數(shù)字時代下，0day 攻擊、APT 攻擊、勒索軟件等威脅愈發(fā)嚴重，安全對抗的水平在不斷提高。安全最終是要以實戰(zhàn)攻防效果來衡量的，面對接踵而來的新威脅、大挑戰(zhàn)，發(fā)展實戰(zhàn)化的安全能力成為大安全時代的剛需。

　　然而傳統(tǒng)網(wǎng)絡安全建設過程中，頂層設計與落地執(zhí)行之間存在斷層，無法很好的應對實戰(zhàn)攻防，這一系列問題，給業(yè)界提出了挑戰(zhàn)。8月9日-12日，在ISC 2021云峰會上，360政企安全集團重磅發(fā)布了“實戰(zhàn)驅(qū)動的網(wǎng)絡安全方法論”，提出將實戰(zhàn)攻防元素與傳統(tǒng)網(wǎng)絡安全模型、框架驅(qū)動的方法相結(jié)合，提供實戰(zhàn)化的網(wǎng)絡安全規(guī)劃與度量方法。

　　在ISC 2021云峰會上，三六零（股票代碼：601360，以下簡稱360）集團創(chuàng)始人、董事長周鴻祎以軍隊打仗為行動思路，提出了“體系化作戰(zhàn)”，不能再把網(wǎng)絡安全當作數(shù)字化的附庸，試圖堆砌碎片化產(chǎn)品解決不斷變化的安全問題，而是應該直面安全挑戰(zhàn)，以“作戰(zhàn)、對抗、攻防思維”為指導，進行實戰(zhàn)化的安全能力建設。此次發(fā)布的方法論，即是從實戰(zhàn)化的角度去規(guī)劃與度量網(wǎng)絡安全能力建設的具象。

360集團創(chuàng)始人、董事長周鴻祎

　　以方法論持續(xù)提升網(wǎng)絡安全能力

　　在本次ISC大會中發(fā)布的方法論是360政企安全集團自上而下的一次戰(zhàn)略規(guī)劃。由360集團首席運營官、360政企安全集團首席執(zhí)行官葉健闡述了方法論的核心思想與構(gòu)成，并將其作為360政企安全集團的核心能力之一對外提供服務；360政企安全集團高級副總裁高翰昭闡述了方法論全景以及如何指導網(wǎng)絡安全體系建設；360政企安全集團產(chǎn)品戰(zhàn)略規(guī)劃專家何帆闡述了如何將攻擊框架、防御框架、成熟度模型三大基礎元素相關聯(lián)，從而將實戰(zhàn)攻防元素與傳統(tǒng)網(wǎng)絡安全模型、框架相結(jié)合來驅(qū)動網(wǎng)絡安全規(guī)劃與度量；360集團戰(zhàn)略創(chuàng)新研究院副院長吳露渟闡述了如何利用360網(wǎng)絡安全成熟度模型來度量網(wǎng)絡安全能力及其特點。

　　其中，360集團首席運營官、360政企安全集團首席執(zhí)行官葉健在題為“新形勢、新戰(zhàn)法、新使命、新生態(tài)”的演講中提出了360網(wǎng)絡安全新戰(zhàn)法的三大能力，其中重點之一是安全實戰(zhàn)方法論，他分別從如未知攻、豈能知防；縱深防御、體系運營；檢驗機制、不斷提升的維度闡述了網(wǎng)絡安全建設需要了解安全攻擊全景、構(gòu)建安全防御體系、并且持續(xù)進行安全成熟度評估的安全實戰(zhàn)方法論來提升網(wǎng)絡安全能力。

360集團首席運營官、360政企安全集團首席執(zhí)行官葉健

　　如何利用安全實戰(zhàn)方法論來進行網(wǎng)絡安全體系建設？360政企安全集團高級副總裁高翰昭在題為“面向?qū)崙?zhàn)的安全體系建設方法論”的演講中進行了闡述，他提到了在過去很多年中，網(wǎng)絡安全的頂層設計與網(wǎng)絡安全的落地執(zhí)行路徑在很大程度上出現(xiàn)了斷層，原因是提供頂層設計的第三方咨詢公司或者提供安全產(chǎn)品與解決方案的安全廠商都沒有很強的實戰(zhàn)攻防經(jīng)驗，然而360則是最擅長實戰(zhàn)攻防的網(wǎng)絡安全公司，因此也更責無旁貸地幫助各級機構(gòu)從實戰(zhàn)攻防的角度去度量與提高網(wǎng)絡安全能力。

　　演講中，高翰昭提出了安全體系建設需要定量、客觀的以安全能力提升為目標的方法論。網(wǎng)絡安全體系設計需要與企業(yè)業(yè)務的發(fā)展保持一致，以滿足各類合規(guī)要求、充分了解自身業(yè)務和信息系統(tǒng)的安全風險、新型安全攻擊趨勢等因素作為輸入；以大數(shù)據(jù)的手段驅(qū)動安全建設，打造能夠沉淀安全能力的網(wǎng)絡安全基礎設施，攻防與管控內(nèi)外兼修，培育安全人才、構(gòu)建持續(xù)的安全運營能力等基本原則作為指導思想;從網(wǎng)絡安全頂層設計、能力建設、實戰(zhàn)評估、改進計劃的閉環(huán)輸出以資源、管理、技術(shù)、執(zhí)行等四大元素所構(gòu)成的網(wǎng)絡安全能力。

　　其中最為關鍵的部分就是如何通過實戰(zhàn)衡量和檢驗每一步建設的成果，主要由三個關鍵元素來提供支撐，分別是：網(wǎng)絡攻擊知識圖譜、網(wǎng)絡安全防御效能和網(wǎng)絡安全成熟度模型。

360政企安全集團高級副總裁高翰昭

　　三大基礎關聯(lián)驅(qū)動實戰(zhàn)規(guī)劃與度量

　　方法論最關鍵的部分，也是最大的創(chuàng)新是將網(wǎng)絡安全實戰(zhàn)攻防元素與傳統(tǒng)的網(wǎng)絡安全咨詢規(guī)劃建設方法相結(jié)合，通過實戰(zhàn)度量與改進網(wǎng)絡安全能力。具體來說，如何提供實戰(zhàn)化的網(wǎng)絡安全能力度量與規(guī)劃？

　　360政企安全集團產(chǎn)品戰(zhàn)略規(guī)劃專家何帆在“ATT&CK安全能力衡量論壇”上，發(fā)表了題為“網(wǎng)絡安全能力度量與規(guī)劃”的演講，提出其核心是將網(wǎng)絡安全攻擊框架、防御框架、成熟度模型三者之間產(chǎn)生關聯(lián)，并分別利用三者進行入侵模擬、防御評估與成熟度評估，并且使三者間前者的評估結(jié)果能夠為后者提供輸入，從而使實戰(zhàn)攻防元素與傳統(tǒng)的咨詢規(guī)劃方法想結(jié)合，形成了實戰(zhàn)化的評估與度量方法，最終結(jié)合差距分析的結(jié)果進行建設規(guī)劃。

　　與此同時，何帆在演講還分享了360在方法論中的實踐，構(gòu)建了360攻防全景知識圖譜、網(wǎng)絡防御框架、網(wǎng)絡安全能力成熟度模型，并使其產(chǎn)生關聯(lián)，并且將其工程化、自動化，落地本地安全大腦在攻、防、度量的視角中協(xié)助各級機構(gòu)進行網(wǎng)絡安全能力的提升。

360政企安全集團產(chǎn)品戰(zhàn)略規(guī)劃專家何帆

　　在網(wǎng)絡安全能力度量過程中，更大的挑戰(zhàn)是如何能體系化定義面向業(yè)務實戰(zhàn)的網(wǎng)絡安全能力成熟度模型，在當下十四五開年各大部委行業(yè)安全負責人思考未來五年網(wǎng)絡安全整體規(guī)劃之際，這一點顯得更加重要。在云峰會的“國家關鍵信息基礎設施安全防護研討峰會”上，360集團戰(zhàn)略創(chuàng)新研究院副院長吳露渟帶來了題為“關鍵信息基礎設施安全能力體系建設”的演講，他指出，關鍵信息基礎設施的安全應建立網(wǎng)絡安全綜合防御體系。360構(gòu)建了一套安全能力的成熟度模型。這套模型具有很多特點：第一是量化，安全狀態(tài)可量化，引入百分制的機制，通過機制對政企現(xiàn)有的安全狀態(tài)進行評價；第二是能力成熟度建設，這個是360安全能力公式落地的基礎工程；第三是持續(xù)校驗；第四是特色網(wǎng)絡安全能力度量標準。

360集團戰(zhàn)略創(chuàng)新研究院副院長吳露渟

　　目前，360這套方法論是基于自身服務國家、城市、行業(yè)、企事業(yè)用戶過程中的總結(jié)和提煉。從全球經(jīng)驗來看，不同行業(yè)都有自身獨特的業(yè)務戰(zhàn)略和安全需求。未來，360政企安全集團希望與各行業(yè)、各領域?qū)＜夜餐剿髋c落地具備行業(yè)特色的安全能力建設方法，真正構(gòu)建起面向未來的新一代安全能力框架。