“實(shí)戰(zhàn)是檢驗(yàn)網(wǎng)絡(luò)安全建設(shè)成果的唯一標(biāo)準(zhǔn)，建立技術(shù)型、可量化的能力評(píng)價(jià)體系又是實(shí)戰(zhàn)常態(tài)化的基礎(chǔ)。”

為了幫助企業(yè)快速發(fā)現(xiàn)自身安全建設(shè)中存在的短板和盲區(qū)，有效提升真實(shí)網(wǎng)絡(luò)環(huán)境下企業(yè)自身對(duì)威脅的識(shí)別、響應(yīng)在實(shí)際運(yùn)行下的安全能力，斗象科技協(xié)助公安部第三研究所信息網(wǎng)絡(luò)安全公安部重點(diǎn)實(shí)驗(yàn)室制定了網(wǎng)絡(luò)安全實(shí)戰(zhàn)能力評(píng)價(jià)體系。旨在通過技術(shù)性、可量化的評(píng)估方式，摸清企業(yè)實(shí)戰(zhàn)防護(hù)能力整體水平與成熟度底數(shù)，分析、發(fā)現(xiàn)短板和盲區(qū)，促進(jìn)各組織安全體系、安全系統(tǒng)、安全設(shè)備的實(shí)際攻防能力效果的穩(wěn)步提升。

企業(yè)對(duì)自身網(wǎng)絡(luò)安全實(shí)戰(zhàn)能力的認(rèn)知需求

隨著0day攻擊、APT攻擊、勒索軟件等威脅愈發(fā)嚴(yán)重，安全對(duì)抗的水平不斷提高，企業(yè)安全建設(shè)逐漸由合規(guī)驅(qū)動(dòng)轉(zhuǎn)變?yōu)閷?shí)戰(zhàn)驅(qū)動(dòng)。然而，傳統(tǒng)的網(wǎng)絡(luò)安全建設(shè)往往側(cè)重于理論上的頂層設(shè)計(jì)，安全系統(tǒng)、安全設(shè)備能力大多依賴于安全廠商的維護(hù)，忽視了其在實(shí)戰(zhàn)執(zhí)行、實(shí)際運(yùn)行中的有效性和滯后性可能，這導(dǎo)致大部分企業(yè)在安全體系落地上存在諸多瓶頸，如：

實(shí)戰(zhàn)防護(hù)能力現(xiàn)狀不清晰。經(jīng)過近些年的合規(guī)建設(shè)，組織大多建設(shè)了自身的網(wǎng)絡(luò)安全防護(hù)體系，但對(duì)現(xiàn)有體系在實(shí)戰(zhàn)中能否有符合預(yù)期的表現(xiàn)，缺少清晰、量化的評(píng)價(jià)手段；

實(shí)戰(zhàn)防護(hù)能力建設(shè)缺乏指標(biāo)指引。與傳統(tǒng)基于合規(guī)的安全防護(hù)體系建設(shè)不同，基于實(shí)戰(zhàn)的安全防護(hù)體系建設(shè)需要面臨更加復(fù)雜多變的情形，在沒有豐富實(shí)戰(zhàn)經(jīng)驗(yàn)的情況下如何科學(xué)、有效地構(gòu)建實(shí)戰(zhàn)防護(hù)體系成為組織的迫切需求；

防護(hù)體系盲區(qū)難以發(fā)現(xiàn)。安全體系建設(shè)具備典型的“木桶效應(yīng)”，這一點(diǎn)在實(shí)戰(zhàn)中尤為凸顯，而常規(guī)的安全評(píng)估及安全測(cè)試手段，難以體系、全面地尋找安全建設(shè)的短板及盲區(qū)。

網(wǎng)絡(luò)安全實(shí)戰(zhàn)能力評(píng)價(jià)體系

為了幫助企業(yè)清晰認(rèn)識(shí)并解決上述痛點(diǎn)，斗象科技通過多年來積累的實(shí)戰(zhàn)攻防經(jīng)驗(yàn)，以“以攻促防”為目標(biāo)、以“常態(tài)化安全運(yùn)營(yíng)”為導(dǎo)向，協(xié)助公安部三所制定《網(wǎng)絡(luò)安全實(shí)戰(zhàn)能力評(píng)價(jià)》體系，將安全實(shí)戰(zhàn)能力劃分為6大安全域、36個(gè)能力項(xiàng)、108個(gè)評(píng)價(jià)維度、數(shù)百個(gè)能力指標(biāo)。從資源、技術(shù)、管理三個(gè)評(píng)價(jià)維度入手，采用人工評(píng)估+工具驗(yàn)證的方式，對(duì)每個(gè)能力指標(biāo)進(jìn)行量化評(píng)估和成熟度打分，為企業(yè)提供一套針對(duì)實(shí)戰(zhàn)安全能力建設(shè)可參考的標(biāo)準(zhǔn)及能力提升方向。

圖 1 實(shí)戰(zhàn)能力全景圖

6大安全域

《網(wǎng)絡(luò)安全實(shí)戰(zhàn)能力評(píng)價(jià)》包含六大安全域（如表1）。這六個(gè)安全域形成了一條囊括了包括安全管理、日常運(yùn)營(yíng)、安全事件、安全漏洞、內(nèi)外部威脅、安全情報(bào)等安全活動(dòng)和安全要素全生命周期中重要的安全控制要求的鏈條，能夠映射到網(wǎng)絡(luò)攻擊殺傷鏈的不同階段，采用縱深防御的思想，力求讓攻擊者在殺傷鏈的每個(gè)環(huán)節(jié)舉步維艱，避免攻擊者攻擊意圖的實(shí)現(xiàn)。

表 1 《網(wǎng)絡(luò)安全實(shí)戰(zhàn)能力評(píng)價(jià)》六大安全域

36個(gè)能力項(xiàng)

作為對(duì)安全域的進(jìn)一步細(xì)化，能力項(xiàng)描述了企業(yè)從物理到網(wǎng)絡(luò)、從硬件到軟件、從內(nèi)部到外部所應(yīng)具備的一系列安全實(shí)戰(zhàn)能力。《網(wǎng)絡(luò)安全實(shí)戰(zhàn)能力評(píng)價(jià)》體系對(duì)六個(gè)安全域共細(xì)分出36個(gè)能力項(xiàng)。每個(gè)能力項(xiàng)都包含從資源、管理、技術(shù)三個(gè)維度量化出的若干指標(biāo)項(xiàng)的體系評(píng)價(jià)。

圖 2 能力項(xiàng)及評(píng)級(jí)維度

安全能力評(píng)分方式及能力等級(jí)劃分

《網(wǎng)絡(luò)安全實(shí)戰(zhàn)能力評(píng)價(jià)》體系參考了國(guó)際標(biāo)準(zhǔn)和最佳實(shí)踐，具備通用性和可操作性，并結(jié)合了中國(guó)國(guó)情和實(shí)戰(zhàn)攻防特點(diǎn)，可以根據(jù)企業(yè)的實(shí)際需求進(jìn)行針對(duì)性量化評(píng)估，從“資源投入、管理流程、技術(shù)有效性”三個(gè)維度科學(xué)計(jì)算得到各個(gè)能力項(xiàng)的得分，進(jìn)而客觀分析出企業(yè)安全實(shí)戰(zhàn)能力水平處于何種等級(jí)。

評(píng)分方式

該評(píng)價(jià)體系中的評(píng)價(jià)項(xiàng)主要分為體系評(píng)估和技術(shù)驗(yàn)證評(píng)估，最終評(píng)分采用兩者加權(quán)的方式計(jì)算出來。其中，體系得分由六大安全域得分加權(quán)而來，而安全域得分則由安全域下的各項(xiàng)能力項(xiàng)加權(quán)而來，依次類推。技術(shù)驗(yàn)證得分也同樣是這種層層遞進(jìn)的關(guān)系。

圖 3 網(wǎng)絡(luò)安全實(shí)戰(zhàn)能力評(píng)分方式

技術(shù)驗(yàn)證評(píng)估主要針對(duì)防護(hù)、檢測(cè)和響應(yīng)三個(gè)安全域中的部分能力項(xiàng)。這些技術(shù)驗(yàn)證項(xiàng)會(huì)通過人工驗(yàn)證+自動(dòng)化驗(yàn)證的方式，在確保不影響業(yè)務(wù)的前提下，采用從真實(shí)攻擊場(chǎng)景中提取的無害化攻擊方法，對(duì)企業(yè)對(duì)應(yīng)的安全能力進(jìn)行實(shí)戰(zhàn)化測(cè)試。

圖 4 技術(shù)驗(yàn)證架構(gòu)

為了更精確地評(píng)價(jià)不同企業(yè)在不同場(chǎng)景下的安全能力，該體系引入了“不適用項(xiàng)”概念。避免一些在現(xiàn)實(shí)環(huán)境中不會(huì)對(duì)某些企業(yè)安全狀態(tài)產(chǎn)生影響的能力項(xiàng)拉低整體分?jǐn)?shù)，導(dǎo)致最終評(píng)價(jià)與企業(yè)真實(shí)安全狀態(tài)之間出現(xiàn)過大差距。另外，對(duì)于一些嚴(yán)重影響到企業(yè)安全的能力項(xiàng)，該體系還設(shè)計(jì)了一票否決項(xiàng)，確保關(guān)鍵安全能力/指標(biāo)相對(duì)于同組其他能力/指標(biāo)的優(yōu)先級(jí)。

能力等級(jí)劃分

根據(jù)企業(yè)在上述評(píng)價(jià)體系中的最終得分，可對(duì)企業(yè)安全實(shí)戰(zhàn)能力的綜合水平做出等級(jí)劃分，按照由低到高的順序依次分為初始級(jí)、基礎(chǔ)級(jí)、增強(qiáng)級(jí)和優(yōu)化級(jí)四個(gè)級(jí)別。表2詳細(xì)說明了在這種能力等級(jí)劃分方法下，每個(gè)等級(jí)在概念上對(duì)企業(yè)安全建設(shè)的要求。

表 2 能力等級(jí)劃分

證書樣例

完成評(píng)估后，信息網(wǎng)絡(luò)安全公安部重點(diǎn)實(shí)驗(yàn)室會(huì)頒發(fā)對(duì)應(yīng)等級(jí)的《網(wǎng)絡(luò)安全實(shí)戰(zhàn)能力評(píng)價(jià)》證書，該證書表示在有效期內(nèi)，企業(yè)具備相應(yīng)等級(jí)的安全能力用以應(yīng)對(duì)實(shí)戰(zhàn)環(huán)境下的各種安全挑戰(zhàn)。

圖 5 網(wǎng)絡(luò)安全實(shí)戰(zhàn)能力評(píng)價(jià)證書樣例

不同于常態(tài)化的安全評(píng)估工作，網(wǎng)絡(luò)安全實(shí)戰(zhàn)能力評(píng)價(jià)體系不僅將關(guān)注點(diǎn)從單一的人員、系統(tǒng)層面，拓展到評(píng)估整個(gè)企業(yè)的信息資產(chǎn)是否安全，還能幫助企業(yè)建立有效的安全評(píng)估和監(jiān)督機(jī)制，利用周期性的評(píng)價(jià)——整改——再評(píng)價(jià)的方式對(duì)整個(gè)安全建設(shè)的實(shí)施情況和效果進(jìn)行閉環(huán)監(jiān)測(cè)，確保相關(guān)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)得到有效控制。

此次推出的“網(wǎng)絡(luò)安全實(shí)戰(zhàn)能力評(píng)價(jià)體系”，充分迎合了當(dāng)前我國(guó)實(shí)戰(zhàn)常態(tài)化為目標(biāo)的網(wǎng)絡(luò)安全建設(shè)趨勢(shì)，并就企業(yè)如何對(duì)自身的安全體系進(jìn)行查漏補(bǔ)缺和進(jìn)一步完善給出了基于實(shí)戰(zhàn)的經(jīng)過驗(yàn)證的可行性路徑。這對(duì)于甲方企業(yè)以及自身專業(yè)安全能力的成熟和人才的培養(yǎng)都極具價(jià)值。

免責(zé)聲明：市場(chǎng)有風(fēng)險(xiǎn)，選擇需謹(jǐn)慎！此文僅供參考，不作買賣依據(jù)。