本文作者：徐晓丽

目前，高级威胁已成为企业网络安全的新常态，定向攻击总是能轻而易举地绕过传统防护系统的检查机制，泛在化攻击使所有的企业都面临着更加持续的安全风险挑战。

以防护面和防护技术为主的传统边界防护模型已逐渐失效，应对当下的高级威胁只靠划分防护面和增加防护手段是不够的。通过对现有的纵深防护理念与CARTA模型的分析，安全牛研究团队在近期开展的《企业高级威胁防护能力构建指南》报告中，梳理出以焦点区域为面、防护机制为体、防护技术为器的新一代企业高级威胁防护能力模型，将防护区域、防护机制、防护技术定义为企业高级威胁能力构建的三要素。

• 防护区域 防护面划分是实施细粒度防护的基础，可以保证最有效的防护措施应用到可能被攻击的关键线路上，减少攻击横向扩散范围。数字化时期高级威胁防护系统的防护区域应该是多层的、递进的，并且应在原来IATF的基础上增加“应用和数据”域。
• 防护机制 防护机制是建立保证安全防护持久化的流程体系。高级威胁防护系统中的防护机制应该是动态的，并且应当有多层嵌套，典型的包括攻击防护机制、业务验证机制、策略合规机制。
• 防护技术 防护技术是防护系统中使用的手段和方法。高级威胁防护系统中技术手段不仅要多样化，而且还应确保差异化技术能力可以相互转化。典型的技术手段有预测、防护、检测和响应。

本次研究中，安全牛对近百家企业用户进行了现场访谈和问卷调研，通过梳理分析上述受访企业的高级威胁防护现况及实践经验，我们建议企业在高级威胁防护能力构建中可以参考以下六项原则：

原则一：用顶层视角进行战略性安全规划

高级威胁对抗是常态化的对抗，其特性决定企业需要用战略性思维并从顶层视角统筹安全规划，结合安全风险评估保证规划结果可执行并符合企业真实的安全诉求。除了防护面还应考虑时间维度，以确保安全基础设施在未来一段时间更持续有效；从平战结合的维度考虑如何最大化基础设施的成本效益；此外，企业安全战略还要立足当下，做好升维能力构建预期。

原则二：用系统化的理念构筑韧性的安全架构

安全架构首先要保障顶层框架设计自上而下逐层、逐面的展开。其次，由于网络攻击的多变性，安全产品种类多、迭代快，无序的产品堆叠犹如散沙在高级威胁攻击面前不能形成战斗力。任何时期的安全能力构建都需要做好扩展和迭代的长远考虑，系统/产品架构比功能的选择更重要。安全架构设计要做好核心能力和支撑能力的规划，并使用系统化和科学化的方法进行有效的合力构建，使安全体系围绕核心能力螺旋状生长，并保证在业务变化、场景迁移中有更好的弹性。

原则三：不能忽略基础防护能力的构建

任何一个低级漏洞利用都可能造成高级威胁的严重后果，没有基础防护，高级威胁构建就犹如沙滩楼阁。基线建设、法律合规是网络安全防护的基础防线，只有在基础安全能力上才能更高效的构建高级威胁的防护能力。但需要认识到，安全基线建设、法律合规仅仅是企业网络安全防护的红线，不能等同于高级威胁防护能力。

原则四：选择差异化的技术进行能力互补

从防护面、防护技术到防护机制，都需要差异化。在不同防护面选择差异化的技术避免重叠可以有效增加防护面被全面突破的难度，降低攻击成功率。其次，硬碰硬的较量在任何时候都不一定有完全的胜算，在做好攻击识别和检测同时，做好敏感资源、数据的防护也同样重要。

原则五：任何的最佳实践都不能完全照搬

行业特点决定了企业遭受攻击的类型和风险程度，每个企业安全建设的目标和立足点不同，加之企业自身受保护的系统和资源的差别，决定了自适应的安全防护在企业落地都需要一定程度的订制。行业最佳实践的分享提高了攻防的水平，但能公开能拿到的经验，一般都不会是完全有效的。

原则六：重视网络安全团队的能力构建

尽管安全自动化处置的能力正在日益成熟，但技防是基础，人防才是保障。高级威胁从识别到响应处置等环节，都无法完全离开专业安全人员介入。此外，员工安全意识需要持续提高，企业安全制度的建立、执行、管理、运维都是安全团队能力构建的重要诉求。