前沿 | 网络安全数字化挂图作战体系建设

文 | 中国邮政储蓄银行数据中心副总经理 巫建刚；中国邮政储蓄银行数据中心 特荣夫  李万宝

1.挂图作战体系设计

（1）总体框架设计。邮储银行网络安全运营总体框架（如图1）划分为安全防护框架、安全运维框架、安全验证框架和安全度量框架，其中安全度量框架包含运营指标和挂图作战。安全度量框架作为邮储银行网络安全数字化运营体系的一部分，是通过一系列的安全度量指标，衡量评价安全运营质量水平，并针对性地进行持续改进，实现质量的螺旋上升。

图1 邮储银行网络安全运营总体框架

（2）安全度量框架构建。安全度量框架主要用于衡量评价安全有效性，是从安全技术、运营成效、安全价值等维度进行定义一系列的安全度量指标，衡量评价安全运营质量水平。同时，利用可视化手段，将安全度量指标具象化和数字化的展示，实时展现当前真实的网络安全的有效性，形成邮储银行特色的挂图作战决策能力。

邮储银行网络安全数字化运营指标包括资产管理、终端安全、应用安全、数据安全、网络安全、安全建设、安全运维、态势感知、风险管理等19个能力域，是通过参考等保、数据安全能力成熟度模型DSMM、网络安全成熟度模型CMMC以及NIST CSF网络安全框架。以攻击者角度出发，围绕风险识别（Identify）、安全防御（Protect）、安全检测（Detect）、安全响应（Response）和安全恢复（Recovery）5个流程为基础，形成邮储银行网络安全数字化运营指标体系，为网络安全挂图作战提供数据支撑。

（3）挂图作战体系建设。邮储银行按照现有安全运营指标，结合业内最佳实践，建立以安全能力库、资产关联库和风险情报库作为基础，以全场景网络安全大数据平台为核心的网络安全数字化作战体系（如图2）。通过一系列的安全度量指标，衡量评价安全运营质量水平，并针对性持续过程改进，实现了资产运维与风险监测、安全威胁与攻击监测、处置协同与响应指挥、实战能力与效果监测的以平战结合的安全管理运营与指挥协同机制下的挂图作战。

第一，资产运维与风险监测。通过资产运维与风险监测，能够从资产基础信息、资产漏洞情况、资产配置风险、资产变更情况等维度展开动态检测，实现“看见自己、看见资产、看见风险、看见运行状态”的挂图作战目标。

第二，安全威胁与攻击监测。通过安全威胁与攻击监测，能够从预警防范、威胁感知、异常发现、分析研判等维度快速发现未知威胁和未知攻击，及时阻断攻击链条，掌握攻击全貌，实现“看见全网、看见威胁、看见攻击、看见对手”的挂图作战目标。

第三，处置协同与响应指挥。通过处置协同与响应指挥，能够从自动编排响应、协同响应、指挥调度、事件复盘等维度对攻击活动进行统一响应、清理、修复、加固、通报和损失评估，支撑决策指挥和应对指导，实现“看见入口、看见过程、看见损失”的挂图作战目标。

第四，实战能力与效果监测。通过实战能力与效果监测，能够从入侵攻击模拟和靶场演练等维度建立实战能力评估的基础设施和评估机制，评估实战能力、找到能力差距、改进提升水平，实现“看见能力、看见差距、看见效果”的挂图作战目标。

2.挂图作战实施行动路径

邮储银行将同业先进理念与网络空间可视化技术发展方向相结合开展挂图作战实施，并将挂图作战实施行动路径分为规划阶段、设计落地阶段和运行阶段。

首先，规划阶段。确定挂图作战实施团队，明确挂图作战设计目标，设计安全运营指标，建设网络安全数字化挂图作战系统，并基于主题库设计主题呈现的指标项，支撑主题内容展示。

其次，设计落地阶段。先结合各主题呈现指标进行原型图及PRD设计，将指标进行具象化呈现，并完成PRD文档的内容制定，将挂图“概念化”走向“图纸化”，明确开发路径。再根据原型图开展UI设计，确定具体的界面呈现方式。最后进行前、后端开发，将前端设计展示内容进行具体呈现，并将后端采集的数据内容进行接口对接，从而为前端提供数据支撑。

最后，运行阶段。对前后端开发成果及系统进行联调测试，并在实际环境测试运行成果，在运行测试完成后将内容进行发布进入运行阶段，基于后续的运营需求，持续迭代挂图作战展示内容。

3.挂图作战系统建设

首先，技术实现框架。挂图作战技术是从全生命周期、安全生态、业务联动协同三个维度对防护主体数据进行组织和治理，在此基础上制定完善的算法模型和标签体系，全面、精准、透彻、鲜活地刻画防护主体及其关联主体的全息画像，并结合地理空间数据模型关联叠加后形成重要单位各类要素的结构、分布地图、关系图谱，投射形成网络空间地理测绘系统基础图层，叠加图数据上图与交互策略，表达展示出各个网络安全场景，实现全区网络安全态势地图展示，定标响应网络安全事件，形成挂图作战技术框架，实现网络安全“挂图指挥”。

其次，系统功能架构。邮储银行网络安全数字化挂图作战系统功能划分为数据层、驱动层和表示层三层逻辑架构，系统在设计时要满足数据集中融合、信息生动呈现及可视化低代码开发的目标。在数据层支持OpenAPI、MySQL、ClickHouse、PostgreSQL、MongoDB、MicrosoftSQLServer、CSV文件、ElasticSearch、Kafka、Metabase等多种数据源接入，可进行回调参数设置和动态数据交互，并预设多种模板及组件，可随机进行信息编排。在驱动层具备低代码引擎、图引擎、WebGL引擎、高性能引擎等四大引擎，通过与数据的交互联动，将原本难以快速理解的信息进行生动演绎，实现业务可视、运营可控、决策可依。在表示层以拖拽布局、点选式的配置，快速进行逻辑编排，实现灵活便捷的数据分析、可视化展现服务。

4.网络安全数字化挂图作战场景实践

邮储银行依托网络安全数字化挂图作战系统的建设，在网络安全数字化运营指标的基础上，初步形成了以安全运营指标监控为中心、以网络安全区域告警监测为重心的覆盖检测、防护、分析、响应、重保等多个场景的网络安全数字化视图（如图3）。

图3  邮储银行多场景网络安全数字化视图

（来源：金融电子化）