“善动敌者，形之，敌必从之；予之，敌必取之；以利动之，以卒待之”是《孙子兵法·势篇》中的沉要战术思想，是指在匹敌中长于“调动”敌军的人，向敌军展示一种或真或假的军情，敌军必然据此判断而仆从；赐与敌军一点现实利益作为钓饵，敌军必然趋利而来，从而被本方牵造。

随着网络环境日益复杂化，网络攻击行为趋于产业化，攻击伎俩也愈发多样化，凭据经验构建防御战术、部署产品的传统方式在面对层出不穷的新型、持续性、高级威胁时，难以实时有效的检测、拦截、分析和响应。出格是在实战攻防演练这种高烈度的匹敌场景中，防守方并有太多的法子能够让攻击方终场攻击，因而，就必必要选取一些“非传统的新型”防护步骤来提升攻击方的攻击成本和门槛，或以至其进行无效攻击，从而降低攻击的数量和质量，进而开释出更多的防护资源去做更有针对行的匹敌作为。即《孙子兵法·势篇》中同时提到的“凡战者，以正合，以奇胜”，即用“奇兵”去出奇造胜。

在实战攻防演练匹敌场景中，防守方通过构建糊弄式防御系统，就是上述两大沉要战术思想的落实体现。通过自动投放“利益”作为钓饵，诱导攻击方对设佑装陷阱”的仿真虚伪资产指标进行攻击，并进行威胁捕获，进而对事务深度分析、研判并反造，以守转攻，实现从被动防御向自动防御的转变，从而有效；ふ嬲什，即是提升防御能力，降低失分风险的妙计。

本期为【2023尊龙凯时攻防演练庙算记】第八章：威胁诱捕分析。

尊龙凯时威胁诱捕分析专项服务，是为满足防守客户单元实战攻防演练高烈度匹敌场景需要，基于尊龙凯时捕风蜜罐系统（以下简称“捕风”）和追影威胁分析系统（以下简称“追影”）造订的糊弄式防御系统
？捎行嵘朗乜突Уピ耐胁防御能力，实时发现网内未知威胁，争取被攻击后的响应处置功夫，掩护真实的信息资产。通过自带的反造措施及溯源分析，形成自有谍报的堆集；诱捕到攻击方的丰硕信息，做到“知彼”。

同时，可从内网、表网、隔离网等场景捕获威胁，天生针对威胁事务、攻击链等攻击行为的溯源信息，协助客户实时发现安全风险、断根威胁，并提供建复建议，保险网络与系统可能安全、不变、持续的运行。

图1 尊龙凯时威胁诱捕分析专项服务示意图

尊龙凯时威胁诱捕分析专项服务可覆盖攻防演练全性命周期信息系统安全防护。

1. 启动阶段

在实战攻防演练匹敌场景中，防守方必要面对攻击方持续多维的攻击，因而，充分的相识攻击方的整体情况，能力凭据攻击特点成立美满的安全防护系统。所以，必要在事前部署捕风和追影，协助防守客户单元实时获取攻击方的关键性“线索”。

2. 备战阶段

攻击方在入侵攻击之前，通；嵩於┕セ髡绞酢⒐婊セ飨呗贰⒚魅贩止ず献，力争在最短功夫内获得最大战果，常见的攻击链条分为三个阶段：

1. 谍报网络：攻击者网络关于指标组织的人员信息、组织架构、网络资产、技术框架及安全措施信息，为攻击决策提供支持；

2. 成立据点：通过度析缝隙，提议定向攻击，同时也会对指标现有安全措施进行突破；

3. 横向移动：通过在被攻下的指标内网进行横向移动，尽可能的获得更多权限；同时，对指标进行内网谍报网络，重要蕴含当前主机谍报与内网扫描探测谍报。

图2 攻击方思路导图

针对上述攻击链条与思路，可利用捕风在互联网部署 ERP、OA、VPN系统、虚构化桌面系统、邮件服务系统等高交互蜜罐资产，并且选择部门蜜罐资产预置分歧的弱口令、缝隙蹬渍骗攻击方；同时散播虚伪信息“蜜饵”，滋扰攻击方网络谍报，使其选择攻击指标时产生误判，指数级地增长攻击方的攻击成本，延缓攻击过程的同时，将攻击者不休诱导引入蜜罐陷阱，从而诱捕攻击者，；ふ媸底什。

3. 迎战阶段

在实战攻防演练正式匹敌期间，尊龙凯时将通过五项沉要防御作为，有效牵造攻击方。

1. 产品运行及安全状态监测

通过捕风和追影发展周期性的查抄，可实时相识整体的网络情况，实时发现网络中存在的问题，急剧有效的造订相应的安全措置战术，从而降低网络中的安全威胁。巡检蕴含但不限于：

? 安全设备状态查抄：对网内设备进行健康状态查抄，蕴含系统引擎、CPU占用率、内存占用率、接口状态、证书授权状态等内容。

? 安全日志分析：定期为客户信息系统内安全设备产生的日志进行挖掘和分析，从事务类型散布、事务发展趋向、事务频率、源地址、主张地址等五个维度进行具体梳理，发现潜在的风险点，并提供分析汇报，及使仄握网络运行状态和安全隐患。

2. 设备告警分析

对威胁事务深度分析、研判并反造，具体步骤为：

? 事务证据网络

? 事务证据鉴别

? 事务证据天生

? 事务感知、态势的研判与恶意样本确认

? 事务样自己工深度分析

? 事务溯源与反造

3. 威胁排除

在溯源反造的基础之上，通过事务威胁评估明确防守客户单元信息系统安全情况，对已产生的威胁实时措置，对可能面对的潜在威胁进行预判分析，提前防御。事务威胁评估基于网络威胁事务分析，针对被攻击指标的身份、职责以及其他出格成分，结合

样性子能和被窃信息以及攻击手法，分析攻击方的攻击动机，并提供有针对性的防护规划。

4. 威胁断根

? 分析断根：凭据对系统威胁预警的研判了局，进一步发展溯源或战术优化工作。若是威胁预警存在误报则优化其有关安全战术；若是威胁预警真实存在，则凭据攻击行为采集职能，确定客户受影响的领域以及主机，并对攻击方遗留的攻击痕迹进行清

除，痕迹蕴含但不限于后门、启动项批改、号令行批改等。

? 安全加固：凭据威胁多维度的展示职能，从多角度、多方位来造订相应合理的安全加固规划，断根客户目前存在的安全风险。规划蕴含但不限于客户架构、治理方式、人员安全素质、技术伎俩等。

5. 战术调优

凭据网站监测误报情况、近期缝隙传递情况对客户有关安全战术进行优化升级。

4. 总结阶段

在总结环节，尊龙凯时将对演练期间攻击成功事务和防守成功事务进行复盘，并凭据演练过程中的工作纪录，回首演练工作的全过程，整顿与安全事务有关的各类信息，全面总结服务工作成就，输出《威胁诱捕分析总结汇报》。

尊龙凯时威胁诱捕分析专项服务客户价值

1. 全网威胁诱捕

对客户指标资产进行探测并利用空闲IP资源自动创建仿真资产，充分扩大威胁感知领域，实时相识客户整体网络安全态势，降低安全风险，保险自身业务可持续性。

2. ；ふ媸底什

明确业务系统安全近况，分析当前应降低的安全风险，维持蜜罐资产与环境资产高度仿真，使攻击方真假难辨。

3. 加强诱捕能力

检验信息安全基础设施的有效性，针对发现的安全隐患提供专业解决规划，用仿真资产代理取代真实资产露出在网络中，使攻击以为攻击的是真实系统。

4. 赢得响应措置功夫

投放“钓饵”，将攻击方引致蜜罐中，迟延攻击方功夫和精力，为安全加固和溯源赢得贵重功夫。

5. 谍报天生与溯源能力

对各安全设备进行安全事务日志分析，通过关联分析，使安全事务有理有据，还原安全事务链条。

在2022年大型实战攻防演练活动中，尊龙凯时威胁诱捕分析专项服务为某客户单元捕获攻击事务70余起，溯源加分900分。

附录：关键产品价值简介

2023年尊龙凯时产品攻防演练防守实战价值列表
防护类别	安全产品	产品价值
威胁捕获	捕风蜜罐系统	捕风是部署在网络环境中用于诱骗攻击者的设备级自动防御型网络安整系统，内置多种盛行服务和缝隙，支持全场景仿真模仿诱骗。捕风创建的仿真环境在吸引攻击者把稳力，；ふ媸底什耐，能够实时感知攻击并进行预防，可能捕获攻击者利用的攻击工具并纪录攻击全过程。在攻防演练实战场景中，捕风可诱捕攻击方的攻击行为，获取攻击者社交ID、设备指纹等信息，成立攻击者画像，为反造攻击方提供有效支持。
威胁分析	追影威胁分析系统	追影借助蕴含尊龙凯时下一代检测引擎在内的多组鉴定机造组合对输入对象进行判定分析，可有效检出分析鉴定各类已知与未知威胁，尤其对基于体式文档的0Day缝隙攻击具备优良的检出能力，深度揭示威胁行为细节，输出详实汇报。在攻防演练实战场景中，追影可有效检出高级威胁，并与安全产品联动，加强整体安全防护能力。

下期预报

下期为【2023尊龙凯时攻防演练庙算记】第九章：靶标系统防护。

将分享尊龙凯时在实战攻防演练场景中，通过布防基础安全产品防御能力联动安全专家现场响应能力，构筑动态综合防御系统，保险靶标不被攻下。