对抗式暴露验证(AEV)的实践指南与深度思考

2023年初，Gartner首次提出了持续威胁暴露管理(CTEM)的概念框架，并在2024年的最新研究报告中进一步强调了对抗式暴露验证(AEV)的重要性。

这两个概念的提出，标志着企业安全建设正在经历一次重要的范式转变。根据Gartner的预测，到2028年，对抗式暴露验证能力将成为替代传统渗透测试的主流选择。

在深入解析这些概念之前，我们需要理解一个现实：企业的安全团队正在被各种概念、产品和合规要求压得喘不过气。同时他们每天要应对的不仅有无休无止的告警和漏洞修复，还要满足等保、密评等各类合规要求。在这样的背景下，任何新的概念都不应该成为团队的额外负担，而应该帮助他们理清思路，找到问题的本质。 那么，让我们暂时忘记那些华丽的概念包装，回到安全建设最基本的问题：我们究竟要建设什么? 然后要验证什么？如何验证？验证的结果能带来什么实际价值？ ▌漏扫：传统安全验证方法的困境与缺陷

传统的安全验证就像是在黑暗中摸索。我们有漏洞扫描工具，有配置检查系统，也有定期的渗透测试。但这些零散的验证方式，就像是在黑暗中用手电筒照射不同的角落，每个点都照到了，但我们始终无法看清整个空间。 更糟糕的是，这种片段式的验证往往让我们陷入一种虚假的安全感。当漏洞扫描报告显示”严重漏洞数量下降50%”时，我们真的变得更安全了吗？当渗透测试报告显示”未发现高危漏洞”时，我们的系统就真的固若金汤了吗？ 现实告诉我们：答案是否定的。因为攻击者从不会遵循我们设定的验证框架来发起攻击。他们会寻找各个独立防线之间的缝隙，会利用看似无害的配置组合发起攻击，会通过一系列低风险漏洞最终获取最高权限。这就是为什么即使通过了所有合规检查的系统，依然会被攻破。 ▌对抗性思维：安全验证的必然进化方向

这正是对抗式暴露验证（AEV）的切入点。它不是要取代现有的任何安全措施，而是提供了一个全新的视角：从对立走向对抗。 什么是对立与对抗的区别？对立是静态的、割裂的，就像是在下棋时只研究自己这一方的棋子摆放是否符合规则。而对抗是动态的、整体的，是在实际对弈中检验自己的布局是否真正有效。 这种转变体现在多个层面： 在认知层面，我们不再把安全验证视为一个个孤立的检查项，而是将其视为一场持续的对抗。每一次验证都是一次模拟对抗，通过这种方式，我们能够真实地评估防御体系的有效性。 在技术层面，这意味着我们需要构建持续的攻防能力。不是简单地执行自动化的扫描和检测，而是需要理解攻击者的思维方式，模拟他们可能采取的攻击路径，验证防御措施在实战中的效果。 在组织层面，这要求我们改变团队的工作方式。安全团队不再是被动的”守门员”，而是要成为主动的”红蓝对抗者”，攻击活动的推演者，想攻击者所想，做攻击者所做。通过持续的对抗验证，帮助团队建立起新的攻防思维，提升实战能力。 ▌构建实战对抗能力：完整的AEV落地路径

理解了AEV的本质，关键的问题是：如何将这种理念落实到具体的安全实践中？ 这需要我们首先打破一个常见的误区：对抗式验证并不意味着要投入巨额预算建设专职红队。 对大多数企业而言，更务实的做法是构建一个渐进式的对抗式验证体系。这个体系需要在三个层面同步推进：技术、流程和人员。 // 技术层面：基于企业规模的AEV能力建设方案 在开展对抗式验证之前，我们首先需要理解这项能力的演进路径。Gartner的研究展示了一个清晰的成熟度模型，这个模型按照企业规模和团队能力，将AEV分为三个层次：

▶ 对于中小型企业，起点是应对最紧迫的威胁：

• 首先是应对勒索软件等高发威胁

• 其次是识别和监控内部异常活动

• 再次是处理服务器基础漏洞

▶ 对于大型企业，重点转向更系统性的防御：

• 全面的攻击路径分析与横向移动验证

• 针对特定场景的定制化攻击演练

▶ 对于成熟度最高的企业，则要着眼于建立持续的对抗能力：

• 支持紫队协作，将防守方发现转化为攻击方视角

• 开展完整的攻击活动模拟

基于这个演进路径，企业需要根据自身情况选择合适的切入点和发展方向。具体到验证机制的建立，我们需要： 在边界防护层面，我们需要超越传统的端口扫描和漏洞扫描。

例如，对于一个对外服务的Web应用：

• 不仅要验证已知漏洞，更要模拟常见的攻击链。比如：从一个普通的文件上传漏洞开始，验证是否能够绕过上传限制，获取webshell，进而获取服务器权限。

• 验证WAF、IPS、RASP、HIDS等防护手段在面对这类攻击链时的实际效果。很多时候，我们会发现看似严密的防护存在各种绕过的可能。

• 定期验证业务逻辑漏洞。这类漏洞往往无法通过自动化工具发现，需要结合业务场景进行深入测试。

在横向移动层面，需要重点关注几个关键场景：

• 权限提升路径：例如，通过收集各类配置文件、历史备份等信息，验证是否存在权限提升的可能。

• 网络分段有效性：验证不同安全域之间的访问控制是否真正有效，是否存在绕过的可能。

• 凭证管理：验证各类服务账号的使用情况，特别是默认口令、弱口令等问题。

在核心资产防护层面，则需要进行更深入的验证：

• 数据防泄漏：验证敏感数据的传输和存储过程中是否存在未被发现的泄漏点。

• 权限边界：验证不同级别用户之间的权限隔离是否严格，是否存在越权的可能。

• 审计跟踪：验证关键资产上操作的日志记录是否完整，是否能支撑事件追溯。

// 流程层面：将AEV深度融入安全运营体系 技术验证只是第一步，更重要的是要将对抗式验证融入到日常的安全运营中。这需要建立一套完整的工作流程：

验证触发机制：

• 将对抗式验证与变更管理结合。任何重要的系统变更，都需要进行相应的防御能力的验证测试而非只是传统的可用性测试。

• 根据威胁情报动态调整验证重点。例如，当发现某类漏洞被广泛利用时，及时开展针对性的验证。

• 建立定期的验证机制，但验证的内容和方式要不断变化，避免形成固定模式。

问题修复流程：

• 建立验证发现问题的分级响应机制。不同级别的问题采用不同的处理流程和时限要求。

• 引入临时缓解措施的评估机制。有些问题可能无法立即修复，需要评估临时防护措施的有效性。

• 验证修复的有效性。每个问题的修复都需要通过再次验证来确认。

持续改进机制：

• 定期分析验证数据，识别共性问题和薄弱环节。

• 根据验证结果优化安全基线和控制措施。

• 将验证结果反馈到安全架构设计中，形成闭环。

//人员层面：打造具备攻防思维的安全团队 最具挑战性的是人员能力的培养。要建立起真正的对抗式验证能力，需要团队具备”攻防思维”： 能力培养：

• 建立内部的攻防知识库，沉淀验证经验和方法；

• 通过实战演练提升团队的攻防能力；

• 鼓励团队参与外部的安全研究和交流。

协作机制：

• 打破安全团队内部的隔阂，促进检测、响应、运维等团队的协同；

• 建立与业务团队的沟通机制，确保验证活动不影响业务运营；

• 发展外部合作伙伴，引入先进的验证方法和工具。

成本与收益的平衡 在推进对抗式验证的过程中，如何平衡投入与产出是一个现实问题。这需要我们理解一个重要的原则：AEV能力的建设是一个渐进的过程，不同规模的企业有不同的最佳路径。

正如Gartner的成熟度模型所示，中小型企业不需要一开始就追求完整的紫队能力，而是应该专注于处理最常见的威胁。相反，大型企业则需要更早地关注攻击路径和横向移动的验证。 特别值得注意的是，在这个演进过程中，”purple teaming”（紫队协作）被置于金字塔的顶端，这表明安全能力的最高形态是攻防双方的深度协作，而不是简单的对抗。 在这个认知基础上，一个可行的成本控制策略是：

1. 首先聚焦于高风险区域，通过有限的投入获取最大的安全收益。

2. 充分利用现有的安全工具，通过整合和优化提升验证效果。

3. 将部分基础性的验证工作实现自动化，将人力资源集中在需要深度分析的领域。

4. 建立清晰的度量指标，持续评估验证活动的效果和价值。

这种渐进式的方法，能够帮助企业在现有资源约束下，逐步建立起有效的对抗式验证能力。关键是要坚持”持续”和”实战”的原则，让验证真正成为提升安全能力的推动力。 ▌未来：价值与演进 对抗式验证的真正价值，不在于它能发现多少漏洞，而在于它能帮助企业建立起真正的安全韧性。在这个过程中，我们会发现： 真正的安全不是一个个独立的防御产品的堆砌，而是一个有机的整体。对抗式验证帮助我们以攻击者的视角审视这个整体，发现其中的薄弱环节。 真正的防御不是被动地等待攻击，而是主动地发现和修补弱点。通过持续的对抗验证，我们能够在攻击者发现问题之前，先一步采取行动。 真正的能力提升不是依靠更多的工具和产品，而是通过持续的实践和积累。对抗式验证为团队提供了一个持续学习和进步的平台。 在网络安全领域，概念会不断更迭，但问题的本质始终存在。对抗式暴露验证的价值，正在于它让我们回归到了安全的本质：在持续的对抗中发现问题，在实战中验证方案，在演进中提升能力。这或许才是它最深远的意义。