程老師是一位擁有豐富經驗的安全老兵，3年前接手了某大型基金的安全運營管理工作。這魔幻的3年，給本不富裕的安全行業雪上加霜，但出乎意料，他卻斗志昂揚。“程老師，你藏了什么好東西”，他狡黠一笑，“我找到了三板斧”。
何為安全運營的三板斧？以下來自程老師的自述。
第一板斧：自動巡檢突破安全設備山
我剛到公司，想著先對安全能力做個盤點，看看下一步安全建設的方向，盤點完，血壓直接就上來了。公司在不同時期，陸續采購了不同廠家的、各種技術棧的各種設備。早期的動態數據包過濾防火墻、反垃圾郵件，后來為了合規，搞了一些日志審計、惡意軟件分析的系統，前幾年還買了一些蜜罐和威脅情報，甚至還有一個爛尾的SOC。
為了捋清楚這些系統是不是還能正常使用，廢了我老鼻子勁。你知道，這種重復的工作，我一般不會做第二次，所以就想調研看看有沒有啥解決思路，結果遇到了“青藤鵲橋”這個法寶。你知道我們現在巡檢怎么做了么？早上我到辦公室，會收到一封郵件，里面是我們30多個設備的授權和健康狀況，那些有問題的設備，早已經自動提交了工單。
第二板斧：自動處置化解告警龍卷風
在設備巡檢的事情有思路后，我就對告警這塊有些想法了，但實際情況遠比我想象的要糟。最大的問題是，我發現人手全都被限制在告警上，規則優化了好幾輪還是沒有太大改善。尤其是流量告警，不看擔心有風險，要是看，那一天別的基本上啥都不用干了，好不容易招的人不是跑了就是廢了。沒人愿意做這些重復的、機械的邏輯判斷，大家都知道和機器搶活干遲早被淘汰。
現在有了“青藤鵲橋”，對于邊界上的告警，我們貼著業務做一些自動的處置判斷就能消滅大部分。比如像國外的IP，我們直接就封了，因為根本就沒有國際業務嘛，再配合威脅情報，絕大多數告警都能自動處理掉。涉及到內網的告警，在人介入之前，也會自動做一些基礎的數據調查，把關鍵的調查結果放在工單上一起提交，效率高還方便復盤。現在大家都是搶著處理工單，因為一旦發現安全事件，那可是頭功。
第三板斧：自動分級跑贏資產攻擊面
這幾年我們最大的進步，就是安全建設思路清晰了。以前我們都是被告警追著滿地跑，現在才發現之前的重點完全放錯了。告警只是安全問題的表象，能被天天狼來了的告警耍的身心俱疲，根本原因是我們內部的安全管理是嚴重缺失的。最首要的是資產的管理，各種負載、應用、供應鏈的資產是不是能摸清楚。在這些細粒度的資產基礎上，風險、漏洞是不是可以探明查清，需要緊急修復的有沒有辦法持續追蹤。
就好比你是你家小區保安，如果對小區的建筑資產和安保風險都心中有數，那就不會有任何風吹草動都亂成一團。戰時的關鍵是跑贏入侵者，但更重要的是在平時要跑贏攻擊面。
說實話，最開始我是不相信這事兒能成的，因為資產太多了，漏洞也太多了。我不是裝了5000點的主機么，最開始跑完掃描直接給我報了2萬多個漏洞，人都麻了，差點原地辭職。結果，“青藤鵲橋”幫我們做了自動化的漏洞分級，1分鐘就給出了排序結果。可以很清楚地知道哪些漏洞是最危險的要趕緊修復掉，哪些是沒有POC或者EXP的可以往后放。
這三板斧讓程老師迅速打開了局面。但是據他說，圍繞“青藤鵲橋”這個法寶他可不止練了三招。比如攻擊面梳理之后，如何結合自動化來做攻防演練，讓備戰演練不再過家家。比如那些發現的安全事件，如何結合自動化來做隔離溯源，讓處置響應不再苦哈哈。比如那2萬多的漏洞，如何結合自動化來做虛擬補丁，讓漏洞收斂不再拖拖拉拉。……如此練下來，看來過段時間再見到程老師，又得刮目相看了……
關于作者：
Welder: 青藤平臺產品事業部-自動化安全運營專家，主要負責自動化安全運營解決方案咨詢與設計。
