知识精讲本次课程依次讲解了MITRE ATTCK框架、NIST美国国家标准与技术研究院网络安全框架、SASESecure Access Service Edge安全访问服务边缘架构的定义、核心结构、应用场景帮助学习者掌握主流网络安全框架与架构的基础应用。MITRE ATTCK框架基础框架定义与定位MITRE ATTCK全称是MITRE Adversarial Tactics, Techniques, and Common Knowledge是一个包含adversary战术与技术的综合知识库用于对威胁行为建模分析详细映射了网络攻击者在网络杀伤链各个阶段的行动可帮助企业识别潜在威胁推荐精准的安全改进方案。框架设计目标提升威胁情报帮助企业理解攻击者使用的战术、技术和流程。增强检测与响应能力提供标准化方法帮助企业评估安全状态提升检测和响应能力。促进协作提供统一的共享语言交换威胁情报形成集体防御。培训安全专业人员作为教育工具帮助从业者理解网络威胁格局。重点框架每半年更新一次会持续跟踪变化的网络威胁保证安全人员获取最新信息是目前网络安全领域广泛接受的通用标准框架。框架结构与信息类型信息类型定义Tactics战术攻击者尝试获取/拒绝访问资源的方法Techniques技术攻击者为实现目标采取的具体行动Procedures流程战术和技术应用的详细步骤与实例Threat Intelligence (CTI)威胁情报识别可能威胁资源的主体/组织Defenses防御/缓解方案阻止、预防威胁的可落地策略Groups攻击组织发起有组织攻击的已知威胁行动者Software Used所用软件攻击者常用的攻击工具可用于防御测试常见战术举例初始访问攻击者获取目标系统/网络初始入口的战术如鱼叉式钓鱼、漏洞利用。执行攻击者在目标系统运行恶意代码的战术。持久化在失陷环境保持立足点的战术。防御规避攻击者躲避安全工具检测的战术。权限提升在系统内获取更高权限的技术。渗出将数据传输到外部服务器的行动。框架使用场景基于多个因素识别企业潜在威胁企业业务类型、历史攻击记录、已知攻击者的其他攻击行为等其他关联因素。工作流程先识别攻击类型再识别自身安全缺口帮助安全人员主动防御发现攻击序列中隐藏的其他潜在威胁制定对应缓解策略。重点通过框架可以识别的常见安全缺口邮箱过滤不足、端点监控缺失、访问控制薄弱、多因素认证实践无效。钓鱼攻击的实战分析侦察阶段钓鱼信息收集技术钓鱼是最常见的攻击方式攻击者通过钓鱼收集后续攻击阶段所需的信息。缓解方案软件配置防护通过反欺骗和邮箱认证机制过滤非法邮件。具体包括使用SPF发送方策略框架验证发送方域名有效性、DKIM域名密钥识别邮件验证邮件完整性、DMARC协议基于DNS验证发件人。用户培训安全策略的强度由最薄弱环节决定而人通常是最薄弱环节培训员工识别钓鱼中的社会工程技术可降低攻击成功率。钓鱼攻击的实战分析初始访问阶段攻击方式攻击者通常发送携带恶意附件或恶意链接的邮件在受害者系统执行恶意代码获取网络立足点。缓解方案杀毒/反恶意软件自动隔离可疑文件。定期审计保证邮件收发相关组件不存在安全漏洞。入侵防御系统清除恶意邮件附件与链接限制危险网页内容访问。软件配置防护与用户培训和侦察阶段的缓解方案复用网络安全是分层防御体系相同缓解措施可应用在框架的多个位置。NIST网络安全框架框架定位NIST是美国商务部下属联邦机构其发布的NIST网络安全框架是全球通用的指南、标准和最佳实践集合不区分国家/行业适合各类规模的组织使用。当前最新公开版本为2.0。框架三大核心组成核心、配置文件、层级。六大核心功能**识别Identify**识别企业所有资产需要资产管软件与安全风险评估工具明确需要保护的对象理解数据敏感度以及未授权访问的后果。**保护Protect**部署控制措施保护关键基础设施包括防火墙、入侵防御系统、加密软件。**检测Detect**对系统和网络持续监控识别安全事件常用工具包括入侵检测系统、SIEM安全信息与事件管理、网络监控工具。**响应Respond**制定发生安全漏洞后的处置步骤准备好事件响应平台与沟通工具快速处理安全事件。**恢复Recover**安全事件发生后的恢复包括数据恢复、系统还原同时总结经验优化未来的安全状态。**治理Governance**以策略、流程、管理实践作为组织安全的基础是其余五个功能有效实施的基础包括治理、风险与合规软件、策略管理工具。框架配置文件当前配置文件展示企业现有安全状态分析当前框架内各目标的实现程度。目标配置文件定义企业期望达成的网络安全目标与优先级作为改进企业安全状态的路线图。NIST框架不指定具体采购的安全产品只提供安全工具与技术方向帮助企业匹配自身需求并且聚焦于结果而非僵化要求帮助企业协调业务目标与安全优先级。SASE架构应用场景解决远程办公、远程站点没有本地安全设备的场景无法部署传统防火墙时的安全连接问题。核心定义SASE是融合网络与安全功能的云原生安全模型尽可能贴近终端用户为用户提供到互联网/云应用的安全连接。三大核心支柱网络支持任意位置家庭、远程办公点、数据中心、总部等的连接可连接到公网/私网/SaaS应用。安全集成完整的安全能力包括防火墙、IPS、DNS安全、CASB云访问安全代理、DLP数据丢失防护等。可见性提供端到端可见性获取流量性能与安全指标。与SD-WAN的区别SD-WAN是基于SDN的广域网技术是SASE模型中的连接组件SASE是融合网络与安全能力的云原生概念支持远程用户接入相比SD-WAN提供更完整的安全能力。Cisco SASE的3C原则Connect连接任意用户/终端通过任意连接方式远程访问、SD-WAN接入互联网/云。Control控制集成完整安全能力保护连接。Converge融合统一集成所有安全能力形成紧密协作的整体方案。Cisco SASE产品生态核心平台Cisco Umbrella统一集成所有安全能力的云原生平台支持IPsec隧道单隧道最低250Mbps最高可达500Mbps的带宽满足大流量需求。安全能力DNS过滤、云交付防火墙、安全web网关、web过滤、AnyConnect远程接入、Duo多因素认证、零信任网络访问ZTNA等。可见性Cisco ThousandEyes提供跨网络与SaaS服务的端到端视图实时展示流量路径与网络性能支持在Cisco SD-WAN设备通过Docker容器部署企业代理。 课堂实录MITRE ATTCK框架假设你是一名网络安全管理员需要识别企业当前邮件基础设施的安全漏洞。现代IT环境复杂存在大量可被利用的漏洞需要明确攻击者可使用哪些技术达成目标你将理解该框架在风险分析与攻击缓解中的作用掌握框架提供的威胁信息。零日漏洞概念引入当前已经存在数以千计的公开漏洞同时还有大量未被发现的漏洞也就是零日漏洞框架可帮助企业分析哪些漏洞会影响企业安全状态。框架访问方式框架作为在线工具可以访问官网MITRE ATTCK®查看完整内容。框架整体结构说明框架按照攻击类型组织为多列每列对应不同攻击阶段推荐从侦察阶段开始探索这通常是攻击者使用的第一个战术该阶段共有10种已知技术钓鱼信息收集是最常见的一种框架中会详细说明技术定义、流程实例展示战术技术的具体使用步骤。侦察阶段钓鱼缓解方案说明向下滚动即可查看缓解部分这是MITRE ATTCK框架非常关键的组件钓鱼攻击的缓解共有两种技术第一种为软件配置——钓鱼大多通过邮件投递通过反欺骗和邮件认证机制可以基于发件人有效性过滤非法邮件具体包括——SPF验证发件人域名有效性DKIM基于域名密钥验证邮件完整性DMARC协议通过DNS验证邮件发件人身份。第二种缓解方案安全策略的强度等于最薄弱环节的强度人通常是最薄弱环节因此框架建议企业培训员工识别钓鱼尝试中的社会工程技术。初始访问阶段钓鱼攻击分析完成侦察阶段后进入初始访问阶段攻击者通过不同技术在网络中获取立足点可以探索初始访问列中的钓鱼技术深入理解。攻击者通常发送携带恶意附件或链接的邮件在受害者系统执行恶意代码。初始访问阶段钓鱼缓解方案说明该阶段存在多种缓解技术——杀毒/反恶意软件会自动隔离可疑文件定期审计保证所有邮件收发组件配置不存在安全漏洞入侵防御系统会清除恶意邮件附件和链接限制特定危险网页内容最后两种缓解就是已经在侦察阶段介绍过的软件配置和用户培训。框架更新特性说明网络安全是复杂的分层防御体系相同缓解技术可以应用在框架的多个位置需要注意的是MITRE ATTCK®框架不是静态的会持续更新以反映不断变化的网络威胁为安全专业人员提供最新的威胁信息。NIST框架网络安全领域在应对不同威胁向量、正确使用缓解技术时存在很多挑战本次课程将学习全球认可的NIST安全框架、核心功能以及如何匹配行业最佳实践与标准。NIST框架基础NIST是美国商务部下属的联邦机构提供多种服务其中一项就是信息安全出版物包括NIST网络安全框架最新公开版本为2.0。该框架是全球通用的指南、标准和最佳实践集合用于帮助企业保护自身它不区分国家、业务类型适合所有规模的组织使用。NIST框架核心组成网络安全框架包含三大核心组件——核心、配置文件和层级核心组件的目标是提供一组活动和结果用于管理和降低企业的网络安全风险。框架核心分为——功能、类别与子类别、实施示例等。核心功能讲解识别六大核心功能每个功能对应解决网络安全风险管理的特定方面。第一个是识别功能目标是识别你所有的资产企业需要使用资产管理软件以及安全风险评估工具如果你不清楚需要保护什么就无法有效防御你必须掌握系统、资产、数据的情况同时理解数据的敏感度以及未授权访问的后果。接下来是保护功能聚焦于部署控制措施保护关键基础设施对应的产品包括防火墙、入侵防御系统和加密软件。检测功能包含对系统和网络的持续监控以便识别和响应不同安全事件覆盖检测功能的产品包括入侵检测系统、安全信息与事件管理SIEM以及网络监控工具。响应第四个核心功能是响应功能它规划了企业发生安全漏洞后的处置步骤。在网络安全领域问题不是会不会遭遇攻击而是攻击何时发生因此你必须提前准备好事件响应平台和沟通工具尽可能快速处理安全事件。恢复功能聚焦于企业遭遇安全breach后的恢复工作包括数据恢复、系统还原策略同时需要总结经验教训优化未来的安全状态。最后一个核心功能是治理功能它以策略、流程和管理实践作为企业安全的基础对应工具包括治理风险合规软件、策略管理工具。这六个核心功能是相互关联的治理功能是其余五个功能有效实施的基础遵循这些核心功能可以大幅提升企业的网络安全状态。NIST框架特点NIST网络安全框架不会指定你应该购买哪种安全产品它只会帮助你理解可以使用哪些安全工具和技术你需要购买和实施最匹配企业安全需求的安全产品与技术。Cisco的全系列安全产品可以覆盖NIST框架的所有六个核心功能。该框架聚焦于结果而不是发布僵化的正式要求目标是帮助你协调业务目标和安全优先级。框架配置文件说明框架使用两个配置文件——第一个是当前配置文件提供企业现有安全状态的总览通过当前配置文件可以分析框架中每个结果当前的实现程度第二个是目标配置文件定义你期望的网络安全结果和优先级作为改进企业安全状态的路线图明确当前安全状态和目标状态后你就可以使用框架、最佳实践和指南实现期望的安全水平。SASE架构引入我们都希望以最安全的方式接入互联网但在很多场景下我们没有安全设备来保护连接我们也可能没有条件在每个远程站点、远程办公室都部署本地防火墙那我们如何在保证安全的前提下接入互联网呢SASE可以解决这个问题。SASE核心定义SASE首先是一个安全模型它可以保证同时融合网络与安全功能尽可能贴近终端用户为用户提供到云或互联网的连接SASE架构基于三大支柱——网络、安全、可见性。SASE可以为任意位置的用户提供连接——家庭远程用户、远程办公室、远程站点、数据中心、总部都可以接入可以连接到互联网、SaaS应用、任意私网/公网不仅可以连接还可以提供安全连接包含所有企业用户需要的安全能力——防火墙、IPS、DNS安全、云访问安全代理CASB、数据丢失防护DLP等。第三个支柱是可见性它提供端到端可见性获取SASE方案中往返流量的性能指标和安全指标。SASE的核心价值通过三大支柱你可以获得任意位置任意时间的安全访问将访问控制迁移到云边缘保证到互联网的安全连接安全连接用户和应用同时通过集成策略模型提升效率提供从终端用户到在线应用的全流量可见性。与SD-WAN的关系说明很多人会问SD-WAN和SASE的关系是什么SD-WAN是基于SDN的广域网技术它是运行在物理基础设施之上的覆盖网络可以安全连接远程办公室到数据中心或总部本质是基于SDN的广域网网络架构本身已经包含安全能力。而SASE不是传统的网络模型它是融合网络和安全能力的新型云原生网络概念将端点连接到网络边缘通过存在点接入互联网依赖完整的安全栈作为云原生安全模型支持远程用户接入这是传统SD-WAN直到新版本固件才加入的能力。两者有很多相似之处但核心区别是——SASE提供更完整的安全能力聚焦于将终端用户通过互联网连接到边缘而SD-WAN是SASE模型的连接组件你可以用SD-WAN实现远程站点的互联网连接再通过SASE保护这个连接。Cisco SASE的3C原则Cisco SASE通过3C原则实现最安全的互联网连接——Connect连接、Control控制、Converge融合。连接——任意用户/任意终端通过任意连接方式远程访问或SD-WAN接入互联网或云实现最高等级的安全控制——集成所有你需要的安全能力保护连接包括防火墙、IPS、CASB、DLP、DNS安全等融合——来自单一厂商的所有安全措施可以紧密集成形成完整的Cisco SASE方案。Cisco SASE产品生态Cisco提供完整的安全产品 arsenal——DNS过滤、云交付防火墙、安全web网关(SWG)、web过滤、Cisco AnyConnect、Cisco Duo多因素认证、零信任网络访问ZTNA安全能力非常全面。Cisco Umbrella将所有这些产品统一整合为一个集成化云原生平台核心特性就是支持任意位置的连接支持IPsec隧道连接到企业站点例如数据中心或分支站点也支持远程员工接入单隧道最低带宽可达250Mbps满足高需求场景可扩展到单隧道500Mbps可以覆盖从终端到互联网/云的所有安全需求。除了安全之外SASE还提供可见性通过Cisco ThousandEyes实现可视化它可以提供跨网络和SaaS服务的端到端视图让你查看流量利用率、终端用户访问的应用提供互联网的实时流量路径信息展示网络性能帮助你优化用户体验。从Cisco IOS XE 17.6.1版本开始你可以在Cisco SD-WAN设备上部署配置Cisco ThousandEyes企业代理可以通过Docker容器部署在虚拟专用网零信任或服务端虚拟专用网中。Cisco SASE提供非常丰富的功能集合。️ 重点速览 考点重点MITRE ATTCK更新特性框架每半年更新一次持续跟踪最新网络威胁是动态而非静态的标准。NIST六大核心功能识别、保护、检测、响应、恢复、治理治理是其余五个功能的基础为考点高频考察内容。SASE三大核心支柱网络、安全、可见性需掌握每个支柱的作用。SD-WAN与SASE关系SD-WAN是SASE的连接组件SASE在SD-WAN基础上增加了完整的云原生安全能力考察概念辨析。 核心概念MITRE ATTCK框架面向网络威胁的adversary战术技术知识库用于建模分析威胁行为为企业提供威胁识别和防御改进指导。NIST网络安全框架全球通用的网络安全风险管理指南核心包含六大功能帮助企业协调业务目标与安全优先级。SASE融合网络与安全能力的云原生安全架构为任意位置的终端用户提供安全的互联网/云接入。MITRE ATTCK核心信息结构Tactics战术→ Techniques技术→ Procedures流程从战略到落地的分层描述。✨ 课堂金句“In cybersecurity landscape, the question is not whether your will face a cyber attack, but rather when this will happen.”“Security policy is only as strong as its weakest link, and often people are the weakest link.”“If you do not have a clear picture of what are you trying to protect, then youre simply fighting a lost battle.” 待办事项复习重点掌握MITRE ATTCK的结构、NIST六大核心功能、SASE与SD-WAN的区别三个核心考点。扩展学习访问MITRE ATTCK®实际探索框架结构验证课程讲解内容。 课后总结 课程概述网络安全框架与威胁防御课程目标强化网络安全框架实施能力提升威胁检测、响应与缓解策略覆盖MITRE ATTCK、CAPEC、NIST网络安全框架及SASE模型。核心价值帮助安全架构师应对钓鱼攻击、入侵尝试和网络漏洞等威胁降低数据泄露、财务损失及声誉风险。考试映射课程内容对应Cisco 300-745 SDSI v1.0考试蓝图聚焦安全设计生命周期中框架如MITRE CAPEC、NIST SP 800-37、SAFE的应用。 风险识别与评估核心任务需识别基础设施潜在风险如邮件系统入侵、敏感数据未授权访问、网络横向移动评估当前安全状态并确定改进方向。挑战未实施风险识别可能导致漏洞未被发现威胁升级为重大事件关键难点在于预判威胁来源及制定前置防御策略。 MITRE ATTCK框架详解定义提供adversary战术与技术的综合知识库映射网络杀伤链各阶段的攻击行为支持威胁建模与分析。核心功能提升威胁情报理解攻击者战术、技术与流程TTPs。强化检测响应标准化安全态势评估与威胁应对能力。促进协作提供共享语言以交流威胁情报与最佳实践。教育专业人员作为网络威胁landscape的教学工具。更新机制每半年更新一次确保内容反映最新威胁趋势。 MITRE ATTCK框架应用威胁识别维度企业业务类型历史攻击记录已知adversary的攻击模式其他关联因素。典型战术示例初始访问鱼叉式钓鱼、漏洞利用。权限提升凭证转储、提权漏洞利用。数据渗出向外部服务器传输敏感数据。安全缺口分析通过框架识别不足如邮件过滤失效、端点监控缺失、访问控制薄弱、多因素认证实践不当。 MITRE ATTCK信息架构类别定义与示例战术Tactics攻击者获取/拒绝资源访问的方法如初始访问Initial Access、持久化Persistence、防御规避Defense Evasion技术Techniques实现战术的具体动作如鱼叉式钓鱼附件、恶意代码执行流程Procedures战术与技术的详细应用步骤如APT29组织的鱼叉式钓鱼攻击流程、Dyre恶意软件操作步骤威胁情报CTI识别威胁主体与实体如2015年乌克兰电力攻击中Sandworm Team使用BlackEnergy恶意软件防御策略缓解威胁的措施如用户安全培训降低钓鱼成功率、应用白名单限制未授权代码执行威胁组织已知攻击团体如APT28擅长高级持续威胁具有国家背景攻击软件攻击者使用的工具如Cobalt Strike用于后渗透阶段的横向移动与权限提升✅ 关键知识点回顾战术示例初始访问Initial Access、权限提升Privilege Escalation、防御规避Defense Evasion等。框架价值通过结构化分析攻击链帮助组织从被动防御转向主动识别潜在威胁及关联风险制定针对性防护策略。
