SecOps2023丨谭晓生：数字化转型需要安全运营做保障

5月30日，以“持续验证 看见安全”为主题的2023网络安全运营技术峰会（SecOps 2023）顺利落幕，来自知名机构的重量级专家、行业精英、企业领袖齐聚峰会，分享精彩观点和产业洞察。今天，我们将带您回顾北京赛博英杰科技有限公司创始人兼CEO谭晓生的演讲内容，以下为全文分享 。

数字化转型到底是什么？数字化转型是将基于计算机的技术整合到组织的产品、流程和战略中。组织进行数字化转型以更好地吸引和服务他们的员工和客户，从而提高他们的竞争能力。

数字化转型是将计算机的技术整合到产品流程和战略中，上个世纪八九十年代主要是流程的计算机化，产品中较少使用计算机技术。2000年之后，尤其是2010年之后，我们给用户提交的产品之中越来越多用到智能化和网络化，比如智能家居设备和工厂设备和智能网联车等，在产品和流程中都用到了计算机技术。另外，在上个世纪八九十年代流程的计算机化，服务对象是自己的员工，客户是间接受影响。在今天，数字化转型的技术对员工和客户同时产生影响。

在做数字化转型过程中，我们面临的挑战也是空前的。这里引用中油瑞飞王勇对于网络安全的一些不错观点：

• 匹夫无罪，怀璧其罪。不考虑对手的信息安全是自娱自乐。

• 信息安全是对抗，是刺刀见红的肉搏，是在小黑屋里打群架，是没有硝烟的战争。

• 静态的防御措施无法阻止蓄意攻击者，需要随需应变、动静结合、以快打快。

• 我们做什么不取决于政策、规划、预算和个人意志，应该取决于对手做过什么？还想做什么？能做什么？

• 安全防御是尽力而为，是鞠躬尽瘁死而后已，是一种资源、时间和精神的消耗竞赛。

网络安全本质在攻防两端力量的较量。在攻防较量中，首先就要做到知彼，知彼就是要知道攻击者是怎么样的？现在的攻击者：第一个，出于国家的利益，做各种各样的渗透攻击。第二个，很多是黑产，有利益、有价值的系统和服务多存在被攻击的情况。其次攻击者也在采用新的技术，最优秀的人、最先进的技术，往往会被攻击者首先采用。最后，攻击的趋势，从单点突破向体系化的方向来进行。

如何知己，第一，银弹并不存在，安全防护不可能达到100%的安全，即使是 1% 的漏洞，也可能造成100%的损伤。第二，在今天，数据已成为第五生产要素。数据依托于信息系统而存在，数据安全不仅仅局限于数据本身，而应扩展到信息系统的各安全领域。多层面、全方位、环环相扣的纵深防御，是目前保障数据安全的有效路径。

我们现在看到的网络安全存在六个趋势：

这是Gartner提出的CSMA的架构。我的理解，这个架构是以安全运营为核心的，其中展现最大的是安全情报与分析。最右边是传统网络安全产品，把这些产品通过标准化接口，送到安全分析与情报中心，依靠第三方威胁情报、第三方API接口，下面用身份架构动态上下文，再由统一的策略编排、态势管理，形成以运营为核心的架构。这个架构，在未来五到十年将是非常流行的一套架构。

我们在分析的时候，国内安全厂商经常会使用滑动标尺模型。滑动标尺模型左边是基础架构安全，基础架构安全就是把数字资产搞清楚，配置不犯低级错误，漏洞能够及时发现并打补丁。第二是纵深防御，就是要把各种各样的安全产品配置上。纵深防御这一层是假设人为干涉比较少，安全系统装上，就能自动的做检测和拦截。第三步态势感知和积极防御，就是人机协同，人为介入比较多去做安全运营。第四步是辅助内部外部的威胁情报，能够提高安全运营效率，进而做到更有效的安全管理。最后反制这一层，更多不是企业做的。

滑动标尺模型演进到“态势感知和积极防御”阶段，运营在其中的重要性越来越重。同样在工作中我们还应用了CDM模型，把网络安全的几个步骤：横向分为识别、保护、检测、响应、恢复，纵向把资产分为了五个维度：设备、应用、网络、数据、用户、依赖程度，左边两列是发生在事前，右边三列是发生在事中和事后，从中可以看出更多的是响应和处置，越靠左边对技术的依赖越重，越靠右边对人的依赖越重。这两个模型是在做网络安全运营的时候可以做参照的模型。

这里要区别安全运营和安全运维，安全运维的关键词是被动防御、单点为政、状态监测；安全运营的关键词是主动防御、安全协同、态势感知、专业流程、闭环可控。右边是在安全运营中需要的一些安全能力，包括攻击面管理、威胁情报、取证分析、安全合规管理、安全事件响应、安全监控、安全培训、安全设备运维、威胁狩猎等等。

安全运营架构包括安全防护、安全运维、安全验证、最后是安全度量。这里边就涉及到技术、流程，有工具、人员、流程。最终在安全运营要形成事件处理的闭环。

安全运营从安全用户的原始日志开始，由日志分析团队做处理之后的日志，规则团队设置各种规制。告警事件的处理，由一线运营团队、二线运营团队进行处置。在右边安全验证，弥补了安全运营中缺失的环节，通过它能够看到以往配置的安全系统所产生的安全价值。

在2022年和2023年，数说安全也在监测行业中的热点。这两年涌现出十几个热点：

*其中一个是扩展检测与响应（XDR）：

XDR平台可以跨区域收集来自多种安全设施的检测数据，并对其进行统一的集成、关联和上下文等事件化分析，以全局视角进行威胁研判，从而获得更准确和全面的检测结果。XDR旨在高效集成产品，打破信息孤岛，降低企业内的无效告警和安全运营成本，未来将吸引难以从SOC或SIEM解决方案中获得价值的安全运营团队。

*第二个是攻击模拟（BAS）：

传统的风险评估技术侧重于识别系统、网络和应用程序漏洞，BAS方案可以更进一步。BAS是指通过主动验证+（半）自动化的方式，利用攻击者的战术、技术和程序来模拟杀伤链的不同阶段，持续测试和验证现有网络整体的安全机制（包括各安全节点是否正常工作、安全策略与配置的有效性、检测/防护手段是否按预期运行等），对企业对抗外部威胁的能力进行量化评估，同时提供改进建议，推动企业安全体系走向成熟。

*第三个是攻击面管理（ASM）：

攻击面是指企业所有可被利用的风险因素的集合，这些风险因素大多分布在物理面（例如端点、网络、服务器等设备漏洞）和数字面（例如企业数据泄漏、品牌侵权、个人隐私信息泄漏、网络钓鱼等）。攻击面管理旨在识别、分类这些风险因素，并对其进行优先级排序和持续监控。攻击面范围较为宽泛，按照企业管理者和外部攻击者两个不同视角，可分为网络资产攻击面管理（CAASM）和外部攻击面管理（EASM）两种。

前不久，数说安全发布了《攻击面管理产品市场分析报告》，报告显示目前国内从事攻击面管理厂商20多家，它们中不乏过去做资产管理、漏洞管理的安全厂商。过去甲方作为安全的运营者是从甲方视角来看安全管理，没有换一个视角从攻击者的视角来看。攻击面管理的理念就是，数字资产暴露在互联网上形成暴露面，暴露面一旦被攻击就形成了攻击面，这个攻击过程，如果站在攻击者角度来看不仅有攻击手段、还有攻击成本、攻击优先级排序等等。如果将攻击者视角引入，对于防守者来说，就可以把自身有限的防守资源用在最应该使用的地方，这无疑是一个更加先进的思想。攻击面管理，现在国内安全厂商技术演进路线不一，但我们认为未来内部攻击面、资产攻击面和数字风险将会形成一个整合的趋势。

*安全托管运营服务：

我们认为真正解决众多企业安全的防御问题，靠过去产品堆砌与雇佣庞大安全团队进行安全运营的模式是难以为继的。在做数字化转型的当下，将安全云化的服务能够解决大多数企业的安全防御问题，即：依托第三方的云端安全运营中心，建立常态化风险监测和安全管理闭环机制，安全专家开展7×24小时远程值守，实现持续对抗攻击和快速响应。在过去两年，安全托管运营服务在国内开始取得了一些进展。

安全的未来是什么？安全的未来是运营。在未来，安全运营在安全体系中将是非常重要的一部分。在前期的安全建设阶段堆砌了各种各样的产品之后，这些产品需要依靠安全运营来真正发挥其价值，而且数字化转型本身也需要安全运营来做保障。