洞見RSA2022 安全運營下的資產攻擊面管理

數字化時代，數字技術驅動各行業加快轉型升級。各種新產業、新模式、新業態快速增長，產業數字化轉型方興未艾。網路安全作為數字化、智慧化發展的前提與基礎，是推動數字經濟發展的重要抓手。數字化轉型的持續推進，進一步引領網路安全向數字安全階段演進與變革。彙集全球資訊保安產業焦點的RSA大會已於舊金山時間6月9日落下帷幕，今年大會的主題為“Transform（轉型）”。在數字化轉型背景下，這一主題的設定，也代表了全球網路安全行業對安全技術發展趨勢的新一輪思考與實踐。

十四五期間，資料成為數字經濟時代的重要生產要素，數字技術應用與資料價值的挖掘、開發與利用，為現代企業數字化轉型與發展注入了創新驅動力。在數字化轉型與業務治理數字化的趨勢下，企業將會應對更加複雜的網路安全風險與挑戰，企業網路安全建設正在從合規驅動向業務和資料驅動轉變，可持續的安全運營體系將助力企業長遠發展。

一、資產攻擊面管理成為安全運營重要技術方向
當前，企業數字化業務發展迅猛，業務複雜度與資產數量不斷增加，企業將面臨更多潛在的網路安全風險。資產治理是企業做好網路安全運營工作的前提，數字資產管理與運營已成為企業資訊化和安全團隊的重要工作內容。在2021年Gartner釋出的《2021安全運營技術成熟度曲線》報告中，明確提到了攻擊面管理的兩個新興技術：外部攻擊面管理（EASM）和網路資產攻擊面管理（CAASM）。在經過多年攻防演練工作的洗禮之後，更多的企業逐漸認識到安全運營工作的價值。攻擊面管理技術的提出迅速得到了業界的廣泛關注與認可。

2021年Gartner安全運營技術成熟度曲線

攻擊面是企業資訊化資產在未經授權的情況下，能夠被攻擊者訪問和利用的所有潛在入侵突破口總和，既包括未授權的硬體、軟體、雲資產和資料資產，也包括人員管理、技術管理和業務流程方面存在的安全弱點與缺陷。攻擊面管理是一種站在外部攻擊者視角，對企業數字資產攻擊面進行風險識別、分析研判、情報預警、響應處置和閉環運營的資產安全性管理方法，進而來審視和評估企業資產可能被利用攻擊的可能性。在真實的攻防對抗場景下，企業如何快速獲得攻擊者視角，進一步落實有效的動態防禦措施，是攻擊面管理技術產生的背景。

二、企業資產攻擊面管理現狀
企業在資訊化和安全管理工作中，往往對自身IT資產管理較為粗放，未落實有效的企業資產管理措施，導致在常態化的安全運營工作中，無法實現對安全威脅或事件影響範圍的精準定位。在資產管理過程中，資訊化或安全團隊主要從資產管理的角度完成對資訊的統計與維護，很少站在攻擊者視角去挖掘資產潛在的威脅與風險。企業透過人工上報的方式對資產列表進行更新，沒有建立自動化資產更新機制，而未及時更新的資產很可能會成為被攻擊和利用的短板。在資產的上線監管上，企業未遵循安全管理制度並完成安全檢查，無法對未納入的資產進行有效管控。網際網路業務邊界的泛化，以及與第三方服務商的供應鏈業務逐漸增多，進一步引發了更多的不可控因素。

三、基於攻擊面管理的安全運營措施
EASM是面向發現外網資產、系統和脆弱性而使用的一套流程、技術和託管服務，基於攻擊者視角識別和管理攻擊面，對企業網際網路資產暴露面進行有效治理，如埠、域名、應用、錯誤配置和可能被利用的漏洞等。透過構建EASM能力，企業動態獲取外部資產攻擊面的視覺化檢視，實時查詢最新外網對映資產，分析評估資產屬性以判定資產是否存在風險和脆弱性，藉助VPT技術對風險和漏洞進行優先順序排序和告警，及時進行修復與持續跟蹤管理。

企業在實施攻擊面管理時，需要融合威脅情報能力，對網際網路資產攻擊面進行識別發現。利用NTI網際網路資產核查服務，對企業外網資產進行敏感資訊發現和資產暴露面核查，依託豐富的雲端資產指紋庫和情報庫，全面掌握資產攻擊面並感知資產風險。透過大資料關聯分析引擎進行智慧研判，並經過雲端安全專家複驗，輸出高精度報告，為後續的資產攻擊面風險評估與閉環治理提供重要依據。

CAASM站在防禦者視角對攻擊面進行管理，幫助企業安全運營團隊解決在持續性運營工作中出現的資產和漏洞問題，更加關注企業終端、伺服器和應用程式等方面的資產管理工作，可使用多種資產資料API取代傳統手動彙總資產資訊和繁瑣的流程，來管理資產資訊，建立企業統一的資產庫或資產臺賬。資產庫可以為安全團隊提供資產資訊查詢，透過API與現有工具的整合，識別安全管控中的漏洞與差距的範圍，併為相關漏洞治理提供重要支撐。

構建基於平臺化的漏洞閉環管理能力，是攻擊面管理的主要著手點。企業可根據安全運營現狀需求部署威脅和漏洞管理平臺，對網路內資產進行全面收集和梳理，確定系統內合法存在的資產、資產版本、開放的服務和埠、系統的安全配置專案，將資產資訊作為系統網路內的資產基線。持續監控網路系統內的資產變化情況，對任何資產變化進行預警，直到安全團隊處理或確認是正常變化為止。

威脅和漏洞管理平臺對企業網路進行全面的脆弱性管理，結合外部漏洞情報資訊，從資產安全視角出發，以風險優先順序為核心，整合多源脆弱性資料，聚焦關鍵風險，量化風險指標，為企業提供漏洞全生命週期的管理機制。平臺對資產進行預先梳理和持續監控，將漏洞管理流程向外擴充套件了漏洞發現環節的風險預警、漏洞分析環節的漏洞修復建議、漏洞修復環節的修復方案社群，以及對整個管理過程的評估、對比和最佳化。

攻擊面管理不僅是一種理念，更是一種基於主動對抗和前置防禦思維模式的創新方法論。做好攻擊面管理的目標，是為了讓企業安全團隊可以對暴露面資產和攻擊面進行科學高效的管理，從攻擊者視角審視企業資訊化資產可能存在的風險點和脆弱性。攻擊面管理技術是一套技術能力，本身並不能構成獨立的產品，未來也將會成為風險管理類產品和方案的關鍵支撐技術。

更多精彩內容請訪問：
https://rsac2022.nsfocus.com.cn/html/548/