当2021年12月Log4j漏洞被曝光并带来广泛影响时，越来越多的企业开始意识到IT资产可见性的重要性。由于影子IT、合并和收购以及第三方/合作伙伴活动，组织通常不了解其资产状态，安全和IT团队努力实现可见性，以便让企业深入了解日益复杂的分布式IT环境。如果没有足够深入的可见性，企业就不可能实现应用程序和基础设施依赖关系映射(AIDM)的理想状态。当然，企业不能对不了解细节的应用程序和系统进行关键补丁！近日，研究机构Forrester发布了ASM（AttackSurfaceManagement）研究报告，阐述了ASM市场、主要应用场景以及ASM在企业安全计划中的基本集成点。Forrester将攻击面管理(ASM)定义为：“持续发现、识别、盘点和评估组织所有IT资产风险的过程。”攻击面管理不限于通过Internet访问的环境，而是整个组织的环境。组织有机会将来自ASM工具和流程的外部可见性与内部安全控制、配置管理数据库(CMDB)、其他资产跟踪和管理平台以及企业中所有连接和资产的综合地图相集成。在报告中，Forrester列出了ASM应用的几项建议：ASM应该被视为一种工具赋能计划，而不仅仅是一种工具或功能；ASM还应该用于整合具有冲突优先级的团队。如果一个组织正在努力实现应用程序和基础设施依赖关系映射的理想状态，那么让ASM计划紧紧围绕提高可见性，从而提高可观察性，定位为实现这种理想状态的关键手段是安全、技术和业务领导者团队可以以漏洞风险管理和内部补丁SLA肯定不能做到的方式统一。实际上，ASM计划应该类似于融合或矩阵组织，涉及多个利益相关者，包括基础设施和运营、应用程序开发和交付、安全、风险、合规性、隐私、营销、社交媒体和其他功能。ASM解决方案的采用者吹捧ASM的许多好处：提高可见性、节省时间和风险优先级。一位安全工程师说：“ASM工具发现的资产比我们想象的多50%。”美国一家ISP的网络安全架构师说：“ASM是必不可少的安全控制工具。“虽然市场上有几家公司将ASM作为独立解决方案提供，但我们越来越多地看到这些独立产品被提供威胁情报、漏洞管理以及检测和响应的供应商收购。研究人员表示，ASM将成为一个标准未来12到18个月这些类别中的功能，Log4j漏洞就是证明，它突出了开源软件管理和软件材料清单(SBOM)的重要性。
