□ 陆宝华 钱晓斌

“没有网络安全就没有国家安全”，我们的网络安全保护工作已经开展了20多年了，那么网络安全的保护水平究竟怎么样呢，贵阳市2016年和2017年开展了2次以实网为目标的攻防演练，揭开了冰山的一角。从而不仅发现了网络安全保护存在的薄弱环节，也带给了我们许多启示和思考。

某网站日语版面被黑客攻陷了半年之久，运营者却毫不知情；某邮件系统长期被攻击者控制；某系统被黑客控制，并以此为跳板向境外传输数据……，这是笔者20余年网络安全工作中所发现问题的冰山一角。“该花的钱都花了，该部署的安全设备都部署了，就应该安全了”，持类似错误观念的网络运营者并不在少数。2016年3月，时任贵阳市委书记陈刚同志在调查研究的基础上作出一个基本判断：当前网络安全的状况是“弱不禁风，而感觉良好；重病缠身，而浑然不知”。基于此判断，贵阳市于2016年12月组织开展了第一届面向真实系统的“贵阳大数据与网络安全攻防演练”。时至今日，贵阳实网攻防演练已经举办了2届。2017年12月，在第二届“贵阳大数据与网络安全攻防演练”的总结大会上，现任贵阳市委书记李再勇同志要求坚持攻防演练常态化，并努力形成贵阳标准。2年来，贵阳实网攻防演练发现和解决了大量问题，同时也不断面临着新的挑战。本文从实网演练策划和组织者的角度提出一些思考，希望能对读者有所启示。

实网攻防演练的难点及其解决思路

面向真实系统的网络攻防演练，其难点在于风险控制。