自身的商业秘密，制定数据分类分级的分级标准，识别流程和工具规划，以及推动工作的项目策划。

第二步：高层共识

如果企业安全委员会运作机制比较成熟，可直接通过委员会来做项目推进的评议，言简意赅讲清楚这个工作的背景，目标。数据分类分级是信息安全管理的源头性，至关重要，定的准不准，决定管的对不对。同时，国家也在强调数据分类分级，以及数安法、个保法的立法执法，在这种管理趋势下应进行推进。同时明确做这个工作的职责和时间节点，比如信息安全部门负责数据分级的顶层标准，识别流程和工具；一线业务部门负责基于标准和流程和模板，识别业务数据，并使用工具做好标识；法律合规部门负责对国家法定的重要数据、个人信息定义、解释和指导。各委员一旦表决心，后续推动工作更加顺畅。评议通过后，应进行对评议记录和决议进行发布。

如果没有安全委员会，或者还没有常态化运作起来，建议考虑寻找公司自身的运营管理机制去推动工作。比如项目立项，企业要事上报的专项会议等来推动这个工作在较高管理层的一致认知，一旦同意就是获得了管理政策支持。

需要注意的是，在上会前一定要和主要单位的中层管理干部提前做好沟通，拉同盟，获得支持和理解，也能提前知道对方的业绩诉求或困难，从而调整好方案。上会的目的是达成共识，获取管理政策支持，资源支持，而不是把矛盾放到会上解决。这里还有一点，平时和关键干系部门多走动，多支持，才能在关键时刻获得支持。比如：某科技企业要立一个项目解决企业存在的高危风险，但涉及金额数千万，需要上升到董事会决策，安全负责人当时通过提前与安全委员会主要成员逐一沟通，并得到支持，再上会汇报。汇报过程中，某研发负责人在会上就从他的角度阐述了项目的必要性，以及他之前所在500强企业也是类似做法，最终项目顺利立项。

第三步：向下推动

如果评议通过，向下推动时，主要有3个主要举措：

第四步：业绩宣传

大家跟着一起折腾这么久，都希望能有业绩。这时候通过宣传渠道，来表扬合作中表现优异的单位，表扬他人就是宣传了项目的业绩。这点至关重要。当然，在项目启动时我们应该想好最终会怎么做宣传来推动工作。比如数据分类分级，可以从业务单位如何认知和参与这个事情，识别的更加精准、聚焦，提供了工具来做自动化识别提效等方面来做立体的宣传。

总之，安全负责人如果能推动企业建立安全决策层、管理层和执行层的三层组织，集团的安全舞台就搭建起来了，大家可以一起唱戏。如果能把会议、评议、检查、通报、表彰等机制运作起来，集团上下就能形成共同的安全方向和原则、大家协同共建、安全投入与产出的价值达成一致、业务效率与安全效果达成平衡，安全体系将逐步走向成熟。

选自公众号：A9 Team

原文链接：

1、原则进阶。

在近5年工作实践中发现安全运营存在几个不可能：同步规划不可能，主要原因是安全是铠甲（属性），只有IT规划完才能基于IT规划做；同步建设不可能，主要原因是安全供应商滞后，根本没有好的方案和设备；同步运营也不可能，主要原因是安全人才滞后。作为理想还行，但不切实际。

2、工作进阶，从随机，到全面，到重点。

安全运营第一阶段，工作逻辑是来什么就做什么，虽无规划但这种自适应的工作方式效果还是比较好的，至少干的事之中大部分是重点工作。

安全运营第二阶段，工作逻辑是全面开攻，这种工作方式的效果是最差的，导致全员疲惫、工作进展慢，且无法保证做的是重点工作。

安全运营第三个阶段，工作中只处理重点工作，问题中只处理要命的问题，其它的后面排队，有时间就处理。个人认为安全运营工作中真正重要的事不多，最小的自恰循环，管好入侵响应、漏洞修复、攻防验证即可。有时间有资源再做情报收集、资产管理，其它的再向后排。

3、组织进阶，从专业，到成长，到梯队。

第一阶段，无团队管理经验，无团队人难招，对于人员的要求是专业即可，成长、表达、沟通、协作等均可让位。

第二阶段，有1-2年团队管理经验，团队3-7人规模，对于人员的要求是专业+成长意愿，无成长意愿的人不要招，用起来是非常痛苦的。

第三阶段，有3-5年团队管理经验，团队规模7人以上，对于人员的要求是专业+成长+梯队，人员分组形成梯队是第一要务，招一线成长为二三线，尽力不招二三线。

4、流程进阶，从无流程、到SOP，到SOAR。

第一阶段，无任何安全流程，工作质量依赖人员能力、责任心、抽查，一般情况下做好抽查工作即可。

第二阶段，编写标准作业流程（SOP），安全工作由于范围大（事多）且专业（精深），做SOP的难度和工作量都很大，导致收益很低；此外SOP从写到用之间经历转换层过多，且安全人员一般个性很强，看不看、遵从度、理解度、执行度都是大问题；结论是不建议。

第三阶段，上安全运营自动化系统（SOAR）之后，安全工作让安全人员直接写成剧本，只要控制好剧本质量，可以规避第二阶段大部分的问题，非常推荐；无法在SOAR上实现的安全流程，建议做到协作流程级别，不要搞操作流程。

5、工具进阶，从合规，到专业，到专长。

第一阶段，受限于监管要求、公司文化、采购合规、商业环境、领导风格、商务关系等等各种因素影响，最终使用实效最好的工具（安全产品或设备）的概率很低，只能说合规就好。

第二阶段，以安全运营目标倒推安全产品的要求，对于防御体系中对抗类的重要系统必须技术主导，否则安全运营工作根本无法保证效果；功能实现类可以其它因素主导。

第三阶段，攻防对抗类工具要求进阶，专业的同时还要考察供应商对工具的长久运营能力，工具背后如果没有一个攻防研究+攻防验证+产品研发的组合团队，那这个产品是没有未来的。

选自公众号：A9 Team

原文链接：

1、原则进阶。

在近5年工作实践中发现安全运营存在几个不可能：同步规划不可能，主要原因是安全是铠甲（属性），只有IT规划完才能基于IT规划做；同步建设不可能，主要原因是安全供应商滞后，根本没有好的方案和设备；同步运营也不可能，主要原因是安全人才滞后。作为理想还行，但不切实际。

2、工作进阶，从随机，到全面，到重点。

安全运营第一阶段，工作逻辑是来什么就做什么，虽无规划但这种自适应的工作方式效果还是比较好的，至少干的事之中大部分是重点工作。

安全运营第二阶段，工作逻辑是全面开攻，这种工作方式的效果是最差的，导致全员疲惫、工作进展慢，且无法保证做的是重点工作。

安全运营第三个阶段，工作中只处理重点工作，问题中只处理要命的问题，其它的后面排队，有时间就处理。个人认为安全运营工作中真正重要的事不多，最小的自恰循环，管好入侵响应、漏洞修复、攻防验证即可。有时间有资源再做情报收集、资产管理，其它的再向后排。

3、组织进阶，从专业，到成长，到梯队。

第一阶段，无团队管理经验，无团队人难招，对于人员的要求是专业即可，成长、表达、沟通、协作等均可让位。

第二阶段，有1-2年团队管理经验，团队3-7人规模，对于人员的要求是专业+成长意愿，无成长意愿的人不要招，用起来是非常痛苦的。

第三阶段，有3-5年团队管理经验，团队规模7人以上，对于人员的要求是专业+成长+梯队，人员分组形成梯队是第一要务，招一线成长为二三线，尽力不招二三线。

4、流程进阶，从无流程、到SOP，到SOAR。

第一阶段，无任何安全流程，工作质量依赖人员能力、责任心、抽查，一般情况下做好抽查工作即可。

第二阶段，编写标准作业流程（SOP），安全工作由于范围大（事多）且专业（精深），做SOP的难度和工作量都很大，导致收益很低；此外SOP从写到用之间经历转换层过多，且安全人员一般个性很强，看不看、遵从度、理解度、执行度都是大问题；结论是不建议。

第三阶段，上安全运营自动化系统（SOAR）之后，安全工作让安全人员直接写成剧本，只要控制好剧本质量，可以规避第二阶段大部分的问题，非常推荐；无法在SOAR上实现的安全流程，建议做到协作流程级别，不要搞操作流程。

5、工具进阶，从合规，到专业，到专长。

第一阶段，受限于监管要求、公司文化、采购合规、商业环境、领导风格、商务关系等等各种因素影响，最终使用实效最好的工具（安全产品或设备）的概率很低，只能说合规就好。

第二阶段，以安全运营目标倒推安全产品的要求，对于防御体系中对抗类的重要系统必须技术主导，否则安全运营工作根本无法保证效果；功能实现类可以其它因素主导。

第三阶段，攻防对抗类工具要求进阶，专业的同时还要考察供应商对工具的长久运营能力，工具背后如果没有一个攻防研究+攻防验证+产品研发的组合团队，那这个产品是没有未来的。

选自公众号：阿肯的不惑之年

原文链接：

《网络安全AI说》补充：在电脑上运行一个“沙箱”，将“沙箱”里面当作工作空间，外面当作个人空间。工作空间做公司的业务访问办公操作，数据落地在这个隔离的沙箱里面，保障数据不外泄。现如今沙箱叠加了零信任的方案在业内的声音越来越多，像数篷、缔盟云、深信服等公司（排名不分先后）均有类似的方案。我们看看这个组合的方案可以用在哪些场景。

场景1:政务外网的一机两网办公隔离场景

在政务外网的电脑上部署安全沙箱，让政务办公人员在一台电脑上既可以安全上网，又可以访问政务外网的业务系统。即使电脑失陷也不会扩散影响到到政务外网其他终端和业务系统。

相较于过去需要给政务人员分配两台电脑，这种一机两网方式，从技术上大幅简化了政务外网电脑合规的成本。比如浙江某市大数据局、西南多个省市大数据局、华中某省信息中心、华北某省大数据局等都是这类应用场景。

场景2：公司研发团队办公与上网隔离场景

在企业研发人员电脑上启用上网沙箱，让研发人员在安全研发的同时，也可以在沙箱中自由上网，不用担心数据泄密、外部钓鱼和攻击横向问题。

相较于过去研发人员的电脑只能用于研发，访问办公应用或者上网查资料就需要去公共电脑，或者另外一台电脑的方式，沙箱让研发人员不用在两个地方或者两台电脑之间反复切换，提高了研发人员办公体验和效率，同时也为企业节省了另外配置一台电脑的费用。比如深圳某大型ICT企业、浙江某大型汽车集团、上海某大型金融支付公司等都是这类应用场景。

场景3：科技制造、金融、能源、政务等各行业IT运维防攻击场景‍‍

在企业IT运维人员或外包运维人员电脑上启用零信任沙箱策略，让运维人员不管是在远程还是职场都可以对IT后台系统进行安全的隔离访问，即使运维电脑失陷，业务系统也不会因此被入侵和数据泄密，特别是实战攻防期间，这也是目前简单有效的防钓鱼攻击技术手段之一。比如某大型集成商、北方某股份制银行、广东某股份制银行等都是这类应用场景。

场景4：收敛企业重要应用和数据的暴露面‍‍‍‍‍‍‍‍‍，实现事前防攻击防泄密‍

企业安全人员可以结合应用及数据的重要程度和安全风险，灵活选择员工在访问哪些应用系统的时候需要启用零信任沙箱，比如：财务/资金系统、BI、办公OA系统等，确保业务在被访问过程中数据不泄密、系统不被攻击。

通过收敛重要应用和数据的对外暴露面，实现事前的攻击和泄密防护，同时提供进出沙箱的数据操作管控和日志审计。比如：多家股份制银行、云南某城商行、某大型互联网电商都是这类应用场景。

场景5：科技制造及金融行业跨网业务安全访问场景

对于内网区域隔离执行比较严格的企业，通过零信任沙箱技术，安全人员可以基于业务需要，通过零信任控制台的灵活授权，允许经过申请的业务人员跨网访问业务系统，而员工无需改变原有习惯就可以访问跨区业务。比如办公网的人员申请访问生产网、研发网的人员申请访问办公系统等。

相较于过去，企业一般是通过部署两台电脑实现跨网访问，耗人费钱且不安全。零信任沙箱可以基于用户身份灵活授权，开通和关闭权限可以系统闭环，跨区访问业务时，零信任沙箱会自适应启动，是一种很好的技术解决方案。比如：上海某头部车企、多家股份制银行等都是这类应用场景。