內生安全 新一代網絡安全框架體系與實踐

奇安信戰略諮詢規劃部：負責奇安信戰略諮詢規劃業務，針對“十四五”規劃、新基建與數字化轉型，以系統工程方法，結合政企大型機構的業務戰略與信息化戰略，為政企機構梳理網絡安全戰略目標；並以“內生安全框架”體系規劃設計方法與工具，從“技術、管理、運行”的多個視角，為政企機構進行它們所需的網絡安全能力體系的梳理，從“頂層規劃、體系設計、實現設計”不同層面，幫助政企機構進行規劃設計、可研報告、概要設計、路線圖等設計工作；以“三同步”原則，推進網絡安全和信息化的“全面覆蓋、深度融合”，幫助政企構建動態綜合的網絡安全防禦體系及實戰化運行體系，為政企數字化業務發展保駕護航。

奇安信行業安全研究中心（以下簡稱中心）：奇安信集團旗下專注於行業網絡安全研究的機構，為政府、公安、軍隊、保密、交通、金融、醫療衛生、教育、能源等行業客戶及監管機構提供專業安全分析與研究服務。
中心以奇安信集團的安全大數據、全球威脅情報大數據為基礎，結合前沿網絡安全技術、國內外政策法規，以及兩千餘起應急響應事件的處置經驗，全面展開行業級、領域級、* **網絡安全研究。
中心自2016年成立以來，已累計發佈各類專業研究報告100餘篇，共計300餘萬字，在勒索病毒、信息洩露、網站安全、APT（高級持續性威脅）、應急響應、人才培養等多個領域的研究成果受到海內外網絡安全從業者的高度關注。
同時，中心還聯合各個專業團隊，主編出版了多本網絡安全圖書專著，包括《走近安全：網絡世界的攻與防》《透視APT：賽博空間的高級威脅》《應急響應》《網絡安全應急響應技術實戰指南》《工業互聯網安全：百問百答》等，為網絡安全知識的深度傳播做出了重要貢獻。

第1部分為什麼需要內生安全
第1章信息化的發展與安全的挑戰2
1．1信息化的發展歷程2
1．1．1政策驅動的政務信息化發展歷程2
1．1．2政企機構信息化發展的4個階段5
1．1．3 EA方法在信息化發展中的指導作用6
1．2網絡安全的發展歷程7
1．2．1合規導向和事件驅動交織7
1．2 ．2網絡安全的零散化發展9
1．2．3網絡安全建設方法論的缺失10
1．3國家網絡安全戰略的新要求12
1．4數字化時代的安全新挑戰13
1．4．1數字化時代的產業新形態13
1．4．2數字化時代的安全新威脅14
1．5信息化保障呼喚內生安全16
1．5．1圍牆式安全16
1．5．2數據驅動安全17
1．5．3內生安全的提出18

第2部分什麼是內生安全
第2章內生安全的內涵與特性20
2．1內生安全的理念20
2．2內生安全的特點21
2．3內生安全優勢和價值23
2．3．1適應新基建和數字化的需要23
2．3．2從防護能力上，可以實現安全能力的動態成長25
2．3．3最大限度降低安全風險和損失26
2．4三大關鍵落地內生安全27
2．4．1安全的關鍵是管理27
2．4．2管理的關鍵是框架28
2．4． 3框架的關鍵是組件化29

第3章內生安全建設的方法論基礎30
3．1 EA方法論簡述30
3．1．1 EA的定義30
3．1．2 EA的誕生與演變31
3．1 ．3 EA的作用32
3．1．4典型的EA框架33
3．1．5組件化業務模型38
3．2內生安全思想與EA方法論41
3．2．1採用系統性框架指引網絡安全建設41
3．2．2將當前需求與未來發展相結合43
3．2．3網絡安全要與信息化深度融合46
3．2．4建設實戰化的網絡安全運行能力47
3．2．5持續引入信息化與網絡安全新技術48

第4章新一代網絡安全框架50
4．1新一代網絡安全框架的概述50
4．2新一代網絡安全框架的主要組件51
4．2．1網絡安全能力體系51
4．2．2網絡安全規劃方法論與工具體系52
4．2．3組件化安全能力框架53
4．2．4建設實施項目庫55
4．2．5政企機構網絡安全技術部署參考架構55
4．2．6政企機構網絡安全運行體系參考架構55
4．3新一代網絡安全框架的關鍵工具56
4．3．1政企機構網絡安全防禦全景模型56
4．3．2政企機構網絡安全協同聯動模型57
4．3．3政企機構網絡安全項目規劃綱要58

第3部分怎樣建設內生安全
第5章新一代身份安全60
5．1數字化轉型與業務發展的新要求60
5．1．1數字化轉型驅動身份安全改變60
5．1．2傳統身份安全面臨的問題60
5．2什麼是新一代身份安全62
5．2． 1基本概念62
5．2．2設計思想64
5．2．3總體架構65
5．2．4關鍵技術67
5．2．5預期成效71
5．3新一代身份安全建設要點72
5．3． 1建設要點72
5．3．2關注重點74

第6章重構企業級網絡縱深防禦76
6．1數字化轉型與業務發展的新要求76
6．1．1新技術新業務發展挑戰76
6．1．2企業面臨更複雜的網絡環境77
6．1．3傳統的網絡縱深防禦機制問題77
6．2如何重構企業級網絡縱深防禦78
6．2．1基本概念78
6．2．2設計思想78
6．2．3總體架構79
6．2．4關鍵技術80
6．2．5預期成效81
6．3重構企業級網絡縱深防禦的方法與要點82
6．3．1總體流程82
6．3．2資產識別83
6．3．3網絡結構安全設計83
6．3．4網絡縱深防禦設計87
6．3．5安全措施部署92
6．3．6運行管理97

第7章數字化終端及接入環境安全99
7．1數字化轉型與業務發展的新要求99
7．1．1新技術新業務發展挑戰99
7．1．2企業終端攻防形勢與傳統安全措施的局限100
7．2什麼是數字化終端及接入環境安全101
7．2．1基本概念101
7．2．2設計思想102
7．2．3總體架構104
7．2．4關鍵技術105
7．2．5預期成效108
7．3數字化終端及接入環境安全建設要點109
7．3．1總體流程109
7．3．2終端系統安全棧建設109
7．3．3末梢網絡安全棧建設112
7．3．4終端統一安全運行支撐能力建設112
7．3．5外部系統協同能力建設113

第8章面向雲的數據中心安全防護115
8．1數字化轉型與業務發展的新要求115
8．1 ．1數字化轉型促進數據中心向雲化發展115
8．1．2雲化數據中心面臨的安全挑戰115
8．1．3傳統雲安全建設問題與誤區116
8．2什麼是面向雲的數據中心安全防護118
8．2．1基本概念118
8．2．2設計思想118
8．2．3總體架構119
8．2．4關鍵技術121
8．2．5預期成效122
8．3面向雲的數據中心安全防護建設的方法和要點123
8．3．1總體設計流程123
8．3．2雲環境識別要點124
8．3．3雲數據中心的對外邊界防護建設要點125
8．3．4內部彈性可擴展的安全能力建設要點126
8．3．5雲特權操作管控建設要點126
8．3．6安全與雲IT業務聚合建設要點126
8．3．7雲內外整體安全管控建設要點127

第9章面向大數據應用的數據安全防護128
9．1數字化轉型與業務發展的新要求128
9．1．1數字化轉型面臨的數據安全挑戰128
9．1．2傳統的數據安全存在的問題129
9．2什麼是面向大數據應用的數據安全防護130
9．2．1基本概念130
9．2．2設計原則131
9．2．3總體架構131
9．2．4關鍵技術134
9．2．5預期成效135
9．3面向大數據應用的數據安全防護建設要點136
9．3．1數據安全治理136
9．3．2數據安全管理及風險分析136
9．3．3數據安全建設要點137

第10章面向實戰化的全局態勢感知體系139
10．1數字化轉型與業務發展的新要求139
10．1．1數字化轉型對態勢感知帶來的挑戰139
10．1．2傳統態勢感知建設問題與誤區140
10．2什麼是面向實戰化的全局態勢感知體系141
10．2．1基本概念141
10．2．2設計思想141
10．2．3總體架構142
10．2．4關鍵技術/能力143
10．2．5預期成效143
10．3面向實戰化的全局態勢感知體系建設要點145
10．3．1建設要點145
10．3．2建設流程146

第11章面向資產/漏洞/配置/補丁的系統安全150
11．1數字化轉型與業務發展的新要求150
11．1．1數字化發展帶來的挑戰150
11．1．2傳統系統安全面臨的問題151
11．2什麼是面向資產/漏洞/配置/補丁的系統安全152
11．2．1基本概念152
11．2．2設計思想152
11．2．3總體架構153
11．2．4關鍵技術154
11．2．5預期成效155
11．3面向資產/漏洞/配置/補丁的系統安全建設要點156
11．3．1建設流程156
11．3．2建設要點157

第12章工業生產網安全防護161
12．1數字化轉型與業務發展的新要求161
12．1 ．1工業聯網帶來新的安全挑戰161
12．1．2工業生產網面臨的安全形勢162
12．1．3傳統安全防護機制不適用於工業生產網164
12．2什麼是工業生產網安全防護165
12．2．1基本概念165
12．2．2設計思想168
12．2．3總體架構168
12．2．4關鍵技術171
12．3工業生產網安全防護建設要點172
12．3．1關鍵建設點172
12．3．2安全能力需要長期積累174

第13章內部威脅防護體系175
13．1數字化轉型與業務發展的新要求175
13．1．1數字化轉型擴大了內部威脅的範圍175
13．1．2內部威脅攻擊越來越頻繁176
13．1．3傳統網絡安全防護體系的問題176
13．2什麼是內部威脅防護體系177
13．2．1基本概念177
13．2．2設計思想178
13．2 ．3總體架構179
13．2．4關鍵技術179
13．2．5預期效果180
13．3內部威脅防護體系建設要點181
13．3．1內部威脅防護體系建設的前置條件181
13．3． 2網絡數據洩露防護系統181
13．3．3數據採集181
13．3．4內部威脅感知平台182
13．3．5人員管理制度183

第14章密碼專項185
14．1數字化轉型與業務發展的新要求185
14．1．1新技術新業務發展挑戰185
14．1．2基於內生安全的密碼與網絡安全融合發展186
14．2什麼是密碼專項框架187
14．2．1基本概念187
14． 2．2設計思想187
14．2．3整體架構187
14．2．4關鍵技術188
14．2．5預期效果190
14．3建設密碼專項框架的方法與要點191
14．3．1建設方法191
14．3．2建設要點193

第15章實戰化安全運行能力建設194
15．1通過安全運行回歸安全本質194
15．1．1安全運行在業務發展中面臨的挑戰194
15．1．2安全運行與安全運維、運營195
15．1．3安全運行與企業架構196
15．2什麼是實戰化安全運行能力197
15．2．1基本概念197
15．2．2設計思想197
15．2．3總體架構197
15．2 ．4預期成效200
15．3實戰化安全運行能力建設要點200
15．3．1安全運行能力建設的內容元模型200
15．3．2 “基礎架構安全”領域建設要點201
15．3．3 “縱深防禦”領域建設要點203
15．3．4 “積極防禦”領域建設要點204
15．3．5 “威脅情報”領域建設要點205

第16章安全人員能力支撐207
16．1數字化轉型與業務發展的新要求207
16．1．1人在網絡安全中的重要性越來越高207
16．1．2為什麼需要安全人員能力207
16．2什麼是安全人員能力208
16．2．1基本概念208
16．2． 2設計思想208
16．2．3總體架構209
16．2．4關鍵要點211
16．2．5預期成效214
16．3安全人員能力建設的方法與要點214
16．3．1總體流程214
16． 3．2網絡安全組織機構建設215
16．3．3網絡安全人員能力建設220
16．3．4全員網絡安全意識教育222

第17章應用安全能力支撐223
17．1數字化轉型與業務發展的新要求223
17．1．1數字化轉型對應用安全提出新要求223
17．1．2網絡安全形勢與威脅224
17．1．3傳統能力的不足224
17．2什麼是應用安全能力支撐225
17．2 ．1基本概念225
17．2．2設計思想225
17．2．3總體架構226
17．2．4關鍵技術226
17．2．5預期成效227
17．3應用安全能力支撐的方法和要點227
17．3．1構建應用安全能力228
17．3．2構建應用安全能力的重點任務229

第18章物聯網安全能力支撐231
18．1物聯網支撐企業數字化轉型帶來新的威脅231
18．1 ．1物聯網特性帶來安全挑戰232
18．1．2物聯網安全現狀233
18．1．3物聯網安全保障能力缺失233
18．2什麼是物聯網安全能力支撐234
18．2．1基本概念234
18．2．2設計思想235
18．2．3參考模型235
18．2．4關鍵技術237
18．2．5預期成效238
18．3物聯網安全能力支撐建設方法與要點239
18．3． 1物聯網終端基礎安全239
18．3．2物聯網安全接入平台240
18．3．3物聯網雲端相關平台241

第19章業務安全能力支撐242
19．1業務轉型與業務安全新要求242
19 ．1．1業務線上化轉型成為發展新趨勢242
19．1．2業務線上化發展帶來新挑戰242
19．1．3新形勢下的業務安全痛點243
19．1．4業務安全能力新要求244
19．2什麼是業務安全能力244
19．2．1基本概念244
19．2．2能力範圍245
19．2．3總體架構245
19．2．4核心技術245
19．2．5關鍵要素246
19．2．6預期成效246
19． 3業務安全能力支撐建設要點247
19．3．1業務支撐要點247
19．3．2建設技術要點248