【课堂回顾】网商银行高亭宇：基于威胁路径图科学衡量安全水位

在数字化浪潮席卷全球的今天，网络安全已经成为关乎企业生存发展的关键议题。面对层出不穷的网络攻击手段和日益复杂的网络环境，如何科学评估和提升安全水位，成为了企业必须面对的挑战。基于威胁路径图的安全水位检验体系应运而生，它为企业和组织提供了一种直观、科学的工具，帮助其识别和量化潜在威胁，分析攻击路径，评估防御措施的有效性，从而精准了解安全状况，有针对性地加强防护，提升安全水位。

2024年6月7日，鑫知课堂邀请网商银行高级安全专家高亭宇进行了主题为“基于威胁路径图科学衡量安全水位”的分享。

数字化转型过程中带来了巨大机遇的同时，银行安全体系建设也存在诸多挑战。企业的资产和边界一直在变，变得难以管理，内部红蓝攻防演练屡屡被突破。安全无法衡量，安全建设效果难未知。安全价值难以量化，多为事件驱动。

传统攻防演练已经无法解决现有问题。每个公司的网络环境复杂各异，黑客往往有多种入侵渠道可以完成攻击，现有的红蓝演练形式内容往往受限于研究成果。存在常见攻击路径多次重复覆盖、隐蔽攻击路径难以覆盖的情况，从而导致遗漏未覆盖的攻击路径得不到充分检验，增加了被黑客利用的风险。

攻防演练技术新思路—基于威胁路径图的实战检验架构。我们需要量化企业安全风险，确保实战攻防演练全面、有序、高效地覆盖所有可能的黑客攻击路径，实现攻防能力沉淀，安全水位指标自动化计算，实战演练管理等功能，从而指导我们未来的安全建设。

企业威胁路径模型关键的是威胁等级的定义。根据技术能力、意图、资源储备和组织程度等因素将现在所面临的所有威胁划分为五个等级，从业余非针对性威胁到国家力量支撑的高级针对性威胁，并针对每个等级定义了具体的案例。这有助于企业清晰地了解自身面临的威胁等级，并据此制定相应的安全策略。针对于安全水位，需要从全局来看每一条达成攻击目标从全局来看每一条达成攻击目标（盗取资金、数据或造成瘫痪等）的攻击路径上的预防（治理）能力、防御能力和感知能力。

有了威胁等级以及我们需要做到什么程度的理论依据之后，我们需要对企业资产进行抽象，量化当前面临的安全风险。把企业资产、网络情况等拥有某一类属性的资产抽象为攻防实体，每一个攻防实体之间称之为威胁路径。构建威胁路径图将攻击技术链与攻防实体关联，通过打标的方式，对每个攻击技术链的预防能力、防御能力和感知能力进行评估，并据此计算出企业的安全风险。

在安全水位的实战检验中采用自动化检验和人工检验相结合的方式，对安全能力进行评估。自动化检验主要针对已知风险，包括正面检验和侧面检验；人工检验主要针对未知风险，通过红蓝攻防演练等方式，发现潜在的安全漏洞，并不断完善威胁路径图。

有了攻防数据之后，需要从预防能力、防御能力和感知与响应能力三个方面，对企业安全水位进行衡量。在预防能力方面，权限滥用、数据滥用的预防检验结果，越权等高危漏洞以及安全心智的效果是怎样的。在防御方面，对于高危攻击路径纵深防御层数是否符合要求，攻击方法的阻断率(全部资产和全部攻击方法)是否符合预期。在感知与响应能力方面，攻击方法感知覆盖率、攻击路径溯源率(攻击者是谁、意图、还原完整路径)以及攻击响应时效的情况。通过计算相关指标，企业可以清晰地了解自身安全水位与应达到的安全水位之间的差距，并据此制定安全建设计划。

以感知能力为例，根据已有的打标数据和检验数据，列出相应的计算方法。

有了攻防数据的沉淀之后，可以指导安全建设和决策。针对于安全管理者，主要参考安全水位总指标和趋势，应达到的安全水位vs我们当前的安全水位，辅助参考高风险场景水位数据、低水位场景水位数据等。针对于一线安全建设者，主要参考技战法未覆盖任何安全能力或相关能力均失效，辅助参考未覆盖能力的高风险技战法Top10、相关攻击技术安全能力建设后安全覆盖指标提升Top10。

最后，高亭宇介绍了网商银行在这方面的具体实践。对整体网络情况以及资产抽象出了网商银行威胁路径图，进行检验能力的储备、检验覆盖、检验红军感知防御，根据安全水位的参考进行复盘提升。

总而言之，基于威胁路径图的安全水位检验体系为企业和组织提供了一种科学、有效的方法，帮助应对数字化转型带来的安全挑战，提升安全水位，保障业务安全稳定运行。随着技术的不断发展，该体系将发挥越来越重要的作用，为构建安全可控的数字世界贡献力量。