“攻击面管理”已成为数字时代网络安全的核心

新冠疫情和广泛的数字化转型推动了网络安全攻防形式上的变革，以至于调研机构不断推出新的技术，用以弥补攻防两端存在的巨大鸿沟。攻击面管理（Attack Surface Management，简称“ASM”）就是最近两年最火热的新技术之一，这项技术可以全面处理与敏感网络资产所有可能存在的连接风险点，主动管理系统漏洞，辅助实施检测和响应。



随着攻击面管理技术的不断推动，市场上一些攻击面管理工具和服务正在加速落地，并迅速成为IT团队的一项必备功能点，用以辅助管理不断变化的IT基础设施和线上数字服务的安全性。随着技术的深入应用，IT团队发现攻击面管理已成为他们网络安全的核心。
 
在安全419《畅聊安全》第二期中，安全专家以攻防两端的平衡性评价攻击面管理的价值，其认为“攻和防相当于硬币两面，只有两者面积相同才是最佳状态。”言外之意，过去企业在建设网络安全时，主要是堆叠一些防御能力，但防御是需要攻击来验证的，而攻击面管理技术就是从攻击的视角来验证防御。
 
攻击面管理技术的出现，正让攻防两端处于高效的联动状态，让两者在企业信息化场景中实现闭环驱动，这像极了中神通的左右互搏，通过自身的修炼，转而提升了以实战化的、主动视角下的安全防御能力。
 
Forrester此前的用户调研显示，攻击面管理工具已经受到了企业用户的认可，某企业安全工程师就表示：“（ASM 工具）发现的资产比我们想象得多50%。” 另一家企业的网络安全架构师则表示：“（ASM）是必备的安全措施。”
 
分析以上客户评价其实并不难想象，如行业报告指出，在中大型企业当中，得益于疫情期间加速的数字化转型，他们平均运行着464个自定义应用程序。但是，由于影子IT的原因，实际数字要高得多，这使得安全团队难以保护“未知”并跟踪其不断变化的攻击面。
 
同时，随着面向外部的应用程序比以往任何时候都多，我们必须随时了解安全的可见性。传统的漏扫和渗透测试对于识别“已知”Web 服务中的运行时漏洞至关重要，不过，这种传统的方法并不是实际存在的和有风险的逻辑呈现。利用攻击面管理这种新的方法，则帮助安全团队识别、衡量和减少整体互联网暴露，从而改善安全。
 
就中国本土化安全核心价值应用来讲，前不久Gartner推出的《Hype Cycle for Security in China 2022》报告实际上特别具有洞察力，他们提到的是在国内大型攻防演练场景下，攻击面管理更加具有落地价值。这也是基于过去大家公认的“未知攻，焉知防”安全理念，现代数字化企业安全建设必须扩展攻击者视角，才能获得安全上的主动。
 
目前，已有大量本国安全企业涉足攻击面管理市场，调研机构推荐的精准符合赛道技术特别的如华顺信安、零零信安、华云安，云科安信、魔方安全等等一众厂商，同时一些传统的安全厂商，比如长亭科技等，都有进军攻击面管理市场的技术储备和能力，当能，还有更多的安全厂商也同样具备。
 
观察发现，攻击面管理技术虽然处于火热增长期，但技术赛道仍然主要落角IT系统层面，据Gartner的观察，ASM技术在落地时产品力实际上也在不断细化，除了市场化发展需要的产品本身的模块化应用之外，如攻击面管理技术能够覆盖物联网、OT系统，其未来应用还将进一步提升。