嘶吼2024网络安全金帽子年度评选公示：华云安荣膺年度创新成果典型案例

为了表彰在网络安全领域做出杰出贡献的企业和机构，进一步激发行业创新活力，嘶吼成功举办了2024年网络安全“金帽子”年度评选活动。经过严格的大众投票与专家评审，各类奖项的获奖者最终揭晓。其中，华云安凭借“电力企业实战对抗场景下的攻击面安全运营体系实践”项目，荣获年度创新成果典型案例奖。

随着新型电力系统、源网荷储业务、电力物联网的建设，电力企业的数字化资产成倍增加，暴露面和可被利用的脆弱性也随之急剧增加。同时，实战攻击的攻击方呈现出实战化、隐蔽性、专业性、强度高等特点，给电力企业的安全风险管理带来了巨大挑战。

为解决上述问题，华云安基于“全准快易”特性赋能电力企业进行攻击面管理。该方案采用ASM（攻击面管理）与BAS（入侵与攻击模拟）技术理念，融合内、外部攻击面管理能力，构建了一套实战对抗场景下的攻击面安全运营体系。

具体解决方案包括工具能力和运营支撑两个体系。工具核心能力涵盖资产管理、漏洞管控、攻击推演、验证加固四个维度；运营支撑体系则包括资产收集与运营管理、情报预警与漏洞闭环、关键攻击路径梳理、安全验证与策略梳理四个维度。

该方案基于142架构打造攻击面管理平台，建设一个平台（攻击面智能检测分析平台）实现资产管理、弱点管理、攻击面分析、攻击面响应；集成调度四类工具（资产管理工具、漏洞管理工具、配置检查工具、攻击验证工具）；持续更新两类情报（漏洞情报、战法情报）。经过数据的融合分析和处理后，实现完整的攻击面管理能力。

方案基于“全准快易”特性赋能电力行业攻击面管理：全面的资产清点，识别最完整的资产暴露面；精准基于风险的弱点管理，将精力聚焦在有价值的攻击面；新一代扩展威胁情报，先于攻击者发现弱点和漏洞；持续运营与响应，极大缩短风险暴露的时间，实现三易弱点管理能力——流程适配易、闭环管控易、处置结果易。

华云安的方案在实践中取得了显著成效，有效帮助电力企业实现了“看见风险、持续验证、常态运营”的建设目标。在某电力企业的实践案例中，具体表现在以下几个方面：

• 资产安全管理效率提升50%：通过攻击面管理平台的资产治理模块，对现有各类资产平台的数据开展资产采集、资产处理、资产存储归档、资产可视化管理全流程自动化接入处理，通过在线API接口、定期扫描等方式实现资产变化的监控。提升资产管理效率50%以上。

• 漏洞情报预警排查整改效率提升60%：极大提升漏洞情报预警排查整改效率，将漏洞预排预警排查的七个流程缩减为五个，全部由线下人工方式转化为线上自动方式，基于资产信息实现漏洞一键到人，提升S6000漏洞预警通报、蓝队日常获取的漏洞情报、监管通报的漏洞情况的排查、处置、反馈的效率60%以上。

• 提升日常漏洞扫描效率50%。极大提升蓝队日常漏洞扫描效率，实现漏洞自动化排查。减少了一个流程，提升了四个流程效率，整体效率提升50%。

• 优化安全防御策略 50%以上，安全设备防御能力有效性提升90%以上。将电力行业常用的漏洞和攻击方式，转化为具备行业特性的攻击测试方法，为企业提供攻防实战演练及重大保障活动的防御有效性检验，将演习成果固定化、深度防御常态化。

综上所述，华云安的“电力企业实战对抗场景下的攻击面安全运营体系实践”项目不仅在技术创新方面取得了显著成就，还在实际应用中取得了良好的成效，为电力企业的网络安全风险管理提供了有力支持。因此，华云安荣获嘶吼2024网络安全“金帽子”年度评选活动的年度创新成果典型案例实至名归。