實戰攻防演練自2016年首次組織實施以來，涉及的單位逐年增加，攻守雙方的戰術不斷升級，紅隊攻擊難度和藍隊防守難度都在持續加大。

1、攻方手段更加高級

道高一尺魔高一丈，在網絡安全建設不斷完善的前提下，紅隊的攻擊方式也在持續升級。這種情況下，僅靠FW+IPS+AV等傳統的網絡安全設備就很難發現攻擊，必須要有更高級的檢測和防御設備才能有效對抗。

2、得分規則愈發嚴格

扣分容易得分難，藍隊必須滿足及時發現、及時處置以及還原攻擊鏈才能少扣一點分，加分方式只有在實戰攻防演練期間發現真實的黑客攻擊。

3、處置時效要求更高

藍隊在發現被攻擊后要及時處置才有可能不被扣分，非正常防守措施被發現后也會被扣分。因此，防守方發現威脅要準，處置威脅要快。

基于豐富的安全服務經驗，結合自有安全產品，國舜可以為客戶提供一攬子實戰攻防演練解決方案。不同行業、不同客戶其網絡安全和信息化建設的具體情況各有不同，國舜能夠針對性提供輕量級、增強級不同復雜度的實戰攻防演練解決方案，供客戶靈活選擇： 1）輕量級實戰攻防演練方案：以APT產品為主，實時監控internet出入口流量及核心交換機鏡像流量，利用APT設備的多種威脅檢測能力和可視化工作界面，及時檢測紅隊攻擊，精準溯源取證。 2）增強級實戰攻防演練方案：APT產品之外，增加安全運營平臺，除了能夠實時監控網絡流量，還可以利用安全運營平臺的對接APT產品的安全告警，實現告警事件的自動化取證、自動化分析研判、自動化應急方案制定、自動化溯源分析、自動化聯動處置的安全運營能力，大幅提升實戰攻防演練的應急響應效率。

輕量級實戰攻防演練方案

輕量級實戰攻防演練方案只需要一臺（或多臺，視客戶需求與網絡結構而定）APT設備，部署方式相對簡單，如圖所示。通過分光、鏡像或經由TAP設備將Internet出入口的流量及內網重點關注流量接入設備，如果客戶網絡采用的是雙路接入或主備鏈路等復雜組網方式，還應按需接入多條鏈路。 實戰攻防演練前期，需要在APT設備上提前做好相關的準備工作，比如設備版本和特征庫更新、資產網段和資產組配置、檢測策略和檢測規則優化、第三方平臺對接、內網設備 ip 添加白名單等。

APT產品提供了“護網工作臺”界面，基于該頁面可以完成大部分實戰攻防演練相關工作，安服人員或運營人員在值守期間可以通過該界面實時關注系統上報的各類攻擊事件，并展開詳細分析。 實戰攻防演練工作臺界面提供了三個功能操作區，自上而下分別為：搜索條件、統計信息（可折疊）以及三種視角（事件列表、攻擊者模式、受害者模式）下的列表信息，如圖所示。

搜索條件中提供了十幾種預置檢測場景，如隱蔽隧道、挖礦木馬、勒索軟件、暗網通信、惡意加密流量、釣魚郵件、暴力破解、掃描探測等，用戶還可以自定義多種條件組合搜索，每種都可以保存為一個新的檢測場景。 搜索出來的結果展示在列表區，可在統計信息區查看所有命中結果的分類統計（默認為折疊狀態，點擊可展開）。列表區每一個事件都可以雙擊展示事件詳情，方便進一步研判和分析： 實戰攻防演練工作臺界面提供了三個功能操作區，自上而下分別為：搜索條件、統計信息（可折疊）以及三種視角（事件列表、攻擊者模式、受害者模式）下的列表信息，如圖所示。

界面提供了樣本下載和pcap下載功能，可以進一步深入研判分析，對于惡意文件樣本，還可以查看其詳細檢測報告：搜索出來的結果展示在列表區，可在統計信息區查看所有命中結果的分類統計（默認為折疊狀態，點擊可展開）。列表區每一個事件都可以雙擊展示事件詳情，方便進一步研判和分析： 實戰攻防演練工作臺界面提供了三個功能操作區，自上而下分別為：搜索條件、統計信息（可折疊）以及三種視角（事件列表、攻擊者模式、受害者模式）下的列表信息，如圖所示。

增強級實戰攻防演練方案

增強級護網方案在輕量級護網方案的基礎上，新增加了網絡安全運營平臺，除了能夠監控網絡流量之外，還可以覆蓋用戶網絡中其他多種網絡安全設備的日志和告警信息，并通過網絡安全運營平臺提供的數據預處理、威脅場景關聯分析、SOAR自動化編排技術實現威脅告警的的自動化取證、自動化分析研判、自動化應急方案制定、自動化溯源分析、自動化聯動處置等工作，并提供一鍵封堵、郵件、工單等方式的高效應急處置，為客戶的護網工作提供更加完善的保障和響應。 增強級實戰攻防演練方案部署方案如圖所示。

增強級實戰攻防演練方案中APT設備的部署與輕量級護網方案保持一致，網絡安全運營平臺需要將APT設備產生的安全告警事件接入。在客戶許可的情況下，還應盡量接入現網更多網絡安全設備或業務系統的告警日志。同時，還應配置打通客戶網絡環境中的堡壘機或自動化運維系統，以實現自動化取證的目標。 實戰攻防演練前期，應對客戶當前的網絡安全防御體系建設進行調研，了解目前客戶部署的安全設備情況，安全事件處置流程等，制定對應的實戰攻防演練應急處置方案，完成對APT設備的檢查和配置等相關準備工作，初始化安全運營平臺的基礎配置，結合威脅場景調整、優化、定制對應的數據分析策略、應急處置劇本。同時，針對實戰攻防演練應急預案進行提前演練，持續優化。 實戰攻防演練期間，安服人員可重點關注安全運營平臺提供的運營分析->安全告警頁面，如圖所示：

每個安全告警都可以通過右側的操作按鈕來查看其告警詳情，詳情界面單獨呈現，包括研判結果信息、告警內容信息、安全運營標準、告警處理方案、研判線索信息和告警溯源信息等。

在研判線索中，可以查看和檢索通過SOAR劇本獲取的系統信息、進程信息、網絡信息等各種詳細信息：

重量級實戰攻防演練方案在運行實施過程中，以運營平臺為主，同時兼顧APT設備。運營平臺能夠提供詳細的主機設備或業務系統相關的溯源取證信息，而攻擊pcap報文和惡意文件樣本等數據則需要去APT設備上獲取和查看。

輕量級護網方案

1）部署方便，對現網業務系統和配置策略影響很少。 2）具備較強的攻擊檢測能力，能查看攻擊報文、載荷信息和惡意文件樣本。 3）提供專門的實戰攻防演練工作臺，能夠有效提升實戰攻防演練過程中的威脅分析和溯源取證效率。

增強級護網方案

1）同時監控現網流量和各類主機或業務系統上報的告警日志，覆蓋面更廣。 2）安全運營平臺具備SOAR能力，能夠自動化完成安全告警事件的取證、研判、應急方案制定、溯源分析、聯動處置等功能，MTTD從小時/天級別提升為秒/分鐘級別，MTTR從小時級別提升到秒級。 3）可以有效聯動多種安全處置設備，及時封堵惡意IP或域名。

1、持續監控攻擊，時刻把握安全態勢 持續監控關鍵節點的網絡流量，基于設備提供的實戰攻防演練工作臺，可以實時發現紅隊攻擊，幫助藍隊安服人員或客戶安全運營人員時刻把握網絡安全態勢。 2、多元檢測高級威脅，助力修補安全隱患 利用沙箱技術和人工智能技術等全面檢測各種高級威脅，可以及時發現藍隊網絡中各類信息系統存在的網絡安全隱患，及時提醒客戶用戶修補安全漏洞或加固業務系統，減少內網安全隱患。 3、深入洞察安全事件，高效追溯攻擊來源 APT設備和安全運營系統都提供了各類可視化分析面板，能夠協助安服人員或運營人員深入分析各種紅隊攻擊事件，形成詳盡的分析報告。同時，利用系統留存的元數據和調查取證線索等價值信息，高效追溯攻擊來源，形成對紅隊的快速反制。