第四章：模拟场景选择——内部人员窃取、外部攻击、第三方泄露
4.1 适用场景
- 内部人员窃取：适用于员工、承包商、离职人员利用合法访问权限，主动或被动将敏感数据带出企业边界的情形。典型场景包括：离职前批量下载客户资料、特权账号滥用导出数据库、内部人员通过邮件/网盘外发文件。
- 外部攻击：适用于黑客、APT组织通过技术手段突破网络边界，窃取或破坏数据的情形。典型场景包括：Web应用SQL注入、钓鱼邮件获取凭证后横向移动、勒索软件加密后要求赎金。
- 第三方泄露：适用于合作伙伴、供应商、云服务商等因安全措施不足或违规操作导致数据外泄的情形。典型场景包括：第三方API接口未鉴权导致数据爬取、供应商员工误将数据上传到公开存储桶、外包运维人员留存数据副本。
提示：每类场景可进一步按数据资产类型（个人身份信息、商业机密、支付数据）拆分，建议至少为每个类别准备2~3个具体模拟案例，覆盖不同风险等级。
4.2 前置条件
- 已完成数据资产盘点与分类分级（参见第二章），明确各类数据的敏感度标签（公开/内部/敏感/高敏感）。
- 已建立组织权限矩阵，包括现有账号体系、数据访问控制列表（ACL）、特权账号列表。
- 已完成基线风险评估报告，识别出当前面临的主要威胁向量（如弱密码、未打补丁的Web应用、第三方接口暴露面过大）。
- 已确认模拟演练的参与团队（红蓝队、业务对口人员、法务/合规代表），并签署保密协议。
4.3 操作步骤
以下步骤由安全演练设计团队执行，流程节点与输出物对应。
| 步骤序号 | 动作描述 | 责任人 | 输出物 |
|---|---|---|---|
| 1 | 从资产清单中选取3~5种代表性高敏感数据 | 数据安全工程师 | 《数据对象选择表》 |
| 2 | 针对每种数据，评估其可能被盗/泄露的“最可能路径” | 威胁建模分析师 | 《攻击路径矩阵》 |
| 3 | 按内部窃取、外部攻击、第三方泄露三个维度和攻击路径，匹配现有案例库中的模板 | 演练设计负责人 | 《场景匹配记录》 |
| 4 | 若无合适模板，则根据实际环境撰写场景叙事（含时间线、工具、触发条件） | 红队成员/安全研究员 | 《自定义场景脚本V1.0》 |
| 5 | 组织评审会议，确认场景的故事合理性、技术可行性与合规风险 | 演练设计负责人 + 法务 | 《场景评审纪要》 |
| 6 | 选定最终场景并更新至演练主计划 | 项目经理 | 《模拟场景选择确认书》 |
注意：步骤2中的“最可能路径”需结合历史安全事件、渗透测试报告和威胁情报，避免选用完全不可能发生的想象场景。
4.4 输入输出物
| 类别 | 输入物 | 输出物 |
|---|---|---|
| 必须 | 数据资产清单 & 分类分级表 | 《模拟场景选择确认书》 |
| 推荐 | 历史安全事件记录、渗透测试报告 | 《场景匹配记录》（含可用/不可用理由） |
| 可选 | 合规要求（如GDPR、网络安全等级保护） | 《自定义场景脚本V1.0》（若需定制） |
4.5 责任边界
- 安全演练设计团队：负责场景可行性评估、技术实现方案编写。
- 数据所有者（业务部门）：确认所选数据对象是否符合业务运行保密需求，禁止选择带有生产环境实时数据的场景进行演练。
- 法务/合规团队：审核场景中涉及的个人数据、商业秘密是否超过演练授权范围。
- 演练项目经理：协调资源，确保场景在预定时间窗口内执行，并记录决策过程。
4.6 记录材料
- 《数据对象选择表》：记录每条数据的ID、名称、分类、分级、所属系统。
- 《攻击路径矩阵》：表格形式，行=数据对象，列=内部人员窃取/外部攻击/第三方泄露，单元格内填写具体路径描述。
- 《场景匹配记录》：列出候选场景编号、来源（模板/自建）、匹配度（高/中/低）、不匹配原因。
- 《场景评审纪要》：包含参加人、日期、关键争议点、结论。
- 《模拟场景选择确认书》：签字页，由演练设计负责人、项目经理、法务代表会签。
4.7 异常处理
| 异常情况 | 处理方法 |
|---|---|
| 所选数据对象当前不可用（如系统下架或迁移中） | 替换为同分类同级另一数据对象，并注明变更理由。 |
| 案例库中无合适模板，且自建场景技术可行性存疑 | 将场景拆分为多个子场景，分别验证后再合并；或降级为理论推演模式。 |
| 法务/合规部门判定场景涉及真实个人数据，风险过高 | 将数据对象替换为脱敏后的仿真数据；若仍不通过，则更换场景类别。 |
| 场景评审未通过，需返工 | 记录未通过项，返回步骤2或3重新评估，最多返工2次；超过则废弃该候选并另选。 |
4.8 验收标准
- 场景选择结果通过三方评审（设计组、数据所有者、法务）签字。
- 所有输入记录和评审纪要归档至演练项目文件夹，版本号清晰。
- 所选场景的“前提条件”与组织的实际IT环境一致（不包含已下线或未部署的系统）。
- 每个场景至少包含1个明确的检测点（如日志告警触发、SOC发现异常流量）和1个响应动作（如人工阻断、自动隔离）。