攻防演练安全体系设计（一）：从攻击者视角重新认识安全防御

原创

闲聊一号
闲聊一号

闲聊知识铺

2026年10月9日 08:30
美国

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

很多企业已经部署了防火墙、WAF、IPS、堡垒机、EDR、数据库审计、态势感知等安全设备，但在攻防演练中仍然可能被突破。

原因往往不是“设备不够多”，而是安全体系仍然围绕产品建设，而不是围绕攻击路径建设。

重保场景下，真正应该回答的不是：

还缺什么安全设备？

而是：

攻击者会从哪里进入，进入以后会往哪里走，我们在哪里能够发现和阻断？

这也是本文讨论重保安全体系的基本方法。

一、从“设备建设”转向“攻击路径建设”

传统安全建设通常是：

安全要求
  ↓
设备选型
  ↓
采购部署
  ↓
策略配置
  ↓
验收

这种方式适合合规建设，但面对真实攻击存在明显局限。攻击者不会按照企业规划好的网络路径行动，而是寻找最容易突破的位置。一个典型攻击过程可能是：

资产发现
  ↓
漏洞利用
  ↓
控制主机
  ↓
获取凭证
  ↓
横向移动
  ↓
访问核心系统
  ↓
数据获取或破坏

因此，重保安全体系应该采用另一种设计顺序：

业务
 ↓
资产
 ↓
攻击面
 ↓
攻击路径
 ↓
检测点
 ↓
阻断点
 ↓
响应措施
 ↓
安全产品

这里最重要的一点是：安全产品应该是最后确定的，而不是安全设计的起点。 例如，不应该因为采购了WAF才考虑保护哪些系统，而应该先确认Web业务面临什么攻击，再决定需要什么防护能力。

二、七层防御模型

按照攻击者从外到内的攻击过程，可以把重保安全体系划分为七层：

第一层：外部攻击面
第二层：网络边界
第三层：Web / API / 应用
第四层：终端与服务器
第五层：身份与权限
第六层：内网横向移动
第七层：SOC监测与响应

另外还有两个贯穿整个体系的横向能力：数据安全 + 备份与灾难恢复
七层模型对应的实际上是一条完整攻击路径：

Internet
   │
   ▼
外部攻击面
   │
   ▼
网络边界
   │
   ▼
Web / API
   │
   ▼
终端和服务器
   │
   ▼
身份与权限
   │
   ▼
内网横向移动
   │
   ▼
核心系统和数据

SOC则位于整个体系之上：

WAF ─────┐
FW ──────┤
IPS ─────┤
EDR ─────┤
NDR ─────┤
VPN ─────┤
AD ──────┤
主机日志 ──┤
         ▼
      SIEM / SOC
         │
         ▼
        SOAR

前六层解决的是不同攻击阶段的检测和阻断。第七层解决的是：把分散的安全事件关联成一次完整攻击。 这也是七层模型的价值所在。

三、为什么设备很多，仍然可能看不见攻击

真实攻击是连续的，但安全设备看到的通常只是局部。例如一次攻击可能产生以下告警：

WAF：
某IP攻击Web接口

EDR：
Web进程启动异常Shell

NDR：
该服务器开始扫描内网445端口

AD：
某账号短时间登录多台主机

数据库审计：
某账号大量查询敏感数据

单独看，每一条告警都可能只是普通异常。连接起来却是：

Web漏洞利用
   ↓
服务器失陷
   ↓
凭证获取
   ↓
横向移动
   ↓
访问数据库

这是一条完整攻击链。因此，评价一个重保体系，不能只看：有多少设备
而应该看：攻击链上的关键环节，是否都有检测能力，是否都有阻断能力

四、第一层：外部攻击面

七层模型的第一层不是防火墙，而是：外部攻击面。 原因很简单：攻击发生之前，攻击者首先需要找到目标。

攻击者通常会收集：

域名
子域名
公网IP
开放端口
Web系统
VPN
邮件系统
API
云资产
测试环境
历史系统
泄露账号

然后从中寻找最弱的入口。因此防守方首先要回答：

互联网上到底能够发现我哪些资产？

五、企业掌握的资产，不一定等于攻击者看到的资产

安全部门可能认为自己的互联网资产只有：

www.example.com
oa.example.com
vpn.example.com

但从互联网侧可能还能发现：

test.example.com
dev.example.com
api.example.com
old.example.com

公网测试服务器
历史OA
临时云主机
开放的远程管理端口
子公司系统
第三方托管系统

这类未被安全团队有效管理的资产，往往被称为：影子资产。

攻防演练中，攻击者通常优先寻找的就是这类资产。因为这些系统更容易出现：

长期未修复漏洞
弱口令
无人维护
安全设备未覆盖
日志未接入SOC

所以第一层防御的目标不是“阻断攻击”，而是：先搞清楚攻击者能看到什么。

六、外部攻击面具体包括什么

一个完整的外部攻击面通常包括以下几类。

域名和子域名

包括正式业务、测试环境、历史系统、临时域名等。

公网IP和开放端口

重点关注如下端口，以及其他非必要公网服务。

22
3389
3306
5432
6379
8080
8443

Web和API

官网
OA
统一认证
管理后台
API接口
移动端接口
供应商门户

云资产

云服务器
云数据库
对象存储
Serverless服务
临时测试资源

身份资产

VPN账号
邮箱账号
云账号
Git账号
运维账号
管理员账号

如果账号凭证已经泄露，攻击者甚至不需要利用漏洞。

七、CMDB为什么不能替代攻击面管理

CMDB解决的是：

企业登记了哪些资产。

攻击面管理解决的是：

互联网实际上能够发现哪些资产。

两者并不完全一致。例如：CMDB记录：1000个资产
外部扫描却发现：实际暴露：1150个资产

多出来的150个资产，就需要进一步确认：

谁创建的
谁负责
是否仍然需要
是否存在漏洞
是否应该公网开放

所以重保前非常重要的一项工作，就是从外部视角重新建立资产清单。

八、ASM / EASM的作用

ASM是Attack Surface Management，即攻击面管理。EASM更加关注外部攻击面。
典型能力包括：

域名发现
子域名发现
IP关联
端口发现
服务识别
证书关联
Web指纹识别
云资产发现
漏洞识别
暴露风险分析

其本质不是简单做一次扫描，而是持续回答三个问题：

新增了什么资产？
新增了什么暴露面？
新增了什么风险？

这对于重保尤其重要，因为互联网资产是动态变化的。

九、重保前首先应该做“攻击面收敛”

发现资产之后，下一步不是马上增加安全设备，而是减少不必要的暴露。例如一台服务器原本公网开放：

80
443
22
3389
8080

实际上业务只需要：

443

那么重保前应该考虑：

关闭无关端口
限制来源IP
运维入口改为VPN
后台系统取消公网访问
下线测试环境
修复高危漏洞
清理无用账号

这是一个非常重要的原则：

能关闭的攻击面，不要依赖安全设备去防护。

因为每减少一个公网入口，就减少了一条潜在攻击路径。

十、第一层防御的核心目标

外部攻击面这一层最终要解决四个问题：

我有哪些互联网资产？
哪些资产是未知的？
哪些资产存在高风险暴露？
哪些资产其实可以关闭？

如果这四个问题没有解决，那么后面的WAF、IPS、EDR、NDR、SIEM建设都会存在盲区。因为：
无法被识别和管理的资产，也无法被真正保护。

十一、七层防御的起点：先找到攻击者能看到的自己

重保安全建设的第一步，不应该是采购设备，而应该是从攻击者视角重新观察自己的网络。先建立：资产地图，再分析：攻击面，然后识别：攻击路径

最后才决定：

在哪检测
在哪阻断
部署什么设备

这就是整个七层防御模型的基本逻辑：

不围绕产品建设安全，而围绕攻击路径建设安全。

第一层解决的是“攻击者能够找到什么”。下一层需要解决的问题则是：

当攻击流量真正进入网络时，网络边界如何发现和阻断它？

这就是第二层——网络边界安全。