美国CSF&CPGs&D3FEND框架对比及网络安全防御技战术体系构建的思考
内容提要
该文章介绍了美国发布的三个网络安全防御框架：Cybersecurity Framework(CSF)、D3FEND和Cross-Sector Cybersecurity Performance Goals(CPGs)。CSF提供核心功能和层级，CPGs适用于中小型单位，D3FEND是针对攻击技术的防御机制框架。文章建议结合CSF或CPGs框架划定战术边界，并使用D3FEND框架构建细化的防御技术体系。
延伸解读
三个框架的定位差异：合规基线与技术细度
CSF和CPGs侧重合规性要求，为组织划定防御战术边界，其中CSF对管理能力要求高，CPGs则简化至38个防护目标，适合中小型关基单位。D3FEND则聚焦技术层面，通过知识图谱提供与ATT&CK攻击技术对应的防御机制，粒度最细。三者定位不同：前两者回答“该防哪些方面”，后者回答“具体怎么防”。
防御体系构建的驱动逻辑：合规优先，技术细化
文章指出，防御组织与攻击组织的技战术构建逻辑不同：攻击方以目标脆弱性驱动，防御方则应以条规、条例驱动。因此，构建防御体系时，应先依据单位性质对应的合规要求（如CSF或CPGs）划定战术边界，再基于合规要求细化可能遭遇的攻击技战术，并利用D3FEND映射具体防御技术，形成从宏观到微观的完整体系。
D3FEND与ATT&CK的映射机制：以数字组件为桥梁
D3FEND通过数字组件本体（DAO）与ATT&CK关联。攻击技术实施时会产生数字组件（如文件、进程），防御技术正是通过识别这些组件的异常来实现防御。这种映射使得防御方可以基于已知攻击组织的ATT&CK技战术，结合具体场景中的数字组件，反推所需的D3FEND防御技术，实现“以攻促防”的针对性防御策略编排。
实践中的权衡：简化与遗漏风险
CPGs虽降低了评估难度并映射了部分攻击技战术，但因其简化，可能造成防御体系构建的遗漏。CSF全面但操作复杂，对资源有限的中小型单位 adoption 率不高。D3FEND技术细度高但依赖对攻击技战术和数字组件的准确理解。因此，实际构建时需根据组织能力和场景，在合规覆盖度与技术细度之间取得平衡，避免盲目套用。
Q&A
CSF框架的核心功能包括哪些方面？
CSF框架的核心功能包括治理、识别、保护、检测、响应和恢复六个阶段。
D3FEND框架的主要目的是什么？
D3FEND框架旨在提供与攻击技术对应的防御机制，帮助安全专业人员更有效地防御攻击。
CPGs框架是如何简化CSF框架的？
CPGs框架在CSF1.0的基础上进行了细化和简化，提供了38个防护目标，适用于中小型关键信息基础设施单位。
CSF框架的安全层级分为几个层次？
CSF框架的安全层级分为四个层次：部分、风险知情、重复性和自适应。
如何结合CSF和D3FEND框架构建防御体系？
可以基于CSF或CPGs框架划定战术边界，并使用D3FEND框架构建细化的防御技术体系。
CPGs框架的适用对象是什么？
CPGs框架专为中小型关键信息基础设施单位设计，提供可操作的防护目标。
