導語 | 數(shù)字化時代，網(wǎng)絡安全已經(jīng)成為企業(yè)發(fā)展的重中之重，通過體系化的安全建設，企業(yè)可以從容應對愈加復雜的網(wǎng)絡安全挑戰(zhàn)。今天，我們特邀了騰訊云 TVP、賽博英杰科技董事長 譚曉生老師，他將從資深技術專家視角解讀如何以架構(gòu)思維來規(guī)劃企業(yè)網(wǎng)絡安全建設，為當前以及未來的網(wǎng)絡安全建設提供啟迪與思考。

作者簡介

譚曉生，騰訊云 TVP，北京賽博英杰科技有限公司創(chuàng)始人、董事長，高級工程師，正奇學苑網(wǎng)絡安全創(chuàng)業(yè)營創(chuàng)始人，前 360 集團技術總裁、首席安全官，2020 年獲工業(yè)和信息化部網(wǎng)絡安全產(chǎn)業(yè)發(fā)展中心首批網(wǎng)絡安全創(chuàng)新創(chuàng)業(yè)導師稱號，2018 年獲中國互聯(lián)網(wǎng)發(fā)展基金會網(wǎng)絡安全優(yōu)秀人才稱號，中國計算機學會(CCF)理事、副秘書長，CCF YOCSEF 秘書長，2012 年獲中關村高端領軍人才稱號，教育部安全科學與工程類專業(yè)教指委委員。

一、數(shù)字化轉(zhuǎn)型推動網(wǎng)絡安全立法完善

數(shù)字化已成為不可逆轉(zhuǎn)的發(fā)展趨勢，而近年來，萬物互聯(lián)已成為主流趨勢，數(shù)字化轉(zhuǎn)型已不再是技術的局部應用，而逐步演變?yōu)橛绊懻麄€社會運營模式的趨勢。

自 2016 年起，國家便相繼出臺了《網(wǎng)絡安全法》、《個人信息保護法》和《數(shù)據(jù)安全法》等相關法律法規(guī)，尤其是去年出臺的《網(wǎng)絡安全審查辦法》的頒布，意味著網(wǎng)絡安全相關立法正逐步完善。伴隨著更為嚴格的《個人信息保護法》和《數(shù)據(jù)安全法》的出臺，網(wǎng)絡安全作為政府監(jiān)管的一把利劍，使得更多領域的安全得到保障。

二、企業(yè)架構(gòu)方法論指導網(wǎng)絡安全建設

雖然上述法律法規(guī)文件明確了很多規(guī)定、責任和義務，但技術和產(chǎn)品層面的支持尚且不足，具體執(zhí)行方式也不夠明確，導致企業(yè)在進行建設網(wǎng)絡安全時仍然面臨著許多困難，在我看來，企業(yè)網(wǎng)絡安全建設主要存在以下困境：

• 云計算、物聯(lián)網(wǎng)、無線互聯(lián)網(wǎng)導致企業(yè)網(wǎng)絡邊緣泛化，傳統(tǒng)邊防御思想失效；
• 開源軟件的廣泛采用帶來軟件供應鏈安全問題；
• 物聯(lián)網(wǎng)帶來終端安全防護的困難；
• 安全人才匱乏且成本高，缺乏有效的數(shù)據(jù)安全解決方案。

在當前情況下，特別是對于大型企業(yè)而言，構(gòu)建自己的網(wǎng)絡安全防線變得更加迫切。由于大量數(shù)據(jù)和敏感信息的存儲和共享，網(wǎng)絡安全已成為企業(yè)發(fā)展中至關重要的領域。只有通過實施整體的網(wǎng)絡安全策略和采用最新的網(wǎng)絡安全技術，企業(yè)才能確保其網(wǎng)絡系統(tǒng)更安全可靠，并在可能出現(xiàn)的安全威脅中取得優(yōu)勢。

值得一提的是，企業(yè)架構(gòu)方法論對于企業(yè)網(wǎng)絡安全建設能夠發(fā)揮很好的指導作用。其實，企業(yè)架構(gòu)思路經(jīng)歷了從 1987 年提出的 Zachman 到 TOGAF、FEA 和 DoDAF 等企業(yè)架構(gòu)模型的發(fā)展演變，并且這些思想在傳統(tǒng)企業(yè)應用開發(fā)中得到了廣泛的應用。

根據(jù) TOGAF 架構(gòu)開發(fā)方法，企業(yè)架構(gòu)的構(gòu)建需要遵循以下步驟：首先從業(yè)務架構(gòu)入手，構(gòu)建信息系統(tǒng)架構(gòu)和技術架構(gòu)，同時始終關注需求管理。在整個過程中，還需充分考慮企業(yè)愿景、使命、價值觀等方面。這種思想與過去 30 多年的企業(yè)管理思想發(fā)展相符，企業(yè)需關注發(fā)展目標和經(jīng)營規(guī)模，同時信息化和安全也至關重要。

使用 TOGAF 開發(fā)方法來進行企業(yè)架構(gòu)設計時，需要遵循以下步驟：首先，明確企業(yè)的愿景和使命，確定企業(yè)的價值觀和業(yè)務，然后制定業(yè)務架構(gòu)，進而通過相應的信息系統(tǒng)架構(gòu)和技術架構(gòu)，最后以需求管理為中心對其進行管理。這些步驟反映了企業(yè)管理思想的根本原則，即首先明確組織的使命和目標，然后根據(jù)業(yè)務需求進行信息化和安全方面的建設。在此過程中，一個組織可以根據(jù) TOGAF 開發(fā)方法體系，實現(xiàn)從業(yè)務到技術架構(gòu)的全面規(guī)劃和管理。

除了 TOGAF 模型，IBM 的架構(gòu)方法也類似，也強調(diào)確定組織的能力和業(yè)務架構(gòu)，支持企業(yè)的愿景、使命和價值觀。這種方法有助于企業(yè)規(guī)劃信息化和安全建設，并確保能夠更好地支持業(yè)務需求。

企業(yè)架構(gòu)的細化包括確定應用和數(shù)據(jù)架構(gòu)，以支持信息系統(tǒng)架構(gòu)更好地支持業(yè)務需求。最后需要考慮技術實現(xiàn)方案和進行治理工作，確保企業(yè)架構(gòu)的有效實施和持續(xù)改進。

在當今大型企業(yè)中，安全系統(tǒng)面臨日益復雜的情況，需要考慮如何將安全組件有效整合和協(xié)同工作，并進行集成和運維管理。企業(yè)還應將安全視為一項業(yè)務，并視安全架構(gòu)設計為企業(yè)開發(fā)的一部分進行規(guī)劃和實施。安全架構(gòu)設計包括建模、需求分析、設計開發(fā)、部署和運營等方面，需要嚴格按照企業(yè)架構(gòu)設計的標準進行規(guī)劃和實施。

在我看來，將 EA 方法論應用于網(wǎng)絡安全領域，通過規(guī)劃實現(xiàn)從零散建設演進到體系化建設，是建設“能力導向、架構(gòu)驅(qū)動”的新安全體系的重中之重。當我們將企業(yè)架構(gòu)（EA）方法論應用于網(wǎng)絡安全領域時，需要將其視為一個完整的流程，包括架構(gòu)的構(gòu)建過程以及在安全戰(zhàn)略層面的規(guī)劃。在此流程中，下圖左側(cè)代表著 EA 架構(gòu)建設的過程，而在最右側(cè)，代表著安全戰(zhàn)略的規(guī)劃，這也是企業(yè)架構(gòu)設計中的重要組成部分。

為了實現(xiàn)從零散建設到體系化建設的目標，企業(yè)的 IT 戰(zhàn)略需支持業(yè)務戰(zhàn)略，并考慮安全戰(zhàn)略的融入與業(yè)務建設同等重要。例如，在為一家銀行進行未來安全規(guī)劃時，我們需考慮未來業(yè)務要求和開放模型的變化，需要采用云原生技術來保證在敏捷開發(fā)中進行安全測試的問題。

而為了建設“能力導向、架構(gòu)驅(qū)動”的新安全體系，我們需要整合技術、運營和管理能力，并形成新的管理、技術和運營能力體系，以重點關注需求管理，制定一套新的安全體系，分解為若干個重點工程和舉措。

在安全架構(gòu)設計中，我們應考慮業(yè)務驅(qū)動、面向服務和面向安全運營的原則，實現(xiàn)敏捷、高效、云原生友好、可用、可移植、靈活和可擴展等要求，平衡外購和自主開發(fā)的比例，重用現(xiàn)有系統(tǒng)的建設，實現(xiàn)資源共享和監(jiān)控功能，實現(xiàn)系統(tǒng)的協(xié)同聯(lián)動。

三、解讀經(jīng)典的網(wǎng)絡安全模型

在過去的二十多年的發(fā)展中，安全行業(yè)其實出現(xiàn)了多種模型，例如 P2DR 模型、IATF 框架（NSA，1998/1999）等，其中經(jīng)典 P2DR 模型（Prevent、Protect、Detect、Respond），是將安全變成了一種防護行為，包括策略、防護、檢測和響應。IATF 模型是一種采用縱深防御的思想的安全模型。另外，NSA 在 2014 年推出了 CGS 框架模型，主要采用殺傷鏈模型，將網(wǎng)絡入侵過程分為七個步驟。根據(jù)這個模型，只要在攻擊過程中的任一步驟中發(fā)現(xiàn)或攔截攻擊，就能夠成功地阻止攻擊。

現(xiàn)今的各種模型對于安全領域而言都有重要影響，從 P2DR 模型到安全木桶理論，安全領域經(jīng)歷了巨大的發(fā)展。360 信息安全部招募黑客、工程師建立防線，通過有效的網(wǎng)絡安全運營，只使用極少數(shù)安全組件來實現(xiàn)防御方案。因此，我們在選擇安全防御方案時，需要考慮資源的適度利用和成本效益，以滿足實際需求。

NIST 隨后提出了 CSF 網(wǎng)絡空間安全框架，這是一種經(jīng)典的立體防御的思想。該框架將網(wǎng)絡安全工作分為識別、保護、檢測、響應和恢復五個步驟。此框架可用于對照網(wǎng)絡安全防御工作，并且每個步驟下都有許多細項，可以探討并找到實施措施的方法。

ATT&CK（MITRE，2013-）是一種安全模型，該模型列舉了攻擊者可使用的各種 TTP（戰(zhàn)術、技術和程序）手段。在進行防御時，可以根據(jù) ATT&CK 模型中列出的每個攻擊方法、策略等內(nèi)容進行對照，以確定是否能夠在防線中進行有效的防御。

Gartner 提出的安全模型—— CARTA，強調(diào)在業(yè)務發(fā)展速度和安全性之間需要平衡，而不是追求絕對安全。在面對風險時，我們需要評估自己是否有足夠的應對能力，但不應過分專注于風險防御，因為這可能會拖慢業(yè)務發(fā)展的速度。在 CARTA 模型中，強調(diào)需要在動態(tài)評估當前風險的基礎上采取合適的防御措施，找到安全與業(yè)務發(fā)展之間的平衡點。

隨著業(yè)務開發(fā)和運營的發(fā)展，出現(xiàn)了一個全新的術語 “DevSecOps”。在這種思想下，開發(fā)和運維工作進行周期性迭代，將安全作為整個開發(fā)和運維過程的重要保障，強調(diào)安全與開發(fā)、運維的緊密結(jié)合，以實現(xiàn)更高效、更安全的業(yè)務運營。

值得注意的是，我們可以引入滑動標尺模型和網(wǎng)絡防御矩陣（Cyber Defense Matrix）來提升企業(yè)的網(wǎng)絡安全能力。其中滑動標尺模型將網(wǎng)絡安全防御劃分為四個步驟：

• 基礎結(jié)構(gòu)安全：包括資配漏補和管好數(shù)據(jù)資源和數(shù)據(jù)資產(chǎn)。
• 縱深防御：安裝安全產(chǎn)品并配置好，如 EDR、防病毒軟件和防火墻等，實現(xiàn)自動化防御。
• 態(tài)勢感知與積極防御：參與安全運營，并對系統(tǒng)信息進行判斷和響應。
• 威脅情報：獲取外部威脅情報，聯(lián)合自身防線并積極響應。
• 反制：打擊進攻者，包括聯(lián)合執(zhí)法和譴責等行動。

在滑動標尺模型中，越靠左的工作企業(yè)可以最大限度地掌控和把握，而越靠右的工作則需要外部資源和政府力量的支持和介入。該模型核心思想是將企業(yè)可以掌控的工作從左到右排序，在資源有限時從最左側(cè)開始進行。目前，滑動標尺模型已經(jīng)被國內(nèi)許多安全公司廣泛應用和推崇。

而網(wǎng)絡防御矩陣（Cyber Defense Matrix）作為另外一個保障企業(yè)網(wǎng)絡安全的工具，它又被稱為 CDM 模型，是將 IDPRR 五個步驟與設備、應用、網(wǎng)絡、數(shù)據(jù)和用戶五個維度相結(jié)合，形成一個五行五列、共 25 個格子的防御矩陣。左側(cè)的保護步驟在識別之前進行，即對數(shù)據(jù)資產(chǎn)進行識別并設立各種防線，右側(cè)的三列則是事件發(fā)生后進行的檢測、響應和恢復步驟。該模型結(jié)合滑動標尺模型，可以更好地了解需要進行的安全工作。

在網(wǎng)絡安全工作中，可以將網(wǎng)絡安全能力組件合并和抽象，從而得到 200 來種安全能力組件，這些組件具有相互組合的特性，可能跨越多種組件的能力，使得網(wǎng)絡安全產(chǎn)品變得越來越復雜。為了更好地利用這些組件，我們試圖從中抽取出與其他能力有較大差異的能力，并將它們歸類為基礎架構(gòu)安全、縱深防御、主動防御和威脅情報等模塊。這些能力構(gòu)建了一個完整的基礎架構(gòu)安全體系。

四、探索網(wǎng)絡安全建設的未來

在近兩年，網(wǎng)絡安全運營逐漸越來越得到業(yè)界的重視。Gartner 提出的 CSMA 安全邏輯架構(gòu)就是一種可以支撐網(wǎng)絡安全運營的架構(gòu)，在下圖中，我們可以清晰地看見其包括左側(cè)的安全分析與情報和右側(cè)的各種安全產(chǎn)品。大型企業(yè)需要自行搭建或基于商業(yè)定制來實現(xiàn)安全分析情報系統(tǒng)，右側(cè)的各種安全產(chǎn)品則需要通過標準化接口進入安全分析與情報系統(tǒng)中間，并結(jié)合外部的威脅情報和其他第三方 API 進行分析，最終實現(xiàn)統(tǒng)一的策略管理。

企業(yè)的基礎是身份架構(gòu)的動態(tài)上下文，即零信任。策略要求的身份和上下文權(quán)限管理和訪問控制框架。2022 年底美國國防部提出的零信任戰(zhàn)略的實施計劃時間跨度是 8 年，具體涵蓋數(shù)十種標準模塊。在此框架中，需要建立基于動態(tài)上下文的訪問控制架構(gòu)以及改造現(xiàn)有業(yè)務系統(tǒng)。這是一個復雜和困難的任務，需要在建設過程中不斷進行研究和創(chuàng)新。

近兩年的網(wǎng)絡安全建設趨勢包括：BizDevSecOps 敏捷開發(fā)、XDR 擴展檢測響應、入侵攻擊模擬、攻擊面管理、安全運營服務、軟件供應鏈開發(fā)的安全、數(shù)據(jù)安全平臺、云原生應用保護、安全訪問服務邊緣以及 API 安全防護等。這些技術解決方案可以幫助企業(yè)有效應對各種安全威脅和攻擊，并保護關鍵財產(chǎn)和資產(chǎn)免遭未知攻擊的危害。

隨著更多數(shù)據(jù)和敏感信息存儲在云端，網(wǎng)絡安全已成為數(shù)字化時代中一個重要議題。企業(yè)必須深入了解各種安全威脅和攻擊，并尋求創(chuàng)新的網(wǎng)絡安全技術來應對這些威脅。只有這樣，企業(yè)才能確保在數(shù)字化時代更加安全和可靠，同時維護自身業(yè)務的可持續(xù)性。

網(wǎng)絡安全作為數(shù)字經(jīng)濟發(fā)展的基礎和前提，其問題的解決需要全社會共同努力，也需要政府和企業(yè)的合作。政府應加強網(wǎng)絡安全監(jiān)管和立法，促進網(wǎng)絡安全產(chǎn)業(yè)的發(fā)展，同時企業(yè)也要加強網(wǎng)絡安全投入和合作，提高網(wǎng)絡安全的整體水平，為數(shù)字化時代的發(fā)展提供保障。文章來源地址http://www.zghlxwxcb.cn/news/detail-515412.html

到了這里，關于從架構(gòu)角度看網(wǎng)絡安全：數(shù)字化時代企業(yè)如何構(gòu)建防御體系？的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關文章，希望大家以后多多支持TOY模板網(wǎng)！