《2021企業(yè)安全運營實踐報告》發(fā)布：從被動防御到主動出擊
發(fā)布時間 2022-02-22近年來，企業(yè)網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施建設(shè)已逐步健全，數(shù)字經(jīng)濟催生新的業(yè)務(wù)場景，也為企業(yè)安全建設(shè)帶來新的挑戰(zhàn)。傳統(tǒng)的基于漏洞修補、防火墻部署、入侵檢測等手段進行安全維護的被動防御體系已難以應(yīng)對日趨繁雜的網(wǎng)絡(luò)攻擊環(huán)境。
緊隨等保2.0的腳步，企業(yè)的安全運營或類似理念也開始從被動防御轉(zhuǎn)向主動治理。構(gòu)建一套能夠有效管理威脅預(yù)警、發(fā)現(xiàn)、響應(yīng)、處置各個安全環(huán)節(jié)并確保人、工具、流程發(fā)揮最大協(xié)同效應(yīng)的安全管理體系逐漸成為企業(yè)的主要安全目標。
安全運營涉及面廣、體系龐雜的特點使國內(nèi)大部分企業(yè)的安全運營體系仍處在萌芽的階段。為了進一步了解我國企業(yè)安全運營建設(shè)現(xiàn)狀并幫助企業(yè)完善安全運營體系，F(xiàn)reebuf咨詢與頭部大廠安全負責(zé)人展開深入研究，結(jié)合智庫專家指導(dǎo)，特別發(fā)布《2021企業(yè)安全運營實踐研究報告》，內(nèi)容亮點如下：
一、國內(nèi)安全運營發(fā)展現(xiàn)狀
1. 安全運營前提及價值
毫無疑問，網(wǎng)絡(luò)安全行業(yè)屬于政策強驅(qū)動行業(yè)，調(diào)研結(jié)果顯示，65%企業(yè)把合規(guī)影響作為發(fā)展安全建設(shè)的首要驅(qū)動因素。等保2.0系列政策圍繞“一個中心、三重防護”為核心思想，旨在倡導(dǎo)企業(yè)通過對安全計算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)的三重防護來構(gòu)建主動式的安全管理中心，等保1.0的被動防御安全體系逐步被事前防御、事中響應(yīng)、事后審計的動態(tài)保障體系取代。針對政策要求的變化作及時調(diào)整，是企業(yè)發(fā)展安全運營的首要前提。
除合規(guī)因素以外，應(yīng)對業(yè)務(wù)變化、應(yīng)對安全防護規(guī)則更新是發(fā)展安全運營的另外兩大主要價值。在近年來企業(yè)數(shù)字化轉(zhuǎn)型的大環(huán)境下，業(yè)務(wù)模式革新的同時，企業(yè)面臨的攻擊源、攻擊面也在不斷增大。根據(jù)FreeBuf咨詢發(fā)布的《中國網(wǎng)絡(luò)安全信息與事件管理類產(chǎn)品研究與測試報告（2021年）》，38.5%的受訪企業(yè)在過去一年間的安全事件警報數(shù)量顯著增加（增加1倍-2倍），19.2%的企業(yè)在過去一年間的安全警報數(shù)量呈現(xiàn)大幅增加。過往被動防御式的安全管理已不足以對抗無處不在的攻擊。在此背景下，企業(yè)需針對業(yè)務(wù)場景，將人、工具、流程有機結(jié)合，同時更新優(yōu)化相應(yīng)規(guī)則，迭代安全技術(shù)管理手段，具備持續(xù)迭代優(yōu)化的網(wǎng)絡(luò)安全運營能力。
2.國內(nèi)企業(yè)安全運營實踐現(xiàn)狀
（1）企業(yè)安全運營平臺部署現(xiàn)狀
根據(jù)本次調(diào)查，大部分企業(yè)（79%）已部署安全運營平臺，然而在這些部署了安全運營平臺的企業(yè)中，多數(shù)調(diào)研對象反饋其實際應(yīng)用效果一般。
【網(wǎng)絡(luò)管理能力】、【事件采集能力】、【資產(chǎn)管理能力】、【事件處理和分析能力】、【漏洞管理能力】及【工單管理能力】是大部分部署安全平臺的企業(yè)已具備的6項核心能力。
（2）安全信息和事件管理產(chǎn)品應(yīng)用現(xiàn)狀
安全信息和事件管理（SIEM）是目前多數(shù)企業(yè)安全運營的核心產(chǎn)品，主要包括數(shù)據(jù)采集、解析處理、集中存儲、關(guān)聯(lián)分析幾項核心能力。隨著“Smart SIEM”理念的發(fā)展，新一代安全信息和事件管理（SIEM）解決方案趨向于打通各項安全需求，融合多項安全能力。根據(jù)本次調(diào)查，企業(yè)用戶對現(xiàn)階段SIEM產(chǎn)品不滿意的問題主要集中在【與第三方安全工具的集成性較差】、【內(nèi)置關(guān)聯(lián)分析規(guī)則或場景較少】、【占據(jù)大量安全資源，需要較高的安全運營成本】、【無法有效檢測未知/新型威脅】四個方面。
（3）企業(yè)安全運營人員現(xiàn)狀
總體來看，大部分企業(yè)在安全運營人員配置方面投入較大，僅有14%的企業(yè)由其他安全人員兼任運營專職。企業(yè)主要期望安全運營人員需要補充【安全事件處置能力】、【威脅檢測與分析】、【漏洞驗證和恢復(fù)能力】及【豐富的安全合規(guī)知識】四項核心能力。
（4）企業(yè)安全運營&威脅發(fā)現(xiàn)能力現(xiàn)狀
僅有14%的受訪用戶具備自信并表示自己【建立了全面和縱深防御體系，可快速發(fā)現(xiàn)入侵者】，多數(shù)企業(yè)雖有完善防御體系或在部分路徑部署了入侵檢測設(shè)備，但仍存在改進空間。同時，國內(nèi)企業(yè)安全運營能力兩極分化情況明顯，【攻擊源及暴露面不斷增加】、【沒有足夠的人力和時間進行安全運營流程梳理】是大多數(shù)企業(yè)面臨的運營問題。
很顯然，多數(shù)企業(yè)已有意識將安全防護體系由被動轉(zhuǎn)向主動，然而受制于安全產(chǎn)品對未知/新型威脅水平的檢測力及安全人員對安全事件的處置能力不足、安全流程管理成本高等因素，安全運營平臺的實際運營效果仍需進一步完善優(yōu)化。
二、企業(yè)安全運營實踐心得：CSO說安全
為進一步了解安全運營現(xiàn)狀及在企業(yè)中的實踐情況，我們特別邀請了智庫專家：京東集團信息安全部 高級總監(jiān)聶君、騰訊安全平臺部總監(jiān)胡珀、持安科技CEO何藝分享他們對于安全運營的心得。
三、企業(yè)安全運營建設(shè)能力提升前瞻
1. 安全運營產(chǎn)品能力待優(yōu)化
現(xiàn)階段，不少安全產(chǎn)品已經(jīng)能夠在單一的安全能力上達到較高的水準，而多數(shù)企業(yè)普遍面臨的產(chǎn)品問題在于產(chǎn)品之間集成度低，具備整合化安全能力的安全產(chǎn)品少。市面上那些少數(shù)已具備了整合化能力的安全產(chǎn)品，也存在實際落地案例少，使用效果與預(yù)期存在差距的問題。此外，安全產(chǎn)品在進行安全事件關(guān)聯(lián)分析的過程中，存在由高誤報率導(dǎo)致的告警過量的問題，從而降低了安全運營的效率。
企業(yè)在未來需盡可能部署相同供應(yīng)商的安全產(chǎn)品，使得龐大的內(nèi)部網(wǎng)絡(luò)安全產(chǎn)品相互作用。而在技術(shù)層面，優(yōu)化安全事件關(guān)聯(lián)分析效率、整合多項安全能力于同一產(chǎn)品，將會是未來安全產(chǎn)品發(fā)展的主要方向。
2. 安全運營流程待完善
Gartner 在 2014 年提出了自適應(yīng)安全架構(gòu)（Adaptive Security Architecture，ASA），強調(diào)安全防護是一個自適應(yīng)式的、持續(xù)、循環(huán)的過程。然而目前大部分企業(yè)的安全運營流程無論是從各要素自適應(yīng)調(diào)整的能力，還是各個環(huán)節(jié)的協(xié)同效應(yīng)，都與這一安全目標尚存差距。
大多數(shù)企業(yè)仍需持續(xù)優(yōu)化其安全運營流程，培養(yǎng)安全人員的全局視角，針對業(yè)務(wù)場景的變化作持續(xù)調(diào)整，在有限的資源及預(yù)算內(nèi)，最大化發(fā)揮企業(yè)已有安全產(chǎn)品的安全能力。
四、總結(jié)
合規(guī)、業(yè)務(wù)模式革新、防護規(guī)則更新是企業(yè)由被動防御轉(zhuǎn)向主動治理，發(fā)展安全運營的三重驅(qū)動因素。根據(jù)我們的調(diào)查，現(xiàn)階段多數(shù)平臺已部署或部署了部分安全防護路徑，并配備安全運營專職人員。
由此可見，大多數(shù)企業(yè)已形成主動治理的安全理念，然而安全產(chǎn)品集成性差、安全運營專職人員自身的安全威脅識別能力、事件處置能力尚待改善，使得其安全防御體系尚存較大優(yōu)化的空間。
企業(yè)需要與復(fù)雜的操作流程以及匱乏的資源、技能和預(yù)算做持久斗爭。提升安全產(chǎn)品之間的集成性、優(yōu)化內(nèi)置關(guān)聯(lián)場景分析、培養(yǎng)安全管理人員的安全意識及綜合能力，將會是未來企業(yè)發(fā)展安全運營的主要方向和目標。
