2022-03-2022护网行动在即，关于护网的那些事儿

随着大数据、物联网、云计算的快速发展，愈演愈烈的网络攻击已经成为国家安全的新挑战，国家关键信息基础设施时刻受到来自网络攻击的威胁。网络安全的态势之严峻，迫切需要我们在网络安全领域具备能打硬仗的能力，“护网行动”应运而生。

护网行动是国家应对网络安全问题所做的重要布局之一，也是网络安全行业最受关注点之一。随着我国对网络安全的重视，涉及单位不断扩大，越来越多都加入到“护网行动”中，网络安全对抗演练越来越贴近实际情况，各机构对待网络安全需求也从被动构建，升级为业务保障刚需。

2022护网行动即将开启，作为国内领先的安全产品提供商和安全托管服务运营商，聚铭网络将时刻做好产品技术准备，誓与各企事业单位同战线，提供可行性网络安全防护建设方案，坚守网络安全阵地。

一、关于护网的那些事儿护网分类

护网一般按照行政级别分为国家级护网，省级护网、市级护网；
除此之外，还有一些行业对于网络安全的要求比较高，因此也会在行业内部展开护网行动，比如金融行业。

二、护网时间

不同级别的护网开始时间和持续时间都不一样。以国家级护网为例，一般来说，护网都是每年的7、8月左右开始，一般持续时间是2~3周。省级的话大概时间在2周左右，再低级的大概就是一周左右。

三、护网的影响

护网是政府组织的，会对所有参与的单位进行排名，在护网中表现不佳的单位，未来评优评先等等工作都会受到影响。并且护网是跟政治挂钩的，一旦参与护网的企业/单位的网络被攻击者打穿，领导都有可能被撤掉。比如去年一个金融证券单位，网络被打穿了，该单位的二把手直接被撤职。整体付出的代价还是非常严重的。

四、护网的一些规则

（1）护网一般分为红蓝两队，做红蓝对抗。

红队为攻击队，红队的构成主要有“国家队”（国家的网安等等专门从事网络安全的技术人员）、厂商的渗透技术人员。其中“国家队”的占比大概是60%左右，厂商的技术人员组成的攻击小队占比在40%左右。一般来说一个小队大概是3个人，分别负责信息收集、渗透、打扫战场的工作。蓝队为防守队，一般是随机抽取一些单位参与。

（2）蓝队分数

蓝队初始积分为10000分，一旦被攻击成功就会扣响应的分。每年对于蓝队的要求都在更加严格。之前蓝队只要能发现攻击就能加分，或者把扣的分补回来；但是目前，蓝队必须满足及时发现、及时处置以及还原攻击链才能少扣一点分，不能再通过这个加分了。唯一的加分方式就是在护网期间发现真实的黑客攻击。

（3）红队分数

每支攻击队会有一些分配好的固定的目标。除此之外，还会选取一些目标放在目标池中作为公共目标。一般来说红队都会优先攻击这些公共目标，一旦攻击成功，拿到证据后，就会在一个国家提供的平台上进行提交，认证成功即可得分。一般来说，提交平台的提交时间是在9:0021:00，但是这并不意味着过了这段时间就没人攻击了。实际上红队依然会利用21:009:00这段时间进行攻击，然后将攻击成果放在白天进行提交。所以蓝队这边需要24h进行监守防护。
护网中的红队视角

信息收集——>渗透——>提权——>打扫战场

有一些攻击手法需要注意，有红队利用无人机来发起攻击。在一些电厂，开始利用无人机进行巡检，那么必然会有一些wifi信号暴露在空气中，那么红队就可以利用无人机去连接客户的无线，进而攻击进内网。但是这个攻击方式并不是第一次出现，实际上近两年已经有多起相关的模拟攻击。证明这个技术是真的能攻击成功的。

除了无线，还有一些需要注意点，比如投屏的无线，如mixhub，也会带有一些无线信号，或者epson的投影仪等等，这些都需要进行管控。
护网中的蓝队视角

蓝队防护

1、管理层面

在防守值班时，蓝队分为四个小组，分别是：指挥组，分析研判组，监测组和处置组。其中监测组负责24h监测网络情况，一旦发现可疑问题立刻上报研判组进行分析，确定是否有威胁，确定威胁后，如果需要调用资源的可以找指挥组，如果可以直接处置的，则联系处置组进行处理。

2、技术层面

（1）提升员工的安全意识，防范社会工程学攻击或者钓鱼攻击。

举例来说，防范社会工程学的方式有，护网期间，重点防范背双肩包，比较年轻的人接近网络。

钓鱼攻击，最常见的就是钓鱼邮件。对于这类攻击除了需要跟员工进行宣传，还需要采取一定的措施帮助员工快速识别钓鱼邮件。比如护网期间的邮件，全部在标题中携带某些特殊标志符，如果收到没有携带该标志符的邮件就需要小心了。除了钓鱼邮件外，企业的一些对外窗口也要做好防护。比如攻击者可以仿冒客户，向客户发起聊天，告知新买的商品出现了损坏，并且拍照发送给客服看，但这个传送的照片可能是经过处理的，携带有木马等，一旦客户点开，就可能中招。

（2）在护网行动开始之前，梳理网络内的资产，包括物理资产、网站URL、Github之类的也不要忽略了，还有一些跟上下游企业有联系的应用、网络出口等也不要忽略。将所有的资产梳理好之后，能关闭的端口全部关闭，能关的业务全部关掉，减少资产暴露面。

（3）在梳理完全部资产后，在这边可以利用漏扫对客户网络进行扫描检查，提前发现漏洞，并且进行修补。除了漏洞之外，还可以对基线进行加固、对配置的变更情况进行关注。减少资产的脆弱性。

（4）进行多次的攻防演练。通过攻防演练来进行查漏补缺，同时可以加强内部员工的安全意识，避免中招。
护网中的防护设备

包括脆弱性扫描设备、态势感知、流量分析、日志审计等。