隨著數字化轉型的深入，網絡攻擊已從單純的技術破壞演變為直擊業務核心的致命威脅。傳統防御體系在新型攻擊模式面前面臨威脅防不住、安全效果不確定、攻防成本不對稱、安全危機不可避免、安全目標難以達成等挑戰，且傳統安全理論未以保護業務連續性為核心目標，未正確認識網絡安全問題產生的根本原因，難以解決攻防失衡的系統性困境。在這一背景下，"韌性網絡安全"正成為行業共識，其核心理念正在從"防住攻擊"向"保障業務持續運行"演進。

近期，在聯軟與企業CIO的對話中，我們注意到大家普遍關注以下幾個關鍵問題：如何準確理解"韌性安全"的實質內涵？國際權威標準對"韌性"提出了哪些新要求？更重要的是，如何將韌性理念轉化為可落地的實施方案？這些問題的探討將幫助我們共同構建面向未來的安全防御體系。

Q&A

 Q1.近期，“韌性網絡安全”成為行業熱詞，您能否為我們解讀一下到底什么是“韌性”？為什么它會成為全球網絡安全的新趨勢？

韌性，是理解當前網絡安全變革的關鍵。所謂“韌性”，核心思想就是從過去單純地“防住”攻擊，轉變為即使在遭受攻擊時也能“扛住”，確保核心業務不受影響。

我們可以從四個維度的轉變來理解：

這個趨勢的背后，是國際標準的推動。美國NIST CSF框架，在其最新的2.0版本中重點強化了治理和保護模塊，核心就是提升技術基礎設施的韌性。緊接著，國際標準化組織（ISO）也更新了ISO 27001系列標準，在今年（2025年）7月正式發布了與其配套的、聚焦韌性網絡安全的ISO 27031新版。 

甚至，這股浪潮已經延伸到了特定行業。例如，中國船級社已明確要求，自去年7月1日后下單的遠洋船舶必須滿足網絡韌性要求。所以說，構建韌性安全體系已經不是一個“選擇題”，而是一個“必答題”。不遵循這套方法論，就意味著在未來的安全對抗中處于落后地位。

Q2.既然CSF 2.0和ISO 27031等國際框架已經指明了方向，是否意味著遵循這些框架就足夠了？

這些框架的邏輯和方向無疑是先進的，但我們認為，在“精益求精”的落地實踐上，在一些具體策略和工具上是可以優化的。

首先，在“識別”環節，它們未能識別出一些影響業務連續性的重大隱性風險。 

一是集權系統的風險被低估。 比如，一家大型科技公司曾因其私有云VMware管理服務器被黑，導致數據中心癱瘓超過一個月。這種“神經中樞”式的系統一旦被攻擊，后果是災難性的。

二是同構系統的容災悖論。 很多企業有主備數據中心，但從網絡、硬件、操作系統到應用都是一樣的。這意味著漏洞也是一樣的。黑客能攻破主中心，同樣也能攻破備中心，這使得傳統的容災備份在面對同源漏洞時形同虛設。

三是海量Web類應用和免費軟件的風險被忽視。 有數據顯示，Web應用存在的漏洞風險可能是防火墻本身核心功能漏洞風險的上千倍，同時，員工個人安裝的免費軟件也是一個巨大的安全短板，但現有框架并未針對這些問題給出有效的識別和指導。

四是缺乏識別關鍵業務的分類框架，防護失焦。針對不同防護級別的資產，哪些是暴露面，哪些是具備脆弱性的攻擊面，企業往往缺乏有效工具進行區分，導致資源有限的情況下保護失焦。

其次，在“保護”環節，技術手段過于單一。 框架主要提倡零信任、網絡分段、ACL等技術，但存在“自身防護失位”，且在很多場景下力不從心。例如，如何對企業的“大腦”——活動目錄（AD）做零信任保護？還有敏感數據如何做安全控制？這些都是難題。更重要的是，它主要關注業務是否癱瘓，而對黑客竊取數據這一核心問題關注不足。

最后，在“檢測”環節，缺乏韌性思維， 沒有充分結合地利、人和與技術優勢，構建動態、立體的檢測體系，在面對黑客攻擊“秒級迭代”，防御陷入“檢測響應滯后陷阱”。

Q3.您提到了保護環節的局限性，一個相關的熱詞是“暴露面管理”。聯軟的理念與主流方法有何不同，如何更好地增強韌性？

這里提到了一個關鍵點。首先我們要厘清兩個概念：暴露面是指系統可以從互聯網或內部其他網絡被訪問到的部分；而攻擊面則是在暴露的基礎上，還存在可以被利用的脆弱性。

Gartner提出了五大暴露面收斂策略，包括暴露面持續發現、強制實施最小暴露原則、優先聚焦高風險暴露點、與ITSM等業務系統結合做閉環處理以及建立暴露面治理文化等，這都是很好的指導思想。但我們認為，要做到真正的韌性，還必須超越這些框架：

首先，視角必須從“外網”擴展到“全網”。 由于釣魚攻擊的泛濫，黑客進入內網變得異常容易。因此，暴露面收斂不能只盯著互聯網入口，而是要站在內網中任意一臺主機、一個外包人員、一個測試網的視角，去審視內部的暴露面。

其次，收斂工具必須多樣化，不能僅限于網絡層面。 許多方案只強調ZTNA和網絡分段，但忽略了“軟件”和“取數”這兩個最大的變量。如員工電腦上裝了一個可以被遠程控制的“美X秀秀”，你所有的網絡零信任策略可能就都白費了，再如取數環節利用U盤直接植入病毒木馬侵入。因此，軟件和數據層面的收斂，是同等重要的。 

只有將視角從外部轉為全網，將工具從網絡層擴展到軟件應用和數據層，才能真正有效地收斂攻擊面，為構建韌性打下堅實基礎。

Q4.面對這些挑戰，聯軟提出了怎樣的解題思路？背后的核心安全哲學是什么？

我們認為，韌性是網絡安全設計理念的一次代際變革，其意義不亞于從功能手機到智能手機的躍遷。 因為這個理念帶來了四個根本性的轉變：

1. 核心從“漏洞修復”變為“權限控制”。 漏洞是無窮的，而權限是可收斂的。將核心從修復無窮的漏洞，轉移到控制有限的權限上，能極大降低管理負擔和成本。

2. 讓底線風險管控成為可能。 你永遠不知道還有多少未知漏洞，但通過韌性設計，你可以精確地設計出系統的安全水平。

3. 改變攻防不平衡的格局。 重新定義“防御成功”的標準：不是“黑客沒有進來”，而是“黑客進來了，但無法對企業的業務連續性造成嚴重破壞”。

4. 實現網安與數安的一體化。 傳統網安關注漏洞修復，數安關注權限控制。韌性安全恰好將兩者完美融合。

聯軟基于對大型企業防勒索、防泄密以及員工隱私保護的需求洞察，以及改變安全攻防不平衡現狀的初衷，早在2018年就提出了“可信數字網絡架構（TDNA）”的理念，其核心就是通過“分層容錯”“主動對抗”和“指揮自動化”的一體化設計來實現韌性安全。

這個架構的哲學基石是“安全要服務于業務”。怎么才算服務業務？兩條標準：第一，做好網絡、邊界、端側、云端等多層容錯保護和系統恢復實現底線風險管控；第二，要助力業務發展，有好的投入產出比。我們不追求無法實現的“絕對安全”，但我們必須改變攻防不平衡的現狀。 

Q5.這個架構聽起來很宏大，能否用一個更形象的方式解釋，它是如何將理論落地為實際防御體系的？

當然。我們可以借鑒中國古代最堅固的城池——唐朝長安城的防御體系來理解。通過常規戰爭的城市防御智慧完全來解釋我們這套防御理論。

我們的“可信數字網絡架構”分為三個層次：

空間層（外城墻、護城河與坊市網格）：

l 城墻與城門：對應企業的網絡邊界，通過暴露面收斂，建立堅固的“數字城墻”。

l 網格化管理：長安城內部分為108個“坊”，相互隔離。我們同樣對內網進行精細化的邏輯分段，即使一個“坊”被攻破，也不會迅速蔓延至全城。

l 護城河：這就是我們的軟件治理。為什么？因為員工電腦上一個不安全的軟件，比如美xx秀或向x葵，就如同在城墻下挖了一條地道，所有城防瞬間失效。長安城的護城河又寬又深，讓敵人難以逾越或挖掘地道。強大的軟件治理，就是構建這樣一條“數字護城河”。

系統層（內城與皇城）：

這對應企業的核心業務系統和集權系統，它們是需要被重點保護的“皇城”。我們對其進行進一步的韌性增強，構建更堅固的“內城墻”，實施更嚴格的訪問控制。

數據層（玉璽與虎符）：

這對應企業最核心的數據資產。我們會對數據進行分類分級，并定義其流轉規則。例如，"玉璽”只能在皇宮內；而調兵的“虎符”平時在皇宮，戰時則可以出城。通過精細化的數據流轉控制，確保核心資產的安全

整個體系的運轉，還需要統一的“身份管理”，就像長安城里官員與百姓的服飾、通行證截然不同一樣，確保每個訪問者身份清晰、權限得當。

Q6.那么，為了構筑這樣一座堅固的“數字城池”，聯軟提供了哪些具體的“建材”和“施工方案”呢？

聯軟將這套架構思想物化為一系列產品和解決方案，可以像“搭積木”一樣，為客戶靈活構建。我們的實施路徑通常分為六大步：

1. 賬號與授權： 賬號收斂是所有安全的基石。我們打造了“擴展的中國域控”，它比傳統AD更安全，支持從Windows到國產操作系統乃至純血鴻蒙，且無需安裝客戶端，為整座城池提供統一、可信的身份認證底座。

2. 全網暴露面收斂與軟件管理： 這是“修城墻、筑城門、挖護城河”的階段，從網絡、邊界、端側、云端全面收斂暴露在內外部的攻擊面，并對軟件進行有效治理。

3. 核心系統韌性增強： 加固“內城”與“皇城”，對堡壘機、核心業務系統等采用多重容錯保護。

4. “五位一體”勒索防護： 增加“衛兵”（防病毒軟件）、“暗哨”（幻影主動欺騙）和巡邏隊（高級威脅檢測與響應EDR），建立“烽火臺”（應急處置系統），實現主動發現和快速響應。在金融領域，我們有一套完整的防釣魚方案，有效防住銀狐病毒。

5. 場景化數據防泄密： 在城防穩固后，我們才有資格談數據安全。我們強調，業務部門才是數據安全的第一責任人（誰管業務，誰管數據），聯軟可提供基于場景的控制和震懾方案，助力企業業務部門落地數據防泄密。

6. 原生安全： 如果企業自身也開發軟件系統，我們提供“安全左移”方案，從開發源頭就將安全能力內置進去。通過隱藏后端應用、專用客戶端、專用網關和SDK，實現“應用即安全”。

值得一提的是，我們將準入、零信任、EDR、VPN、軟件管理、補丁管理等數十種功能，全部集成在一個輕量化的客戶端里，解決了用戶桌面安全應用臃腫、沖突的問題，實現了真正的一體化。 

Q7.您剛才提到了對核心系統進行“多重容錯”保護，這聽起來是增強韌性的關鍵。能否以保護堡壘機為例，具體闡述是如何實現的？

堡壘機上擁有IT部門大量核心數據，一旦被攻破，全盤皆輸。任何單一的安全產品都存在被攻破的可能。因此，我們的思路不僅是依賴堡壘機自身的安全，還要通過架構設計，創造一個多重防護、攻擊難度極高的環境。

我們設計了至少四重異構的容錯保護：

l 第一重（入口控制）： 在堡壘機前部署一臺我們的安全接入網關，并在網絡策略上規定，只有通過這臺網關才能訪問堡壘機。同時用可視化工具（如：安全策略管理NSPM）防止防火墻策略配置錯誤。

l 第二重（客戶端控制）： 強制要求用戶必須使用我們自研的、無任何數據導出功能的“保密瀏覽器”來訪問安全網關，其他瀏覽器無法使用，且采用便捷的多因素強認證。

l 第三重（異構網關）： 在此基礎上，再串聯一臺由不同團隊開發的SDP安全網關。因為是異構開發，一個產品的漏洞很難在另一個上復現，這極大增加了攻擊難度。

l 第四重（文件交換控制）： 如果需要數據交換，取日志做分析，我們還有一個專門的安全交換系統（UniNXG）。它內部通過無IP通信的虛擬機、指令與數據分離、指令白名單、數據準白名單（例如，只允許中文字符通過）等四層機制，實現了極致的安全隔離。 

▲聯軟科技四層容錯以ECC、堡壘機等集權保護為例

每增加一重保護都能將攻擊成功率降低數百甚至上千倍。經過這樣四重異構的容錯設計，理論上，通過外部直接打穿這套防御體系的概率極低。這就是架構的力量，它遠比依賴單個產品的安全性要可靠得多。

目前，這套網關及配套技術已經在多個國有銀行運用于營業廳移動業務，護網6、7年從未被攻破過。同樣的，這套方法也可應用于對ECC等核心業務系統的保護。

Q8.在終端上，很多企業都面臨著安全客戶端過多、互相沖突、拖慢性能的問題。聯軟是如何解決這個行業難題的？

這確實是行業的普遍痛點。一個網管員的電腦上可能同時裝著準入、主機安全審計、零信任、VPN、EDR、殺毒、數據防泄密等多個客戶端，不僅管理復雜，用戶體驗也極差。我們的核心解決之道就是真正的“一體化設計”。

我們采取終端一體化，將準入、零信任、EDR、軟件管理、補丁管理、資產管理、數據防泄密等數十種核心安全能力，全部集成在一個經過重構的、微服務化的輕量級客戶端中。經過持續優化，其安裝后的資源占用僅為行業同等功能產品平均水平的1/3到1/10，徹底解決了客戶端臃腫的問題。

Q9.聯軟的韌性安全體系聽起來非常完善，但對企業而言，如何分階段實施，最終能為業務帶來什么價值？

我們通常建議客戶分四步走，穩健地提升安全水位：

l 第一期（打好安全基礎平臺）： 賬號和資產的統一管理，做好以無界辦公為核心的暴露面收斂、軟件管理和內部分區，就相當于做好城墻、城門，實行網格化管理，同時，保護好運維等集權系統和核心機密文件等，實現安全與業務一體化、攻防一體化、防勒索一體化以及終端一體化等。

l 第二期（增強韌性助力業務）：進一步做賬號和資產的異常分析， 深入內網做微隔離，對核心系統引入異構的溫備方案以防同源漏洞，并在開發流程中引入原生安全。此時可以逐步啟動數據分類分級工作、增強入侵檢測能力。

l 第三期（數據降噪運營提升）： 聚焦核心異常數據，為SOC數據“降噪”，提升情報價值，建立統一的安全運營平臺，為安全自動化做準備。

l 第四期（降本增效戰略支撐）： 用自動化的方式，為企業降本增效，為安全運營引入AI工具，提升業務效率，讓安全數據能夠為企業戰略決策提供支撐。

最終，我們希望幫助企業實現安全建設的三個境界：

l 保障（開車不翻車）： 這是基礎，確保企業實現底線風險管控，安全不再成為業務發展的障礙。

l 支撐（車想開到哪，就能開到哪）： 安全能夠支撐業務的快速發展和創新，而不是成為瓶頸。

l 助力（車開得比別人更快、更好，還省錢）： 安全成為企業的核心競爭力之一，推動業務加速發展。

網絡安全的本質是一場永不停歇的對抗。當攻擊者的目標從“攻破系統”轉向“癱瘓業務”時，我們的防御思想也必須隨之進化。聯軟科技提出的基于“韌性”的“可信數字網絡架構”，正是對這一時代挑戰的回應。它不僅僅是一套產品或解決方案，更是一種全新的安全哲學——從被動的封堵者，轉變為業務發展的堅定守護者與賦能者。