mztkn123456

选自公众号：安全村SecUN

原文链接：

PS：全文亮点非常多，本期仅取用部分。建议感兴趣的朋友点击原文链接看下。

1、背景

每一个做安全资产管理的同学都有一个终极梦想，那就是掌握所有信息资产。为什么要掌握所有的安全资产呢，因为做防守的同学们有一个逻辑，掌握全量资产才有可能掌握资产上的风险和隐患。为什么说是梦想呢？每一代想挑战安全资产管理的人也不少，关于安全资产管理的实践也多如牛毛，但至今未见圈内有最佳实践。接下来我们看看安信证券的实践。

2、安信证券资产管理发展之路

2017年，从无到有，各团队询问更新，自维护本地表格时代。

2018年，表格量大无法维护，升级为简单查询的在线系统。

2019年，系统数据源不够，增加自主发现（网络扫描和流量监测）。

2021年，大数据平台式解决思路，安全资产管理中心。

2022年，安全资产管理关联漏洞、隐患等的攻击面管理。

2023年，设备、用户、系统画像+攻击者画像，全景联动分析。

3、实践落地

第一、安全度量支撑，实现终端和服务器覆盖率每日自动统计。

将终端准入、终端防病毒、终端DLP、网络扫描器等数据合并去重作为分母，各系统自身数据作为分子，自动化计算安全系统的覆盖率。将HIDS、服务器防病毒、网络扫描器、CMDB、运维自动化、运维监控、系统平台等数据合并去重作为分母，各系统自身数据作为分子，自动化计算覆盖率。

第二、情报响应支撑，一键查询漏洞情报的影响范围。

通过一条查询语句，实现是否开放公网、操作系统版本、软件版本、关联软件版本、启动用户等多条件查询，直接定位实际受影响的资产。并且用SOAR（自动化编排响应）创建工单，开启后面的流程。

第三、告警处置支撑。

通过SOAR联动查询安全资产管理系统，自动补充系统负责人、联系方式信息，并自动创建告警工单，将判断告警真伪需要的信息富化到工单中。自动化将样本上传至沙箱，获取沙箱检测报告到工单中。

第四、事件响应支撑，一屏查看资产和漏洞详细信息。

通过资产管理系统，一站式查询问题资产的聚合信息，快速定位入侵点。同时可一站式查询周边设备漏洞情况、防护情况，为下一步工作做好准备。

第五、自动化运营支撑。

安全资产管理系统提供全量API接口，配合SOAR，实现告警处置、安全巡检的全流程自动化，解决流程因资产问题无法自动化的问题。

选自公众号：安全村SecUN

原文链接：

1、是否自研的决策考量

平安银行认为：外购系统和自研系统有各自摊低成本的逻辑。面对过于专精或非常成熟的系统时选外购，面对难度不大或准备长期走此道路时选自研。

2、最小化开发：降低自研成本

首选是寻找成熟的开源解决方案，在此基础上进行二次开发可以极大地降低工作量。如果没有，则需将需求、功能拆分后，调研每一个子模块有没有开源解决方案。

如果有开源解决方案但不能完全满足需求，则可以顺藤摸瓜，研究其所依赖的开源组件是否能为我所用。要坚信，太阳底下没有新鲜事，我们所面临的技术问题还远未到挑战科技前沿的地步。在找零件上即使花费数周时间，最后也会物超所值。

3、自研安全运营中心历程

1.0版本：简陋的事件管理平台

平安银行的安全运营中心（SOC），就是在时间紧急的情况下，由一位工程师花一晚上的时间从自研的漏洞管理系统改写而来，然后就此迭代沿用至今。1.0版本的SOC是一个事件管理平台，实现了事件的上报、通知、跟踪等功能，一键处置手段只有封IP，以及必要的仪表盘、报表。这一时期分析研判还是在各安全设备上进行，SOC则满足了日常运营流程的基本需求。

2.0版本：海量告警接入分析与优化

这一时期SOC平台功能大大完善。架构方面，以服务于全团队的安全大数据平台作为基底。平台负责全量告警、日志、资产、情报等**各类数据的接入分析，做告警的研判和事件的处置。这一时期我们树立了“全量告警应查尽查、攻击事件应报尽报”的目标。每日回顾时，不允许存在无下文的“野”告警。

我行通过安全大数据平台的规则已实现了99%左右的告警过滤，但剩余告警仍有万级。这时，为确保真正高危的告警得到及时研判，就要对告警进行分类分级。分类，指将告警分成自动策略处置、人工研判、待观察、忽略等类别，直接进入不同的后续流程。分级，指将需要人工研判的告警进行细粒度的级别，并按照优先级进行展示，确保真正高危的告警被置顶。

所有告警字段都可以用于分类分级，除常见的告警类型、威胁名称、危险等级、攻击结果等，还可使用前期富化的字段。包括：

①网络流向：DMZ、应用、数据库、外联、管理，从哪个域到哪个域？互联网、生产/测试网、办公网，从哪个区到哪个区？②情报：来源、置信度、重点关注标签。③资产：漏洞信息、重点关注标签。

2.5版本：处置能力增强并解决误操作

这一时期的SOC重点加强了一键处置的能力，可对多类型目标、多环境进行一键处置。

近一年平安银行封禁外网IP已达万级，即使只有0.1%的误封，也意味着平均每个月就会误封一次，这会给正常办公带来影响，平安银行这样解决：

①白名单保护。白名单在系统中录入和生效，如果对名单中的对象发起处置会被系统拒绝。

②是将处置信息进行公示，让人自助查询IP等是否已被封禁。

③按需将封禁操作知会到本人、上级、业务负责人，使用IM、邮件、短信等各种方式。

4、展望

SOC平台目前运转良好，经受住了历次HW行动的大考。但随着事件处置的场景越来越多、步骤越来越复杂，如何确保快速、准确地执行成为难题。例如勒索病毒场景，甚至需要大量数据库、云平台管理员协同。显然，SOAR（自动化编排响应技术）是一种解决思路，这将成为平安银行下一阶段的重点。

选自公众号：民生证券数字科技

原文链接：

一、方案流程

1、在PC上，我们的客户端以ALL in One的架构集成了杀毒、安全检查、设备登记、资产梳理等功能模块。当员工通过PC进行办公时，会完成身份认证、设备健康状况检查，并通过隐身网关的敲门认证。

2、在办公访问的过程中，零信任控制中心会根据用户的身份、设备的等级进行访问的赋权，对新电脑或者临时办公电脑，只能访问部分非敏感应用，同时会受到更频繁的验证；办公设备可以访问用户身份下的所有应用，并根据办公场景适配相应的策略池进行风险持续验证，办公设备还会有更多的管控措施，以确保满足安全合规的需求。

3、移动端不设单独客户端，而是通过SDK嵌入到已有的移动办公APP中，实现一个APP完成即时沟通、移动审批、内网访问等多种功能，提升办公效率。

4、所有的数据汇入分析中心进行分析和计算，并对风险行为验证。

二、运营实践

1、员工在准备办公的时候，终端会首先对设备与环境进行检查，之后会进行认证和权限确认和分配。在办公过程中，零信任会对行为和操作进行持续验证，重点检测可疑行为和高危进程。同时，我们的风险策略不是一刀切的管控，而会根据安全制度的要求、业务部门的需求、历史运营的总结优化，以及一些办公场景数据的聚类分析，形成不同的策略，适配到不同的场景。在持续验证的过程中，会根据运营的结果，包括漏报和误报，对整个链路进行持续的优化。

2、证券从业人员是禁止交易的，通过对员工MAC地址进行交易匹配是日常监测的手段。传统的方式在通知、填报、匹配环节上有很多人工操作，效率较低。通过零信任系统，设备经过登记认证为办公设备之后，会对MAC地址进行自动化常态化提取，并会根据识别算法、联合零信任隐身VPN的启用信息，对有效MAC地址进行过滤识别，并通过API形式与交易软件的进行匹配，极大的提高了管理效率。

3、证券作为强监管行业，对软件的使用要求较高。我们通过零信任来进行软件管理，设备同样经过登记和认证之后，首先会检测是否有违规和必装软件、并通过操作系统的一些识别号来进行操作系统正版化的判断。对于员工的软件安装情况，本方案通过软件仓库，结合使用人范围和总体授权数量的管控来进行许可证管理。以上管理我们会通过报表大盘进行监控展示，当出现违规行为，或者软件使用数量超过授权告警阈值时，会触发告警和超额提醒。经确认后会触发相应的处置动作，并需要完成整改。

三、最终效果数据

关键数据1：上线20天内极速覆盖80%员工，并逐步完成设备等级、安全检查、防病毒、DLP等模块的全量推广，保障了灵活安全的办公接入。

关键数据2：收缩公网资产暴露60+个，大大减少外部风险暴露，保障办公安全和稳定性。

关键数据3：通过零信任建立全域统一的资产视图和全面的数据看板，为从业人员设备合规管理提供便利，提升工作效率80%+。

关键数据4：通过场景化办公策略，深度服务并满足业务部门安全办公需求，当前已完成10+场景化策略的配置，如为某业务部门定制数据保护策略，保障算法安全；为某财务系统配置特定设备+角色+环境的访问限制；为某分支机构定制软件管理策略等。

选自公众号：谈思汽车

原文链接：

1、塞力斯集团总结对于车企面临的主要信息安全问题

（1）智能化网联化带来的网络安全技术与合规风险

车辆互联使得车辆能够实现与外部通信，比如远程诊断和升级功能使得车辆生产商可以在线更新软件和固件，但这也会让黑客入侵系统和破坏车辆变得更为容易。同时，监管机构持续制定政策法规以确保车辆安全和隐私的全生命周期的保护，这会对企业造成合规压力。

（2）供应链网络安全合规风险

汽车的研发和生产制造过程涉及大量的供应商提供的产品，而这些供应商提供的产品有可能存在网络安全漏洞，这将会成为汽车供应链安全攻击的潜在入口。

（3）车企出海面临的合规风险

汽车企业出海之前，需要注意网络安全及数据安全合规风险，不同国家和地区会有不同的市场监管法规和标准，需要了解并遵守当地法规和标准，尤其是进入国外成熟市场将面临非常严苛的合规监管挑战，例如欧盟的车辆产品网络安全合规准入认证等。

2、塞力斯集团实践

**（1）在汽车网络入侵检测方面，**重点工作包括检测整个车载网络的负载率和信息熵，定义安全阈值，防止如泛洪攻击、重放攻击等异常行为发生；根据DBC文件（车内数据通信定义文件），检测单帧报文是否符合DBC定义；定义报文序列管理、信号关系等正常场景和一些探测等攻击场景。

**（2）在主机入侵检测方面，**包括检测应用操作行为、文件行为、进程行为、系统API调用、系统root行为、系统资源占用等，可对非法网络连接、提权攻击、敏感信息窃取等攻击行为进行告警；可对车机系统、应用、进程、文件等10类100多种日志数据进行采集上报、威胁分析和溯源。

**（3）在以太网入侵检测方面，**工作包括实时监控统计车端应用流量，发现异常流量消耗行为，基于IP五元组、APP、URL进行访问控制，可识别HTTP、DNS等协议内容，可检测文件传输、空车指令、隐私数据泄露等应用层攻击行为。

**（4）建设安全运营平台，**融合车端、产线端等探针数据，对汽车网络安全事件、漏洞等进行关联分析、风险识别、威胁预警、风险评估以及应急响应处置，包含了系统管理、资产管理、风险管理、应急响应、态势感知、规则运营等功能模块。

3、价值实现

（1）符合了欧盟地区R155的法规要求，让汽车出海有了“准入证”。

（2）能够做到监控、分析及应对汽车网络安全风险。

（3）具备了直观的安全运营工具，显著提升效率。

（一）偷偷转运数据到“外宅”直接泄密

金融机构在经营过程中，常涉及将数据传输到外部的情况。此类数据传输不少是短促行为，易发生业务部门“八仙过海”，将数据私搬至“外宅”的情况，带来安全风险。因此，加强内部管理、做好外部监控，控好“外宅”，是金融机构控制数据外传过程中泄漏风险的重要手段，具体包括：

（1）落实数据外传报备：金融机构应建立对外数据交换管理规范及报备机制，涉敏数据的外传都须事前报备。

（2）签署数据安全协议：为加强约束管理，控好“外宅”，对于涉敏数据传输，金融机构应要求对方签署数据安全协议，为数据接收方戴上“紧箍咒”。

（3）强化数据外传事后监督：金融机构还应定期开展数据外传专项检视，严查私设“外宅”搬运数据。

一是建设互联网资产监测与管理平台，建立外部合作互联网资产台账，并与采购环节关联，收集互联网资产涉及的合作供应商信息，挖出“偷搬”线索。

二是在邮件网关、终端、互联网等关键出口设置监控平台，配置监控规则，就未授权的敏感数据传输行为进行监控、告警及处置，反向推动数据受控外传。

金融机构在业务实施过程中，不可避免与外部厂商进行业务合作。由于服务商安全能力高低不平，部分业务合作的好兄弟，很有可能成为泄漏我方数据的“猪队友”，对于此类情况，管控思路如下：

数据外传到合作方不可避免会增加数据安全风险。因此应提前识别业务合作关键内容及所涉数据的类型及安全等级，精准了解业务合作过程的高敏数据。对于存在高敏数据的业务合作，应以建设、使用自有系统为优先推进方向，可将涉及到的数据在系统中统一收口，控制合作方人员使用企业自有系统进行数据处理，避免数据离开内部环境。同时，将数据安全能力嵌入到自有系统作业流程中，如使用明水印增加威慑，使用暗水印用于追踪数据泄漏事件，对敏感信息掩码处理，对下载行为监测审计等。

建设对外数据交换申报管理及评审平台，依托此平台与接口管理平台对接，实现数据交互类接口上线前的卡点，并通过卡点阶段对接口的风险评估，达成管理接口数据交互风险的目的。此外，还应利用平台实时监控接口网络流量，以发现异常数据访问、失活无效数据接口；通过提前预设规则，识别及记录非法操作、异常攻击；对数据接口访问进行监控，自动识别字段级别数据传输，并依托敏感数据管理系统对敏感数据使用、流转、解密情况进行分析，提高数据接口服务的安全性。

金融机构与服务商的业务合作通常长达1-3年甚至更多的时间，在这样的时间跨度下不论是外部环境还是内部情况都足以发生较大变化。因此，在合作期间应该设置周期性信息安全检查的机制，并通过警示、罚款等措施督促合作方进行整改，提升其能力。

随着技术的成熟以及“随时”、“随地”、“随性”远程办公“内卷”文化的兴起，勤奋工作的好员工越来越不满足只在职场工作，而希望能在任何时间、任何地点、任何情况接入系统、访问数据、处理工作。但这种突破数据保护边界的远程办公模式，在便利的同时，也给敏感数据保护带来新的挑战。

一是限员工帐号权限，提前划分员工角色、系统类别、数据类别及数据安全级别，动态维护数据清单-系统清单-角色清单间的权限匹配关系，依据最小化原则控制不同角色的操作权限和数据权限，定期清理权限，使得员工除工作所需外，不该看的数据看不到。

二是限远程访问系统范围，预先建立评审机制，对远程访问需求进行安全评审，以“先评审、后开放”为原则，从技术安全、数据安全等维度对远程访问方案、系统安全性、数据敏感性进行评审，只有符合安全要求的系统、数据才允许远程访问。

三是限数据暴露面权限，通过云桌面、受控APP程序等方式远程访问数据，限制远程下载；通过应用控制，禁止应用下载功能；通过前端展示控制，屏蔽展示的敏感信息。让数据“看的到，摸不着”、“用得到，拿不着”。

四是是强制要求所有VPN访问使用双因素认证方式，对于办公终端的远程访问要求配置远程访问证书，仅允许受信任的人员登录远程访问系统。

五是采取零信任技术，在员工家庭电脑安装客户端，并基于可信用户、可信设备和可信应用的可信身份三要素验证，仅允许受信任设备远程访问，非白名单设备无法入网。

为监控员工可疑的操作、访问，及时发现、拦阻数据安全事件，金融机构应在多层面部署监控、分析、拦截系统。

在终端层面部署DLP客户端,实时监控敏感信息终端操作行为；在网络边界部署网络DLP，对敏感信息上传行为进行监测阻断；在邮件系统部署邮件DLP，所有外发邮件内容及附件经敏感信息识别和阻断；在数据中心边界，部署文件摆渡平台，监控出数据中心文件；针对文件打印进行敏感信息检测，打印敏感信息需安全审批；对存在敏感信息展示和下载的应用系统进行日志埋点，记录访问和下载行为。

此外，为将有限的资源优先关注“真正有风险的员工”，应结合员工“动机”、“意愿”及“信息泄露的可能性”建立UEBA 终端用户行为分析智能平台，通过机器学习模型、员工画像、系统画像等分析手段，基于不同业务场景，实现对员工风险行为的识别、预警，并输出可疑的风险事件进行查追踪。

选自公众号：安全村SecUN

原文链接：https://mp.weixin.qq.com/s/BnWcCWEftamtaTF2k62AWQ

1、背景介绍

在实际社工钓鱼中，以邮件、IM投毒最为频繁，接下来主要通过钓鱼邮件和IM钓鱼的攻击过程来详细讲述下社会工程学的攻击过程与防御手段。

（1）邮件钓鱼

攻击者通常利用密码到期、发票、岗位薪资调整、财政补助等具有欺骗性的文字诱导受害者点击或者下载附件，从而达到窃取信息或远控的目的。其攻击方式也变得多种多样，通过日常安全运营可知，目前钓鱼邮件逐渐加密化、二维码化、图片化、精准化以及人工智能化。

（2）IM钓鱼

攻击者在充分了解被害人的职位、工作内容、基本称呼和一些公开信息后进行有针对性的对话，一般的IM投毒主要伪装成客户、投诉者等，利用客服人员的工作性质，工作内容进行有针对性的话术欺骗，最终诱导受害者点击病毒文件，从而进行进一步的渗透。其防范存在以下难点：

1) 应用范围广：微信、QQ、企业微信等IM软件在企业日常办公中承担重要支撑作用；是对外沟通的重要渠道，不可能禁止。

2) 检测难：IM软件协议私有，在协议层面无法还原，无法在网关和流量层面进行检测防范；同时装有IM软件的客户端遍布公司终端、自有终端。

3) 人的弱点：内部员工的安全意识参差不齐，面对针对性的话术诱骗容易落入圈套

4) 处置难：无法快速定位失陷人员，很容易造成大面积失陷。

2、华泰证券防护实践

（1）构建钓鱼邮件纵深防御体系

此防御体系可以总结为事前防御、事中防御、事后处置三个过程。

1) 事前防御：以加强人的安全意识为主，所以一定频率的钓鱼演练和安全宣贯是社工防御必不可少的环节。情报的收集和获取也是事前防御的重点，购买情报服务或加入行业情报组织对于事前的社工防御也是重中之重。

2) 事中防御：是整个纵深防御体系的关键环节，其中以邮件网关的防御能力为主，随着钓鱼邮件逐渐的加密化、二维码化、图片化甚至随着人工智能的兴起，钓鱼内容的生成也逐渐的智能化和精准化。邮件网关的能力也要随着技术的更新而不断的完善。其主要包括：SPF\RBL的检测能力；DDOS的防御能力；病毒邮件识别能力；垃圾邮件指纹分析能力；云情报联动能力；OCR识别能力；机器学习能力；Syslog日志推送能力；API功能对接能力。

3) 事后处置：对于透过邮件网关的钓鱼邮件，在用户点击威胁附件或链接之前，还有很短的一段时间，我们称之为邮件处理的黄金时间。如何在这段黄金时间如何在用户无感知的情况下快速删除邮件并封禁相关域名和IP，是思考邮件事后处置的基本出发点。我们通过SIEM平台接入各种邮件安全日志进行分析和告警，同时将确认无疑的告警发往SOAR平台进行自动化的编排和处置。其技术过程主要包括以下三点：1、邮件网关后流量接入邮件检测设备，包括邮件溯源系统、邮件M01联防系统、邮件沙箱等设备同时将这些设备检测的结果以syslog日志的形式传入SIEM；2、SIEM汇总来自旁路部署的各邮件安全设备的日志，同时还接入了邮件网关的日志、邮件服务器的登录日志等邮件相关日志，通过对邮件各种日志的汇总分析，分析出威胁严重的告警进而推送到SOAR；3、SOAR接收来自SIEM的威胁告警，包括邮件各维度的信息如发件人、收件人、主题等，通过打通SOAR对接邮件服务器的删除接口API和对接邮件网关的封禁接口API，同时编排应对各种场景的剧本，通过剧本来处置来自SIEM的告警。整个处置过程少于1分钟。

（2）打造IM钓鱼全流程防护处置体系

对于IM类投毒，进行IM的落地文件监控是至关重要的，尤其是可执行文件，一般木马程序都是通过可执行文件进行的。通过对文件的监控，把可疑文件放入沙箱进行自动化检测，如果发现有可疑文件，则通过IM进行通知检测结果，如果发现被受害人点击了威胁文件，则进行自动化断网，自动化隔离等一系列应急操作，通过对威胁文件的全流程监控，达到快速响应的效果。其过程主要分为以下几个方面：

1) 落地文件的监测，通过SIEM平台接入IM日志进行文件类型监控，主要针对于加密附件类与可执行文件类的检测。在此阶段通过分析判定该文件是否为恶意文件，如果为恶意文件则进行下一步操作。

2) 文件自动化检测，通过把威胁告警传给SOAR，SOAR接收来自威胁告警的详细信息，通过文件的ID调取IM的接口，下载文件传入文件沙箱，同时将文件沙箱的结果以IM的方式告知安全处置人员和受害人。

3) 威胁处置，安全人员收到来自SOAR的分析结果，则开始迅速响应，一般包括直接电话通知受害人，若受害人点击了威胁文件，则会触发自动化断网，和自动化隔离等操作。

4) 流程优化，对于经常收到IM投毒的客服人员或投顾人员，在进行社工安全的培训后可加入告警白名单，嵌入到整个自动化处置流程中，对于新增受害者则会重点关注，增加整个处置流程的效率。

PS：网络安全AI说播客补充：华泰证券针对IM的钓鱼，上述说到的沙箱是个好技术，由于IM钓鱼同时因为会释放一些可执行文件，也可以利用市面上的EDR技术做检测。

选自公众号：安全村SecUN

原文链接：https://mp.weixin.qq.com/s/GfIAILwckXLo2uY3ZNbgrw

1、背景

基于人工的方式验证整个网络安全体系是不是有效往往存在非连续、覆盖率不全、成本高、组织时间长等一系列问题。基于这类情况，推动自动化、全覆盖的连续的安全有效性验证手段成为了必然趋势。

2、解决思路

我行通过搭建基于入侵和攻击模拟系统（BAS），联动现有安全体系，构建“建设”“运营”“验证”三同步有效性验证运营方法，形成定期复验回检机制。通过这个平台模拟各类攻击手法和工具，覆盖各类攻击方式，提升安全验证的全面性。基于海量攻击手法、场景库，实现安全产品检测防御、威胁狩猎捕获能力、关联分析能力、事件响应流程、人员安全意识等各项验证。

3、场景实践

（1）基于BAS的自动化机制，设置定时有效性验证任务，形成常态化巡检体系。建立多项评估指标，包含防护覆盖度、丢包率、稳定性、响应时间、处置效率、防护体系有效性、防护体系健壮性、安全体系风险及防守方健康度等指标。如NTA防护覆盖度，通过与CMDB联动，分析丢包率，发现某个区域的流量镜像存在问题或者某个区域的流量探针性能不足，导致该区域探针无法告警或频繁丢包；如SIEM/SOC告警链路是否正常，发现某个安全设备由于更新版本重置了syslog发送配置项导致SOC上无法出现相应告警等。

（2）突发漏洞快速检验，保障安全建设持续有效。利用安全验证技术快速验证突发漏洞防护效力，快速补齐突发漏洞检测能力。基于ATT&CK战术及多场景，对各个安全设备进行有效性验证，验证现网安全效力，确保历史安全建设达到“应检尽检”，全面有效运行。

（3）将安全设备有效性纳入安全运营，可视化安全防御能力。联动我行运营体系，打通验证闭环流程，建立定期回检机制，对监测有效性问题从发现、到解决、再进行复验进行常态化、持续全面的闭环运营。

4、效果

通过上述实践，我行通过BAS持续验证安全策略、安全封禁能力，保障我行现网防护设备处于有效工作状态。应对现有已知通用攻击手段，现有防护能力有效。已完成近50余个突发漏洞和攻击手法防护能力验证。

选自公众号：安全村SecUN

原文链接：

1、战术思路

对于来自全栈云漏洞、容器漏洞、网络及特种设备扫描漏洞、HIDS主机入侵检测、情报漏洞、渗透测试漏洞等多途径、多源头的漏洞输入，中信银行依托安全运营管理平台、安全漏洞管理平台、安全漏洞整改相关系统等8套系统，完成漏洞分级分类、CMDB资产信息补充，关联自动化修复方案，分派漏洞修复整改工单，漏洞自动化验证工作，实现线上化安全漏洞全生命周期管理。通过“标准化、流程化、自动化”模型建立安全漏洞管理体系，实现漏洞“动态清零”处置。

2、实践详情

①建立安全漏洞评估机制，提升海量漏洞管理工作成效

针对上述多途径、多来源的漏洞，结合漏洞可利用性、漏洞CVSS评分，组织安全评估团队开展漏洞评审，评审结果按照行内漏洞等级整改要求进行后续的漏洞整改工作。安全漏洞评估机制的建立，突破了传统由高到低修复漏洞的管理方式，快速推动修复，在有限资源下提升海量漏洞管理工作成效。

②建立漏洞修复方案库，实现漏洞修复自动化处置

针对已收录的漏洞信息，我行漏洞修复方案研发团队开展已知漏洞修复脚本的研发，建立安全漏洞自动化修复方案库，截至目前我行已累计具备自动化修复的漏洞类型达426种。我行漏洞自动化修复方案平均研发时间可实现十小时级别。

③建立安全漏洞管理流程，实现漏洞分级责任人分派

通过安全运营管理平台、安全漏洞管理平台对采集上述的多途径来源漏洞，进行分类分级、聚合，补充资产信息、自动化修复方案、定位漏洞处置管理员、分派整改工单，下发漏洞整改工单，回传安全漏洞管理平台，记录漏洞工单的状态及自动化处置情况。

④建立漏洞修复自动化变更流程，实现自动化整改、实施与验证

我行自建自动化运维管理平台（简称：PAAS中台），主要承载所有基础设施层面变更的自动化管理工作。系统管理员只需按照自动化模板填入相关参数，包含字段：系统名称、IP地址、实施时间等，关联安全漏洞自动化修复脚本，自动生成变更工单，执行漏洞修复自动化变更，自动化变更平均实施时间在10分钟左右。

⑤达成安全漏洞“动态清零”的管理目标

以上漏洞修复技术方案建立后，我行安全漏洞从发现到有效修复平均时间由15个工作缩短为1个工作日内，实现安全漏洞当日发现当日修复的“动态清零”目标，整体缩短了安全风险的敞口，提升了安全风险的管理目标。

3、应用效果

通过该自动化安全漏洞识别和处置机制、实现安全漏洞“动态清零”和安全风险整改常态化和闭环管理，大幅度提升了安全风险的督办和整改效率。2023年度我行通过自动化发现和处置安全漏洞二十余万，达成整体整改率99.96%，主机漏洞自动化修复实施时间平均10分钟，覆盖全行19万+台主机服务器，应用系统应对已知漏洞的能力得到显著增强。

谷歌正在为其Pixel设备添加一项新的基于AI的防欺诈保护功能，该功能可监控手机通话，以识别可能预示着来电者为欺诈者的模式。

该系统将实时运行，通过识别与诈骗相关的常见对话模式来实现这一功能，例如冒充公司打电话或在数据泄露警报之后拨打紧急电话。当检测到一个电话是诈骗电话时，手机上会出现一个通知，警告安卓用户并询问他们是否愿意结束通话。该反欺诈系统最初仅适用于使用英语的对话，目前仅在美国向Google Pixel 6及后续用户推出，预计其他OEM厂商的更多Android设备将在未来几个月内获得这些功能。

原文链接：

选自公众号：教育数字化观察

原文链接：

1、背景

北京大学校园网的用户规模超过12万人。我们的网络安全防护规模也同样非常庞大，目前有1909个备案登记的网站，7406个服务器账号，涉及几十台网络安全设备。

2、主动防护体系建设思路

“建设好一个平台、常态化开展两项演练”。具体来说，一个平台是指安全综合管理平台，包括对所有网络安全人员、设备资产和安全事件等的统一管理；两项演练是指钓鱼演练和网络安全攻防演练。

2.1安全综合管理平台北京大学的安全综合管理平台是我们根据网络安全工作的实际需要，逐步自主开发的。平台的主要功能分为三大类：队伍建设、安全运维、信息资产。

以网站新备案申请为例：申请人首先登录平台登记网站相关的信息，安全综合管理平台会与网上办事大厅流程联动，相关申请由院系主管领导审批后，在安全综合管理平台按流程一步一步进行网站扫描、源代码审计或灰盒审计、安装主机防护软件、人工渗透测试等过程，只有所有的安全检查都通过了，流程才能顺利进行。这就是我们网站备案的一个完整、系统化的过程。

通过安装插件、调用外部接口、使用自己开发的工具等方式，我们可以在平台上进行主动的安全扫描，拓展各种网络安全功能。在平台的信息资产部分，我们可以管理校园网的全部内容，包括所有对外开放的端口、提供的服务、其他运维平台、教育部和省市区相关部门的安全资产信息和安全事件，以及我们自己的扫描器等所有信息都会在平台上统一管理。

在平台的队伍建设和组织工作部分，因为校内网络安全的第一责任人往往是院系或机关单位的领导，书记或院长等，所以我们增加了体系化的组工信息。总的来说，我们希望通过安全综合管理平台，对安全防护工作实现全面、规范化的管理。

对于网站的登记备案，我们要求备案的网站只对校外开放的必要端口，严格限制远程登录、数据库等高风险端口的校外访问权限，加强端口级别的访问控制。同时，我们会在每年的9月份启动一项年度审核工作，重新检查所有的备案信息，对于那些长时间未使用或者访问量过低的网站，我们会建议网站管理员进行关闭和注销的流程。

再以安全服务管理为例，我们的平台提供了安全扫描、人工渗透、源码审计等服务管理。我们会将来自安全公司的报告、事件以及我们自有产品的信息收集起来，统一上传到平台上。平台会自动进行识别，并向相关责任人发送邮件提醒。这种规范化的管理方式产生了非常明显的效果。2020年，我们加大了安全扫描的力度，发现的高风险漏洞的数量大幅上升，但在近两年的加大整改力度后，漏洞数量明显下降，网站资产的安全性得到了显著提升。

2.2钓鱼邮件演练网络安全工作的重要一环是提高师生的网络安全意识。其中一个广泛存在的问题，也是与每位校园网用户的财产安全直接相关的问题，是邮件安全。我们尝试了一些基于发信行为模式的检测方法，如考察用户的地理位置、使用习惯、作息规律等，以判断校内用户邮箱是否被盗，但对遏制钓鱼邮件的效果有限。总的来说，从源头上解决钓鱼邮件问题具有一定难度，因此我们强调宣传网络安全知识，提高师生的安全防范意识。

我们第一次进行钓鱼邮件演练是在2021年5月份。大致流程是采用Coremail邮件系统的后台功能，通过脚本直接批量发送邮件。每封邮件内容完全一样，为了保护隐私，在钓鱼链接里我们也不发送与记录用户密码等敏感信息。当然这会给分析统计带来困难，预期也会有用户对钓鱼服务器进行攻击。因此我们使用了商业的蜜罐系统来做钓鱼服务器，它有溯源识别功能，再加上与校园网IP信息关联可以粗略判断中招用户的身份。由于是第一家“吃螃蟹”的高校，尽管我们做了很多预案，实际上还是有一些意料之外的事情发生。例如我们虚构了一个不存在的“北京大学后勤管理处”，许多师生认为应该是总务处，结果给他们带来了很多麻烦。但由此也能看出，第一次钓鱼邮件演练还是有成效的，也获得了不错的反响。

在第一次演练结束后，我们想要对所有上当的用户进行统计分析，结果发现这个过程非常费时也不准确。因此在第二次演练时，我们使用专门的软件，给每人发的邮件里加上专属ID，这样可以直接对应到每个用户。同时，为了保护用户隐私，我们第二次演练同样也不发送用户密码信息。此外，我们也吸取了第一次的经验教训，设计了与计算中心业务相关的钓鱼邮件内容，避免影响其它部门的正常工作。第三次演练时，我们进一步增加了仿真度，不仅完全仿照了学校统一门户认证的界面，域名也只有一个字母不一样，“edu”的“e”下面多了一个点，也是钓鱼网站很常用的混淆方式。虽然仿真度非常高，但真正中招的比例却下降了，说明这三次演练是非常有成效的。在此之后，我们收到了许多好的反馈，包括北大的国际关系学院，有很多老师是国家智库成员，经常遭到网络攻击。他们对网络安全特别重视，特地申请加练，我们也为国关学院安排了一次专门的演练。在第四次钓鱼邮件演练中，我们还与北京大学心理与认知学院合作，根据不同人群设置了不同的钓鱼邮件内容，并增加了新的二维码模式的钓鱼邮件。这几次演练在全校师生间引起了很高的讨论度，达到了很好的宣传效果。

2.3校内攻防演练攻防演练也是非常有意义的校级网络安全活动。最开始的时候，我们把扫描和渗透测试发现的业务系统高危漏洞通知各院系单位。但是，部分单位对高危漏洞的理解不足，因此在相关的网络安全工作中的积极性不高。为了解决这个问题，我们在2021年和2022年连续举办了两次实网攻防演练，在这些演练中，我们发现了若干重大的安全风险。每次演练我们都会召开网信工作会，并把结果向学校领导进行汇报。在听取汇报之后，学校领导非常重视，要求对应部门限期整改，并由督察室进行督办。相比于发漏洞整改通知，攻防演练实际地模拟了服务器被攻陷的情形，直观展示出漏洞可能造成的严重后果，更能引起大家的重视。经过两次演练，大家对网络安全的重视程度和安全意识都得到了显著提高。

在建设好平台和开展两项演练之外，我们也建立了一系列网络安全教育的机制。通过组织相关的讲座和沙龙活动，提高师生的安全意识和技能。同时，我们还积极组织参与各种安全比赛和各级攻防演练对抗活动，让学生团队参与到网络安全的日常工作中，提升网安队伍的整体实力。