About This Skill

# 网络安全决策引擎（高级版） 企业级网络安全策略制定与架构设计的专家级决策引擎，覆盖安全域路由、框架选择、威胁建模、合规评估、架构设计、自动化脚本、渗透测试代码、SIEM规则配置及2026年前沿趋势。 --- ## 一、安全域路由矩阵 ### 1.1 六大安全域定义 | 安全域 | 核心范畴 | 典型威胁 | 核心控制措施 | 涉及法规 | 关键KPI | |--------|----------|----------|--------------|----------|---------| | **网络安全** | 网络边界、传输安全、网络架构 | DDoS攻击、网络钓鱼、中间人攻击、DNS劫持 | 防火墙、入侵检测、网络分段、VPN | 等保2.0 | 阻断率、误报率 | | **应用安全** | Web应用、API、移动应用、桌面软件 | SQL注入、XSS、CSRF、API滥用、0day漏洞 | SDL、WAF、RASP、代码审计 | 等保2.0、PCI-DSS | 漏洞密度、MTTR | | **数据安全** | 数据存储、传输、销毁、隐私 | 数据泄露、数据篡改、数据勒索、隐私侵犯 | 加密、分类分级、访问控制、数据脱敏 | GDPR、个保法、数安法 | 泄露事件数 | | **身份安全** | 身份认证、授权管理、账号生命周期 | 身份冒用、凭证盗取、权限滥用、撞库攻击 | IAM、MFA、PAM、零信任身份验证 | 等保2.0 | 认证失败率 | | **云安全** | 云架构、多租户、云原生安全 | 云配置错误、横向移动、无服务器攻击、API暴露 | CSPM、CWPP、CASB、云安全态势管理 | 等保2.0、云安全责任共担模型 | 合规通过率 | | **终端安全** | PC、移动设备、IoT、OT设备 | 恶意软件、勒索软件、挖矿、固件漏洞 | EDR、防病毒、MDM、终端检测响应 | 等保2.0 | 感染率、检测率 | ### 1.2 安全域路由决策树 ``` 用户需求输入 │ ├─ 是否涉及合规/法规要求？ │ ├─ YES → 合规驱动路由 │ │ ├─ 中国业务 → 等保2.0 + 数据安全法 + 个保法 │ │ ├─ 欧盟业务 → GDPR + NIS2 │ │ ├─ 美国业务 → CCPA + SOX │ │ └─ 多地区 → 最高标准合规 │ └─ NO → 业务驱动路由 │ ├─ 核心关注点是什么？ │ ├─ 网络边界/流量 → 网络安全域 │ ├─ 应用漏洞/代码 → 应用安全域 │ ├─ 数据保护/隐私 → 数据安全域 │ ├─ 账号权限/访问 → 身份安全域 │ ├─ 云资源/配置 → 云安全域 │ └─ 设备防护/终端 → 终端安全域 │ └─ 是否有跨域复合需求？ ├─ SOC建设 → 融合网络安全+数据安全+SIEM ├─ 安全运营 → 融合身份安全+终端安全+SOAR └─ 数据治理 → 融合数据安全+云安全+隐私计算 ``` --- ## 二、安全框架选择决策 ### 2.1 主流安全框架对比 | 框架 | 起源 | 适用场景 | 核心要素 | 适用企业类型 | 认证周期 | 维护成本 | |------|------|----------|----------|--------------|----------|----------| | **NIST CSF 2.0** | 美国 | 通用风险管理 | 六大核心功能 | 所有行业，尤其美国业务企业 | 3-6个月 | 中 | | **ISO 27001:2022** | 国际 | 管理体系认证 | 93项控制措施，4大主题 | 追求国际认证、出口业务 | 6-12个月 | 高 | | **零信任架构(ZTA)** | 美国NIST | 现代化安全架构 | 永不信任、始终验证、最小权限 | 云原生、远程办公、零散架构 | 6-18个月 | 高 | | **等保2.0** | 中国 | 国内合规 | 等级保护制度（1-5级） | 中国境内所有企业 | 2-6个月 | 中 | | **CIS Controls** | 美国 | 快速基线 | 18项关键控制 | 中小企业、快速建设 | 1-3个月 | 低 | | **SOC 2** | 美国 | 服务商审计 | Trust Services Criteria | SaaS服务商、科技公司 | 3-6个月 | 中 | ### 2.2 框架选择决策矩阵 | 企业特征 | 推荐框架组合 | 实施优先级 | 预期周期 | |----------|--------------|------------|----------| | 中国企业+国内业务 | **等保2.0** 为主 + NIST CSF 参考 | P0 | 3-6个月 | | 跨国企业+欧美业务 | **ISO 27001** + **NIST CSF** 双轨 | P0 | 6-12个月 | | 云原生+现代化架构 | **零信任** 为核心 + CIS Controls | P1 | 6-18个月 | | 金融/医疗/关基行业 | **等保2.0** + ISO 27001 + 行业补充标准 | P0 | 12-18个月 | | 中小企业快速建设 | **CIS Controls v8** 18项关键控制 | P1 | 1-3个月 | | 需要对美出口/上市 | **NIST CSF** + SOX合规要求 | P0 | 3-6个月 | | SaaS服务商 | **SOC 2** + ISO 27001 | P0 | 6-9个月 | ### 2.3 等保2.0等级划分 | 等级 | 适用系统 | 监管级别 | 核心要求 | 测评周期 | 技术控制点数 | |------|----------|----------|----------|----------|--------------| | 第一级 | 通用系统 | 企业自管 | 基础防护 | 自行测评 | ~30项 | | 第二级 | 重要业务系统 | 公安机关备案 | 审计、备份、边界防护 | 2年 | ~70项 | | 第三级 | 重要行业系统 | 公安机关监管 | 动态防御、可信验证、入侵防范 | 1年 | ~230项 | | 第四级 | 极端重要系统 | 公安机关强制监管 | 强制访问控制、应急响应、安全管理中心 | 半年 | ~290项 | | 第五级 | 国防/关键基础设施 | 国家强力部门监管 | 最高等级防护 | 持续 | 定制化 | --- ## 三、威胁建模方法论 ### 3.1 STRIDE威胁模型 微软开发的对立威胁分类模型，覆盖6大类威胁： | 威胁类型 | 威胁定义 | 对抗措施 | 典型攻击 | 检测指标 | |----------|----------|----------|----------|----------| | **S**poofing 欺骗 | 冒充他人身份 | 强身份认证、MFA、数字证书 | 账号冒用、会话劫持 | 异常登录地理分布 | | **T**ampering 篡改 | 修改数据或代码 | 完整性校验、数字签名、版本控制 | 供应链投毒、中间人篡改 | 文件哈希变更告警 | | **R**epudiation 抵赖 | 否认已执行操作 | 日志审计、数字签名、不可否认性 | 否认发送邮件、否认交易 | 操作日志完整性 | | **I**nformation Disclosure 信息泄露 | 暴露机密信息 | 加密、访问控制、数据分类 | 数据泄露、API泄密 | DLP告警、数据出口流量 | | **D**enial of Service 拒绝服务 | 致服务不可用 | DDoS防护、负载均衡、冗余设计 | DDoS、资源耗尽 | 服务可用性、响应时间 | | **E**levation of Privilege 权限提升 | 获取未授权权限 | 最小权限原则、角色分离、输入验证 | 缓冲区溢出、SQL注入 | 权限变更告警 | ### 3.2 DREAD风险评估模型 量化威胁风险等级（满分10-20分）： | 维度 | 评分标准（1-3分） | 高风险阈值 | 计算权重 | |------|-------------------|------------|----------| | **D**amage 危害程度 | 1=轻微，2=一般，3=严重 | ≥2 | 30% | | **R**eproducibility 可复现性 | 1=复杂，2=偶尔，3=容易 | ≥2 | 20% | | **E**xploitability 可利用性 | 1=需要高级技能，2=需要中技能，3=容易利用 | ≥2 | 20% | | **A**ffected Users 影响范围 | 1=少量，2=部分，3=全部 | ≥2 | 20% | | **D**iscoverability 可发现性 | 1=困难，2=一般，3=容易 | ≥2 | 10% | **风险等级划分**： - 高风险(15-20分)：立即修复 - 中风险(10-14分)：计划修复 - 低风险(5-9分)：可接受风险 ### 3.3 攻击树建模示例 ```python """ 攻击树建模工具 功能：构建、可视化、分析攻击路径 """ from dataclasses import dataclass, field from typing import List, Optional, Dict from enum import Enum class NodeType(Enum): """节点类型""" ROOT = "root" # 根节点（攻击目标） OR = "or" # OR节点（任一路径达成即成功） AND = "and" # AND节点（所有路径同时达成） LEAF = "leaf" # 叶节点（具体攻击手段） @dataclass class AttackNode: """攻击树节点""" id: str name: str node_type: NodeType description: str = "" children: List['AttackNode'] = field(default_factory=list) properties: Dict = field(default_factory=dict) def add_child(self, child: 'AttackNode'): """添加子节点""" self.children.append(child) def calculate_cost(self, leaf_costs: Dict[str, float]) -> float: """计算攻击成本""" if self.node_type == NodeType.LEAF: return leaf_costs.get(self.id, 1