1. 引言：数字时代的金融堡垒与“实战演习”
1.1. 金融行业面临的网络威胁新常态
在数字化浪潮席卷全球的今天，金融行业已成为网络攻击的首要目标。攻击手段正经历着深刻的变革，呈现出高度的组织化、武器化与持续性。以国家背景支持的高级持续性威胁（APT）组织和商业化运作的勒索软件即服务（Ransomware-as-a-Service, RaaS）团伙，能够动用庞大资源，对金融机构发起长时间、高隐蔽性的精准打击。
这种新常态下，单一机构的安全事件不再是孤立问题。金融系统高度互联的特性决定了其固有的系统性风险：一家系统重要性机构的业务中断或数据泄露，可能通过支付链、信贷链迅速传导，引发市场恐慌，甚至威胁整个金融体系的稳定。
1.2. 为何需要超越传统渗透测试的红蓝对抗？
传统的渗透测试侧重于发现静态的技术漏洞，如同对堡垒墙壁的“敲击检查”。然而，面对智慧、多变的攻击者，这种方法已显不足。现代金融安全需要的是一场模拟真实战争的“实战演习”，其核心理念已从**“找漏洞”全面升级为“验韧性”**。
高级攻防演练旨在检验金融机构在真实攻击下的“预防-检测-响应-恢复”全链路能力，评估其安全体系能否在遭受重创后快速恢复核心业务。这不仅是技术层面的自我挑战，更是满足全球监管机构日益严苛要求的必要举措。从欧盟的《数字运营韧性法案》（DORA）到各国的监管新规，都明确要求金融机构证明其具备应对复杂网络攻击的实战能力。
1.3. 国际标杆：TIBER-EU与CBEST框架的引领作用
在此背景下，欧盟的TIBER-EU（基于威胁情报的道德红队测试）和英国的CBEST框架，已成为全球公认的情报驱动型攻防演练的“黄金标准”。它们代表了金融网络安全从被动合规向主动防御演进的最高水平。
本文旨在深度解析这两大框架的理论基础、实施流程与核心价值，并结合中国金融行业的监管环境与实践现状，为其构建更成熟、更有效的网络安全攻防演练体系提供具备可操作性的借鉴与实践路径。
2. TIBER-EU框架深度解析：欧盟的协同防御体系
TIBER-EU (Threat Intelligence-Based Ethical Red Teaming) 是由欧洲央行（ECB）于2018年发起，旨在协调和统一欧盟范围内金融实体的网络韧性测试方法。它是一个旨在提升整个生态系统防御能力的协同框架。
2.1. 理论基础与核心目标
核心理念：TIBER-EU的基石是情报驱动。测试并非随机的攻击尝试，而是基于对真实威胁的深入分析，模拟特定攻击者的战术、技术和程序（TTPs），通过道德红队（Ethical Red Teaming）的方式，对机构的防御、检测、响应及恢复能力进行全生命周期闭环验证。
三大目标：
- 提升单个实体的网络韧性：通过实战检验，帮助机构识别并修复其在人员、流程和技术上的深层次安全短板。
- 推动欧盟金融生态的整体安全成熟度：通过标准化的测试方法，使得各机构的测试结果具备可比性，从而评估和提升整个金融系统的韧性水平。
- 建立标准化、可互认的测试框架：支持如DORA法案中的威胁主导渗透测试（TLPT）要求，减少金融机构在不同欧盟成员国的重复合规负担。
2.2. 实施流程与关键阶段
TIBER-EU的测试流程严谨且分阶段进行，确保测试在风险可控的前提下达到最大效果。
准备阶段 (Preparation)：
- 机构向国家主管部门（如本国央行）申请或被指定参与测试。
- 组建内部的协调管理团队，即白队（White Team）。
- 明确测试范围，即需要保护的关键业务功能（Critical or Important Functions, CIFs）。
- 通过独立招标，分别采购威胁情报（TI）提供商和红队（RT）测试提供商，严格确保两者相互独立，避免利益冲突。
测试阶段 (Testing)：
- 情报子阶段：TI提供商进行为期数周的深度情报收集与分析，最终交付一份《目标威胁情报报告》（Targeted Threat Intelligence Report, TTIR）。该报告详细描述了最可能攻击该机构的威胁行为者、其惯用TTPs以及多个具体的、可执行的攻击剧本。
- 红队子阶段：RT依据TTIR中的攻击剧本，在真实的生产环境中（或高度仿真的测试环境）对机构的关键业务功能（覆盖人、流程、技术）发起为期至少12周的隐蔽攻击。在此期间，机构的安全运营团队，即蓝队（Blue Team），在不知情的情况下进行检测与响应。
收尾阶段 (Closure)：
- 红队和蓝队分别撰写《红队测试报告》和《蓝队测试报告》，详细记录攻击路径、成功利用的漏洞以及蓝队的检测与响应情况。
- 召开由红、蓝、白三方共同参与的**“紫队演练”(Purple Teaming)**复盘会议，共同分析攻防过程中的成败得失。
- 机构基于测试结果制定详细的修复计划。完成测试后，监管机构会签发一份测试认可证明（Attestation），以支持跨境互认。
图1：TIBER-EU框架生命周期图
2.3. 实践案例与应用效果分析
案例分析：据报道，德意志银行（2023年） 在一次类TIBER测试中，红队模拟了知名APT组织APT29的攻击手法。通过利用Golden SAML技术，成功绕过了多因素认证（MFA），从而暴露了该行在OAuth授权流程中的一个关键漏洞。这次测试直接推动了其令牌管理策略的全面优化，包括缩短令牌有效期和增强轮换机制。
最新进展：
- 框架持续演进，最新的《TIBER-EU实施指南》要求使用MITRE ATT&CK v13作为TTPs的通用语言。
- 测试场景不断扩展，已覆盖AWS/Azure等云环境、供应链攻击（如模拟第三方软件更新劫持）和API安全。
- 试点项目开始探索利用**人工智能（AI）**分析海量威胁数据，以实现攻击剧本的半自动化生成。
3. CBEST框架深度解析：英国的监管驱动模式
CBEST是英国央行（Bank of England）于2014年推出的框架，其最显著的特点是由监管机构深度主导，旨在确保英国金融体系的核心部分能够抵御最严峻的网络威胁。
3.1. 理论基础与核心目标
核心理念：CBEST的灵魂是**“黄金线索”(Golden Thread)**原则。该原则要求从威胁情报的生成到渗透测试的每一个具体步骤，都必须紧密关联、逻辑一致且可追溯，确保测试活动高度聚焦于对机构构成最大威胁的真实场景。
核心目标：
- 满足监管合规要求：测试结果直接服务于英国审慎监管局（PRA）和金融行为监管局（FCA）的监管评估，是衡量机构网络韧性的关键依据。
- 聚焦高优先级威胁：模拟对英国金融稳定构成最严重威胁的攻击者，对支付、清算等核心系统进行高度针对性的压力测试。
- 强制推动整改闭环：不仅仅是发现问题，更要确保机构在规定时间内完成修复，并由监管机构验证整改效果。
3.2. 实施流程与关键阶段
CBEST的流程体现了强烈的监管驱动色彩。
- 启动阶段 (Initiation)：由英国央行等监管机构直接发起，指定需要接受测试的金融机构，并明确需要保护的关键业务服务（Important Business Services, IBSs）。
- 情报阶段 (Threat Intelligence)：经认证的情报供应商（TISP）进行情报分析，其成果不仅依赖商业情报，还会融合英国国家网络安全中心（NCSC/GCHQ）的国家级情报，最终形成一份《针对性威胁评估》报告。
- 渗透测试阶段 (Penetration Testing)：经认证的渗透测试提供商（PTSP）在“黄金线索”原则的指导下，执行攻击并记录详细的证据链。此阶段不仅测试技术防御，也评估机构自身的威胁情报和检测响应能力。
- 收尾与整改阶段 (Closure & Remediation)：测试结束后，机构必须向监管机构提交详细的修复计划。监管机构会全程跟踪整改进度，并通过后续评估验证整改措施的有效性，形成完整的监管闭环。
3.3. 实践案例与应用效果分析
案例分析：汇丰银行（2024年） 在一次CBEST测试中，攻击场景聚焦于其SWIFT GPI支付系统。红队成功模拟了通过其合作伙伴API注入恶意代码，篡改了ISO 20022标准支付报文中的金额与收款方信息。这次测试直接促使该行紧急部署了更严格的API Schema验证网关，并加强了对第三方接口的流量监控与异常行为分析。
最新进展：
- 为提高效率，测试开始引入自动化渗透平台（如集成BloodHound进行Active Directory域渗透分析）。
- 攻击技术不断更新，新增了云原生攻击（如Kubernetes RBAC权限绕过）和对抗性机器学习攻击（测试反欺诈模型的鲁棒性）等前沿场景。
- 面对未来威胁，已开始探索对**后量子密码（PQC）**算法的抗攻击性测试。
4. TIBER-EU与CBEST对比分析：两种模式的异同
虽然两大框架都基于情报驱动的核心理念，但其在驱动力、实施模式和监管角色上的差异，决定了它们不同的适用场景和侧重点。
图2：TIBER-EU与CBEST框架对比图
| 维度 | TIBER-EU | CBEST |
|---|---|---|
| 核心驱动力 | 提升行业整体韧性与协作能力 | 满足特定监管要求与应对高优先级威胁 |
| 发起方 | 金融机构自主申请或被指定 | 监管机构强制指定 |
| 监管角色 | 间接监督，确保框架合规，促进互认 | 直接监管，深度介入从启动到整改的全流程 |
| 团队独立性 | 严格要求威胁情报与红队为完全独立的第三方 | 相对宽松，允许同一家认证供应商提供两种服务 |
| 情报来源 | 侧重商业威胁情报 | 结合商业情报与国家级情报 |
| 输出重点 | 生成全面的**《韧性评估报告》**，侧重能力成熟度 | 提交满足监管要求的**《合规报告》与《修复计划》** |
| 适用范围 | 泛欧盟金融基础设施及其他关键行业 | 英国关键金融机构 |
5. 中国金融行业网络安全攻防演练现状与挑战
中国金融监管机构高度重视网络安全，已通过一系列政策法规对攻防演练提出了明确要求。
5.1. 相关政策法规框架
- 中国人民银行：2025年施行的《中国人民银行业务领域数据安全管理办法》明确要求，重要数据处理者每年至少开展一次数据安全应急演练。
- 国家金融监督管理总局：2024年发布的《银行保险机构数据安全管理办法》强调，机构应定期组织开展应急演练，并对网络安全风险进行年度评估。
- 国家层面：《网络安全法》、《数据安全法》等上位法对金融等行业的关键信息基础设施（CII）保护提出了宏观要求，实战演练是落实这些要求的重要手段。
5.2. 当前实践模式与特点
目前，中国金融行业的攻防演练多以“护网行动”、“红蓝对抗”等集中式、大规模的实战演习为主。
- 驱动力：多为满足合规要求和检验特定时期（如重大会议期间）的安全保障能力。
- 特点：覆盖面广，参与机构众多，能够在短时间内集中检验和提升行业的整体防御水位。
- 形式：以不预设脚本的实战对抗为主，有效检验了应急响应和部门协同能力。
5.3. 面临的挑战与待完善之处
尽管现有演练成效显著，但与TIBER-EU和CBEST等国际顶尖框架相比，仍存在一些可完善之处：
- 情报驱动不足：演练的攻击手法和剧本可能更多依赖通用攻击工具和技术，与针对本机构的真实、定向威胁（特定APT组织的TTPs）存在脱节。
- 缺乏统一框架与成果衡量标准：各机构的演练目标、流程和评估标准不尽相同，导致演练成果难以在行业内进行横向比较、经验积累和能力互认。
- “为演练而演练”的风险：部分演练可能过度关注攻防得分、排名等形式化结果，而忽视了对核心业务在极端攻击下的业务韧性和恢复能力的真实检验。
- 专业供应商生态有待成熟：目前国内市场尚缺乏一套如TIBER/CBEST般成熟、权威的第三方威胁情报和顶级红队服务商的认证与管理体系。
6. 对中国金融企业的启发与方案设计参考
借鉴TIBER-EU和CBEST的核心价值，并结合中国国情，金融机构可以设计出更具深度和实效的定制化演练方案。
6.1. 借鉴TIBER-EU和CBEST的核心价值
- 思维转变：实现从“合规驱动”到“能力驱动”的跃迁，安全目标从满足监管检查转向构建可持续、可进化的主动韧性。
- 方法论引进：系统性地引入情报驱动、覆盖全攻击链、验证全生命周期的测试方法论。
- 生态建设：逐步推动建立行业内的专业服务商评估与认证体系，培养一批既懂金融业务又精通攻防技术的顶级威胁情报与红队服务商。
6.2. 如何结合国情设计定制化的演练方案
第一步：识别关键业务功能 (Critical Business Functions)
- 问题：如果系统瘫痪，什么业务会造成最大的客户影响、声誉损失和系统性风险？
- 行动：绘制核心业务地图，识别支撑这些业务的关键系统、数据和人员，将其作为演练的首要保护目标。
第二步：建立威胁情报能力 (Threat Intelligence Capability)
- 问题：谁最想攻击我们？他们会用什么手段？
- 行动：结合国际威胁情报（如MITRE ATT&CK）、国内安全态势通报和自身业务特点，形成针对自身的威胁攻击者画像和TTPs知识库。
第三步：设计情报驱动的演练剧本 (Scenario Design)
- 问题：如何将情报转化为可执行的攻击路径？
- 行动：将威胁情报转化为多个具体的、覆盖完整攻击链（从初始入侵到目标达成）的测试场景，确保演练的真实性和针对性。
第四步：建立闭环的改进流程 (Closed-Loop Process)
- 问题：如何确保演练发现的问题得到真正解决？
- 行动：引入“紫队”复盘机制，将演练报告中的每一个发现都转化为具体的、可跟踪的改进任务，并纳入下一轮演练进行验证。
6.3. 具体规划建议
- 近期 (1-2年)：在现有的“红蓝对抗”中，试点引入情报驱动的攻击剧本。演练结束后，强制要求组织**“紫队”复盘会议**，将重心从攻防得分转移到能力短板分析和修复计划制定上。
- 中期 (2-3年)：在机构内部，参考TIBER框架，制定标准化的攻防演练框架，明确白队、红队、蓝队、情报分析等各方职责与交付物标准。建立内部的漏洞与改进项跟踪验证机制。
- 远期 (3-5年)：推动行业层面建立威胁情报共享机制（如ISAC）和统一的演练框架标准。与监管机构合作，探索建立类似于TIBER-EU的测试结果互认机制，降低合规成本，提升整个行业的安全水位。
7. 结论：迈向主动、智能、具备实战对抗能力的金融网络韧性
TIBER-EU和CBEST框架的先进性在于，它们不仅是一套技术测试方法，更是一套驱动金融机构安全能力持续进化的管理哲学。它们通过模拟最真实的威胁，迫使机构直面自身最脆弱的环节，从而构建起真正的主动韧性（Proactive Resilience）。
对于中国金融行业而言，从“被动合规”的“护网”模式，向“主动韧性”的常态化、情报驱动型演练转型，是应对未来复杂网络对抗的必然选择。这不仅是技术的升级，更是战略思维、组织文化和管理流程的全方位变革。
展望未来，随着人工智能和自动化技术的发展，高级攻防演练将变得更加自动化、智能化。演练将与零信任架构、云原生安全等新安全范式深度融合，不再是周期性的“大考”，而是融入日常安全运营的、持续不断的“微型演习”，最终成为金融机构在数字时代生存和发展的核心竞争力。
8. 参考文献
- European Central Bank. (2025). TIBER-EU Framework (2025 version). Retrieved from https://www.ecb.europa.eu/pub/pdf/other/ecb.tiber_eu_framework_2025~b32eff9a10.en.pdf
- European Central Bank. (n.d.). What is TIBER-EU?. Retrieved from https://www.ecb.europa.eu/paym/cyber-resilience/tiber-eu/html/index.en.html
- Bank of England. (2024). CBEST Threat Intelligence-Led Assessments Implementation Guide. Retrieved from https://www.bankofengland.co.uk/financial-stability/operational-resilience-of-the-financial-sector/cbest-threat-intelligence-led-assessments-implementation-guide
- 中国人民银行. (2025). 《中国人民银行业务领域数据安全管理办法》（中国人民银行令〔2025〕第3号）. Retrieved from http://www.pbc.gov.cn/tiaofasi/144941/144957/5702602/index.html
- 国家金融监督管理总局. (2024). 《银行保险机构数据安全管理办法》. Retrieved from https://www.gov.cn/zhengce/zhengceku/202412/content_6995081.htm
- Central Bank of Ireland. (2019). TIBER-IE National Guide. Retrieved from https://www.centralbank.ie/docs/default-source/financial-system/tiber-ie/tiber-ie-national-guide-december-2019.pdf
- China Briefing. (2025). China’s Cybersecurity Law Amendments 2025: Second Draft. Retrieved from https://www.china-briefing.com/news/china-cybersecurity-law-amendments-2025/
- DLA Piper. (n.d.). Data protection laws in China. Retrieved from https://www.dlapiperdataprotection.com/index.html?c=CN
- 《基于金融科技风险管控视角下的网络安全攻防演练研究》. (n.d.). Retrieved from https://www.ahdbcp.com/dengbaonews/533.html
- 《2025金融行业网络攻防演练及重保现状与需求调研报告》. (2025). Fintech in China. Retrieved from https://www.fintechinchina.com/viewpoints/8308
贡献者
pansin