HVV蓝队视角的技战法分析
内容提要
HVV行动是国家应对网络安全问题的重要布局之一，演习规模不断扩大。红蓝两队分别为攻击队和防守队，蓝队要满足及时发现、处置和还原攻击链才能少扣分。参加HVV的行业可能面临资产信息泄露、漏洞利用等风险，安全团队应制定有效的技术防护方案。HVV期间，蓝队应确定攻击来源并隔离问题主机，通过IP定位、ID追踪、攻击程序分析等手段进行溯源反制，建立纵深防御体系架构，提升实战防护能力。
延伸解读
HVV评分规则演变：从发现到处置的更高要求
文章指出，2020年以前蓝队只要能发现攻击就能加分或补回扣分，但2021年起必须满足及时发现、及时处置以及还原攻击链才能少扣分。这一变化意味着防守方不能仅依赖告警，而需具备快速响应和完整攻击链回溯能力，否则可能提前出局。对安全团队而言，需提前优化流程与工具，确保满足新规则。
常见风险清单：从公网到内网的薄弱环节
文章列举了九类风险，包括公网资产漏洞、缺乏渗透测试、内网历史漏洞未修复、过度信任第三方、安全设备部署不足、代码泄漏检测缺失、离职权限回收不彻底、办公网流量审计缺失以及使用外部协同平台导致数据泄露。这些风险覆盖了资产、流程和人员多个维度，安全团队可对照自查，在HVV前优先整改高优先级问题。
技术防护三维度：云上东西向、办公网南北向与业务收敛
文章提出技术防护方案应包含云上东西向感知、办公网南北向全流量威胁情报监控和高风险业务系统收敛三个维度。云上通过部署蜜罐捕获横向攻击，办公网通过全流量对接威胁情报系统标记黑白灰IP，业务收敛则通过漏洞扫描和渗透测试修复高风险点。这三个维度共同构成纵深防御体系，帮助蓝队实现全方位监控和快速响应。
溯源反制手段：从IP定位到反向钓鱼
文章介绍了多种溯源反制技术，包括IP定位、ID追踪、攻击程序分析、蜜罐、批量上线钓鱼马、消耗云函数额度、虚假上线和反向钓鱼红队。这些手段旨在获取攻击者信息或干扰其攻击行为，但需注意合法合规。蓝队可根据自身条件选择合适手段，结合诱捕系统实现追踪溯源和防守反制。
Q&A
HVV行动的主要目的是什么？
HVV行动是国家应对网络安全问题的重要布局，旨在提升网络安全防护能力。
蓝队在HVV演习中需要满足哪些要求？
蓝队必须及时发现、处置攻击，并还原攻击链，以减少扣分。
参加HVV的行业面临哪些安全风险？
参加HVV的行业可能面临资产信息泄露、漏洞利用等风险。
蓝队如何进行攻击溯源？
蓝队可以通过IP定位、ID追踪和攻击程序分析等手段进行攻击溯源。
HVV演习前需要进行哪些准备工作？
演练前需进行安全漏洞扫描和渗透测试，及时修复高优先级漏洞。
如何提升员工的安全意识以防止钓鱼攻击？
可以通过发送钓鱼邮件进行测试，并对被钓鱼的员工进行专项安全意识培训。
