7.1. 团队建设

7.1.1. 红蓝军简介

在队伍的对抗演习中，蓝军通常是指在部队模拟对抗演习专门扮演假想敌的部队，与红军（代表我方正面部队）进行针对性的训练。

网络安全红蓝对抗的概念就源自于此。红军作为企业防守方，通过安全加固、攻击监测、应急处置等手段来保障企业安全。而蓝军作为攻击方，以发现安全漏洞，获取业务权限或数据为目标，利用各种攻击手段，试图绕过红军层层防护，达成既定目标。可能会造成混淆的是，在欧美一般采用红队代表攻击方，蓝队代表防守方，颜色代表正好相反。

企业网络蓝军工作内容主要包括渗透测试和红蓝对抗（Red Teaming），这两种方式所使用的技术基本相同，但是侧重点不同。

渗透测试侧重用较短的时间去挖掘更多的安全漏洞，一般不太关注攻击行为是否被监测发现，目的是帮助业务系统暴露和收敛更多风险。

红蓝对抗更接近真实场景，侧重绕过防御体系，毫无声息达成获取业务权限或数据的目标，不求发现全部风险点，因为攻击动作越多被发现的概率越大，一旦被发现，红军就会把蓝军踢出战场。红蓝对抗的目的是检验在真实攻击中纵深防御能力、告警运营质量、应急处置能力。

7.1.2. 攻防演习

比较有影响力的演习有“锁盾”（Locked Shields）、“网络风暴”等。其中“锁盾”由北约卓越网络防御合作中心（CCDCOE，Cooperative Cyber Defence Centre of Excellence）每年举办一次。“网络风暴”由美国国土安全部（DHS）主导，2006年开始，每两年举行一次。

和APT攻击相比，攻防演习相对时长较短，只有1~4周，有个防守目标。而APT攻击目标唯一，时长可达数月至数年，更有隐蔽性。

7.1.3. 人员分工

    • 部门负责人
      • 负责组织整体的信息安全规划
      • 负责向高层沟通申请资源
      • 负责与组织其他部门的协调沟通
      • 共同推进信息安全工作
      • 负责信息安全团队建设
      • 负责安全事件应急工作处置
      • 负责推动组织安全规划的落实
    • 合规管理员
      • 负责安全相关管理制度、管理流程的制定，监督实施情况，修改和改进相关的制度和流程
      • 负责合规性迎检准备工作，包括联络、迎检工作推动，迎检结果汇报等所有相关工作
      • 负责与外部安全相关单位联络
      • 负责安全意识培训、宣传和推广
    • 安全技术负责人
      • 业务安全防护整体技术规划和计划
      • 了解组织安全技术缺陷，并能找到方法进行防御
      • 安全设备运维
      • 服务器与网络基础设备的安全加固推进工作
      • 安全事件排查与分析，配合定期编写安全分析报告
      • 关注注业内安全事件， 跟踪最新漏洞信息，进行业务产品的安全检查
      • 负责漏洞修复工作推进，跟踪解决情况，问题收集
      • 了解最新安全技术趋势
    • 渗透/代码审计人员
      • 对组织业务网站、业务系统进行安全评估测试
      • 对漏洞结果提供解决方案和修复建议
    • 安全设备运维人员
      • 负责设备配置和策略的修改
      • 负责协助其他部门的变更导致的安全策略修改的实现
    • 安全开发
      • 根据组织安全的需要开发安全辅助工具或平台
      • 参与安全系统的需求分析、设计、编码等开发工作
      • 维护公司现有的安全程序与系统

7.1.4. 参考链接