cybersecurity-analyst

Name: cybersecurity-analyst
Author: rysweet

github.com/rysweet安全761.5k 次安装21 周前更新

代码仓库

关于 cybersecurity-analyst

面向安全分析任务的技能，供安全人员或 Agent 系统分析事件、系统与代码中的风险。它结合威胁建模、攻击面分析和行业框架，支持风险评估与缓解建议。

主要功能

01基于 CIA 三要素评估安全影响
02运用 STRIDE、PASTA、VAST 威胁建模
03分析攻击面、威胁行为者与攻击途径
04借助 CVSS、FAIR 等框架评估风险
05审查安全控制与合规情况

适用场景

01调查数据泄露、勒索软件等安全事件
02评估新系统或架构变更的威胁
03识别代码、应用或网络中的弱点
04制定事件响应和风险缓解方案

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/rysweet/amplihack --skill cybersecurity-analyst

安装后在 Claude Code 中输入/cybersecurity-analyst确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

QUICK_REFERENCE.md

README.md

tests/

quiz.md

详细介绍

网络安全分析师技能

目的

从网络安全的专业视角分析事件，运用严谨的安全框架（CIA 三要素、纵深防御、零信任）、威胁建模方法（STRIDE、PASTA、VAST）、攻击面分析以及行业标准（NIST、ISO 27001、MITRE ATT&CK），以了解安全风险、识别漏洞、评估威胁行为者和攻击向量、评估防御控制，并提出风险缓解策略。

何时使用此技能

安全事件分析：调查入侵、数据泄露、勒索软件攻击、内部威胁
漏洞评估：识别系统、应用程序、网络和流程中的弱点
威胁建模：分析新系统或变更可能面临的攻击向量和威胁行为者
安全架构审查：评估设计决策的安全影响和漏洞
风险评估：使用 CVSS、FAIR 等框架量化并确定安全风险的优先级
合规性分析：评估是否遵循安全标准（SOC 2、PCI-DSS、HIPAA、GDPR）
事件响应规划：设计检测、遏制、根除和恢复策略
安全态势评估：评估整体防御能力和成熟度
代码安全审查：识别软件实现中的安全漏洞

核心理念：安全思维

网络安全分析立足于以下基本原则：

纵深防御：没有任何单一安全控制是完美的。应部署多个相互独立的控制层，使其中一层被攻破时不会导致整个系统失陷。

假设已遭入侵：现代安全理念假设攻击者会突破边界防御。设计系统时，应尽量减少损害，并确保在发生（而非是否发生）入侵时能够检测到。

最小权限：仅授予合法功能所需的最低访问权限。每一项多余权限都是可被利用的机会。

零信任：永不信任，始终验证。应明确验证、遵循最小权限原则，并假设系统已遭入侵，不论其网络位置如何。

安全内建：安全性无法事后添加。从一开始就必须将其作为架构和实现的基本要素。

CIA 三要素：安全保护三项属性——机密性（仅允许授权访问）、完整性（仅允许授权修改）、可用性（在需要时可访问）。

基于威胁情报的防御：根据对实际威胁行为者及其能力、动机和策略的了解（威胁情报）来确定防御优先级。

基于风险的方法：完美的安全性不可能实现。应根据风险（可能性 × 影响）确定安全投资的优先级，以最大化每一笔支出带来的安全收益。

理论基础（可展开）

基础 1：CIA 三要素（经典安全模型）

组成部分：

机密性：只有经授权的实体才能访问信息

保护机制：加密、访问控制、身份验证
威胁：窃听、数据窃取、未经授权的信息披露
违规示例：数据泄露、密码窃取、内部人员泄密

完整性：只有经授权的实体才能以授权的方式修改信息

保护机制：哈希、数字签名、访问控制、版本控制
威胁：篡改、未经授权的修改、恶意软件
违规示例：数据库操纵、中间人攻击、勒索软件加密

可用性：经授权的实体可在需要时访问信息和系统

保护机制：冗余、备份、DDoS 缓解、事件响应
威胁：拒绝服务、勒索软件、系统破坏
违规示例：DDoS 攻击、勒索软件、基础设施故障

扩展概念：

真实性：实体身份和信息来源经过验证
不可否认性：不能否认自己采取过某项行动
问责性：行动可追溯至相关实体

应用：每次安全分析都应确定 CIA 三要素中的哪些方面存在风险，以及控制措施如何保护各方面。

来源：

基础 2：纵深防御（分层安全）

原则：部署多层安全控制，确保某一层被攻破不会导致整个系统失陷。

历史起源：军事防御策略——多层同心外围防线

安全层级：

物理层：设施访问控制、上锁的服务器机房
网络层：防火墙、网络分段、IDS/IPS
主机层：终端防护、主机防火墙、补丁管理
应用层：输入验证、安全编码、身份验证
数据层：静态和传输中加密、DLP、令牌化
人员层：安全意识培训、钓鱼攻击模拟

关键认识：冗余不是浪费，而是韧性。即使攻击者绕过了防火墙，仍要面对身份验证、授权、监控、加密和检测控制。

应用：安全架构应包含多个相互独立的防御层，以保护关键资产。

局限性：如果各层未得到维护或彼此依赖，可能会增加复杂性，并造成虚假的安全感。

来源：

基础知识 3：零信任架构

核心原则：“永不信任，始终验证”，不受网络位置影响

与边界模型的对比：传统安全假设内部网络可信（“城堡与护城河”）。零信任则假设任何网络位置都不可信。

核心准则（NIST SP 800-207）：

明确验证：始终根据所有可用数据点进行身份验证和授权
最小权限访问：通过即时访问和恰好够用的访问权限，限制用户访问
假设已遭入侵：尽量缩小影响范围并分段控制访问；验证端到端加密

组成部分：

以身份为中心的安全：身份成为新的边界
微分段：将网络划分为具有独立控制措施的小区域
持续验证：身份验证和授权是持续进行的，而非一次性操作
以数据为中心：保护数据本身，而不只是保护其外围边界

驱动因素：

采用云服务（没有明确的边界）
远程办公（用户位于传统边界之外）
攻击手段日益复杂（边界遭入侵的情况很常见）

应用：现代安全架构应按照零信任原则进行设计，尤其适用于云和混合环境。

来源：

基础知识 4：威胁建模

定义：用于识别和排列系统潜在威胁优先级的结构化方法

目的：在设计阶段主动发现安全问题，此时修复成本最低

优势：

在实施前发现漏洞
安排安全工作的优先级
向利益相关方传达风险
指导安全测试

常见方法论：

STRIDE（Microsoft）：

S 身份欺骗
T 数据篡改
R 抵赖
I 信息泄露
D 拒绝服务
E 权限提升

PASTA（攻击模拟与威胁分析流程）：

以风险为中心的七阶段方法论
使业务目标与技术要求保持一致

VAST（可视化、敏捷和简单威胁建模）：

可扩展，适用于敏捷开发
分为两种类型：应用威胁模型和运营威胁模型

应用：对新功能、架构变更或安全审查使用威胁建模。

来源：

基础知识 5：MITRE ATT&CK 框架

说明：基于真实世界观察的对手战术和技术知识库

目的：了解攻击者的运作方式，为防御、检测和威胁搜寻提供依据

结构：

战术：高层次目标（例如：初始访问、执行、持久化、权限提升）
技术：实现战术的方式（例如：网络钓鱼、利用公开应用程序）
子技术：具体实现方式
过程：攻击者的具体行为

14 种战术（企业矩阵）：

侦察
资源开发
初始访问
执行
持久化
权限提升
防御规避
凭据访问
发现
横向移动
收集
命令与控制
数据外传
影响

应用：

将防御控制措施映射到 ATT&CK 技术
识别检测盲区
威胁情报共享
红队／紫队演练

价值：描述攻击者行为的通用语言；以威胁情报为依据的防御的基础

来源：

核心分析框架（可展开）

框架 1：攻击面分析

定义：识别和评估未经授权的用户可能进入系统或从系统中提取数据的所有入口点

组成部分：

攻击面元素：

网络攻击面：暴露的端口、服务、协议
软件攻击面：应用程序、API、Web 界面
人为攻击面：用户、管理员、社会工程攻击目标
物理攻击面：设施访问、硬件访问

攻击向量：攻击者利用攻击面的方法

基于网络：端口扫描、协议漏洞利用、中间人攻击
基于 Web：SQL 注入、XSS、CSRF、身份验证绕过
基于电子邮件：网络钓鱼、恶意附件、凭据窃取
物理：盗窃、未经授权的访问、恶意女仆攻击
社会工程：虚构借口、诱饵、尾随进入

分析流程：

枚举：列出所有入口点和资产
分类：按类型和重要性分类
评估：评估可利用性和影响
排序：按风险排序
缩减：尽量减少不必要的暴露

指标：

暴露的服务数量
面向互联网的应用程序数量
特权账户数量
暴露于不可信输入的代码行数

应用：缩减攻击面是基本的防御策略。消除不必要的暴露。

来源：

框架 2：风险评估框架

目的：量化并确定安全风险的优先级，以指导资源分配

常见框架：

CVSS（通用漏洞评分系统）：

评估漏洞严重性的标准
根据可利用性、影响和范围评分，分值为 0-10
基础分数（固有特征）+ 时间分数 + 环境分数
使用广泛，但因无法反映特定情境下的实际风险而受到批评

FAIR（信息风险因素分析）：

定量风险框架
风险 = 损失事件频率 × 损失幅度
可用于对安全投资进行成本效益分析
更复杂，但能提供以货币计量的风险数值

NIST 风险管理框架（RMF）：

七个步骤：准备、分类、选择、实施、评估、授权、监控
将安全控制与风险管理关联起来
由美国联邦机构使用

定性与定量：

定性：高／中／低风险评级（更简单、更快速、主观）
定量：数值风险值（复杂、客观，需要数据）

应用：风险评估有助于确定优先级。并非所有漏洞都同样重要——应重点关注最高风险。

来源：

框架 3：安全控制框架

目的：用于实现安全目标的结构化安全控制集合

主要框架：

NIST Cybersecurity Framework：

五项核心功能：识别、保护、检测、响应、恢复
不规定具体做法，可灵活适用于不同组织
已在各行业和国际范围内广泛采用

NIST SP 800-53（安全与隐私控制）：

面向联邦系统的综合安全控制目录
20 个控制系列（访问控制、事件响应等）
详细的实施指南

CIS Controls（互联网安全中心）：

18 项按优先级排列的安全控制
根据组织成熟度划分实施组（IG1、IG2、IG3）
可操作且可衡量

ISO/IEC 27001：

信息安全管理体系国际标准
14 个控制领域、114 项控制
可进行认证

应用：使用框架以：

确保全面覆盖
对安全态势进行基准评估
与利益相关者沟通
满足合规要求

来源：

框架 4：事件响应生命周期

定义：处理安全事件的结构化方法

标准模型（NIST SP 800-61）：

阶段 1：准备

建立事件响应（IR）能力、工具和操作手册
培训与演练
沟通计划

阶段 2：检测与分析

监控与告警
事件分类与优先级排序
初步调查
确定范围

阶段 3：遏制、根除与恢复

遏制：阻止扩散（短期和长期）
根除：从环境中移除威胁
恢复：使系统恢复正常运行

阶段 4：事件后活动

总结经验教训
保存证据
事件报告
流程改进

关键概念：

操作手册：针对常见事件类型的预定义流程
失陷指标（IoCs）：表明存在恶意活动的痕迹
证据保管链：证据处理流程
沟通：内部和外部利益相关者、法务、公关

指标：

平均检测时间（MTTD）
平均响应时间（MTTR）
平均遏制时间（MTTC）

应用：有效的事件响应可最大限度减少损失、缩短恢复时间并总结经验。

来源：

框架 5：安全开发生命周期（SDL）

目的：将安全融入软件开发流程

Microsoft SDL 阶段：

培训：为开发人员提供安全培训
需求：定义安全和隐私需求
设计：威胁建模、缩小攻击面、纵深防御
实现：安全编码标准、代码分析工具
验证：安全测试（SAST、DAST、渗透测试）
发布：最终安全审查、事件响应计划
响应：发现漏洞时执行事件响应计划

关键实践：

静态分析（SAST）：分析源代码以查找漏洞
动态分析（DAST）：测试正在运行的应用程序
依赖项扫描：检查第三方库是否存在已知漏洞
渗透测试：模拟真实攻击
安全倡导者：在开发团队中融入安全专业知识

OWASP SAMM（软件保障成熟度模型）：

面向安全软件开发的成熟度模型
五项业务职能：治理、设计、实现、验证、运营
每项职能分为三个成熟度级别

应用：安全必须贯穿整个开发生命周期，而不能只在最后阶段考虑。

来源：

方法论（可扩展）

方法 1：威胁情报分析

目的：了解对手及其能力、策略和目标，为防御提供依据

威胁情报类型：

战略级：面向高管的高层趋势

APT 组织的活动和动机
地缘政治网络威胁
特定行业的威胁态势

行动级：面向安全运营的攻击活动级信息

当前攻击活动
威胁行为者的 TTP
恶意软件家族

战术级：用于即时防御的技术指标

IP 地址、域名、文件哈希
YARA 规则、Snort 特征码
正在被利用的 CVE

分析流程：

收集：从内部来源、威胁情报源、OSINT 和暗网收集数据
处理：标准化、关联、去重
分析：结合上下文进行分析、确定归属、评估意图和能力
传播：以可执行的形式与相关团队共享
反馈：评估成效并不断完善

框架：

钻石模型：对手、能力、基础设施、受害者
攻击链：侦察 → 武器化 → 投递 → 利用 → 安装 → C2 → 目标行动
MITRE ATT&CK：将观察到的技术映射到 ATT&CK 矩阵

应用：威胁情报有助于实现主动、基于威胁情报的防御，而非采用通用安全措施。

来源：

方法 2：渗透测试

定义：通过经授权的模拟攻击评估系统安全性

类型：

黑盒：不掌握任何先验信息（模拟外部攻击者）

灰盒：掌握部分信息（模拟内部人员或被入侵的用户）

白盒：掌握全部信息（全面的安全评估）

阶段（渗透测试执行标准）：

参与前准备：范围、参与规则、法律协议
情报收集：OSINT、网络扫描、服务枚举
威胁建模：识别潜在攻击途径
漏洞分析：识别可利用的弱点
漏洞利用：尝试利用漏洞
漏洞利用后阶段：评估影响、横向移动、权限提升
报告：记录发现、展示影响、提供修复指导

专业类型：

Web 应用渗透测试：重点关注 OWASP Top 10
网络渗透测试：内部和外部网络
社会工程学：网络钓鱼、语音钓鱼、物理入侵
无线渗透测试：WiFi 安全评估

红队与渗透测试：

渗透测试：尽可能发现更多漏洞
红队演练：以目标为导向（例如，访问特定数据），模拟 APT，测试检测和响应能力

应用：定期进行渗透测试，可验证安全控制的有效性，并在攻击者发现问题之前识别差距。

来源：

方法 3：安全架构评审

目的：评估系统设计的安全属性并识别架构漏洞

评审维度：

结构分析：

信任边界和数据流
身份验证与授权架构
网络分段与隔离
数据分类与保护

威胁建模：

使用 STRIDE 或其他方法
识别攻击树
评估针对已识别威胁的缓解措施

控制评估：

将控制措施映射到 CIA 三元组
评估纵深防御层
识别单点故障

合规性评审：

对照安全框架（NIST、CIS、ISO）检查
监管要求（PCI-DSS、HIPAA、SOC 2）

技术评估：

加密技术实现
安全协议
补丁管理方法
密钥管理

分析问题：

信任边界在哪里？
敏感数据流经何处？
如何强制执行身份验证和授权？
如果组件 X 被入侵，会发生什么？
安全假设是否有文档记录并经过验证？

产出：

附有安全注释的架构图
威胁模型
风险评估
修复建议

应用：在设计阶段进行架构评审，可避免在生产环境中出现代价高昂的安全问题。

方法 4：漏洞评估与管理

目的：系统地识别、分类、确定优先级并修复安全弱点

流程：

阶段 1：发现

资产清单（我们有哪些资产？）
漏洞扫描（自动化工具）
手动安全测试
代码审查（静态分析）

阶段 2：评估

根据类型和严重程度对漏洞进行分类
评估可利用性（是否存在漏洞利用代码？是否正在遭到利用？）
确定影响（哪些数据或系统面临风险？）
计算风险评分（CVSS、情境因素）

阶段 3：确定优先级

按风险排序（可能性 × 影响）
考虑威胁情报（是否正在现实环境中遭到利用？）
受影响资产的业务关键性
修复复杂度

阶段 4：修复

打补丁（理想方案）
更改配置
补偿性控制措施（无法打补丁时）
接受风险（记录并批准）

阶段 5：验证

重新扫描以确认修复
更新漏洞数据库
跟踪指标（修复所需时间、漏洞密度）

挑战：

告警疲劳（发现结果过多）
误报
打补丁造成的中断
遗留系统

最佳实践：

基于风险确定优先级（不只看 CVSS）
基于 SLA 修复（严重：7 天，高：30 天，等等）
尽可能自动化
跟踪趋势和指标

应用：持续进行漏洞管理是必不可少的基础工作。不了解的问题就无从修复。

来源：

NIST SP 800-40：补丁与漏洞管理

方法 5：安全监控与检测工程

目的：设计并运行检测恶意活动的能力

组成部分：

数据来源：

网络流量（NetFlow、完整数据包捕获）
端点日志（进程创建、文件访问、注册表更改）
身份验证日志（登录、权限提升）
应用程序日志（错误、事务）
云 API 和审计日志

检测机制：

基于特征：已知恶意模式（防病毒软件、IDS 特征）

优点：误报少、速度快
缺点：只能检测已知威胁

基于异常：偏离基线行为的情况

优点：能够检测新型攻击
缺点：误报多，需要调优

基于启发式：根据攻击者行为模式制定规则

优点：能够检测已知攻击的变体
缺点：制定规则需要安全专业知识

基于威胁情报：与已知 IoC 匹配

优点：利用集体知识
缺点：属于被动响应（通常在遭到入侵后才发现指标）

检测开发：

了解攻击者技术（MITRE ATT&CK）
确定能够捕获该技术的数据来源
开发检测逻辑
使用真阳性和误报进行测试
调优阈值和逻辑
记录检测和响应流程
监控效果并持续迭代

SIEM 与 SOC：

SIEM：汇总、关联并分析安全日志
SOC：安全运营中心（Security Operations Center）——监控告警并响应事件的团队

指标：

检测覆盖率（已覆盖的 ATT&CK 技术所占百分比）
告警数量和质量
误报率
平均检测时间（MTTD）

应用：无法响应未检测到的问题。应根据面临的威胁投资建设相应的检测能力。

来源：

分析评分标准

需要检查的内容

资产和数据：

存在哪些敏感数据？（个人身份信息、凭据、商业机密、财务数据）
这些数据存储、处理和传输在何处？
谁可以访问？
如果遭到泄露，会造成什么业务影响？（机密性、完整性、可用性）

攻击面：

哪些系统暴露在互联网上？
攻击者有哪些入口点？
需要什么身份验证？
存在哪些第三方依赖项？

威胁行为者：

谁可能会以此为目标？（民族国家、网络犯罪分子、黑客行动主义者、内部人员）
他们具备哪些能力，有什么动机？
他们通常使用哪些 TTP？
有哪些威胁情报？

漏洞：

是否存在已知软件漏洞（CVE）？
是否存在配置弱点？
是否存在架构层面的安全缺陷？
是否存在代码层面的漏洞？
是否存在人为弱点（容易遭受网络钓鱼攻击）？

现有控制措施：

已采取哪些安全控制措施？
是否遵循纵深防御原则？
配置和维护是否得当？
具备哪些检测和响应能力？

要提出的问题

威胁相关问题：

可能出现什么问题？
哪些攻击途径最有可能被利用？
哪些威胁行为者可能会以此为目标？
他们的目标和能力是什么？
有哪些相关的历史事件？

漏洞相关问题：

存在哪些弱点？
这些弱点有多容易被利用？
漏洞被利用会造成什么影响？
是否存在已知漏洞利用或正在发生的攻击？
漏洞可以多快得到修复？

控制措施相关问题：

已采取哪些保护措施？
这些措施有多有效？
防御覆盖存在哪些缺口？
控制措施能否被绕过？
如何检测恶意活动？

风险相关问题：

遭到入侵的可能性有多大？
可能造成什么影响？
总体风险级别如何？
风险与组织的风险承受度相比如何？
有哪些风险处置方案？（缓解、接受、转移、规避）

合规相关问题：

适用哪些法规或标准？
是否满足安全要求？
有哪些证据可以证明合规？
存在哪些缺口？

需要考虑的因素

技术因素：

系统架构和设计
技术栈和版本
配置和加固
加密实现
网络拓扑和分段

组织因素：

安全成熟度和文化
可用资源和预算
风险承受度
监管环境
业务关键性

威胁态势：

当前威胁行为者的活动
新兴攻击技术
行业特定威胁
地缘政治因素

运营因素：

补丁管理流程
事件响应能力
安全监控和检测
安全意识和培训
第三方风险管理

需要考虑的历史案例

类似的安全事件
可比漏洞的利用案例
行业特定的攻击模式
重大数据泄露事件的经验教训
威胁行为者 TTP 的演变

需要探讨的影响

即时安全影响：

机密性：数据泄露风险
完整性：数据篡改或损坏风险
可用性：服务中断风险
财务：赎金、恢复成本、罚款

更广泛的影响：

声誉受损
法律和监管后果
客户信任受损
竞争劣势
系统性风险（若涉及关键基础设施）

战略影响：

需要调整安全架构
安全计划成熟度方面的差距
资源分配和优先级安排
风险管理方法

分步分析流程

第 1 步：明确范围和背景

行动：

明确要分析的系统、应用或事件
确定边界和接口
确定利益相关方及其安全要求
了解业务背景和重要性
收集相关文档（架构图、数据流、策略）

输出：

范围说明
资产清单
利益相关方列表
业务背景理解

第 2 步：识别资产和数据

行动：

列出关键资产（系统、数据、服务）
按敏感度对数据分类（公开、内部、机密、受限）
绘制数据流图（数据的创建、存储、处理、传输和销毁位置）
识别核心资产（最有价值的资产）

输出：

含重要性评级的资产清单
数据分类矩阵
数据流图
核心资产列表

第 3 步：分析攻击面

行动：

枚举所有入口点（API、Web 界面、网络服务、物理访问）
识别信任边界（不可信输入进入可信区域的位置）
绘制身份验证和授权节点
识别依赖项（第三方服务、库、供应商）

输出：

攻击面图
信任边界图
入口点清单
依赖项列表

第 4 步：开展威胁建模

行动：

选择威胁建模方法（STRIDE、PASTA 等）
识别潜在威胁行为者及其目标
列出针对每项资产的潜在攻击向量
创建展示攻击路径的攻击树
映射至 MITRE ATT&CK 技术

输出：

威胁模型文档
威胁行为者画像
攻击树图
ATT&CK 技术映射

第 5 步：识别漏洞

行动：

检查所用技术已知的 CVE
根据安全基准（CIS、STIG）分析配置
检查架构中的安全设计缺陷
考虑代码级漏洞（如适用）
评估人为因素造成的漏洞（遭受钓鱼攻击的可能性、滥用权限）

输出：

漏洞清单
CVSS 分数或风险评级
配置差距分析
架构安全问题

第 6 步：评估现有控制措施

行动：

清点各层的安全控制措施（网络、主机、应用、数据）
将控制措施映射到威胁（控制措施能缓解哪些威胁？）
评估控制措施的有效性（配置是否正确？是否维护？是否监控？）
识别控制措施缺口（未得到充分缓解的威胁）
评估检测和响应能力

输出：

控制措施清单
威胁与控制措施映射矩阵
控制措施有效性评估
检测覆盖缺口

第 7 步：分析风险

行动：

针对每个威胁与漏洞组合，估算可能性和影响
计算风险分数（定性或定量）
排定风险优先级
与组织的风险承受能力进行比较
考虑风险之间的相互依赖和连锁影响

输出：

风险登记册
风险热力图
已排定优先级的风险列表
风险接受建议

第 8 步：评估检测和响应

行动：

评估哪些恶意活动能够被检测到
评估各种攻击场景的 MTTD（平均检测时间）
审查事件响应计划和操作手册
评估事件响应团队的能力
识别检测或响应方面的缺口

输出：

检测覆盖评估
MTTD 估算
IR 能力评估
检测和响应缺口

步骤 9：制定整改建议

操作：

针对已识别的风险提出缓解措施（预防性、检测性、纠正性）
根据风险降低幅度和实施工作量确定优先级
在无法直接缓解时考虑补偿性控制措施
估算成本和实施时间表
记录未缓解风险的风险接受情况

输出：

整改路线图
优先级建议清单
成本效益分析
风险接受文档

步骤 10：考虑合规要求

操作：

确定适用的法规和标准
将控制措施映射到合规要求
记录合规证据
识别合规差距
建议实现或维持合规的措施

输出：

合规矩阵
差距分析
证据文档
合规整改计划

步骤 11：汇总并报告

操作：

面向不同受众（高管、技术团队、合规人员）总结关键发现
提供清晰的风险评估和建议
纳入指标和 KPI
记录假设和限制
制定包含负责人和时间表的行动计划

输出：

执行摘要
技术发现报告
整改路线图
合规摘要

使用示例

示例 1：安全事件 — 勒索软件攻击

事件：组织遭遇勒索软件攻击；文件被加密，赎金通知要求付款

分析：

步骤 1 — 范围与背景：

受影响的系统：文件服务器、工作站、备份
业务影响：运营中断、数据不可用
关键事项：了解勒索软件变种、加密范围和攻击者的访问权限

步骤 2 — 资产：

核心资产：客户数据库、财务记录、知识产权
状态：文件已加密，可用性受损

步骤 3 — 攻击面分析：

初始访问途径：可能是钓鱼邮件或存在漏洞的 RDP 端点
横向移动：SMB、凭证窃取

步骤 4 — 威胁建模（事件后）：

威胁行为者：可能是网络犯罪团伙（出于经济动机）
ATT&CK 映射：
- 初始访问：钓鱼或利用面向公众的应用程序
- 执行：用户执行或利用客户端执行
- 持久化：注册表运行键、计划任务
- 权限提升：利用漏洞提升权限
- 凭证访问：凭证转储
- 横向移动：SMB/Windows 管理共享
- 影响：加密数据造成影响

步骤 5 — 漏洞：

易受钓鱼攻击（没有电子邮件过滤、用户培训不足）
RDP 漏洞未打补丁
密码薄弱或重复使用凭证
网络分段不足（勒索软件容易扩散）
备份漏洞（备份也被加密）

步骤 6 — 控制措施评估：

缺失：电子邮件安全网关、EDR、MFA
不足：网络分段、备份隔离、补丁管理
失效：防病毒软件未能检测到勒索软件

步骤 7 — 风险分析：

影响：高（业务中断、数据丢失、赎金要求、声誉受损）
可能性：高（已证实——事件已经发生）
剩余风险：严重（不改进的话，很可能再次发生）

步骤 8 — 检测与响应：

检测：直到开始加密才发现（没有 EDR，日志记录有限）
MTTD：数小时到数天（速度太慢）
响应：没有预案，响应缺乏协调
差距：没有 IR 团队、没有沟通计划、没有法律/公关协调

步骤 9 — 建议（按优先级排序）：

立即（数小时到数天）：

隔离受影响的系统（遏制扩散）
识别勒索软件变种并检查是否有解密工具
如果没有内部能力，请聘请事件响应公司
不要立即支付赎金（先评估其他方案）
通知法务、保险公司，并视情况通知执法部门

短期（数天到数周）：

如果有可用且未受损的备份，则从备份恢复
在所有端点部署 EDR
为所有远程访问启用 MFA
开展取证调查，确定根本原因和影响范围
制定并测试 IR 预案

中期（数周到数月）：

网络分段（防止横向移动）
电子邮件安全网关（拦截钓鱼邮件）
特权访问管理（限制凭证窃取）
安全意识培训（降低钓鱼成功率）
加强备份保护（采用物理隔离或不可变备份）

长期（数月至一年）：

安全成熟度评估和路线图
全天候 SOC 或 MDR 服务
渗透测试和红队演练
全面的漏洞管理计划

步骤 10 — 合规：

监管通知要求（GDPR、州级数据泄露法等）
网络保险理赔
为审计人员记录事件

步骤 11 — 综合分析：

根本原因：钓鱼/RDP 漏洞利用、检测不足、网络分段薄弱和备份漏洞共同导致
关键教训：纵深防御失效——多项控制措施失效，导致攻击得逞
优先事项：立即遏制并恢复，然后建立检测和预防控制措施
成本：赎金要求 + 停机时间 + 恢复 + 修复 + 声誉受损（可能高达数百万）

示例 2：漏洞评估 — 新 Web 应用程序上线

事件：组织计划推出面向客户的 Web 应用；已请求在发布前进行安全审查

分析：

步骤 1 - 范围：

应用：电子商务 Web 应用
用户：外部客户
数据：个人身份信息（PII）、支付信息、订单历史记录
关键程度：高（创造收入，影响客户信任）

步骤 2 - 资产：

客户 PII 和支付数据（机密性、完整性至关重要）
库存和定价数据（完整性、可用性至关重要）
应用可用性（影响收入）

步骤 3 - 攻击面：

Web 界面（面向公众）
API（移动应用、第三方集成）
管理门户（内部用户）
支付处理服务集成
第三方库和依赖项

步骤 4 - 威胁建模（STRIDE）：

欺骗：

威胁：攻击者冒充用户或管理员
缓解措施：强身份验证、多重身份验证（MFA）、会话管理

篡改：

威胁：攻击者修改价格、订单或用户数据
缓解措施：输入验证、授权检查、完整性控制

抵赖：

威胁：用户否认下过订单
缓解措施：审计日志记录、交易签名

信息泄露：

威胁：攻击者访问其他用户的 PII 或支付信息
缓解措施：授权检查、加密、安全会话管理

拒绝服务：

威胁：攻击者使应用不堪重负
缓解措施：速率限制、DDoS 防护、可扩展基础设施

权限提升：

威胁：用户获得管理员权限
缓解措施：最小权限、安全授权、权限隔离

步骤 5 - 漏洞（OWASP Top 10 分析）：

访问控制失效：检查是否存在 IDOR 漏洞，以及水平／垂直权限提升
加密失效：验证静态和传输中的加密、密钥管理
注入：测试 SQL 注入、XSS、命令注入
不安全设计：检查安全设计缺陷和威胁模型漏洞
安全配置错误：检查默认凭据、不必要的功能、详细错误信息
易受攻击的组件：扫描依赖项，查找已知 CVE
身份验证失效：测试密码策略、会话管理、MFA
软件／数据完整性失效：验证供应链安全、未签名更新
日志记录和监控失效：确保记录安全事件，防止日志被篡改
SSRF：测试是否存在服务器端请求伪造漏洞

步骤 6 - 控制措施评估：

积极发现：

所有连接均使用 TLS 1.3
密码使用 bcrypt 哈希
使用输入验证框架
在 CI/CD 中进行依赖项扫描

发现的差距：

客户账户未启用 MFA
管理门户未使用独立域名／网络
详细错误信息会暴露堆栈跟踪
API 端点未实施速率限制
部分第三方依赖项存在已知 CVE
授权检查不足（存在 IDOR 漏洞）
未部署 Web 应用防火墙（WAF）

步骤 7 - 风险分析：

严重风险：

IDOR 漏洞：可能性高、影响高（数据泄露）
易受攻击的依赖项：可能性中等、影响高（可能导致 RCE）

高风险：

未实施速率限制：可能性高、影响中等（数据抓取、暴力破解）
管理门户使用相同域名：可能性低、影响高（凭据失窃）

中等风险：

详细错误信息：可能性中等、影响中等（信息泄露）
未启用 MFA：可能性低（暂时如此）、影响高（账户接管）

步骤 8 - 检测与响应：

日志记录：身份验证和交易方面足够
SIEM 集成：尚未配置
IR 操作手册：通用版本，需要补充特定于应用的场景
建议：配置 SIEM，创建特定于应用的 IR 操作手册，并针对可疑模式实施告警

步骤 9 - 建议（按风险优先级排序）：

发布前必须修复（严重）：

修复 IDOR 漏洞（实施授权检查）
更新存在漏洞的依赖项
在生产环境中移除冗长的错误消息
对所有端点实施速率限制

应在发布前修复（高）：

部署包含 OWASP Core Rule Set 的 WAF
分离管理门户（使用不同域名，并限制 VPN/IP 访问）
配置 SIEM 集成和告警

发布后（中）：

为客户账户实施 MFA
增强日志记录（捕获更多安全事件）
开展渗透测试
建立漏洞赏金计划

步骤 10 - 合规性：

PCI-DSS：处理支付卡数据时必需（使用令牌化，尽量缩小持卡人数据环境）
GDPR/CCPA：客户数据隐私要求（同意、数据最小化、泄露通知）
SOC 2：如果 B2B 客户要求提供保证

步骤 11 - 综合总结：

应用基础扎实（采用现代加密技术、输入验证和依赖项扫描）
必须在发布前修复关键问题（IDOR、存在漏洞的依赖项）
WAF 可为 Web 威胁提供纵深防御
发布后：继续测试、开展漏洞赏金计划并进行安全监控
是否发布：在解决关键问题前，不予发布

示例 3：安全架构评审 - 云迁移

事件：组织计划将本地部署的应用迁移至 AWS；现请求进行安全架构评审

分析：

步骤 1 - 范围：

迁移对象：50 多个应用，包括 Web 应用、API 和数据库
目标平台：AWS（IaaS 和 PaaS 服务）
时间线：12 个月的迁移周期
关键程度：不一（部分应用对业务至关重要）

步骤 2 - 资产：

应用和数据目前位于受控的本地环境中
关注事项：数据主权、合规性、共享责任模型

步骤 3 - 攻击面变化：

增加：面向互联网的云服务、云管理界面、更广的攻击面
减少：物理访问威胁
新增：云配置错误、IAM 漏洞、API 安全问题

步骤 4 - 威胁建模（云环境专属）：

云环境专属威胁：

账户遭入侵（凭据被盗、网络钓鱼）
存储桶配置错误（公开的 S3 存储桶）
IAM 策略权限过宽
网络分段不足（VPC 设计）
通过云 API 外传数据
内部威胁（滥用云管理员权限）
供应链攻击（云服务或依赖项遭入侵）

适用于云环境的 MITRE ATT&CK：

初始访问：有效账户、利用面向公众的应用
持久化：篡改账户、创建 IAM 用户
权限提升：篡改 IAM 策略
防御规避：禁用云日志
凭据访问：代码/配置中未妥善保护的凭据
发现：发现云服务
横向移动：使用替代身份验证材料
数据外传：将数据传输至云账户

步骤 5 - 漏洞（云环境背景）：

缺乏云安全专业知识
沿用本地部署思维（侧重边界防护，而非零信任）
云 IAM 策略不明确
没有云配置管理（未使用 IaC）
没有云安全态势管理（CSPM）

步骤 6 - 控制措施评估（共享责任模型）：

AWS 的责任（云的安全）：

物理安全
Hypervisor 安全
网络基础设施

客户的责任（云中的安全）：

IAM 和访问控制
数据加密
网络配置（VPC、安全组）
应用安全
合规性

建议的控制措施：

身份和访问管理：

使用 SCP（服务控制策略）实施 AWS Organizations
为所有用户强制启用 MFA
使用 IAM 角色，而非长期凭据
遵循最小权限原则
定期审查访问权限

网络安全：

设计包含公有/私有子网的 VPC
安全组（有状态防火墙）
NACL（无状态防火墙）
用于 Web 应用的 AWS WAF
使用 VPC Flow Logs 进行监控

数据保护：

静态加密（S3、EBS、RDS 使用 KMS）
传输中加密（TLS）
S3 存储桶策略（阻止公开访问）
数据分类与处理

监控与检测：

AWS CloudTrail（API 日志记录）
AWS GuardDuty（威胁检测）
AWS Security Hub（汇总发现）
AWS Config（配置合规性）
SIEM 集成

事件响应：

云环境专用 IR 操作手册
使用 Lambda 自动化响应
快照和取证流程
AWS 支持联络计划

合规性：

AWS Artifact（合规性报告）
AWS Config 规则（持续合规性）
HIPAA/PCI-DSS 加密
数据驻留（区域选择）

步骤 7 - 风险分析：

高风险：

S3 存储桶配置错误（可能性：高，影响：高 - 数据泄露）
IAM 凭证遭泄露（可能性：中，影响：高）
监控不足（可能性：高，影响：中 - 检测延迟）

中等风险：

网络分段不足（可能性：中，影响：中）
缺乏云技术专长（可能性：高，影响：中 - 配置错误）

步骤 8 - 检测与响应：

在所有区域和账户中部署 GuardDuty
集中管理 CloudTrail 日志
配置 Security Hub 和 Config
创建云环境专用警报（异常 API 调用、IAM 更改、公开的 S3 存储桶）
制定云环境事件响应操作手册

步骤 9 - 建议（云迁移安全路线图）：

迁移前（第 1-2 个月）：

为团队开展云安全培训
设计 AWS Organizations 结构和账户策略
定义 IAM 策略和规则
设计 VPC 架构和网络分段
选择并实施 CSPM 工具
建立云安全基线（CIS AWS Foundations Benchmark）

迁移期间（第 3-12 个月）：

使用基础设施即代码（Terraform/CloudFormation）管理所有资源
在 CI/CD 中自动执行安全检查（SAST、DAST、IaC 扫描）
强制实施静态加密和传输中加密
实施 IAM 最小权限原则
启用所有云原生安全服务（GuardDuty、Security Hub、Config、CloudTrail）
在部署到生产环境前进行安全测试

迁移后（持续进行）：

持续监控合规性
定期审查 IAM 访问权限
评估云安全态势
在云环境中进行渗透测试
针对云环境 IR 场景开展桌面演练

步骤 10 - 合规性：

利用 AWS 合规认证（SOC 2、ISO 27001、PCI-DSS）
使用 AWS Artifact 获取审计证据
实施 AWS Config 规则以持续满足合规要求
记录责任共担矩阵

步骤 11 - 综合总结：

云安全需要转变思维方式（零信任、以身份为中心、API 驱动）
责任共担模型至关重要——必须保护 AWS 不负责的部分
主要风险：配置错误、IAM 漏洞、监控不足
机遇：云原生安全服务、自动化、可扩展性
成功要素：培训、最小权限、纵深防御、监控、IaC
建议：继续推进迁移，同时并行实施安全路线图

参考资料（可展开）

必备组织与资源

NIST（美国国家标准与技术研究院）

网络安全框架：https://www.nist.gov/cyberframework
SP 800 系列：安全与隐私控制、风险管理
国家漏洞数据库（NVD）：https://nvd.nist.gov/

CISA（美国网络安全和基础设施安全局）

警报与公告：https://www.cisa.gov/topics/cyber-threats-and-advisories
已知遭利用漏洞目录：https://www.cisa.gov/known-exploited-vulnerabilities-catalog
资源：免费工具、培训、最佳实践

MITRE

ATT&CK 框架：https://attack.mitre.org/
CVE 计划：https://www.cve.org/
CAPEC：常见攻击模式枚举与分类

OWASP（开放式 Web 应用程序安全项目）

Top 10：https://owasp.org/www-project-top-ten/
测试指南：https://owasp.org/www-project-web-security-testing-guide/
备忘单：https://cheatsheetseries.owasp.org/

SANS Institute

互联网风暴中心：https://isc.sans.edu/
阅读室：数千篇安全论文
关键安全控制：https://www.cisecurity.org/controls

关键标准和框架

ISO/IEC 27001：信息安全管理体系 ISO/IEC 27002：信息安全控制 PCI-DSS：支付卡行业数据安全标准 HIPAA：健康保险流通与责任法案（安全规则） SOC 2：服务组织控制 2（信任服务标准） GDPR：通用数据保护条例 NIST SP 800-53：安全与隐私控制 CIS Controls：互联网安全中心关键安全控制 FedRAMP：联邦风险与授权管理计划

漏洞数据库

国家漏洞数据库（NVD）：https://nvd.nist.gov/
CVE：https://www.cve.org/
Exploit-DB：https://www.exploit-db.com/
VulnDB：https://vulndb.cyberriskanalytics.com/

威胁情报来源

CISA 警报：https://www.cisa.gov/news-events/cybersecurity-advisories
US-CERT：https://www.cisa.gov/uscert
威胁情报平台：Recorded Future、Mandiant、CrowdStrike
开源：AlienVault OTX、MISP、威胁源

安全工具和平台

漏洞扫描：Nessus、Qualys、Rapid7 InsightVM SAST：SonarQube、Checkmarx、Veracode DAST：Burp Suite、OWASP ZAP、Acunetix SIEM：Splunk、Elastic、Sentinel、Chronicle EDR：CrowdStrike、SentinelOne、Microsoft Defender for Endpoint CSPM：Prisma Cloud、Wiz、Orca Security

认证

CISSP：认证信息系统安全专家
CISM：认证信息安全经理
CEH：认证道德黑客
OSCP：认证进攻性安全专家
GCIH：GIAC 认证事件处理人员
Security+：CompTIA Security+

社区和资源

r/netsec：https://www.reddit.com/r/netsec/
Krebs on Security：https://krebsonsecurity.com/
Schneier on Security：https://www.schneier.com/
Dark Reading：https://www.darkreading.com/
The Hacker News：https://thehackernews.com/

验证清单

完成网络安全分析后：

应避免的常见陷阱

陷阱 1：脱离风险背景的清单式合规

问题：在不了解实际风险的情况下照章满足合规要求
解决方案：采用基于风险的方法——了解威胁和业务背景，而不只是勾选清单

陷阱 2：仅依赖边界防护

问题：认为网络边界可以保护内部的一切
解决方案：采用纵深防御和零信任——假设系统已遭入侵，并保护资产本身

陷阱 3：警报疲劳和误报

问题：大量低质量警报使响应人员不堪重负
解决方案：调整检测规则，优先处理高置信度警报，并尽可能自动化响应

陷阱 4：忽视人为因素

问题：只关注技术控制，忽视社会工程和内部威胁
解决方案：纳入安全意识培训、特权用户监控和内部威胁计划

陷阱 5：一次性评估

问题：仅进行一次安全审查，缺乏持续监控
解决方案：持续保障安全——持续监控、漏洞管理和威胁情报

陷阱 6：脱离背景评估漏洞

问题：仅依据 CVSS 排定优先级，不考虑可利用性或业务背景
解决方案：基于风险确定优先级——考虑威胁情报、可利用性和资产重要性

陷阱 7：将安全视为阻碍

问题：将安全视为实现业务目标的障碍
解决方案：在保障安全的前提下推动业务发展——平衡风险与业务价值，并提供安全的替代方案

陷阱 8：忽视供应链和第三方

问题：只关注自有系统，忽视依赖项
解决方案：开展供应链风险管理——评估第三方安全性和依赖项漏洞

成功标准

高质量的网络安全分析应：

与其他分析师协作

网络安全分析可以补充其他视角：

计算机科学家：深入理解系统和代码的技术细节
律师：安全事件的法律影响和监管合规要求
经济学家：安全投资和网络保险的成本效益分析
心理学家：人类行为、社会工程和安全文化
政治学家：国家级威胁、地缘政治网络冲突和政策

网络安全尤其擅长：

威胁建模和风险评估
漏洞分析
纵深防御设计
事件检测和响应
合规与标准

持续改进

此技能通过以下方式不断发展：

新出现的威胁行为者 TTP 和攻击技术
新出现的漏洞和利用程序
安全技术和实践的演进
从安全事件中吸取的经验教训
框架和标准的更新
跨学科安全研究

技能状态：已完成——具备全面的网络安全分析能力
质量级别：高——采用现代框架的企业级安全分析
Token 数量：约 8,500 个词（目标：6,000–10,000 个 token）

支持 Markdown

登录后评论

基本信息

作者: rysweet
仓库: rysweet/amplihack
分类: 安全
安装次数: 1,463
GitHub Stars: 76

报告问题