网络安全攻防演习防守手册.pdf

网络安全攻防演习防守手册 为提高信息系统及信息基础设施安全防护水平，构建网 络安全综合防控体系，组织参加网络安全攻防演习；此次演 习制作《网络安全攻防演习防守手册》 ，希望发挥全专家、专 业机构、用户单位各自优势，构建威胁情报可共享、安全风 险早预防、安全事件快处置、"打防一体" 网络安全攻防演 习， 做到一点预警、 全网联动的网络 "安全罩" 。 大部分企业的网络安全建设并没有系统化的考量， 《网络 安全攻防演习防守手册》 希望引导防守方了解网络安全攻防演 习的要求，结合企业实际情况开展工作，配置基础安全设备 提升网络安全防护能力，面对常见类型攻击时知晓应对操 作，并建立 7*24 小时应急保障体系。 一、网络安全攻防演习的防守要求 1、 建议由各单位、企业领导层人员负责整体防守指挥。 包括从上而下的统一协调调度，推动建立防守保障机制，推 动防守工作的执行、进行防守资源的申请。 2、 需要整理并更新企业的相关网络资产清单， 包括互联 网资产、办公资产等。 3、需要建立对网络资产的基础安全保障能力，包括信息 系统及基础安全设备和相应的人员。 4、有相关的人员针对企业自身资产进行 7*24 监测预 警，针对高风险威胁告警进行分析，研判、处置并上报公 安机关。 二、资产梳理 防守方需要对自身目标系统及关联资产梳理，形成资 产清单。资产清单应包括 IP 地址、操作系统、中间件、应 用软件、域名、端口、服务、责任人、联系方式等，便于 快速的进行资产定位、风险处置、应急等工作的开展。 1、针对互联网资产梳理 缩减或集中互联网出入口。一是对所有的互联网出入 口，按照就近归并的原则进行缩减或集中；二是对于新建 系统，保证其网络出口统一；三是做好 VPN 的入口管理。 加强域名管理，缩减应用。一是废弃域名及时清理； 二是网站归集，对于互联网上的多个域名，尽量集中、集 约建设，方便统一防护。 互联网暴露敏感信息梳理。包括对文档信息（云盘、 文库） 、代码（github、gitee） 、人员信息等进行发现、清 理或联系上传者或平台方删除等工作。 互联网资产扫描。企业自身组织或采购安全服务商服 务，探测自身在互联网上暴露的资产，发现未知资产和风 险端口，与现有资产清单进行对比梳理，形成准确的资产 清单，并对风险端口进行评估关闭。 测试和临停梳理。测试系统和临时关停下线的系统， 无法做到有效防护应做好访问控制或下线。 2、其他资产梳理 个人办公电脑的登记审核。一是包括 IP、MAC 地址、 操作系统、是否安装防毒软件、二是对新增办公电脑要做 好准入要求，对安全补丁、防病毒、密码强度等进行检查。 办公设备的登记审核。包括打印机、复印机、扫描仪、 传真机，保密文件存储介质、电子门禁等。 网络设备的登记审核。包括交换机、路由器、网关、 防火墙等，要做好相关梳理，如无必要不应暴漏在公网， 并核查相关安全策略。 网络安全产品登记审核。包括 WAF、NF、IDS、IPS、 HIDS、EDR、邮件网关、杀毒软件、网页防篡改等，并确认 其安全补丁是否更新，安全策略及日志留存是否开启。 3、新增资产 新增资产归类登记。 包括新增的 IP、 域名、 敏感文件、 业务代码、新上线业务、新增测试环境、新增安全设备等 需要分类登记建档，并定期对变更状态进行更新，如测试 环境在测试后应及时下线关停。 新增资产的上线核查。新增业务系统应由公司内部安 全团队或第三方进行新上线检测，杜绝安全隐患；新增安 全设备需检查安全策略配置并确保正常生效后启用；敏感 文件和代码需做好相应的加密措施；办公设备需符合安装 防病毒软件、开启防火墙等后才可使用，禁止无保护状态 接入办公网。 三、建立网络安全防护能力 1、常见的网络拓扑 任何一家参与网络攻防演习防守单位， 网络拓扑、 业务 应用各不相同，为了便于理解，我们从多家单位的网络拓 扑中抽出共性特征，做出如图 2-1 的网络拓扑。 图 3-1：采用较多的网络安全拓扑 安全域的划分分为互联网接入域（负责互联网访问的 接入及防护） 、 互联网服务安全域 （负责面向互联网服务的 业务系统） 、 办公域 （员工办公使用） 、 内部业务安全域 （公 司内部使用的业务系统） 、 安全系统管理域 （需要与互联网 进行交互、但不向互联网提供服务的系统） 。 2、安全域的划分和全局防护 安全域划分。一是根据业务、功能、地域、安全需求 等划分安全域；二是安全域的访问采取访问控制（网络防 火墙、主机防火墙） 、恶意监测防护（入侵防护、恶意代码 检测）等安全防护措施；三是业务流量与管理流量分离， 攻击者即便攻破一个安全子域，也无法控制数据库或是获 取数据；四是明确核心业务与非核心业务应用的管理边界 与责任。安全子域之间的必须进行有效的访问控制，必须 进行有效的流量攻击检