安全演练的背景

随着网络空间安全环境的不断恶化以及以明确政治、经济为目的的攻击事件的不断增多，近年来各级监管部门及企业自身均加强了对于网络安全的实战化要求。
对于企业来说，安全演练既是对网络安全建设的一次考核，也是一次发现自身安全建设短板的机会。

1. 攻击手段层出不穷边界防线易于突破

近年来攻击队的攻击手段不断提升，0day漏洞、免杀技术、钓鱼邮件等成为演练中的“常客”，导致尽管边界重兵把守，攻击者仍然可以进入内网。而目前多数用户数据中心内部未进行较细的安全域划分，以及没有充分的访问控制手段，一旦进入内网，攻击者即可自由地横移和渗透，很难被发现及阻止。

2. 低级别资产到高级别资产的横移

从内网安全事件来看，由于未将重要资产及次要资产进行合理划分，内部安全存在两大“短板”：一是各地分支机构被入侵后往往可直接攻击总部，二是一台边缘系统被入侵后，可做为跳板攻击一个区域其它主机甚至攻击核心业务系统/“靶标”系统。

3. 内部攻击面过大

内部服务器存在较多无用端口开放的情况（Windows默认开放端口、开发不规范等）；内部较大的安全域划分以及网段式的访问控制策略，均导致了内部攻击面过大。

演练前：

部署产品后，利用3-4周时间自动学习业务流量，然后根据业务实际的访问情况，生成业务流白名单，建立业务流基线，并配置安全策略。
导出每个工作负载端口的开放及使用情况，建立端口台账，关闭无用端口。演练中：

根据资产重要程度或业务信息，对内网服务器（虚拟机）细分安全域。
对于高危端口、异常来源IP、异常主机，可在网络层直接关闭、阻断。
防止攻击者进入网络后，在数据中心内部横移。
对于偏离基线的连接进行告警。

演练后：

根据防守结果，结合业务流量拓扑，找出攻击者攻击路径，调整安全策略。