8月12日，ISC 2021云峰會(huì)安全技術(shù)實(shí)踐主題各分論壇重磅上線，“ATT&CK安全能力衡量論壇”作為該主題之下的重點(diǎn)分享方向，囊括了眾多行業(yè)內(nèi)的專家、技術(shù)大牛、企業(yè)代表，聚焦ATT&CK安全能力建設(shè)，共同探討和交流ATT&CK框架以及其在安全能力衡量的實(shí)踐中的研究。
ATT&CK 由 MITRE 于 2015 年正式發(fā)布，作為近幾年最火的攻防框架，匯聚來(lái)自全球安全社區(qū)貢獻(xiàn)的基于歷史實(shí)戰(zhàn)的高級(jí)威脅攻擊戰(zhàn)術(shù)、技術(shù)，形成了針對(duì)黑客行為描述及相應(yīng)防御構(gòu)建的通用語(yǔ)言和知識(shí)圖譜。同時(shí)也為組織獲得超越合規(guī)，面向?qū)崙?zhàn)而衡量，評(píng)價(jià)并持續(xù)改進(jìn)安全能力提供了方法論基礎(chǔ)和行動(dòng)指南。
（公安部第三研究所首席科學(xué)家金波）
公安部第三研究所首席科學(xué)家金波為論壇致辭時(shí)表示，近年來(lái)隨著云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)等信息技術(shù)快速發(fā)展，網(wǎng)絡(luò)空間與物理世界深度融合。地緣政治背景下國(guó)家網(wǎng)絡(luò)空間沖突愈演愈烈，以竊取敏感數(shù)據(jù)、破壞關(guān)鍵基礎(chǔ)設(shè)施為目的的國(guó)家APT活動(dòng)更加頻繁和活躍。網(wǎng)絡(luò)安全行業(yè)已經(jīng)成為大國(guó)博弈的核心主戰(zhàn)場(chǎng)，背后是各國(guó)家級(jí)的攻防能力角逐。
面對(duì)這些問(wèn)題，金波指出，近年來(lái)我國(guó)網(wǎng)絡(luò)安全行業(yè)快速進(jìn)步，在攻堅(jiān)模擬、紅藍(lán)對(duì)抗、威脅狩獵等領(lǐng)域都借鑒了ATT&CK框架。我們需要在攻防對(duì)抗中把國(guó)家的特色建立起來(lái)，從已有的技戰(zhàn)術(shù)和實(shí)踐原理打磨沉淀，形成我國(guó)特色網(wǎng)絡(luò)安全攻擊、防御、度量的知識(shí)圖譜體系。從而實(shí)現(xiàn)數(shù)據(jù)驅(qū)動(dòng)自動(dòng)化風(fēng)險(xiǎn)評(píng)估，數(shù)據(jù)驅(qū)動(dòng)安全，從實(shí)戰(zhàn)攻防角度進(jìn)一步提升網(wǎng)絡(luò)安全規(guī)劃、設(shè)計(jì)、建設(shè)、運(yùn)營(yíng)運(yùn)維的能力，進(jìn)一步促進(jìn)行業(yè)發(fā)展與能力提升。
（360政企安全集團(tuán)產(chǎn)品戰(zhàn)略規(guī)劃專家何帆）
“傳統(tǒng)網(wǎng)絡(luò)安全度量與規(guī)劃方法面臨一些挑戰(zhàn)，目前國(guó)內(nèi)外網(wǎng)絡(luò)安全成熟度模型、框架，重在評(píng)價(jià)網(wǎng)絡(luò)安全能力有無(wú)缺失，缺少實(shí)戰(zhàn)化的評(píng)價(jià)與規(guī)劃。”360政企安全集團(tuán)產(chǎn)品戰(zhàn)略規(guī)劃專家何帆在《網(wǎng)絡(luò)安全能力度量與規(guī)劃》的主題演講中指出。他強(qiáng)調(diào)，實(shí)戰(zhàn)是檢驗(yàn)網(wǎng)絡(luò)安全的唯一標(biāo)準(zhǔn)，因此組織需要一種實(shí)戰(zhàn)驅(qū)動(dòng)的網(wǎng)絡(luò)安全方法論來(lái)度量與規(guī)劃網(wǎng)絡(luò)安全能力。面向?qū)崙?zhàn)的網(wǎng)絡(luò)安全度量與規(guī)劃方法，需要將實(shí)戰(zhàn)攻防的元素與傳統(tǒng)的網(wǎng)絡(luò)安全咨詢規(guī)劃的方法相結(jié)合，以攻擊者視角的知識(shí)圖譜、防御者視角的知識(shí)圖譜、能力視角的成熟度模型等三方面作為方法論基礎(chǔ)，并且確保三個(gè)元素的關(guān)聯(lián)性。圍繞這個(gè)方法論，360公司進(jìn)行了實(shí)踐并構(gòu)建了全景攻防知識(shí)圖譜、網(wǎng)絡(luò)安全防御框架以及網(wǎng)絡(luò)安全成熟度模型，自主開發(fā)并形成了關(guān)聯(lián)的三大關(guān)鍵元素。
（阿里巴巴辦公安全負(fù)責(zé)人皮特）
阿里巴巴辦公安全負(fù)責(zé)人皮特結(jié)合阿里巴巴的實(shí)踐，帶來(lái)了《阿里ATT&CK的“平凡”之路》的分享。他從ATT&CK在阿里巴巴如何落地、阿里巴巴如何做辦公安全以及如何理解辦公安全等方面展開闡述，并強(qiáng)調(diào)阿里巴巴對(duì)辦公安全有明確的目標(biāo)，就是為阿里巴巴員工提供安全的辦公環(huán)境，最終保護(hù)阿里巴巴的商業(yè)資產(chǎn)安全。目前有許多場(chǎng)景網(wǎng)絡(luò)安全問(wèn)題需要解決，這些問(wèn)題倒逼企業(yè)在ATT&CK、檢測(cè)等方面進(jìn)行革新。
（北京安天網(wǎng)絡(luò)安全技術(shù)有限公司高級(jí)安全研究員侯方勇）
北京安天網(wǎng)絡(luò)安全技術(shù)有限公司高級(jí)安全研究員侯方勇帶來(lái)了題為《網(wǎng)空威脅框架的新進(jìn)展與防御矩陣》的主旨演講，并從威脅框架年度新進(jìn)展、威脅框架到防御框架、構(gòu)建全面有效的防御三方面展開介紹。他表示，安天構(gòu)建了全面有效的防御框架，將這個(gè)框架定義在一個(gè)主維度上網(wǎng)絡(luò)安全功能和能力的聚合方式，將關(guān)鍵安全動(dòng)作作為防御能力定義的核心，進(jìn)行安全動(dòng)作的定義與枚舉，將關(guān)鍵安全動(dòng)作進(jìn)行聚合，完成框架，將所有防御能力點(diǎn)轉(zhuǎn)化為一個(gè)形式化表達(dá)式。
（京東科技SDL負(fù)責(zé)人陜晨陽(yáng)）
安全能力建設(shè)一直是政企單位持續(xù)在探索的領(lǐng)域，如何從攻防實(shí)戰(zhàn)出發(fā)進(jìn)行安全能力建設(shè)更是一個(gè)熱門的研究方向。京東科技SDL負(fù)責(zé)人陜晨陽(yáng)帶來(lái)了《以攻防實(shí)戰(zhàn)為契機(jī)的安全能力建設(shè)》的分享。他指出，企業(yè)安全建設(shè)面臨很多問(wèn)題，復(fù)雜的業(yè)務(wù)場(chǎng)景，多變的攻擊手段，防不勝防，外部真實(shí)需求不斷增加，解決了從0到1的問(wèn)題，面臨從1到100的問(wèn)題。攻擊是點(diǎn)，防御是面，木桶理論進(jìn)化為氣球理論，一個(gè)點(diǎn)沒做好就會(huì)有“漏氣”的風(fēng)險(xiǎn)。安全能力建設(shè)落地需要滿足天時(shí)地利人和，即攻擊判斷、立體防護(hù)安全產(chǎn)品以及安全運(yùn)營(yíng)應(yīng)急處置。
（綠盟科技天元實(shí)驗(yàn)室研究員高東）
綠盟科技天元實(shí)驗(yàn)室研究員高東作了題為《ATT&CK VS. D3FEND》的主題演講。他介紹說(shuō)，ATT&CK、D3FEND在幫助攻防雙方清晰梳理各自技戰(zhàn)術(shù)的同時(shí)，無(wú)疑又因知己知彼而對(duì)攻防雙方提出了更高的能力要求，也將攻防對(duì)抗提高到了一個(gè)新的層次。ATT&CK在日趨完善的背景下，D3FEND的出現(xiàn)是在其基礎(chǔ)上的補(bǔ)充，未來(lái)也同樣可能被采用ATT&CK的組織進(jìn)行采用。而D3FEND是一種知識(shí)圖譜的呈現(xiàn)，數(shù)據(jù)源直接決定了知識(shí)庫(kù)的內(nèi)容覆蓋情況和準(zhǔn)確性。無(wú)論是ATT&CK、D3FEND，還是另一種Shield，三者相互關(guān)聯(lián)，旨在為防御者提供提高安全能力所需的信息，在組織的安全策略中都發(fā)揮著重要作用。
（360政企安全集團(tuán)漏洞研究院網(wǎng)絡(luò)安全工程師趙艷濤）
360政企安全集團(tuán)漏洞研究院網(wǎng)絡(luò)安全工程師趙艷濤帶來(lái)了《Mapping MITRE ATT&CK TO Microsoft Exchange Attack》的分享，他介紹說(shuō)，這個(gè)議題主要是從ATT&CK框架的視角來(lái)系統(tǒng)性的梳理和剖析針對(duì)Microsoft Exchange的攻擊。這些梳理出來(lái)的針對(duì)Microsoft Exchange的技戰(zhàn)術(shù)，為防御方防護(hù)Exchange這樣一個(gè)至關(guān)重要的攻擊面提供了系統(tǒng)性的參考。
（360政企安全集團(tuán)安全攻防研究員莫建平）
360政企安全集團(tuán)安全攻防研究員莫建平作了題為《使用AI技術(shù)對(duì)未結(jié)構(gòu)化的威脅分析報(bào)告進(jìn)行TTP自動(dòng)化提取》的主旨演講。他認(rèn)為，TTP是攻擊技戰(zhàn)術(shù)及其實(shí)現(xiàn)過(guò)程。如果能夠高效地提取到攻擊者的TTP，交給防御方，那么就可以直擊攻擊者痛點(diǎn)。但是從分析報(bào)告里提取TTP面臨著諸多挑戰(zhàn)，諸如非結(jié)構(gòu)化的信息、不同的描述方式等等。360知識(shí)云團(tuán)隊(duì)在構(gòu)建360全景攻防知識(shí)庫(kù)的過(guò)程中，采用AI技術(shù)對(duì)大量分析報(bào)告自動(dòng)抽取TTP，大幅度提高了處理效率和準(zhǔn)確性。
近年來(lái)，網(wǎng)絡(luò)安全持續(xù)的變化，攻防之間的博弈在不停的進(jìn)化，傳統(tǒng)的網(wǎng)絡(luò)安全能力的度量已經(jīng)越來(lái)越顯露出它的局限性，這就需要網(wǎng)安人有新的思考，新的網(wǎng)絡(luò)安全能力度量方式來(lái)應(yīng)對(duì)最新的網(wǎng)絡(luò)安全趨勢(shì)。本場(chǎng)論壇內(nèi)容在ISC 2021云峰會(huì)的正式上線，為業(yè)內(nèi)帶來(lái)了思想火花的碰撞，搭建起了線上交流的平臺(tái)，為行業(yè)發(fā)展貢獻(xiàn)網(wǎng)安人的力量。
