Google Cloud Well-Architected Framework 安全核心中的这一原则提供了相关建议，可帮助您构建强大的网络防御计划，作为整体安全策略的一部分。
此原则强调使用威胁情报来主动指导您在核心网络防御功能中的工作，如防御者优势：网络防御体系建立指南中所定义。
原则概览
在防御系统免受网络攻击时，您拥有一个显著但未充分利用的优势，可以用来对抗攻击者。正如 Mandiant 的创始人所说，“您肯定比任何攻击者都更了解自己的业务、系统、拓扑和基础设施。这是一项不可多得的优势。”为了帮助您利用这一固有优势，本文档提供了有关主动和战略性网络防御实践的建议，这些实践已映射到防御者优势框架。
建议
如需为云工作负载实施先发制人的网络防御，请考虑以下部分中的建议：
整合网络防御职能
此建议与所有重点领域相关。
《防御者的优势》框架确定了网络防御的六个关键功能：情报、检测、响应、验证、搜寻和任务控制。每个职能都专注于网络防御任务的独特部分，但这些职能必须协调一致并协同工作，才能提供有效的防御。专注于构建一个强大的集成系统，让每个功能都能相互支持。如果您需要分阶段采用，请考虑以下建议顺序。根据您当前的云成熟度、资源拓扑和特定威胁形势，您可能需要优先考虑某些功能。
- 情报：情报功能可指导所有其他功能。了解威胁形势（包括最有可能的攻击者、其战术、技术和程序 [TTP] 以及潜在影响）对于在整个计划中确定行动优先级至关重要。情报职能部门负责识别利益相关方、定义情报要求、收集数据、分析和传播、自动化以及创建网络威胁画像。
- 检测和响应：这些功能构成了主动防御的核心，包括识别和解决恶意活动。这些职能对于根据情报职能收集的情报采取行动至关重要。检测功能需要采用系统化的方法，将检测结果与攻击者的 TTP 保持一致，并确保可靠的日志记录。响应功能必须专注于初始分类、数据收集和突发事件修复。
- 验证：验证功能是一个持续的过程，可确保您的安全控制生态系统是最新的，并按设计运行。此职能可确保您的组织了解攻击面、知道漏洞所在，并衡量控制措施的有效性。安全验证也是检测工程生命周期的重要组成部分，必须用于识别检测差距并创建新的检测。
- 搜寻：搜寻功能涉及主动搜索环境中的活跃威胁。当您的组织在检测和响应功能方面具有基准成熟度时，必须实现此功能。搜寻功能可扩展检测功能，并有助于识别控制措施中的差距和弱点。搜寻功能必须基于特定威胁。这项高级功能依托于强大的情报、检测和响应能力。
- Mission Control：Mission Control 函数充当连接所有其他函数的中心枢纽。此职能部门负责整个网络防御计划的策略、沟通和果断行动。它可确保所有职能部门协同工作，并与组织的业务目标保持一致。您必须先清楚了解 Mission Control 职能部门的用途，然后再使用它来连接其他职能部门。
在网络防御的各个方面使用情报功能
此建议与所有重点领域相关。
此建议强调了情报功能是强大的网络防御计划的核心部分。威胁情报提供有关威胁行为者、其 TTP 和失陷指标 (IOC) 的知识。这些知识应为所有网络防御职能部门的行动提供依据并确定其优先级。情报驱动的方法可帮助您调整防御措施，以应对最有可能影响贵组织的威胁。这种方法还有助于高效分配资源并确定其优先级。
以下 Google Cloud 产品和功能可帮助您利用威胁情报来指导安全运维。使用这些功能可以识别潜在威胁、漏洞和风险并确定其优先级，然后规划和实施适当的操作。
Google Security Operations (Google SecOps) 可帮助您集中存储和分析安全数据。使用 Google SecOps 将日志映射到通用模型中，丰富日志，并将日志关联到时间轴，以全面了解攻击。您还可以创建检测规则，设置 IoC 匹配，以及执行威胁搜寻活动。该平台还提供精选检测，这些是预定义和托管的规则，可帮助识别威胁。 Google SecOps 还可以与 Mandiant 一线情报集成。Google SecOps 独特地集成了业界领先的 AI，以及来自 Mandiant 和 Google VirusTotal 的威胁情报。这种集成对于威胁评估以及了解谁在针对您的组织和潜在影响至关重要。
Security Command Center 由 Google AI 赋能，可让安全专业人员高效评估、调查和应对多个云环境中的安全问题。可从 Security Command Center 受益的安全专业人员包括安全运维中心 (SOC) 分析师、漏洞和状况分析师以及合规经理。Security Command Center 可丰富安全数据、评估风险并确定漏洞的优先级。此解决方案可为团队提供解决高风险漏洞和修复活跃威胁所需的信息。
Chrome Enterprise 进阶版提供威胁和数据保护功能，有助于保护用户免受渗漏风险，并防止恶意软件进入企业管理的设备。Chrome 企业进阶版还可让您了解浏览器中可能发生的不安全或潜在不安全活动。
通过 Network Intelligence Center 等工具进行网络监控，可让您了解网络性能。网络监控还可以帮助您检测异常流量模式或检测可能表明攻击或数据渗漏尝试的数据传输量。
了解并利用防御者优势
此建议与所有重点领域相关。
如前所述，如果您对自己的业务、系统、拓扑和基础设施有透彻的了解，那么您就比攻击者更有优势。为了充分利用这一知识优势，请在网络防御规划期间利用这些有关环境的数据。
Google Cloud 提供以下功能，可帮助您主动获得可见性，以识别威胁、了解风险并及时做出响应，从而减轻潜在损害：
Chrome 企业进阶版可保护用户免受数据渗漏风险，从而帮助您增强企业设备的安全性。它将Sensitive Data Protection 服务扩展到浏览器中，并防范恶意软件。它还提供恶意软件和钓鱼式攻击防护等功能，有助于防止用户接触不安全的内容。此外，您还可以控制扩展程序的安装，以防安装不安全或未经审核的扩展程序。这些功能可帮助您为运营奠定安全基础。
Security Command Center 提供持续风险引擎，可提供全面且持续的风险分析和管理。风险引擎功能可丰富安全数据、评估风险并确定漏洞的优先级，从而帮助快速解决问题。Security Command Center 可让您的组织主动识别弱点并实施缓解措施。
Google SecOps 可集中管理安全数据，并提供包含时间轴的丰富日志。这使防御者能够主动识别活跃的入侵行为，并根据攻击者的行为调整防御措施。
网络监控有助于识别可能表明存在攻击的异常网络活动，并提供可用于采取行动的早期指标。为了主动保护数据免遭盗窃，请持续监控数据渗漏情况并使用提供的工具。
持续验证和改进防御措施
此建议与所有重点领域相关。
此建议强调了有针对性的测试和持续验证控制措施的重要性，以便了解整个攻击面的优势和劣势。这包括通过以下方法验证控制措施、运营和员工的有效性：
您还必须主动搜索威胁，并使用结果来提高检测能力和可见性。使用以下工具持续测试和验证防御措施，以抵御实际威胁：
Security Command Center 提供持续风险引擎，用于评估漏洞并确定修复优先级，从而持续评估您的整体安全状况。通过确定问题的优先级，Security Command Center 可帮助您确保有效利用资源。
Google SecOps 提供威胁搜寻和精选检测功能，可让您主动识别控制措施中的弱点。此功能可让您持续测试和改进威胁检测能力。
Chrome 企业进阶版提供威胁和数据保护功能，可帮助您应对不断变化的新威胁，并持续更新防御措施，防范数据渗漏风险和恶意软件。
Cloud Next Generation Firewall (Cloud NGFW) 提供网络监控和数据渗漏监控。这些功能可帮助您验证当前安全状况的有效性，并识别潜在的弱点。数据渗漏监控可帮助您验证组织的数据保护机制的强度，并在必要时进行主动调整。将 Cloud NGFW 的威胁发现结果与 Security Command Center 和 Google SecOps 集成后，您可以优化基于网络的威胁检测、优化威胁响应并自动执行 playbook。
管理和协调网络防御工作
此建议与所有重点领域相关。
如前文整合网络防御职能中所述，任务控制职能将网络防御计划的其他职能相互关联。此职能可实现整个计划的协调和统一管理。它还有助于您与其他不从事网络安全工作的团队进行协调。任务控制功能可促进赋能和问责，提高敏捷性和专业性，并推动责任和透明度。
以下产品和功能可帮助您实现 Mission Control 功能：
- Security Command Center 是协调和管理网络防御操作的中心。它将工具、团队和数据整合在一起，并提供内置的 Google SecOps 响应功能。Security Command Center 可让您清楚了解组织的安全状态，并识别不同资源中的安全配置错误。
- Google SecOps 为团队提供了一个平台，可通过映射日志和创建时间轴来应对威胁。您还可以定义检测规则并搜索威胁。
- Google Workspace 和 Chrome 企业进阶版 可帮助您管理和控制最终用户对敏感资源的访问。您可以根据用户身份和请求的情境定义精细的访问权限控制。
- 网络监控可让您深入了解网络资源的性能。您可以将网络监控数据分析导入 Security Command Center 和 Google SecOps，以便进行集中监控，并与其他基于时间轴的数据点进行关联。此集成可帮助您检测和响应由恶意活动引起的潜在网络使用情况变化。
- 数据渗漏监控有助于识别可能的数据丢失事件。借助此功能，您可以高效地调动突发事件响应团队、评估损害并限制进一步的数据渗漏。您还可以改进当前的政策和控制措施，以确保数据保护。
商品摘要
下表列出了本文档中介绍的产品和功能，并将其映射到关联的建议和安全功能。
| Google Cloud 产品 | 适用的建议 |
|---|---|
| Google SecOps |
在网络防御的各个方面使用情报功能：支持威胁搜寻和 IoC 匹配，并与 Mandiant 集成以进行全面的威胁评估。 了解并利用防御者的优势：提供精选检测并集中安全数据，以便主动识别入侵。 持续验证和改进防御措施：支持持续测试和改进威胁检测功能。通过 Mission Control 管理和协调网络防御工作：提供一个用于威胁响应、日志分析和时间轴创建的平台。 |
| Security Command Center |
在网络防御的各个方面使用 Intelligence 功能：使用 AI 评估风险、确定漏洞优先级，并提供富有实用价值的分析洞见以进行修复。 了解并利用防御者的优势：提供全面的风险分析、漏洞优先级划分和主动识别弱点。 持续验证和改进防御措施：提供持续的安全状况评估和资源优先级排序。通过 Mission Control 管理和协调网络防御工作：充当管理和协调网络防御操作的中心枢纽。 |
| Chrome 企业进阶版 |
在网络防御的各个方面使用 Intelligence 功能：保护用户免受外泄风险、防范恶意软件，并提供对不安全浏览器活动的可见性。 了解并利用防御者的优势：通过数据保护、恶意软件防范和扩展程序控制，增强企业设备的安全性。 持续验证和改进防御措施：通过持续更新防御措施来应对新的和不断演变的威胁，防范渗漏风险和恶意软件。通过 Mission Control 管理和协调网络防御工作：管理和控制最终用户对敏感资源的访问权限，包括精细的访问权限控制。 |
| Google Workspace | 通过 Mission Control 管理和协调网络防御工作：管理和控制最终用户对敏感资源的访问权限，包括精细的访问权限控制。 |
| Network Intelligence Center | 在网络防御的各个方面使用情报功能：提供对网络性能的可见性，并检测异常流量模式或数据传输。 |
| Cloud NGFW | 持续验证和改进防御措施：通过与 Security Command Center 和 Google SecOps 集成，优化基于网络的威胁检测和响应。 |