在数字化转型过程中，数字技术对企业的商业模式、组织架构和企业文化产生了积极的影响，但同时也给企业带来了更多的收益。安全威胁与风险：企业暴露在互联网上的攻击面数据成倍增长，攻击向量也大幅增加。攻防面正在成为攻防比赛中攻防转换的关键。在此背景下，在“2022网络安全运营技术峰会”上，国内权威咨询机构赛迪顾问重磅发布《中国攻击面管理市场白皮书》（以下简称白皮书）。白皮书选取华云南等国内外攻击面管理领域的代表性企业，基于攻击面本土化的洞察与实践，探讨攻击面管理在新一代网络安全防御体系中的积极作用管理。站在攻击者的角度，企业对主动防御技术需求的变化导致了新概念、新产品的出现。攻击面管理的概念也是如此。近年来，新兴技术的出现导致网络资产的边界迅速扩展。远程办公的兴起和发展进一步增加了企业资产的暴露度，基于供应链的新型攻击大大降低了攻击成本……在多重因素驱动下，网络安全防御策略需要与时俱进从被动防御到主动防御的时代。需要从攻击者的角度梳理资产和风险漏洞，更好地解决企业在数字化转型中面临的复杂现实。攻击面管理最早由国际知名咨询公司Gartner于2018年提出。2021年7月，Gartner发布《2021安全运营技术成熟度曲线》，将攻击面管理相关技术定义为新兴技术。Gartner2022年顶级安全和风险管理趋势中，“企业攻击面正在扩大”首次被提出，涉及信息物理系统和物联网、开源代码、云应用、复杂的数字供应链、社交媒体等.风险，已将企业的暴露面置于可控资产之外。组织必须超越传统的安全监控、检测和响应方法来管理更广泛的安全风险。根据Gartner的说法，攻击面管理主要包括外部攻击面管理（EASM）、网络资产攻击面管理（CAASM）和数字风险防护服务（DRPS）。要谈攻击面管理，首先要了解什么是攻击面。白皮书指出，攻击面是指所有可以未经授权访问和利用企业数字资产的潜在入口的总和，包括硬件、软件、云资产和未经授权可以访问的数据资产，还包括人员管理、技术管理和业务流程等方面的安全弱点和缺陷，存在被攻击者利用并造成损失的潜在风险。白皮书认为，并不是所有的资产暴露面都能成为攻击面，只有暴露面可以叠加攻击向量形成攻击面。因此，如何收敛暴露面并控制攻击向量是攻击面管理的重要手段。值得一提的是，白皮书中对攻击面管理（AttackSurfaceManagement，简称ASM）的定义是：攻击面管理是一种从网络端对企业数字资产攻击面进行检测发现、分析判断、智能预警、响应和处置的方法。攻击者的视角。持续监控的资产安全管理方式最大的特点是从外部攻击者的角度来审视企业所有资产被攻击的可能性，这里的所有资产包括已知资产、未知资产、数字资产、企业品牌、泄露的信息等一系列可能存在被利用风险的资产内容。首个攻击面管理框架体系和成熟度模型在本次报告中，华云南被评为中国领先的攻击面管理创新企业。2021年，华云南在业界率先提出从攻击者角度构建的攻击面管理产品解决方案，认为攻击面管理可以有效集成漏洞扫描、攻击突破模拟BAS、扩展检测与响应XDR、扩展威胁情报XTI、漏洞优先级VPT等安全能力，结合用户需求，提供网络资产攻击面管理CAASM、外部攻击面管理EASM等场景化应用，实现对网络资产的有效检测、分析、监控和响应攻击面。因此，攻击面管理不仅仅是一个概念，更是一种新兴的方法论和天然的技术集成架构。这一点与白皮书中的解释不谋而合。在白皮书中，赛迪顾问推出了攻击面管理框架体系。攻击面管理框架体系自下而上分为基础技术、安全能力和应用场景。基础技术是支持攻击面管理的技术能力的集合。多种技术组合形成攻击面管理的能力体系。根据不同业务场景的需求，采用不同的能力组合，形成不同应用场景下的攻击面管理方案。为用户提供针对性的攻击面闭环管理能力。白皮书根据不同的应用场景，将攻击面管理分为外部视角的攻击面管理和内部视角的攻击面管理两种类型，并在其外延的基础上将数字风险防护融入外部视角。和核心归因。白皮书定义和规范了外部视角的攻击面管理（EASM）和内部视角的攻击面管理组合（CAASM）。EASM主要关注外部资产，使用一系列来源和方法扫描全球互联网以查找面向外部的资产风险，并可视化此类资产风险。CAASM专注于内部资产，而发现功能主要通过与现有工具的API集成（被动）来工作，依赖于其他部署的技术作为上下文，并丰富从这些技术中提取的数据，以提供对组织资产库存的洞察。总体看法。此外，白皮书还建立了攻击面管理成熟度模型，主要包括四个层次：工具阶段被动防御、平台阶段主动防御、过程阶段对抗防御、先知阶段优先防御;攻击面管理所需的漏洞发现、攻击面挖掘、情报获取能力等12个能力域，从检测发现、分析判断、情报早期的闭环管控过程中分解出响应能力子项警告和响应操作。攻击面管理的有效性是基于能力的可用性和改进来评估的。
