在安全建设过程中，大家经常会强调要防住某一类攻击，通过置入大量安全设备的方式去进行防护，并认为这就够了，但如果这是建立在我们不清楚自身资产的情况，那只能说这些投入中有很多可能都会是浪费。因此，在我们看来，企业在进行安全建设时的第一件事就是要回归到一个最基本的问题上，那就是要通过提高对资产的可见性，这也是构建良好风险管理能力的基础。
以当前企业用户最为头疼的勒索软件攻击为例，由于此类攻击是以一种可集合各种攻击方式的方法去入侵受害者的网络，从而单纯的某种防护方式很难对其进行防御，迄今也没有一个单一化的方式可以有效缓解此类威胁，考虑到它终归还是要通过企业的某个资产引入到网络环境之中，这意味着如可以在资产可见性方面做的比较到位，辅以其他安全设备的持续监控，能够在其入侵时予以告警，那么至少我们还是有机会去做好响应工作，以降低甚至规避风险发生的可能。这里需要注意的是，这种可能性是建立在企业对自身所有资产了如指掌并进行全面监控的情况之下，两者可谓缺一不可，如果缺少了前者，那么安全设备部署的再多也是徒然，对这一点不要抱有偶然心态，毕竟攻击者从你看不见的地方发动入侵的概率仍然存在，更何况现实已经无数次的证明，这没什么不可能的。
此外，社会工程也是很多企业要面临的重要问题之一，以金融行业为例，其中的大型公司员工数量动辄数千人，相信其中绝大多数人都会以一个相对简单的操作方式连接到组织的网络。这些人在攻击者眼中，其实都是发起攻击的跳板。此前，我国攻击面管理领域企业——云科安信的CEO金飞在参与我们安全419《畅聊安全》节目时曾表示，现在的网络攻击之所以犀利，是在于它攻击的目标开始多元化，以往可能只会对数字资产进行有针对性地攻击，现在则还会将使用数字资产的人也同样作为攻击目标，并且将其作为一个非常重要的切入点。在他看来，数字资产中出现漏洞、风险的频率虽然不会比人更高，但人也许会成为放大剂、催化剂，“假设有1条攻击路径被确认，后面有1万个人在使用这条攻击路径，那么对我们而言，它不是1条攻击路径，而是1万条。”
需要指出的是，尽管这里强调的是人，但也是建立在是和资产相关联的前提下，在资产未知的情况下，又谈何将人与资产相关联？如此一来安全定然难以得到全面保障。
事实上，在数字化进程的推进之下，绝大多数行业在拥抱数字化的同时也会面对新的风险，而在这之中所产生的数字资产如果不能得到充分的保护，那么对于企业的发展和安全都会带来挑战。尤其是关键基础设施领域，IT和OT通常都会是以同时运行的方式存在，但和以往它们普遍在各自独立的环境下运行不同，当前两者的环境已在不断融合，这就带来了一个问题——攻击面因此而大幅扩张，也意味着OT系统面临和IT相同的安全威胁，但相比之下更糟糕的是，传统的OT系统在设计时对于这种安全威胁的考虑大多并不充分。
由此可见，在网络安全领域，做到识别尽可能多甚至是所有资产，才能为整体网络安全战略提供有力支撑，由此我们也可以看出，资产的风险因素不仅是资产管理的组成部分，同时也是网络安全的重要组成部分。
当前，我国在资产发现及风险管理相关领域已经有不少厂商推出了相关产品和解决方案，安全419在这里遴选出其中一些能力较强的成熟产品以供参考：
1、 知道创宇——ZoomEye Pro 网络空间资产安全管理系统
ZoomEye的名字在该领域可谓广为人知，该系统采用主动探测的方式，对网络空间资产进行发现及详细信息的分析收集，同时兼具被动探测功能及云端查询功能。全面收集企业内网和暴露在互联网的资产，统一管理。同时，该系统还兼具网络空间资产自动分类功能，将网络空间资产进行了12大类、142个二级分类标准划分，并依据此标准对所需管理的资产，依据既定规则，进行自动分类，此外，系统还支持基于各种维度的报告报表导出，为管理者管理决策提供数据支撑。
2、华顺信安——FOEYE-网络资产测绘及风险分析系统
该系统与同为华顺信安推出的FOFA-网络空间资产搜索引擎、FOASP-网络空间测绘及风险治理平台等多个产品构成了针对资产风险的完整解决方案，据了解，该系统基于全生命周期的安全资产监控，从披露资产开始，持续监控资产变化，实时获取资产情报，对资产扫描漏洞发现、分析、修复和审核过程进行持续跟踪，对企业资产数据进行统一处理、分析，形成完善的信息资产管理体系，实现对资产情况的实时监控和企业资产的高效管理。
3、盛邦安全——RaySpace 网络空间资产探测系统
该系统是盛邦安全自主研发的一款集资产普查、风险探测、风险管理于一体的综合资产探测与详情展示系统，结合漏洞发现检测技术和数据情报分析技术，可以实现对网络空间的IPv4、IPv6及域名资产存活状态的快速探测，具备针对全网各类资产的精准发现、精准识别、精准威胁检测能力。RaySpace以存活探测、指纹检测、PoC检测三大高性能检测引擎为基础，依托资产指纹库、CVE漏洞库、PoC规则库等丰富的资源库，实现对网络空间资产的准确识别、发现与安全检测，从而掌握网络空间资产安全风险态势，提升资产安全治理水平。
此外，当前火热的攻击面管理概念本身也对资产发现提出了更高的要求，如果资产发现能力弱，那么攻击面管理所覆盖的数字资产范围或边界就会有不足，还谈和从攻击者的视角去发现风险，事实上，攻击面管理的能力是与资产的发现能力有着强相关，因此国内一些攻击面管理领域的优秀产品、解决方案也同样值得关注，这里我们也遴选出部分成熟产品以供参考：
1、华云安——Ai·Vul 灵洞·网络资产攻击面管理平台
该平台将企业网络空间攻击面管理过程中的攻击者视角信息和防御者视角信息，通过安全分析引擎、数据分析引擎进行统一整合，让用户先于攻击者了解数字化攻击手段和攻击路径，并采取针对性措施进行响应，帮助企业降低被攻击的可能性，保障数字业务安全。在资产风险管理方面，灵洞能够提供更为全面的资产分类，对比内外视角分析资产安全情况，支持网格化管理模式，灵活进行数字资产管理。目前灵洞可覆盖的资产涵盖主机资产、WEB资产、IoT资产、容器集群资产的4大类信息资产，以及对应如API、数字暴露面等多种数字资产，并通过支持知识图谱技术对无主资产、僵尸资产、影子资产等资产进行标记和可视化呈现。
2、云科安信——白泽攻击面管理平台
该平台能够完全自动化地帮助用户发现和梳理资产暴露面的情况，将包括域名、IP地址、端口情况，web应用、中间件、数据库、组件、指纹等等这些跟目标系统相关的信息详细地展现在用户眼中。在梳理完用户全部暴露在外的资产和攻击面后，白泽平台还会从应用的视角、关联关系的视角、端口数据的视角将不同资产之间的关联关系进行展示，帮助用户了解到未知的资产暴露情况。总体而言，该平台可持续以攻击者视角对其资产进行持续发现、清点、分类、优先级排序和监控，帮助客户时刻洞察网络空间资产风险，主动掌控资产动态，及时提出收敛资产暴露面的数据支撑，验证暴露资产的漏洞可利用性，并形成关联关系，从而帮助用户构建起一套实战化、自动化、智能化的攻击面管理平台。
3、零零信安——0.zone攻击面管理系统
作为专注于外部攻击面管理的企业，零零信安的做法则是从外入手，0.zone攻击面管理系统通过一系列内置的数据探针，针对全球网络，以及数千个威胁源进行持续检测，每天以数千万IT资产数据和数百万情报项目添加到数据池中，并通过专有算法，将其进行关联和整合，将数据池中数千万的IT资产和数百万情报项目，与组织架构、子公司、关联组织等进行识别和映射，以保证全面和准确地发现企业未知资产，实时跟踪企业攻击面动态变化，维护资产列表，辅助企业安全管理人员收敛攻击面。
京公网安备 11010802033237号
