为什么需要安全验证
告别假设,拥抱真实
安全验证 VS 其他验证手段
| 安全验证 | 攻防演练 | 自动化渗透 | 漏洞扫描 | 外部攻击管理 | BAS | |
|---|---|---|---|---|---|---|
|
漏洞利用确认 |
|
|
|
|
|
|
|
自动化安全验证 |
|
|
|
|
|
|
|
防御失效点发现与识别 |
|
|
|
|
|
|
|
安全防御体系有效性验证 |
|
|
|
|
|
|
|
持续性验证 |
|
|
|
|
|
|
|
无害化验证 |
|
|
|
|
|
|
|
破坏性行为验证 |
|
|
|
|
|
|
|
SOC关联分析创建 |
|
|
|
|
|
|
|
全攻击链条验证 |
|
|
|
|
|
|
|
基于验证结果的补救建议 |
|
|
|
|
|
|
一个平台满足所有安全验证需求 完整、准确、与时俱进
塞讯安全度量验证平台是一个实时安全验证监测平台，通过模拟真实APT攻击手法发起攻击，持续地测试现有的安全防御体系的有效性。针对已部署的各类安全措施，验证其实际效果是否符合预期，及时发现和警示防护能力的变化，并通过多种可视量化报表呈现安全检测结果。
平台架构
通过「安全验证大脑+AI机器人」架构，提供「场景化」安全验证，无需构建靶机，不引入新风险。
安全验证大脑
负责与云端情报中心同步最新的攻击手法，指挥各个AI机器人按照预定的基本模拟攻击行为，并于用户环境中的各类安全产品、SIEN或日志平台对接
检测机器人
资产检测与发现工具，发现并检测当前环境存在的防御薄弱点。
验证机器人
按照安全验证大脑下发的剧本对攻击进行无害化模拟，AI机器人可以扮演攻击者，也可以扮演受害者。
沙盘网关
提供安全的验证环境，用以执行破坏性验证动作。
日志网关
解决日志手机过滤，并将验证所关注的体制发往平台。
代理网关
支持正向代理与反向代理两种模式，解决部署在不同区域的机器人的注册及攻击流量入网问题。
塞讯模拟攻击库
覆盖完整攻杀链的不同攻击阶段的各种攻击手法，预定义多种验证场景，一键验证。
10000+
攻击手法
1400+
攻击场景
200+
APT组织追踪研究
| 行业 | 攻击场景 | 安全产品 | ||
|---|---|---|---|---|
|
银行业 |
勒索软件 |
威胁组织 |
邮件安全 |
终端&主机 (AV…) |
|
医疗行业 |
挖矿软件 |
更多场景 |
数据防泄漏 |
NTA/全流量 |
|
能源行业 |
软件供应链攻击 |
|
NGFW |
DNS安全 |
|
更多行业 |
重大漏洞 |
|
WAF |
更多安全产品 |
|
|
OWASP TOP10 |
|
IDS/IPS |
|
打造完整的安全验证运营闭环
发现: 发现并检测当前环境存在的防御薄弱点
验证：验证薄弱点对攻击的防御有效性
研判：对检测出来的有效性进行补救研判
处置：提供补救措施和缓解建议
客户案例
某外资金融
一季度实现安全产品策略优化48种，增加安全防御手段
安全运营团队能力提升
节省人力成本95%，减少人为因素影响
某证券公司
一季度实现安全产品策略优化32种，新增安全防御手段3种
实现安全防御体系能力和弱点数据化
提升安全运营团队能力，节省渗透服务、攻防演练等投入
常见问题
01 什么是安全验证?
Gartner定义安全验证：安全验证是技术、流程和工具的融合，用于验证潜在攻击者如何利用已识别的威胁暴露，以及安全防御体系和流程的实际应对情况。蓝队和红队工具正朝着高度定制和灵活入侵的方向融合，以更有效地测试企业的防御能力，包括安全控制手段和监控工具的有效性和配置。由此产生的验证结果能够让跨团队决策更轻松，也帮助组织決策者分配相关资源。
02 安全验证的关键原则?
持续验证：企业安全防御体系的建设是动态的，攻击者的手段也在不断更新，因此安全性必须保持与时俱进。不同于渗透测试、HVV等方式以年度为周期，安全验证可7*24全天候持续验证组织安全防御效果。
模拟真正的黑客 ：为了有效验证组织实际的安全防御能力，验证手段必须尽可能接近真实的威胁。安全验证采用从网络上收集的真实发生的攻击手段，能够在整个攻击面上提供对实际攻击的最准确的模拟。
完整的攻杀链：安全验证必须覆盖各个场景，从而帮助安全团队准确评估每次攻击的影响力，以及攻击杀伤链中的哪些位置最能有效缓解攻击。
无害化设计：塞讯验证能够准确展示黑客如何利用组织网络、他们可以执行哪些攻击、横向移动的可能性以及他们可以使用哪些有效载荷，所有这些都不会影响组织业务连续性。
可行的建议： 安全验证可以揭示真实风险，并提供基于风险的补救缓解建议，包括可立即执行的可行建议，以减少暴露。
03 应该多久执行一次安全验证?
塞讯验证认为安全验证是一个持续的过程。只有通过执行自动化安全验证，组织才能获得他们所需的洞察力，以保持其安全性，并更快地主动识别和响应风险。
