企业面临的网络安全威胁日益复杂。SQL注入、XSS攻击等传统攻击方法仍旧活跃，而随着黑色产业链逐渐成熟，手握精良武器的网络犯罪团伙更是为企业的互联网资产带来了严峻威胁。一方 面，攻击者瞄准了企业所有可能存在的安全脆弱点，且其行动策略、工具武器日益更新，令传统隔离 内网加高筑城墙式的防御方法威力不再。另一方面，尽管经过了一定的安全建设，但企业普遍缺乏实战机会，无法有效验证现有安全投入的建设成果，也缺乏培养安全软实力的高效途径，具体表现在：01 现有防御体系缺乏高水平攻防对抗场景下的实战验证，其全面性和有效性有待检验；02 不同于应用漏洞能够通过自动化工具等多种方式识别，流程、制度以及安全 意识上存在的薄弱点缺乏有效的发现方法；03 攻击技术每天都在演进，而安全人员却因为繁忙等各种原因，不能及时更新此类信息；04 在实际损失发生前，安全建设的价值往往缺乏直观体现，因而由内部人员发 现的安全问题较难得到重视，也难得到有效改善。综合分析各类攻击场景，发现入侵者通常可能通过以下四种路径达成攻击目的。

综合分析各类攻击场景，发现入侵者通常可能通过以下四种路径达成攻击目的。 随着线上业务不断发展，企业面对互联网暴露的主机、服务、Web应用等资产日渐增多，由于 人员流动、记录不及时等原因，部分边缘资产甚至已处于企业监管之外，再加上互联网资产与内部 服务器紧密相连，因而常被外部攻击者选择作为企业内网的突破口。实

与需要突破层层防护的路径相比，运用社会工程学攻击手段瞄准员工的安全意识，降低了触发 安全告警的可能性，可以谋求更长时间的内网驻留，以便为下一阶段做足准备。

联网设备中的固件风险已成为公认的网络安全问题，常被攻击者用于在内网建立立足点。未被妥善管理的联网设备仿佛一扇未上锁的大门，特别是当这种安全风险普遍存在于产业供应链时。

复杂安全威胁下的防御困局如何破解？ 企业需要直面威胁并做好持续对抗的准备，从以往寄希望于把攻击者彻底隔离于城墙之外，转 变为防止实际损失的发生。 在日常工作中，安全团队需要关注攻击突破口，尽可能多角度地探查安全漏洞并进行修复，包 括资产管理、人员意识、设备管理等；同时在攻击路径的关键节点部署检测与防御设备，训练运维 人员的告警分析以及风险评估能力，设立恰当高效的制度流程，以便在事件发生时通过遏制入侵者 的攻击活动，防止实际损失的形成。站在持续发展的动态视角，也即通过持续适应新的、不断变化 的威胁环境，练就覆盖“预测、防御、检测、应对和持续性监控与分析”的体系化安全能力。 高仿真的攻防演练可以帮助企业达成上述目标。此外，由于能够在更大范围内发现安全隐患， 并通过多漏洞的综合利用直观展示可能导致的负面后果，因而引入外部专业服务团队的高水平攻防 演练不仅是一次宝贵的练兵机会，而且能够体现安全价值，有助推进整改落地。具体，攻防演练对于企业安全建设的价值在于：

基于对当前攻防对抗的理解，长亭科技攻防演练安全服务从攻击突破口出发，在企业的真实环 境中，利用常规渗透、物理渗透、社工钓鱼等多种攻击方法，模拟攻击者进攻路径，与企业安全人 员进行实战演练，实时发现安全隐患，并提供有效整改意见，帮助企业在风险可控的前提下提升整 体攻防对抗能力。

针对不同的攻击突破口，长亭安全服务团队可提供初、中、高三个等级的攻防演练安全服务。 企业可根据实际业务需求选择服务等级，提升资源利用率。

长亭攻防演练安全服务既会检验企业在各类突破口的防护情况，也会考察其现有入侵防御/检测 响应体系水平，包括入侵发生后各防御节点的检测响应状态、安全团队的知识技能水平，以及内部 安全制度和事件处置流程等。

主机服务安全水平

对支持Web业务稳定运行的主机服务进行安全检测，测试对象包括常见系统服务、常见容器组件、业务框架、业务相关支撑系统等。检测项覆盖了如弱口令检测、安全性配置测试、系统/服务版本检测、后门检测与排查等。

入侵防御/检测响应体系

测试过程中，团队会对目标企业实施风险可控的高仿真模拟网络攻击，全方位检测其面对攻击 时的安全设备告警、阻断能力，以及运维团队的入侵发现、事件响应能力等。

是否能够最大限度模拟当前最高水平的真实网络攻击，很大程度上决定了攻防演练的价值。高 水平的攻防演练服务，不但要求攻击方了解黑客思维，掌握最新攻击方法，还需要具备经过实战检 验的周密筹划和精心设计。 长亭安全服务团队多次参与政府组织的大型攻防演练，均取得优异成绩，技术实力得到体现。 攻击测试覆盖面广，除常规的Web应用安全测试外，还会检测易被忽视的网络准入、内部流程等环 节，能够发现潜藏的安全隐患；攻击手段多样，贴近真实攻击者的技术水平，能够最大限度考察企 业防御体系以及制度、流程、意识等安全软实力。

大量攻防案例积累使得长亭科技团队深谙企业安全建设的难点与痛点，通过不断挖掘多样化的 攻击面，梳理具有行业特征的攻击路径，长亭攻防演练安全服务能够根据行业特征和客户要求定制 攻击方案，展现不同场景下的攻击者入侵路径，有针对性地提升企业安全建设水平。

安全建设的初衷是保障业务安全，为避免由于模拟攻击造成的目标服务器故障，或是网络和主 机相关的业务中断，长亭安全服务团队首先将测试时间安排在非业务高峰时段，其次避免选择会造成不可逆伤害的攻击手段，并在测试全程实行分级信息控制，严格保密系统数据与测试结果，做到人 员可控、过程可控、环境可控、风险可控和成果可控。