在網(wǎng)絡(luò)安全日益融入企業(yè)核心業(yè)務(wù)的今天，安全測(cè)試若不能確?！傲阌绊憽?，將讓安全管理和運(yùn)營(yíng)者望而卻步。入侵與攻擊模擬（BAS）技術(shù)雖然能夠?qū)踩雷o(hù)“看得見”，但其在生產(chǎn)環(huán)境中執(zhí)行“攻擊”的特性，天然引發(fā)了用戶對(duì)業(yè)務(wù)中斷、數(shù)據(jù)破壞或系統(tǒng)不穩(wěn)定的深層顧慮。國(guó)內(nèi)BAS廠商正通過一系列創(chuàng)新的無損化技術(shù)，成功地解決這一核心痛點(diǎn)，實(shí)現(xiàn)了在保障業(yè)務(wù)連續(xù)性的前提下，進(jìn)行高度仿真的實(shí)戰(zhàn)化攻擊模擬。

1.無損化模擬：BAS在生產(chǎn)環(huán)境中安全運(yùn)行的基石

無損化模擬技術(shù)是BAS在企業(yè)核心生產(chǎn)環(huán)境中廣泛應(yīng)用的關(guān)鍵前提，確保了攻擊模擬過程既能有效驗(yàn)證安全防御能力，又不會(huì)對(duì)企業(yè)正常業(yè)務(wù)造成任何負(fù)面影響。是區(qū)分BAS與傳統(tǒng)滲透測(cè)試、紅藍(lán)對(duì)抗的核心差異之一。國(guó)內(nèi)BAS廠商普遍將“無損攻擊”作為其產(chǎn)品的核心技術(shù)優(yōu)勢(shì)，并在此方面投入大量研發(fā)資源，形成了多樣化的技術(shù)實(shí)現(xiàn)路徑，以滿足用戶對(duì)業(yè)務(wù)穩(wěn)定性的嚴(yán)苛要求。

2.國(guó)內(nèi)BAS廠商實(shí)現(xiàn)無損模擬的核心技術(shù)

國(guó)內(nèi)BAS廠商在實(shí)現(xiàn)無害化化模擬攻擊方面，采取了多管齊下、創(chuàng)新并舉的技術(shù)路線，共同構(gòu)筑了安全可靠的驗(yàn)證環(huán)境，確保了攻擊模擬過程既能有效驗(yàn)證安全防御能力，又不會(huì)對(duì)企業(yè)正常業(yè)務(wù)造成任何負(fù)面影響。

BAS的無害化化模擬攻擊技術(shù)

1）流量級(jí)無害化與行為可控模擬：通過數(shù)據(jù)包標(biāo)記與行為精巧重構(gòu)

BAS產(chǎn)品通過數(shù)據(jù)包標(biāo)記（PacketTagging）與流量重放技術(shù)，能夠在不改變?cè)芯W(wǎng)絡(luò)拓?fù)浜筒粚?shí)際部署額外攻擊設(shè)備的前提下，精確控制和追蹤模擬攻擊流量。其核心原理是，在生成的模擬攻擊數(shù)據(jù)包中，系統(tǒng)會(huì)巧妙地嵌入特殊的的標(biāo)識(shí)符，給模擬攻擊流量打上一個(gè)獨(dú)特的指紋。

BAS的行為模擬

例如：在模擬SQL注入攻擊時(shí)，BAS系統(tǒng)并不會(huì)發(fā)送真正會(huì)破壞數(shù)據(jù)庫(kù)的惡意代碼。

例如：

在看似正常的SQL查詢語句中，嵌入一個(gè)獨(dú)特的、可被追蹤的注釋或參數(shù)值，如SELECT * FROM users WHERE id = '1' OR '1'='1' --BAS_TRACE_XYZ。這里的-- BAS_TRACE_XYZ就是無害的標(biāo)記，對(duì)數(shù)據(jù)庫(kù)執(zhí)行無影響，但能被BAS追蹤。接著，BAS系統(tǒng)會(huì)將帶有這些特殊標(biāo)識(shí)符的模擬攻擊流量重放到目標(biāo)網(wǎng)絡(luò)中經(jīng)過的安全設(shè)備（如WAF、IPS、防火墻），這些安全設(shè)備會(huì)像對(duì)待真實(shí)攻擊一樣對(duì)其進(jìn)行檢測(cè)和阻斷。

如果設(shè)備識(shí)別到了攻擊行為，BAS的監(jiān)控模塊便會(huì)捕獲其告警或阻斷信息，以此來驗(yàn)證安全設(shè)備是否具有檢測(cè)這個(gè)攻擊的能力。類似地，在模擬網(wǎng)絡(luò)端口掃描時(shí)，BAS會(huì)發(fā)送探測(cè)報(bào)文，但會(huì)限制連接數(shù)量和頻率，并通過標(biāo)記區(qū)分，避免被誤判為真實(shí)DDoS攻擊或造成目標(biāo)服務(wù)過載。

這種技術(shù)實(shí)現(xiàn)了在不實(shí)際觸發(fā)漏洞利用、不真實(shí)修改系統(tǒng)狀態(tài)的前提下，對(duì)安全設(shè)備檢測(cè)能力的精準(zhǔn)驗(yàn)證。有廠商通過此方式，在模擬真實(shí)攻擊效果的同時(shí)，避免對(duì)生產(chǎn)環(huán)境造成任何負(fù)面影響，保障業(yè)務(wù)連續(xù)性。

廠商案例

長(zhǎng)亭科技通過對(duì)業(yè)務(wù)的仿真能力，模擬各種業(yè)務(wù)環(huán)境（如Web服務(wù)器、數(shù)據(jù)庫(kù)）的響應(yīng)行為和特征，無需部署靶機(jī)，規(guī)避了部署真實(shí)靶機(jī)可能引入新業(yè)務(wù)或潛在漏洞的風(fēng)險(xiǎn)。

綠盟科技采用流量標(biāo)記技術(shù)，如在模擬SQL注入等場(chǎng)景中，將攻擊載荷自動(dòng)替換為測(cè)試語句，確保了流量層面的無害化。

墨云科技采用流量重放和插入動(dòng)態(tài)ID技術(shù)，在實(shí)現(xiàn)快速部署與模擬真實(shí)攻擊效果不造成危害的同時(shí)，輕松區(qū)分模擬攻擊流量和其他流量。

2）探針的輕量化與安全自主控制：Agent端的“隱身”與“自愈”

BAS通常需要在目標(biāo)服務(wù)器或終端上部署輕量級(jí)的Agent/探針，以模擬本地攻擊行為。這些Agent對(duì)系統(tǒng)資源占用極低，確保不影響業(yè)務(wù)性能，并且具備高度受控的執(zhí)行能力和安全自主性。

BAS的輕量探針和熱加載技術(shù)

攻擊模塊熱加載技術(shù)核心原理是Agent平時(shí)只加載基礎(chǔ)通信模塊，就像一個(gè)“空殼”程序；僅在執(zhí)行特定安全驗(yàn)證任務(wù)時(shí)，才會(huì)臨時(shí)動(dòng)態(tài)地加載相應(yīng)的攻擊或仿真模塊，完成任務(wù)后這些模塊會(huì)被立即卸載，降低了Agent自身可能存在的安全隱患，并避免了對(duì)生產(chǎn)環(huán)境的持續(xù)性干擾，實(shí)現(xiàn)了“用完即走”的無痕驗(yàn)證。另外，部分廠商采用Agent休眠技術(shù)，即Agent在沒安全驗(yàn)證任務(wù)執(zhí)行一段時(shí)間內(nèi)自動(dòng)進(jìn)行休眠，而在被分配驗(yàn)證任務(wù)后由守護(hù)進(jìn)程再次叫醒Agent。

圖片

在模擬終端惡意行為時(shí)，例如模擬創(chuàng)建惡意進(jìn)程，Agent可能不會(huì)真正啟動(dòng)cmd.exe來執(zhí)行powershell.exe并造成破壞，而是會(huì)在系統(tǒng)日志中模擬一個(gè)進(jìn)程創(chuàng)建事件，或在受控的虛擬化環(huán)境中模擬進(jìn)程的運(yùn)行，并觀察EDR（終端檢測(cè)與響應(yīng)）軟件是否發(fā)出告警。再如，模擬文件修改或創(chuàng)建，Agent只會(huì)創(chuàng)建虛擬文件或在內(nèi)存中進(jìn)行操作，而不會(huì)實(shí)際寫入磁盤，確保不對(duì)真實(shí)數(shù)據(jù)造成任何影響。同時(shí)，Agent在模擬數(shù)據(jù)外傳時(shí)，也僅發(fā)送空包或帶有特殊標(biāo)記的無害數(shù)據(jù)，避免真實(shí)敏感數(shù)據(jù)泄露，從而保障了數(shù)據(jù)完整性與系統(tǒng)安全。

廠商案例

華云安采用攻擊模塊熱加載技術(shù)，其探針僅在執(zhí)行安全驗(yàn)證任務(wù)時(shí)臨時(shí)加載攻擊和仿真模塊，任務(wù)完成后立即卸載，大幅降低了資源占用，并避免了探針自身可能存在的安全隱患。這種設(shè)計(jì)實(shí)現(xiàn)了用完即走的無痕驗(yàn)證。

塞訊科技采用Agent休眠技術(shù)，其Agent在沒安全驗(yàn)證任務(wù)執(zhí)行一段時(shí)間內(nèi)自動(dòng)進(jìn)行休眠，在被分配驗(yàn)證任務(wù)后由守護(hù)進(jìn)程再次叫醒Agent進(jìn)行攻作，這種設(shè)計(jì)降低了資源占用。

矢安科技采用攻擊模塊熱加載技術(shù)，Agent在沒有安全驗(yàn)證任務(wù)執(zhí)行時(shí)處于休眠狀態(tài)，當(dāng)被分配到任務(wù)時(shí)被喚醒執(zhí)行相關(guān)安全驗(yàn)證任務(wù)，并且任務(wù)執(zhí)行完成后Agent將自動(dòng)還原清理執(zhí)行痕跡，降低了資源占用與潛在的風(fēng)險(xiǎn)隱患。

3）不對(duì)漏洞直接利用

不對(duì)漏洞進(jìn)行直接利用是BAS與傳統(tǒng)自動(dòng)化滲透測(cè)試的核心區(qū)別，僅模擬攻擊者嘗試?yán)寐┒吹男袨椋ㄈ绨l(fā)送特定格式的請(qǐng)求），但不會(huì)實(shí)際觸發(fā)漏洞并侵入系統(tǒng)或修改目標(biāo)數(shù)據(jù)，確保了驗(yàn)證的安全性。

不對(duì)漏洞直接利用

BAS發(fā)送的請(qǐng)求僅僅是到觸發(fā)安全設(shè)備檢測(cè)的程度，這種精確控制，確保了在評(píng)估防御能力的同時(shí)，不為攻擊者留下任何可乘之機(jī)。

BAS精準(zhǔn)控制

例如，對(duì)于一個(gè)已知的遠(yuǎn)程代碼執(zhí)行漏洞，BAS會(huì)發(fā)送符合該漏洞觸發(fā)特征的請(qǐng)求，但不會(huì)包含真正執(zhí)行惡意命令的Payload。發(fā)送后觀察WAF或IPS是否能檢測(cè)到此請(qǐng)求并進(jìn)行阻斷。如果防御設(shè)備未能檢測(cè)到，BAS僅會(huì)記錄該漏洞可被利用，但不會(huì)發(fā)送真正能獲取系統(tǒng)控制權(quán)或執(zhí)行惡意操作的Payload。這種精確控制可以探虛實(shí)，但不會(huì)傷筋骨，避免在生產(chǎn)環(huán)境中制造新的安全風(fēng)險(xiǎn)或留下可乘之機(jī)。部分領(lǐng)先的BAS產(chǎn)品采用專利技術(shù)實(shí)現(xiàn)這一點(diǎn)，通過特定的攻擊向量、評(píng)估機(jī)制和算法，對(duì)業(yè)務(wù)進(jìn)行無害化傷的風(fēng)險(xiǎn)評(píng)估。

廠商案例

灰度安全不對(duì)漏洞直接利用，也不依賴實(shí)際生產(chǎn)設(shè)備作為落點(diǎn)滲透，而是通過特定的攻擊向量、評(píng)估機(jī)制和算法，對(duì)業(yè)務(wù)進(jìn)行無害化傷的風(fēng)險(xiǎn)評(píng)估，從而保障了驗(yàn)證過程的安全性。

塞訊科技實(shí)現(xiàn)不對(duì)漏洞直接利用，通過僅發(fā)送符合該漏洞觸發(fā)特征的請(qǐng)求，對(duì)真實(shí)對(duì)外暴露業(yè)務(wù)的目標(biāo)URL的防護(hù)檢查與防護(hù)力驗(yàn)證。

矢安科技通過技術(shù)手段最大程度保留了漏洞利用的特征，在攻擊模擬時(shí)實(shí)現(xiàn)了僅讓安全設(shè)備對(duì)漏洞利用做出回應(yīng)，后端的目標(biāo)系統(tǒng)并不會(huì)真實(shí)響應(yīng)。該技術(shù)手段讓安全驗(yàn)證更徹底、更安全。

4）隔離環(huán)境與仿真接收端：高風(fēng)險(xiǎn)模擬的“安全氣泡”與“虛擬替身”

為了安全模擬一些高風(fēng)險(xiǎn)或難以在生產(chǎn)直接執(zhí)行的攻擊行為（如零日漏洞利用、復(fù)雜勒索病毒行為），利用沙箱隔離技術(shù)，實(shí)現(xiàn)運(yùn)行真實(shí)的惡意樣本，測(cè)試安全產(chǎn)品的檢測(cè)能力，確保任何惡意行為的影響范圍被嚴(yán)格限制，不擴(kuò)散到生產(chǎn)網(wǎng)絡(luò)。

BAS隔離環(huán)境

其工作原理是在一個(gè)高度受控的、虛擬化環(huán)境中，BAS運(yùn)行真實(shí)的惡意樣本，測(cè)試安全設(shè)備的檢測(cè)能力，并在測(cè)試完成后通過快照技術(shù)（對(duì)虛擬機(jī)狀態(tài)的即時(shí)備份）快速回滾環(huán)境到初始狀態(tài)，確保任何惡意行為的影響范圍被嚴(yán)格限制在隔離區(qū)內(nèi)，不擴(kuò)散到生產(chǎn)網(wǎng)絡(luò)。例如，在模擬勒索病毒攻擊時(shí)，BAS會(huì)在一個(gè)與生產(chǎn)環(huán)境完全隔離的沙箱中投放勒索樣本，觀察其是否能成功加密沙箱內(nèi)的虛擬文件，以及終端安全產(chǎn)品是否能及時(shí)檢測(cè)并阻止，而不會(huì)對(duì)生產(chǎn)系統(tǒng)造成任何實(shí)際加密。某些廠商的“受保護(hù)的沙盤”組件，擁有獨(dú)立的虛擬網(wǎng)絡(luò)和內(nèi)置DNS服務(wù)器（響應(yīng)虛假IP地址），能夠隔離惡意軟件的網(wǎng)絡(luò)連接，阻止其真實(shí)外聯(lián)。

BAS隔離環(huán)境工作原理

廠商案例

綠盟科技采用沙箱隔離技術(shù)，可以在沙箱中進(jìn)行攻擊模擬，確保真實(shí)資產(chǎn)無需感知系統(tǒng)檢測(cè)分析過程，實(shí)現(xiàn)零侵入。

塞訊科技即采用受保護(hù)的沙盤，具有獨(dú)立的虛擬網(wǎng)絡(luò)和內(nèi)置DNS服務(wù)器（響應(yīng)虛假IP地址），能夠隔離網(wǎng)絡(luò)連接，并在運(yùn)行惡意樣本前后自動(dòng)創(chuàng)建操作系統(tǒng)鏡像的快照并回滾，確保實(shí)際環(huán)境不被感染。

5）“滅活”樣本與威脅控制：讓“毒藥”變“試劑”

“滅活”樣本與威脅控制：對(duì)于涉及惡意代碼的模擬，廠商會(huì)采用特定的技術(shù)手段確保其無害化。針對(duì)涉及惡意代碼的模擬，BAS廠商會(huì)采用特定的技術(shù)手段確保其無害化，這使得BAS能夠安全地測(cè)試防御系統(tǒng)對(duì)病毒、木馬、勒索軟件等惡意代碼的檢測(cè)和阻斷能力。

BAS滅活技術(shù)

廠商通過分析真實(shí)的惡意修改樣本，進(jìn)行重寫攻擊樣本處理，保留攻擊行為特征（如文件掃描、提權(quán)嘗試、解密等觸發(fā)檢測(cè)的關(guān)鍵模式）的同時(shí)，徹底破壞了其核心的有害代碼和破壞性操作（如刪除文件、加密硬盤、建立真實(shí)通信隧道等）由此產(chǎn)生的“滅活”病毒樣本，僅作為安全測(cè)試適配器，只為觸發(fā)防御系統(tǒng)的檢測(cè)邏輯，不具備真實(shí)的攻擊能力。

BAS滅活示例

例如，在模擬一個(gè)勒索軟件攻擊時(shí)，滅活樣本會(huì)模擬文件讀取、重命名文件、生成勒索信息彈窗口等行為，但核心的加密模塊會(huì)被刪除，從而不會(huì)真實(shí)加密用戶數(shù)據(jù)。去除不可控行為，例如不會(huì)激活運(yùn)行病毒樣本文件，只保留觸發(fā)安全產(chǎn)品檢測(cè)的特征，從而確保模擬的真實(shí)性和安全性。

廠商案例

塞訊科技對(duì)于無法部署沙盤環(huán)境的客戶提供了無害化樣本進(jìn)行驗(yàn)證，也提供通過模擬惡意樣本的行為實(shí)現(xiàn)檢測(cè)，可在驗(yàn)證時(shí)不對(duì)部署環(huán)境造成影響。

矢安科技的攻鑒BAS產(chǎn)品在攻擊樣本處理時(shí)，通過分析真實(shí)惡意樣本并重寫攻擊樣本，在保留攻擊特征的同時(shí)去除了危害性操作，從而得到了用于攻擊的“滅活的病毒”樣本。通過對(duì)樣本的“滅活”不僅實(shí)現(xiàn)了從“毒藥”變?yōu)椤霸噭保尅霸噭弊兊母煽?，可用于各類?yàn)證場(chǎng)景。

6）內(nèi)置熔斷機(jī)制與安全：模擬攻擊的“安全保險(xiǎn)絲”

BAS產(chǎn)品普遍內(nèi)置自動(dòng)化熔斷機(jī)制作為安全防護(hù)的最后一道屏障，能夠在模擬攻擊出現(xiàn)風(fēng)險(xiǎn)時(shí)，立即自動(dòng)終止測(cè)試任務(wù)，并將風(fēng)險(xiǎn)降至最低，這種機(jī)制構(gòu)筑了最后一道防線。

BAS熔斷機(jī)制

BAS系統(tǒng)在模擬攻擊過程中會(huì)持續(xù)監(jiān)控目標(biāo)系統(tǒng)和網(wǎng)絡(luò)的狀態(tài)，通過實(shí)時(shí)監(jiān)測(cè)系統(tǒng)資源（如CPU、內(nèi)存）的異常拓?fù)?、服?wù)響應(yīng)延遲、關(guān)鍵文件突然變更、或異常網(wǎng)絡(luò)流量模式等潛在信號(hào)，一旦檢測(cè)到任何異?；虺鲱A(yù)設(shè)安全閾值的情況，系統(tǒng)會(huì)立即自動(dòng)終止測(cè)試任務(wù)，將風(fēng)險(xiǎn)降至最低。確保在極端或不可預(yù)見的情況下，能夠迅速停止可能的影響，類似電路中的保險(xiǎn)絲，在過載時(shí)自動(dòng)切斷。同時(shí)，BAS系統(tǒng)在設(shè)計(jì)上會(huì)遵循最小權(quán)限原則，其通知和管理平臺(tái)只需獲取完成驗(yàn)證任務(wù)所需的最小權(quán)限，并提供完善的環(huán)境回滾機(jī)制，確保即使發(fā)生意外，也能快速環(huán)境到驗(yàn)證前的安全狀態(tài)。

廠商案例

綠盟科技產(chǎn)品內(nèi)置熔斷機(jī)制，當(dāng)模擬行為意外觸發(fā)驗(yàn)證環(huán)境系統(tǒng)異常時(shí)（如CPU激增、服務(wù)響應(yīng)延遲），會(huì)自動(dòng)終止測(cè)試并回滾狀態(tài)

通過國(guó)內(nèi)BAS廠商在無損模擬技術(shù)上的不懈努力和創(chuàng)新，企業(yè)可以更加放心地將BAS應(yīng)用于其最關(guān)鍵的業(yè)務(wù)場(chǎng)景中，真正實(shí)現(xiàn)“真攻擊，零傷害”，讓安全防護(hù)看得見，確保企業(yè)的每一分安全投入都能轉(zhuǎn)化為實(shí)實(shí)在在的防御能力和業(yè)務(wù)價(jià)值。