众所周知，被动网络防御已经成为一种逐渐失效的安全策略，而攻击面管理（AttackSurfaceManagement，ASM）则是向进攻性或主动式安全方式过渡的开始。企业开始意识到，他们可以看到远远超出自身范围的外部，及早洞察内部威胁，并采取适当的措施来缓解威胁和降低风险。主动安全策略意味着防御者（企业）必须像攻击者一样看到整个攻击面。这样做将使企业能够使用持续测试来确定补救措施的优先级并验证防御措施的有效性，从而使潜在的攻击者更容易领先一步。然而，大多数企业在考虑安全时通常并没有占据这个优势，也没有寻求外部攻击面管理（EASM）等策略来保护自己。然而，EASM已经在企业的主动安全实践中发挥了关键作用，并且肯定会在未来的网络安全中发挥作用。以下是企业可以更好地了解攻击面管理的演变以及他们如何为未来的安全做好准备的几种方法。当今的攻击面管理当今不断增加的风险暴露和攻击面使关键资产和基础设施的保护变得复杂。影子资产已成为一个普遍而重要的问题，许多企业已经受到未知、未管理或管理不善的面向互联网的资产的威胁。这种对管理网络风险的深切关注已经上升到企业领导层的最高层。由于网络攻击带来的业务风险增加，高管和公司董事会越来越需要深入了解其组织的安全风险。此外，他们还需要通过实时数据分析和更好的项目管理来获得精确的指标。如今，大多数安全团队都采用类似ASM的手动多线程流程，通过提供一系列针对外部资产和风险概况的情报来帮助他们管理风险。EASM解决方案从攻击者的角度持续自主地探测企业可发现的攻击面，帮助组织评估攻击的可能性及其弱点的影响。虽然ASM流程对企业的整体安全状况做出了重大改进，但EASM解决方案可以而且应该做很多事情来提高效率和易用性。虽然今天的EASM解决方案提供了许多与资产洞察力相关的功能，但它们不允许组织实时做出更好的基于风险的决策，以保护他们免受直接攻击威胁和第三方风险。关于EASM的未来预测EASM解决方案将成为大型企业的重要安全投资。Gartner在其《2022 年安全运营入门》中阐明了这一点；“要取得成功，安全和风险管理领导者必须更好地了解不断扩大的攻击面。那么，企业领导者应该从他们在攻击面管理方面的投资中得到什么？预测1：EASM将集成更多数字业务风险能力，以增加其价值和投资回报率。人们越来越多地看到企业淹没在威胁情报的洪流中。这意味着他们难以发现、分类、优先排序和管理面向Internet的资产，这使他们容易受到攻击并且无法主动保护资产。随着攻击面的扩大，企业不能只局限于识别、发现和监控，还必须通过增加持续测试和验证来改进安全管理。为了使EASM解决方案更加有效，减少工具数量团队需要管理，EASM结合漏洞管理和威胁情报，这种更全面的方法通过单一解决方案解决业务和IT风险。当安全供应商将威胁情报和漏洞管理集成到EASM解决方案中时，除了使Beyond能够根据业务价值分配风险评分，价值呈指数级增长。然后，IT安全、风险经理和业务领导者可以联合起来做出基于风险的决策。预测2：EASM将走向自动化，节省时间、金钱和精力。EASM解决方案应该让企业易于处理。由于业务团队已经身处海量数据资产之中，未来的EASM解决方案将旨在为安全团队的工作流程增加价值，而不是增加他们必须筛选的数据量，并且改进的自动化将能够做到这一点。自动化有助于带来清晰度和清晰度，它可以回答诸如“这些数据的准确性如何？，以及“我的缓解措施准确吗？””之类的问题。然而，太多的组织仍然依赖电子表格来管理他们的攻击面。手动更新每年可能只进行一次，每次都需要40到80个小时来编译不完整的攻击面清单。当然，攻击者几乎不需要那么长时间就能找到暴露的资产并对其进行破坏。攻击者和防御者识别攻击面所需的时间和覆盖范围的差异会给企业带来风险。随着EASM解决方案的成熟，实现360度攻击面视图的自动化将安全人员从繁琐的任务中解放出来。这样的解决方案将有助于通过可攻击内容对弱点进行优先排序，然后安全人员可以专注于降低业务风险，从而使业务更有利可图。为未来做更有效的安全防护安全419了解到，在中国，EASM还处于起步阶段。首家专注于EASM领域的安全厂商零零安全推出了00SEC-ASM攻击面管理系统。绘制不断演变的数字足迹，关联漏洞情报数据，持续发现业务数据和代码泄露、组织和人员信息泄露，检测供应链攻击面，通过全球开放网络和非公开的数千个网络上的情报来源、百亿级数据、组织自身的业务背景等，进行大量的数据收集和弱点优先级分析，为组织输出攻击面情报，为组织提供更高层次的主动防御组织。Log4j等具有重大影响的漏洞表明安全团队对外部IT资产知之甚少。如果我们要了解攻击者发现和利用此漏洞的频率和速度，那就是组织应该积极主动地进行攻击面管理、漏洞优先级排序等。
