安全运营的底层逻辑：漏洞、情报与数据

原创

Always\_Y
Always\_Y

长坂坡下漫谈

2026年10月31日 09:00
湖北

去阅读

网络安全三年复盘（四）

流量检测回答的是怎么发现？这一篇回答另一个问题：发现之后，漏洞、情报和数据怎样形成闭环，以及安全运营为什么难量化。

文｜一名网络安全从业者

一、网络安全的五个基本判断

（一）本质是对抗

网络安全的本质是对抗。有句话说“有人的地方就有江湖”，网络空间是物理空间的拓展，物理空间的“江湖”也自然延伸到了网络空间。网络安全的本质就是网络空间的攻与防，是物理世界的对抗折射到网络空间。网络空间中因此出现了不同组织、不同利益诉求，围绕特定资产分化出攻击者和防守者，双方利用信息技术手段不断对抗和博弈。

（二）大量工作在合规

网络安全的大量工作在于合规。攻防看似酷炫，但从网络安全保护角度看，却难以量化管理、推动政策落地，因此需要政策合规要求指导各单位达到安全保护的最低水位。于是有了等级保护、商用密码应用安全性评估等测评工作。这些要求也许僵硬、呆板，但不可否认，合规性要求保障了企业最基础的网络安全投入，让企业从“裸奔”达到基础防护水位。

（三）价值很难定义

网络安全是信息技术发展的伴生物，一直存在，但其价值定位一直很尴尬。在“发展优先”的背景下，网络安全理论上是为发展保驾护航，但在实践中，更多人感受到的是阻碍。发展的便利性与安全性难以兼得，网络安全常常成为被让渡、不被喜欢的那一个。不同于直接关乎生命安全的安全生产，网络安全问题往往表现为数据或财产损失，相比之下似乎没那么严重，因此容易被忽视；网络安全也不同于数智化，后者能直接赋能业务与生活，提高生产价值和效率。网络安全因其隐蔽性和特殊性，很难量化防护效能，永远面临“投入就能保证一定安全吗？既然没有绝对的安全，何必投入那么多？”的问题。

（四）需要长期运营

做好网络安全需要长期运营。网络安全的本质是对抗，对抗是一个动态而持续的过程，“魔高一尺，道高一丈”，攻防双方都在不断进化。想通过堆设备、封IP、买服务实现一劳永逸，是不可能的。只有深入了解业务，理解人员和业务行为，坚持长期运营，结合业务特点不断优化网络安全策略，熟悉正常业务逻辑，才能敏锐发现异常，抓住潜伏的攻击特征。

（五）需求永远存在

当信息系统或终端工具承载的信息具有经济价值，就自然会有破坏信息系统的动机；有了攻击行为，自然就有防御需求。双方围绕信息所蕴含的经济价值展开博弈，并考虑投入产出比。围绕的对象经济价值越高，攻防双方投入的资源就越大；经济价值越低，投入的资源越小。攻防双方始终处于动态博弈之中。

二、漏洞治理：一项长期细活

网络安全运营涉及方方面面。这里，我只从自己接触较多的漏洞、情报、数据三个业务角度谈谈认识。在我看来，这三项工作的共同点在于处理链条都很长，部分环节时效性要求很高，但整体上又是长周期工作。

先说漏洞治理。简单看，漏洞管理无非是发现漏洞、修复漏洞的过程，但在实际操作中，考虑到大型企业复杂的网络和业务生产环节，漏洞全周期治理并不简单，包括发现、评估、排查、修复、验证、闭环等每一个环节。漏洞治理是一项细活，也是一项长期工作，其核心在于资产管理台账的建立和维护。

实际工作中常常会遇到这些问题：“这个漏洞关联了哪些资产？”“现有排查的漏洞关联资产是全量吗？”“这个漏洞关联的资产都整改完了吗？”“漏洞整改方式有效吗？”“如何核实该漏洞已经整改？”“新收到的漏洞是不是以前排查过？有没有证明记录？”一系列错综复杂的细节问题，要求管理和技术两条腿走路。在管理上，建立漏洞预警通报联络和反馈机制，将漏洞排查工作分解并层层落实到每一位资产管理人，给予压力和动力，推动其建立核心资产台账。在技术上，通过漏洞扫描和渗透测试验证修复有效性及关联资产的全面性，尽量确保没有漏网之鱼。

三、情报：核心是快和准

情报的本质是信息，价值在于信息差。从攻防实战整体看，情报产生一定晚于攻击发生；但从个体看，情报可能早于自己遭受攻击。因为攻击一旦发生，情报就会产生。只要及时获取情报，就能在自身遭受相同攻击前做好防护。因此，情报的核心在于“快”和“准”。

情报的环节无非是生产和消费。鉴于岗位性质，我在生产方面谈不上太多经验，只是曾在实战中通过样本分析提取IOC，生产少量情报，大量工作集中在消费。在我看来，情报是攻防实践中的核心产物，漏洞攻击方式、样本的控制流程、最新免杀手段等，都是情报。只有掌握这些情报细节，才能编写WAF精准拦截规则、流量监测设备检测特征等防护规则或策略，强化安全防护能力。

四、数据互联互通：不要只看安全设备

数据互联互通，就是打破单一信息来源造成的认知偏差，综合不同来源的信息，构建多维、全面的事物认知。就像人具有五官，不同感官带来对客观事物的不同认识：眼睛看到花的形体，鼻子闻到花的香味，手可以感受花的质地，甚至大胆一点，还可以用嘴尝一尝花的味道。这些来自不同感官的信息综合起来，完善了我们对这朵花的认知和判断，知道它是一朵清雅而香气扑鼻的鲜花，而不是一个单调、色彩暗淡的平面图案。

同样，在网络安全领域，流量检测设备、WAF、业务系统日志等多维数据，就相当于不同感官获得的不同感知。汇聚的数据维度越多，信息就越全面，对事物的刻画也越具体。

在实战中面对高级持续性威胁时，由于攻击者技战术水平较高，会有意识地主动隐藏渗透踪迹，往往会使部分甚至全部网络安全设备的检测能力失效。但如果能汇聚分析多种数据，总会发现蛛丝马迹。“凡走过必留下痕迹”，也许网络安全设备没有发现异常，但业务日志中出现了异常时间的规律登录，由此顺藤摸瓜，再与业务系统负责人简单核实，就能抓住攻击者的马脚。由此可见，数据互联互通，一是数据要足够全、足够多；二是不要局限于网络安全设备。网络安全无处不在，所有数据都是认知维度之一。

本文仅代表个人观点