有句毒鸡汤很是扎心，，，，，，，“你全力做到最好，，，，，，，可能还不如别人轻易搞搞”。。。。。。浚？？？？雌鹄床惶菊芰，，，，，，，但总是射中现实。。。。。。生涯就是这样，，，，，，，没有找到捷径，，，，，，，费了好多力，，，，，，，到头来了局却不尽人意。。。。。。在每年的实战攻防演习中，，，，，，，这样的情景也在不休演出。。。。。。

    01

    拧紧了发条却挡不住丢分？？？？？？

    “攻防演习排名要好，，，，，，，安全不要出事”，，，，，，，在攻防演习前，，，，，，，防守方辅导人一句看似单一的要求，，，，，，，往往必要安全治理员费尽心理去斟酌怎么做好防守筹备工作。。。。。。

    宁肯备而不战，，，，，，，决不能无备而战。。。。。。为了实现防守工作，，，，，，，防守方安全治理员在演习前几个月就起头做安全风险自检、安全加固等各类筹备工作。。。。。。而长功夫的备战，，，，，，，让防守方投入了巨大的精力，，，，，，，在真正实战过程中，，，，，，，为了保障防守质量，，，，，，，仍要拧紧发条，，，，，，，这也使得防守方总是疲乏应战、力不从心。。。。。。而攻击方总能利用守方松弛的马脚，，，，，，，以逸待劳，，，，，，，一举攻下指标。。。。。。

    事实上，，，，，，，实战演练前所有的防护工作，，，，，，，蕴含预警、分析、验证、措置和后续的整改加固都必须以监测发现安全威胁、缝隙隐患为前提能力发展，，，，，，，因而防守方在演习前几个月中所做的筹备工作，，，，，，，大部门都萦绕着“检测”进杏祝。。。。。安全以“检测”为始，，，，，，，以“响应”为终，，，，，，，检测只是解决安全事务的第一步，，，，，，，在攻击者对企业信息系统造成最终侵害之前，，，，，，，对于威胁的分析、措置、响应也极度沉要。。。。。。只有同时降低威胁的均匀检测功夫(MTTD)、均匀措置功夫（MTTR）、均匀响应功夫（MTTC），，，，，，，防守刚刚能在实战攻防演习的战争中赢得最终的成功。。。。。。

    02

    防守看似缜密但“三大顽疾”会导致功亏一篑

    据大部门防守方反馈，，，，，，，在实战演习中，，，，，，，威胁检测不乏高明的伎俩，，，，，，，但是防守方在威胁分析、措置与响应方面常被以下三大顽疾缠身：

    首先，，，，，，，告警分析研判效能不高，，，，，，，应急响应不实时。。。。。。

    防守团队多由多个部门的分歧人员组成，，，，，，，部门成员对防守区域的整体网络架构不熟悉，，，，，，，导致在实战过程中，，，，，，，对设备监测时，，，，，，，海量的告警信息研判效能低，，，，，，，威胁响应功夫慢，，，，，，，尤其是遇到0day、社工垂钓等未知威胁时，，，，，，，响应功夫齐全跟不上攻击者的攻击速度；；；；；；；并且告警还不能关联业务场景综合分析，，，，，，，告警分析正确性不高，，，，，，，甚至可能会由于措置不当导致影响正常业务。。。。。。

    其次，，，，，，，防守方坐等被攻击后才应对，，，，，，，防守滞后。。。。。。

    在以往的攻防演习中，，，，，，，防守方均是在攻击方执行攻击之后，，，，，，，才做出下一步的防守作为，，，，，，，极度被动。。。。。。轻型攻击，，，，，，，防守方容易作出防守应对；；；；；；；沉型攻击，，，，，，，防守方往往连反映的功夫都没有，，，，，，，就被攻击者“打穿”。。。。。。

    另表，，，，，，，攻击IP阻断不实时，，，，，，，事务措置缓慢。。。。。。

    为有效应对攻击，，，，，，，防守方会在单元分歧区域部署具备阻断能力的防护设备，，，，，，，如FW、WAF等，，，，，，，但各安全产品的阻断能力因品牌、职能及版本差距导致无法统一集中治理，，，，，，，无法做到协调联防主张，，，，，，，最终无法急剧、全面阻断在执行攻击的IP，，，，，，，即无法做到“事中阻断”，，，，，，，并且防火墙、WAF等产品的阻断战术数、对象数因机能原因都有较多限度，，，，，，，上述原因最终导致封禁职能无法两全治理且各自为战。。。。。。

    即便有旁阻阻断设备能够解决上述问题，，，，，，，却由于大部门旁路阻断设备不能在安全与业务的缭乱交错中判断出真实的攻击行为，，，，，，，因而在阻断恶意IP的同时，，，，，，，往往“误杀”了正常的IP，，，，，，，影响业务系统正常运行。。。。。。

    03

    防守方破解之路

    攻防“三板斧”，，，，，，，来个“剧情”回转

    1、网安行业的专家系统，，，，，，，提效快一步

    告警分析研判效能不高，，，，，，，应急措置不实时、不正确，，，，，，，就要从本原上提高分析响应的速度和精准度。。。。。。但是，，，，，，，防守方分析研判的各个阶段都有人的参加，，，，，，，分析人员面对海量、复杂多变的安全事务，，，，，，，不成预防的会出现谬误或者不善于的领域。。。。。。为此，，，，，，，防守方不妨利用数字化、自动化的伎俩来辅助分析，，，，，，，提高告警研判和威胁措置的效能。。。。。。

    ca88登陆平台天眼“智能专家研判服务”，，，，，，，使用AI、机械进建技术进行自动化知识搜索与推理，，，，，，，凭据专家研判经验智能响应客户的告警分析需要，，，，，，，无需分析人员参加，，，，，，，告警分析研庞注事务措置更急剧。。。。。。防守方工程师在几秒内“一键”就可能在天眼系统中清澈查看产生同类告警的根基信息、判断前提、潜在威胁、措置建议等，，，，，，，并且高频告警类型场景均来自于其他客户的攻防演习中，，，，，，，真实、全面、有参考价值，，，，，，，不用不安影响正常业务。。。。。。

    这样一来，，，，，，，即便防守方分析人员人手不及，，，，，，，或者分析能力不及，，，，，，，也不用不安告警研判分析措置的效能跟不上，，，，，，，还能解放一线防守使用者的双手，，，，，，，腾出精力、集中兵力与攻击者格斗。。。。。。分析效能提高让防守方应急响应的速度也提高了，，，，，，，老板嘱咐的“安全不要出事”，，，，，，，从此便不再不安！

    2、全网通缉攻击者，，，，，，，预警快一步

    防守方坐等攻击后才应对，，，，，，，防守太被动。。。。。。那么，，，，，，，若是能在攻击者到来之前，，，，，，，收到预警信息，，，，，，，对于防守方来说就打劫了自动权。。。。。。

    ca88登陆平台天眼“攻击源IP预警”，，，，，，，让每一个天眼客户与天眼云中心成立点对点链接形成一张网，，，，，，，实现攻击源IP信息的实时获取与预警。。。。。。简言之，，，，，，，只有有一个防守客户发现攻击行为，，，，，，，天眼便将攻击者IP进行全网通缉，，，，，，，迅速传递至所有的防守客户，，，，，，，并为风险水平定级；；；；；；；下次只有该攻击者再次出现，，，，，，，便会提醒客户提高警惕，，，，，，，同时客户还能够参照威胁的关注热度（风险定级水平），，，，，，，查看其他客户对该IP的措置步骤，，，，，，，选择持续关注或者联动措置。。。。。。

    这样一来，，，，，，，客户在攻防演习中被攻击之后才迟迟感知的问题将不复存在，，，，，，，防守方能够提前获知攻击者信息，，，，，，，做好防护筹备，，，，，，，削减丢分。。。。。。老板嘱咐的“攻防演习排名要好”，，，，，，，从此又近了一步！

    3、将高级威胁防御前置，，，，，，，阻断快一步

    威胁发现的快，，，，，，，分析研判的快，，，，，，，但是阻断攻击IP的速度慢，，，，，，，导致攻击者都攻击完了，，，，，，，IP还没有封禁，，，，，，，业务系统受到影响。。。。。。若是把阻断攻击再快一步，，，，，，，将攻击的过后阻断造成事中阻断，，，，，，，那么防守者对威胁的响应功夫也将缩短，，，，，，，业务系统受到攻击的波及影响也将降低。。。。。。

    天眼高级旁路阻断，，，，，，，不用串接到网络，，，，，，，无需联动其他设备，，，，，，，能够一键“封禁”IP、域名及高级参数。。。。。。沉点是天眼独有的攻击阻断设计，，，，，，，区别于传统的基于IP封禁的旁阻产品，，，，，，，在同样提供基础的IP封禁职能的同时，，，，，，，也具备更智能的攻击阻断职能，，，，，，，即只对有真实攻击行为的IP进行鉴别、阻断，，，，，，，无攻击行为的则放行，，，，，，，最大水平保险客户业务舷陆续性和可用性，，，，，，，对高级威胁的阻断正确率更高、阻断能力更强。。。。。。

    总体来说，，，，，，，防守是一件拥有木桶效应个性的事件，，，，，，，前期备战工作筹备不及容易造成防御过度，，，，，，，攻防演习前中期亏损太大也会导致后期委顿。。。。。。因而，，，，，，，在临战与实战阶段，，，，，，，各个环节的有效管控、兵力的集中利用、以及设备兵器的合理布局就显得尤为沉要。。。。。。

    今年攻防演习，，，，，，，在兵器库里增长ca88登陆平台天眼“三板斧”，，，，，，，点亮防守技术，，，，，，，高提效、少失分、稳上分！