蓝军建设的一些不成熟的思考

#蓝军 1 个 #笔记 14 个 #全部文章 69 个

对于很多公司来说，蓝军的建设也逐步都提上了议程，这里想和大家聊聊关于蓝军建设过程中的一些思考，在前东家时候带领过一段时间蓝军，做过几次行动。

蓝军的工作

1. 模拟黑客进行攻击，不在于面的广还在于问题发现的深度，和安全测试是互补的

1. 安全测试是确保发现业务中的所有风险点，并进行解决，确保上线的业务是安全的，是合规的
2. 蓝军是通过一个可深入的点，逐步深入，发现隐藏在表面后面的风险

2. 新技术研究，提升公司安全影响力

1. 蓝军参加各种安全比赛，需要不断研究新的安全风险的原理
2. 参加比赛获得名次，对于公司安全影响力是可以提升的，可以更好的吸引安全人才
   
   

蓝军建设的一些误区

1. 蓝军就是模拟黑客攻击，重点放在攻击手法上

蓝军再模拟黑客攻击也是公司的安全人员，也是为了公司业务安全服务的，攻击手法是一方面，更重要的是要梳理在攻击路径中发现的风险点和安全建设过程中忽略的地方

2. 蓝军重点放在攻击技术研究上，对于修复和防护能力建设不用关注

攻击技术的研究也是为了更好提高产品和业务的安全性，对于发现的风险来说，蓝军是更明白漏洞和风险出现的原因的，也是更能了解企业安全建设体系中的薄弱点的，做攻击一点要是为了防御而做的，不是只是站在黑客角度来看问题

3. 蓝军重点放在搞事情上，多打比赛多出成绩

在我看来蓝军是在企业安全基础能力建设到一定程度能力情况下才会成立的，蓝军的基础面还是公司业务和产品的安全，再去深层次的挖掘更体系化的风险。基础面保证不了，再多的成绩也是锦上添花的事情

蓝军建设的一些现象

1. 大家都喜欢做蓝军，漏洞利用起来做渗透貌似更有趣，大家还都是技术思维，喜欢技术，但是在甲方中，蓝军是对现有安全体系的补充，本身是为企业建设服务的，再加上攻防不对等，蓝军确实比较好处成绩和吸引人，蓝军的绩效里面不单只有攻击成果，应该体现出对企业安全体系的贡献，而且这块才是关键成果
2. 蓝军都喜欢挖漏洞，搞事情，不太喜欢和业务沟通和交流，漏洞闭环能力做的没有安全测试好。还是上面那句话，蓝军是为了更好的建设企业安全体系，风险需要闭环建设，也是为业务安全服务的，有时候蓝军发现的问题和提出的改进建议对于业务来说可能能提供更深层次解决方案和更能把握住核心问题

最后引用腾讯蓝军的一段描述：

经过多年激烈的红蓝对抗演习，红蓝双方你追我赶，相互促进，公司安全防护体系有着非常大的提升，服务器安全系统（“洋葱”）、DDoS防护系统（“宙斯盾”）、Web应用防火墙（“门神”）、Web漏洞检测系统（“洞犀”）等公司安全系统的技术能力都取得了不错的提升。在腾讯产业互联网大战略下，这些系统也在进行沉淀总结，将十余年的安全积累输出到第三方用户，如联合腾讯云安全团队共同打造的、护航“一部手机游云南”的洞悉产品、 等，如检测覆盖网络攻击杀伤链各环节的“洋葱”对外也推出了产品化版本等。