企业官网建设流程全解析

📑 知识精讲

本次课程依次讲解了MITRE ATT&CK框架、NIST（美国国家标准与技术研究院）网络安全框架、SASE（Secure Access Service Edge，安全访问服务边缘）架构的定义、核心结构、应用场景，帮助学习者掌握主流网络安全框架与架构的基础应用。

MITRE ATT&CK框架基础

• 框架定义与定位：MITRE ATT&CK全称是MITRE Adversarial Tactics, Techniques, and Common Knowledge，是一个包含adversary战术与技术的综合知识库，用于对威胁行为建模分析，详细映射了网络攻击者在网络杀伤链各个阶段的行动，可帮助企业识别潜在威胁，推荐精准的安全改进方案。

• 框架设计目标：

  1. 提升威胁情报：帮助企业理解攻击者使用的战术、技术和流程。

  2. 增强检测与响应能力：提供标准化方法，帮助企业评估安全状态，提升检测和响应能力。

  3. 促进协作：提供统一的共享语言，交换威胁情报，形成集体防御。

  4. 培训安全专业人员：作为教育工具，帮助从业者理解网络威胁格局。

  • 🚩重点：框架每半年更新一次，会持续跟踪变化的网络威胁，保证安全人员获取最新信息，是目前网络安全领域广泛接受的通用标准框架。

• 框架结构与信息类型：

  信息类型	定义
  Tactics（战术）	攻击者尝试获取/拒绝访问资源的方法
  Techniques（技术）	攻击者为实现目标采取的具体行动
  Procedures（流程）	战术和技术应用的详细步骤与实例
  Threat Intelligence (CTI)（威胁情报）	识别可能威胁资源的主体/组织
  Defenses（防御/缓解方案）	阻止、预防威胁的可落地策略
  Groups（攻击组织）	发起有组织攻击的已知威胁行动者
  Software Used（所用软件）	攻击者常用的攻击工具，可用于防御测试

• 常见战术举例：

  • 初始访问：攻击者获取目标系统/网络初始入口的战术，如鱼叉式钓鱼、漏洞利用。

  • 执行：攻击者在目标系统运行恶意代码的战术。

  • 持久化：在失陷环境保持立足点的战术。

  • 防御规避：攻击者躲避安全工具检测的战术。

  • 权限提升：在系统内获取更高权限的技术。

  • 渗出：将数据传输到外部服务器的行动。

• 框架使用场景：

  • 基于多个因素识别企业潜在威胁：企业业务类型、历史攻击记录、已知攻击者的其他攻击行为等其他关联因素。

  • 工作流程：先识别攻击类型，再识别自身安全缺口，帮助安全人员主动防御，发现攻击序列中隐藏的其他潜在威胁，制定对应缓解策略。

  • 🚩重点：通过框架可以识别的常见安全缺口：邮箱过滤不足、端点监控缺失、访问控制薄弱、多因素认证实践无效。

钓鱼攻击的实战分析（侦察阶段）

• 钓鱼信息收集技术：钓鱼是最常见的攻击方式，攻击者通过钓鱼收集后续攻击阶段所需的信息。

• 缓解方案：

  1. 软件配置防护：通过反欺骗和邮箱认证机制过滤非法邮件。具体包括使用SPF（发送方策略框架）验证发送方域名有效性、DKIM（域名密钥识别邮件）验证邮件完整性、DMARC协议基于DNS验证发件人。

  2. 用户培训：安全策略的强度由最薄弱环节决定，而人通常是最薄弱环节，培训员工识别钓鱼中的社会工程技术，可降低攻击成功率。

钓鱼攻击的实战分析（初始访问阶段）

• 攻击方式：攻击者通常发送携带恶意附件或恶意链接的邮件，在受害者系统执行恶意代码，获取网络立足点。

• 缓解方案：

  1. 杀毒/反恶意软件：自动隔离可疑文件。

  2. 定期审计：保证邮件收发相关组件不存在安全漏洞。

  3. 入侵防御系统：清除恶意邮件附件与链接，限制危险网页内容访问。

  4. 软件配置防护与用户培训：和侦察阶段的缓解方案复用，网络安全是分层防御体系，相同缓解措施可应用在框架的多个位置。

NIST网络安全框架

• 框架定位：NIST是美国商务部下属联邦机构，其发布的NIST网络安全框架是全球通用的指南、标准和最佳实践集合，不区分国家/行业，适合各类规模的组织使用。当前最新公开版本为2.0。

• 框架三大核心组成：核心、配置文件、层级。

• 🚩六大核心功能：

  1. **识别（Identify）**：识别企业所有资产，需要资产管软件与安全风险评估工具，明确需要保护的对象，理解数据敏感度，以及未授权访问的后果。

  2. **保护（Protect）**：部署控制措施保护关键基础设施，包括防火墙、入侵防御系统、加密软件。

  3. **检测（Detect）**：对系统和网络持续监控，识别安全事件，常用工具包括入侵检测系统、SIEM（安全信息与事件管理）、网络监控工具。

  4. **响应（Respond）**：制定发生安全漏洞后的处置步骤，准备好事件响应平台与沟通工具，快速处理安全事件。

  5. **恢复（Recover）**：安全事件发生后的恢复，包括数据恢复、系统还原，同时总结经验优化未来的安全状态。

  6. **治理（Governance）**：以策略、流程、管理实践作为组织安全的基础，是其余五个功能有效实施的基础，包括治理、风险与合规软件、策略管理工具。

• 框架配置文件：

  1. 当前配置文件：展示企业现有安全状态，分析当前框架内各目标的实现程度。

  2. 目标配置文件：定义企业期望达成的网络安全目标与优先级，作为改进企业安全状态的路线图。

• 🚩NIST框架不指定具体采购的安全产品，只提供安全工具与技术方向，帮助企业匹配自身需求，并且聚焦于结果而非僵化要求，帮助企业协调业务目标与安全优先级。

SASE架构

• 应用场景：解决远程办公、远程站点没有本地安全设备的场景，无法部署传统防火墙时的安全连接问题。

• 核心定义：SASE是融合网络与安全功能的云原生安全模型，尽可能贴近终端用户，为用户提供到互联网/云应用的安全连接。

• 🚩三大核心支柱：

  1. 网络：支持任意位置（家庭、远程办公点、数据中心、总部等）的连接，可连接到公网/私网/SaaS应用。

  2. 安全：集成完整的安全能力，包括防火墙、IPS、DNS安全、CASB（云访问安全代理）、DLP（数据丢失防护）等。

  3. 可见性：提供端到端可见性，获取流量性能与安全指标。

• 与SD-WAN的区别：SD-WAN是基于SDN的广域网技术，是SASE模型中的连接组件；SASE是融合网络与安全能力的云原生概念，支持远程用户接入，相比SD-WAN提供更完整的安全能力。

• Cisco SASE的3C原则：

  1. Connect（连接）：任意用户/终端通过任意连接方式（远程访问、SD-WAN）接入互联网/云。

  2. Control（控制）：集成完整安全能力保护连接。

  3. Converge（融合）：统一集成所有安全能力，形成紧密协作的整体方案。

• Cisco SASE产品生态：

  • 核心平台：Cisco Umbrella，统一集成所有安全能力的云原生平台，支持IPsec隧道单隧道最低250Mbps，最高可达500Mbps的带宽，满足大流量需求。

  • 安全能力：DNS过滤、云交付防火墙、安全web网关、web过滤、AnyConnect远程接入、Duo多因素认证、零信任网络访问ZTNA等。

  • 可见性：Cisco ThousandEyes，提供跨网络与SaaS服务的端到端视图，实时展示流量路径与网络性能，支持在Cisco SD-WAN设备通过Docker容器部署企业代理。

📖 课堂实录

MITRE ATT&CK框架：假设你是一名网络安全管理员，需要识别企业当前邮件基础设施的安全漏洞。现代IT环境复杂，存在大量可被利用的漏洞，需要明确攻击者可使用哪些技术达成目标，你将理解该框架在风险分析与攻击缓解中的作用，掌握框架提供的威胁信息。

零日漏洞概念引入：当前已经存在数以千计的公开漏洞，同时还有大量未被发现的漏洞，也就是零日漏洞，框架可帮助企业分析哪些漏洞会影响企业安全状态。

框架访问方式：框架作为在线工具，可以访问官网MITRE ATT&CK®查看完整内容。

框架整体结构说明：框架按照攻击类型组织为多列，每列对应不同攻击阶段，推荐从侦察阶段开始探索，这通常是攻击者使用的第一个战术，该阶段共有10种已知技术，钓鱼信息收集是最常见的一种，框架中会详细说明技术定义、流程实例，展示战术技术的具体使用步骤。

侦察阶段钓鱼缓解方案说明：向下滚动即可查看缓解部分，这是MITRE ATT&CK框架非常关键的组件，钓鱼攻击的缓解共有两种技术，第一种为软件配置——钓鱼大多通过邮件投递，通过反欺骗和邮件认证机制，可以基于发件人有效性过滤非法邮件，具体包括——SPF验证发件人域名有效性，DKIM基于域名密钥验证邮件完整性，DMARC协议通过DNS验证邮件发件人身份。

第二种缓解方案：安全策略的强度等于最薄弱环节的强度，人通常是最薄弱环节，因此框架建议企业培训员工识别钓鱼尝试中的社会工程技术。

初始访问阶段钓鱼攻击分析：完成侦察阶段后，进入初始访问阶段，攻击者通过不同技术在网络中获取立足点，可以探索初始访问列中的钓鱼技术深入理解。攻击者通常发送携带恶意附件或链接的邮件，在受害者系统执行恶意代码。

初始访问阶段钓鱼缓解方案说明：该阶段存在多种缓解技术——杀毒/反恶意软件会自动隔离可疑文件；定期审计保证所有邮件收发组件配置不存在安全漏洞；入侵防御系统会清除恶意邮件附件和链接，限制特定危险网页内容；最后两种缓解就是已经在侦察阶段介绍过的软件配置和用户培训。

框架更新特性说明：网络安全是复杂的分层防御体系，相同缓解技术可以应用在框架的多个位置，需要注意的是，MITRE ATT&CK®框架不是静态的，会持续更新以反映不断变化的网络威胁，为安全专业人员提供最新的威胁信息。

NIST框架：网络安全领域在应对不同威胁向量、正确使用缓解技术时存在很多挑战，本次课程将学习全球认可的NIST安全框架、核心功能，以及如何匹配行业最佳实践与标准。

NIST框架基础：NIST是美国商务部下属的联邦机构，提供多种服务，其中一项就是信息安全出版物，包括NIST网络安全框架，最新公开版本为2.0。该框架是全球通用的指南、标准和最佳实践集合，用于帮助企业保护自身，它不区分国家、业务类型，适合所有规模的组织使用。

NIST框架核心组成：网络安全框架包含三大核心组件——核心、配置文件和层级，核心组件的目标是提供一组活动和结果，用于管理和降低企业的网络安全风险。框架核心分为——功能、类别与子类别、实施示例等。

核心功能讲解：识别六大核心功能，每个功能对应解决网络安全风险管理的特定方面。第一个是识别功能，目标是识别你所有的资产，企业需要使用资产管理软件以及安全风险评估工具，如果你不清楚需要保护什么，就无法有效防御，你必须掌握系统、资产、数据的情况，同时理解数据的敏感度，以及未授权访问的后果。接下来是保护功能，聚焦于部署控制措施保护关键基础设施，对应的产品包括防火墙、入侵防御系统和加密软件。检测功能包含对系统和网络的持续监控，以便识别和响应不同安全事件，覆盖检测功能的产品包括入侵检测系统、安全信息与事件管理（SIEM），以及网络监控工具。响应第四个核心功能是响应功能，它规划了企业发生安全漏洞后的处置步骤。在网络安全领域，问题不是会不会遭遇攻击，而是攻击何时发生，因此你必须提前准备好事件响应平台和沟通工具，尽可能快速处理安全事件。恢复功能聚焦于企业遭遇安全breach后的恢复工作，包括数据恢复、系统还原策略，同时需要总结经验教训，优化未来的安全状态。最后一个核心功能是治理功能，它以策略、流程和管理实践作为企业安全的基础，对应工具包括治理风险合规软件、策略管理工具。这六个核心功能是相互关联的，治理功能是其余五个功能有效实施的基础，遵循这些核心功能可以大幅提升企业的网络安全状态。

NIST框架特点：NIST网络安全框架不会指定你应该购买哪种安全产品，它只会帮助你理解可以使用哪些安全工具和技术，你需要购买和实施最匹配企业安全需求的安全产品与技术。Cisco的全系列安全产品可以覆盖NIST框架的所有六个核心功能。该框架聚焦于结果，而不是发布僵化的正式要求，目标是帮助你协调业务目标和安全优先级。

框架配置文件说明：框架使用两个配置文件——第一个是当前配置文件，提供企业现有安全状态的总览，通过当前配置文件，可以分析框架中每个结果当前的实现程度；第二个是目标配置文件，定义你期望的网络安全结果和优先级，作为改进企业安全状态的路线图，明确当前安全状态和目标状态后，你就可以使用框架、最佳实践和指南实现期望的安全水平。

SASE架构引入：我们都希望以最安全的方式接入互联网，但在很多场景下，我们没有安全设备来保护连接，我们也可能没有条件在每个远程站点、远程办公室都部署本地防火墙，那我们如何在保证安全的前提下接入互联网呢？SASE可以解决这个问题。

SASE核心定义：SASE首先是一个安全模型，它可以保证同时融合网络与安全功能，尽可能贴近终端用户，为用户提供到云或互联网的连接，SASE架构基于三大支柱——网络、安全、可见性。SASE可以为任意位置的用户提供连接——家庭远程用户、远程办公室、远程站点、数据中心、总部都可以接入，可以连接到互联网、SaaS应用、任意私网/公网，不仅可以连接，还可以提供安全连接，包含所有企业用户需要的安全能力——防火墙、IPS、DNS安全、云访问安全代理（CASB）、数据丢失防护（DLP）等。第三个支柱是可见性，它提供端到端可见性，获取SASE方案中往返流量的性能指标和安全指标。

SASE的核心价值：通过三大支柱，你可以获得任意位置任意时间的安全访问，将访问控制迁移到云边缘，保证到互联网的安全连接，安全连接用户和应用，同时通过集成策略模型提升效率，提供从终端用户到在线应用的全流量可见性。

与SD-WAN的关系说明：很多人会问SD-WAN和SASE的关系是什么？SD-WAN是基于SDN的广域网技术，它是运行在物理基础设施之上的覆盖网络，可以安全连接远程办公室到数据中心或总部，本质是基于SDN的广域网网络架构，本身已经包含安全能力。而SASE不是传统的网络模型，它是融合网络和安全能力的新型云原生网络概念，将端点连接到网络边缘，通过存在点接入互联网，依赖完整的安全栈，作为云原生安全模型支持远程用户接入，这是传统SD-WAN直到新版本固件才加入的能力。两者有很多相似之处，但核心区别是——SASE提供更完整的安全能力，聚焦于将终端用户通过互联网连接到边缘，而SD-WAN是SASE模型的连接组件，你可以用SD-WAN实现远程站点的互联网连接，再通过SASE保护这个连接。

Cisco SASE的3C原则：Cisco SASE通过3C原则实现最安全的互联网连接——Connect（连接）、Control（控制）、Converge（融合）。连接——任意用户/任意终端通过任意连接方式（远程访问或SD-WAN）接入互联网或云，实现最高等级的安全；控制——集成所有你需要的安全能力保护连接，包括防火墙、IPS、CASB、DLP、DNS安全等；融合——来自单一厂商的所有安全措施可以紧密集成，形成完整的Cisco SASE方案。

Cisco SASE产品生态：Cisco提供完整的安全产品 arsenal——DNS过滤、云交付防火墙、安全web网关(SWG)、web过滤、Cisco AnyConnect、Cisco Duo多因素认证、零信任网络访问ZTNA，安全能力非常全面。Cisco Umbrella将所有这些产品统一整合为一个集成化云原生平台，核心特性就是支持任意位置的连接，支持IPsec隧道连接到企业站点，例如数据中心或分支站点，也支持远程员工接入，单隧道最低带宽可达250Mbps，满足高需求场景可扩展到单隧道500Mbps，可以覆盖从终端到互联网/云的所有安全需求。除了安全之外，SASE还提供可见性，通过Cisco ThousandEyes实现可视化，它可以提供跨网络和SaaS服务的端到端视图，让你查看流量利用率、终端用户访问的应用，提供互联网的实时流量路径信息，展示网络性能，帮助你优化用户体验。从Cisco IOS XE 17.6.1版本开始，你可以在Cisco SD-WAN设备上部署配置Cisco ThousandEyes企业代理，可以通过Docker容器部署在虚拟专用网零信任或服务端虚拟专用网中。Cisco SASE提供非常丰富的功能集合。

🖍️ 重点速览

🚩 考点重点

• MITRE ATT&CK更新特性：框架每半年更新一次，持续跟踪最新网络威胁，是动态而非静态的标准。

• NIST六大核心功能：识别、保护、检测、响应、恢复、治理，治理是其余五个功能的基础，为考点高频考察内容。

• SASE三大核心支柱：网络、安全、可见性，需掌握每个支柱的作用。

• SD-WAN与SASE关系：SD-WAN是SASE的连接组件，SASE在SD-WAN基础上增加了完整的云原生安全能力，考察概念辨析。

💡 核心概念

• MITRE ATT&CK框架：面向网络威胁的adversary战术技术知识库，用于建模分析威胁行为，为企业提供威胁识别和防御改进指导。

• NIST网络安全框架：全球通用的网络安全风险管理指南，核心包含六大功能，帮助企业协调业务目标与安全优先级。

• SASE：融合网络与安全能力的云原生安全架构，为任意位置的终端用户提供安全的互联网/云接入。

• MITRE ATT&CK核心信息结构：Tactics（战术）→ Techniques（技术）→ Procedures（流程），从战略到落地的分层描述。

✨ 课堂金句

• “In cybersecurity landscape, the question is not whether your will face a cyber attack, but rather when this will happen.”

• “Security policy is only as strong as its weakest link, and often people are the weakest link.”

• “If you do not have a clear picture of what are you trying to protect, then you're simply fighting a lost battle.”

📝 待办事项

• 复习重点：掌握MITRE ATT&CK的结构、NIST六大核心功能、SASE与SD-WAN的区别三个核心考点。

• 扩展学习：访问MITRE ATT&CK®实际探索框架结构，验证课程讲解内容。

🎯 课后总结

🔒 课程概述：网络安全框架与威胁防御

• 课程目标：强化网络安全框架实施能力，提升威胁检测、响应与缓解策略，覆盖MITRE ATT&CK、CAPEC、NIST网络安全框架及SASE模型。

• 核心价值：帮助安全架构师应对钓鱼攻击、入侵尝试和网络漏洞等威胁，降低数据泄露、财务损失及声誉风险。

• 考试映射：课程内容对应Cisco 300-745 SDSI v1.0考试蓝图，聚焦安全设计生命周期中框架（如MITRE CAPEC、NIST SP 800-37、SAFE）的应用。

🚨 风险识别与评估

• 核心任务：需识别基础设施潜在风险（如邮件系统入侵、敏感数据未授权访问、网络横向移动），评估当前安全状态并确定改进方向。

• 挑战：未实施风险识别可能导致漏洞未被发现，威胁升级为重大事件；关键难点在于预判威胁来源及制定前置防御策略。

📊 MITRE ATT&CK框架详解

• 定义：提供adversary战术与技术的综合知识库，映射网络杀伤链各阶段的攻击行为，支持威胁建模与分析。

• 核心功能：

  • 提升威胁情报：理解攻击者战术、技术与流程（TTPs）。

  • 强化检测响应：标准化安全态势评估与威胁应对能力。

  • 促进协作：提供共享语言以交流威胁情报与最佳实践。

  • 教育专业人员：作为网络威胁landscape的教学工具。

• 更新机制：每半年更新一次，确保内容反映最新威胁趋势。

🔍 MITRE ATT&CK框架应用

• 威胁识别维度：

  • 企业业务类型；

  • 历史攻击记录；

  • 已知adversary的攻击模式；

  • 其他关联因素。

• 典型战术示例：

  • 初始访问：鱼叉式钓鱼、漏洞利用。

  • 权限提升：凭证转储、提权漏洞利用。

  • 数据渗出：向外部服务器传输敏感数据。

• 安全缺口分析：通过框架识别不足，如邮件过滤失效、端点监控缺失、访问控制薄弱、多因素认证实践不当。

📋 MITRE ATT&CK信息架构

✅ 关键知识点回顾

• 战术示例：初始访问（Initial Access）、权限提升（Privilege Escalation）、防御规避（Defense Evasion）等。

• 框架价值：通过结构化分析攻击链，帮助组织从被动防御转向主动识别潜在威胁及关联风险，制定针对性防护策略。