CISO 聚焦 | 如何抵御超过99%的网络安全攻击？

先回答第一个问题，我们能不能做到100%的抵御网络安全攻击？先给个直接明确的答案：没有谁可以做到。为什么？

这是因为本质上来看，网络安全攻击是一种风险。风险的本质就是在特定情况下可能发生的不确定性事件，以及对于关联目标的潜在影响。风险是客观存在的，我们可以通过风险评估和管理来应对风险，包括识别和评估潜在的风险、制定相应的风险管理策略、通过相应的风险应对措施来降低风险的发生概率和控制风险发生时的影响，最大限度地降低潜在损失、保护安全和利益，但是我们无法完全消除风险，也无法完全避免风险。

那我们是否可以完全避免网络安全事件的发生呢？同样的道理，这也是不可能的。或许在普罗大众的感观中，网络安全事件就是勒索病毒、数据泄露之类。实际上网络安全的核心三要素是机密性、完整性和可用性，影响到任何一个或者多个安全要素的事件，不管是来自外部还是内部、不管是有意还是无意的行为、不管影响范围是大或者小，其实都是网络安全事件，核心区别就是看网络安全事件的影响范围有多大而已。例如都是中勒索病毒，某个普通用户自己的电脑中了勒索病毒，和企业整体环境都感染了勒索病毒，影响范围和带来的损失都是千差万别的。

网络安全威胁的本质就是无时无刻、无处不在的。同时网络安全无论攻防两端，都是一个动态发展、持续快速提高的过程，“防得了一时，防不了一世”。因此没有绝对的网络安全，也没有永远的网络安全。从长期性的现实角度来看，我不认为企业可以完全避免发生网络安全事件。而且从我们真实的客户网络安全事件响应支持来看，很多企业客户很早之前就被入侵、甚至被相同或者不同的攻击者多次入侵了，客户自己却毫不知情。 

根据2023年 Check Point 发布的最新安全分析报告，在2022年，亚太地区企业为平均每周遭遇 1,691次攻击行为，同比增长22%。从中可以看出目前网络安全态势严峻，各种勒索攻击、数据泄露、网络破坏安全事件层出不穷，攻击者在其中部分案例中展现出了各种高级、精巧甚至可以说是卓越的攻击手法。 

通常情况下，基于攻击动机、技术手法的不同，绝大部分常规企业所面临的网络攻击行为，最主要的两种是：

那大家也可能会想，是不是我们运气好一点，就不会遇到上述的攻击行为呢？基于企业规模、性质的不同，小一点规模的常规企业，第二种定点 APT 攻击行为或许是有可能不会遇到的，但是遭遇第一种自动化攻击行为必定是难免的。而且，上面只是介绍了两种主要的攻击行为，除此之外，我们还会面临其他的攻击行为例如很容易被忽略的内部人员攻击行为、基于商业竞争/勒索的 DDOS 攻击行为等等。《孙子兵法》里面也说的很清楚，“用兵之法，无恃其不来，恃吾有以待之；无恃其不攻，恃吾有所不可攻也”，因此我们不要有任何的侥幸心理，而是需要做好充分的网络安全应对准备，才能“恃吾有以待之”、“恃吾有所不可攻也”。 

从漏洞的生命周期来看，一个漏洞往往会经历从“未知的未知”（-1day）、到“已知的未知”（0day）再到“已知的已知”（NDays）这三个阶段。而针对不同阶段，我们也需要采取不同的安全应对战略和战术，才能充分做好相应的防范和准备。 

其中最厉害的就是遭遇“未知的未知”（-1day），这就类似于降维打击，往往在防守方意想不到的地方被攻陷。虽然一般企业遇到这种 -1day 级别攻击的概率可能不大，但是每次 -1day 攻击的出现，必然是极为严重和高度组织性的 APT 攻击行为，其心不小，所谋甚大。

网络安全本身就是与风险共舞。如何确保我们应对网络安全风险的防护措施是合理充分的？在满足法律合规要求的必备基础上，这取决于企业自身的整体风险管理（例如风险评估、风险偏好、风险控制计划和投入产出期望等等）。作为数字化转型的基础，网络安全是企业组织发展所不可缺少的。网络安全韧性和数字连续性应当构建到企业组织的核心体系架构中，与企业财务与业务运营的韧性一样重要。我们必须考虑业务、IT 和网络安全在数字化转型中的关联一致性，只有通过引入合理充分的网络安全措施，使企业组织尽可能地抵御现代化的攻击，才能支撑企业组织实现业务创新、提高生产力并最终实现数字化转型。在这篇 CISO 聚焦系列文章《CISO 聚焦 | 如何构建企业组织的网络安全韧性和数字连续性》中，我谈到了企业应当如何去构建整体全面的网络安全韧性，包含以下核心方面：

再看第二个问题，我们能不能在“抵御超过98%的网络安全攻击” 的基础上更进一步，做到“抵御超过99%的网络安全攻击”呢？在先进网络安全防护技术的加持下，我认为这是可以实现的。 

随着企业数字化转型的不断发展，以及移动互联、云计算和物联网等新技术的应用，我们的企业网络环境在不断的进化，复杂化、云化和碎片化是核心的主题。与之伴生的，我们面临的安全威胁攻击技术也是持续高度进化的，针对不同的应用技术场景，也动态发展出不同的攻击技术和威胁。Forrester 在2019年3月4日发布的文章 "Tech Titans Alphabet And Microsoft Are Transforming Cybersecurity" 中首次明确提出“云是网络安全的未来”，并且指出技术巨头微软正在通过全球领先的云原生技术重塑网络安全。 

“网络安全的未来在云端”，这句话是网络安全行业的共识，但不同的人可能有不同的考量。就我自身的解读而言，我认为这句话主要包含两层含义：

为了应对不断进化的网络安全威胁，网络安全专业人员必须利用最新的技术和创新来持续改进防御态势。人工智能（AI/ML）是目前最有前途的技术，可以有效地颠覆传统的网络安全理念并大幅赋能网络安全。人工智能可以通过结合安全情报、大数据、自动化等技术来增强网络安全的许多方面，例如安全情报分析、威胁检测与预测、安全事件分析和响应等等。人工智能还可以带来新的功能和机会，例如通过大语言模型（LLM）基于自然语言来分析和处理复杂数据，从而帮助安全分析人员更有效率的实现安全监控和分析，并为他们提供新的学习机会。 

从本质上来讲，人工智能/机器学习（AI/ML）的核心是算力、算法和数据的比拼，三者缺一不可。从微软网络安全目前的人工智能/机器学习（AI/ML）核心能力来看：

无论是从算力、算法、还是数据层面来看，微软都是全球遥遥领先的，并且也持续地正向反馈、构建并优化全球领先地人工智能/机器学习（AI/ML）能力，为客户提供更好的技术与服务。 

除了在网络安全产品和技术中充分应用 AI/ML 技术，同时我们也需要考虑 AI/ML 自身的安全性。微软也是这方面的先驱，与 MITRE 合作推出了 MITRE ATLAS™ (Adversarial Threat Landscape for Artificial-Intelligence Systems) 框架，如下图所示，用于帮助企业识别和分析 AI/ML 应用和系统的安全风险，从而进行更好的应对和保护：

Microsoft Security Copilot 是微软于今年3月推出的全球首个基于 OpenAI’s GPT-4 生成式 AI 的下一代网络安全人工智能产品，它将先进的对话式大型语言模型（LLM）与微软全球领先的网络安全专用 AI/ML 模型相结合，通过易于使用的 AI 助手，使最新的大型语言模型能力价值最大化，提高安全团队的整体效能，展现独特的价值。 

作为全球首个集成对话式 AI/ML 大型语言模型的安全产品，Microsoft Security Copilot 以微软独特的、每日超过65万亿安全信号的安全情报和大数据为基础，通过全球领先的 AI/ML 技术，在 Azure 的全球超大规模基础设施上运行，并符合企业级的网络安全和隐私合规要求。当 Microsoft Security Copilot 收到网络安全专业人员的查询提示时，它会充分运用安全专用模型的力量，基于微软独特的全球安全情报和大数据，对相关场景和用例进行查询和分析，反馈、增强并赋能安全分析人员的工作。如下图所示，安全人员只需通过自然语言与 Security Copilot 进行对话交互，并通过它自动实现安全事件的自动化监控、实时分析、溯源调查、响应阻断、威胁猎捕和报告汇总，从而大幅降低安全运营和分析专家的技能要求：

Microsoft Security Copilot 具有独特的能力，能够给企业的网络安全带来以下收益： 

除此之外，数据隐私保护是网络安全中的核心内容之一，我们在构建 Microsoft Security Copilot 时也充分考虑到了这一点。Microsoft Security Copilot 充分满足企业的网络安全和隐私合规要求：您的数据始终是您的数据，并且在你的控制范围内，它不会被用来进行后续的AI/ML训练。同时在保持隐私的同时，每个用户的互动可以很容易地与其他团队成员分享，以加快安全事件响应，从而可以更有效地合作解决复杂问题，并提高团队协作技能。

工欲善其事，必先利其器。当攻击者已经骑上摩托的时候，如果我们仍然骑自行车，肯定是追不上的。如何充分的利用先进的网络安全防护技术例如 Microsoft Security Copilot 并实现更好的安全防护效能？是企业网络安全管理人员未来的核心目标。随着技术的持续快速迭代，网络安全行业未来必然进入巨头时代，“多者更多、强者恒强”。 

不过空谈无用，再好的战略，也要看具体执行，网络安全亦是如此。即便我们有非常完善的安全架构、规范和最佳实践，也知道网络安全很复杂、很麻烦、影响很大，但是毕竟需要落到实处才行。“罗马不是一天建成的”，网络安全也是。企业的相关管理人员需要“着眼大局、明确优先级、从小范围开始、快速行动”。而今天所介绍的网络安全基础最佳实践，则是所有企业都应该遵循的网络安全基础安全控制要求。即便我们面对的攻击者变得越来越老练，攻击技术越来越先进，但是“万变不离其宗”，通过实施这些网络安全基础最佳实践，可以让企业在攻击者的发起攻击的初始或者早期阶段即可预防、发现相关攻击行为、及时进行安全响应并阻断攻击、以及降低安全攻击对于企业的整体影响，可以抵御超过99%的网络安全攻击行为。 

除此之外，我们还需要考虑“人”的因素。“人”是网络安全中最重要的因素，也是网络安全中最复杂的因素。“人”是技术的实际作用者，我们需要让“人们”充分了解他们所面临的安全风险，通过教育、交流、传播等方式提高“人”的安全意识、安全防御和威胁应对能力，使他们成为抵御现代化安全威胁的关键防线。 

“万物皆可零信任”。大家潜意识的是把“零信任”看成一种技术解决方案，但是“零信任”实际上并不仅仅是一个安全防护技术解决方案，或者一个安全架构。本质上来看，“零信任”是一种通用原则、一种思维意识、以及管理风险的一种方法，我们可以在很多的场景中参考并应用“零信任”原则。在实施得当的情况下，“零信任”可以帮助企业在释放现代化技术潜力的同时，避免、限制和抵御潜在的安全威胁。 

最后，大家可能还会有一个问题，即便我们抵御的网络安全攻击从“98%”更进一步到了“99%”，那还剩下的1%，应该如何防御呢？  

本质上，网络安全是制衡的艺术：在满足和平衡企业网络安全需求的前提下，控制企业在网络安全方面的相关投入，通过合理的投入获得最大的价值产出。因此对于这剩下的1%，我们可能需要先从需求的角度来评估是否有必要去防御，这是因为： 

因此如果您评估下来，还是觉得需要防御住这剩下的1%，您可以联系我们，我们来为您提供优秀的解决方案。