新冠疫情和广泛的数字化转型推动了网络安全攻防形式上的变革，以至于调研机构不断推出新的技术，用以弥补攻防两端存在的巨大鸿沟。攻击面管理（Attack Surface Management，简称“ASM”）就是最近两年最为火热的新技术之一，这项技术可以全面处理与敏感网络资产所有可能存在的连接风险点，主动管理系统漏洞，辅助实施检测和响应。
Gartner此前发布2022年七大安全趋势时将“攻击面扩张”列为首要风险，这是基于技术与趋势的结合观察，攻击面管理就是为了解决这一风险的全新技术创新，此后，Gartner在多个报告中力荐该技术。Forrester同样对攻击面管理推崇备至，其认为由该技术可更加深入地为企业展现当前IT环境的可见性。两大调研机构同时认同该技术在客户侧的价值。
在技术提出之后，安全行业也迅速拥抱该赛道，一方面，初创安全企业以该方法论加速调整自身的战略方向，与此同时传统安全厂商也正在加速融合发展自身的攻击面管理系统能力。其中前者已经产出了大量的商用攻击面管理产品，且在客户侧已经开始大量实践；后者方面据安全419了解，更多的安全厂商也在利用攻击面管理这一方法论，强化自身的安全产品的检测和响应能力。
攻击面管理价值越加受到普遍认同
关于攻击面管理的定义：组织的数字资产可以是内部的和外部的，并且两者都构成了数字风险。攻击面管理（ASM）可以帮助组织克服持久的资产可见性和脆弱性挑战。ASM涉及人员、流程、技术和服务的组合，以持续发现、存储和管理组织的资产。攻击面的可见性有助于减少恶意威胁行为者可能利用的资产暴露。
ASM主要技术定义包含：网络资产攻击表面管理（CAASM）、外部攻击表面管理（EASM）和数字风险保护服务（DRPS）。其中每一项技术点都针对安全团队的具体目标，即从内部和外部IT资产到第三方资产、“影子IT”系统获得更好的可见性、治理和控制，“影子IT”系统和数字风险。
企业拥抱数字化的速度越来越快，这也导致了大多数组织的网络资产数量和复杂性前所未有的增加。比如行业报告就指出，当前中大型企业当中，其平均运行着464个资产应用，因此，了解网络资产的存在，了解它们的弱点，并发现它们可能被利用的方式是至关重要的。攻击面管理技术的出现，将协助安全管理人员不断识别已知和未知的资产，评估和减少风险，并提供威胁的早期预警。
在客户层面，国内企业用户也正在加速内部的攻击面管理技术的实践，其主要驱动力在于全国范围内的“攻防演习”活动越来越向实战化要求，企业的安全建设也在合规基础之上，转向高阶的价值应用阶段。如此一来，以黑客视角为出发点的攻击面管理技术也成了客户一侧建设主动防御理念的安全新选择或技术补充。
需要值得注意的是，技术发展处于起步阶段的攻击面管理，与完全成熟应用还有段距离，其中需完善比如与其他技术的联动能力，比如SOAR、SOC、XDR等产品，以便建立安全的自动化集成。同时技术的场景应用除了兼顾IT场景，也需要更多的专业厂商出现，将其引入其他场景。
未来或有更多厂商涌入该赛道
攻击面管理技术解决了 用户数字时代资产大爆炸等核心痛点，统一解释了以黑客攻击视角企业应该如何梳理缓解自身的薄弱环节，技术的出现平衡了攻与守的联动状态，但对于技术本身严格意义上讲是一套方法论的全新梳理，实际上也并非一套全新的技术。
以安全419此前对攻击面管理赛道的观察，技术定义有两个关键词，一个是资产，一个是漏洞，而在安全生态当中，具备上述能力的安全厂商不在少数。这也意味着，大多安全厂商先天具备进入攻击面管理赛道的技术能力，要不要进入，可能仅限于市场级层面。
当然，那些已经身处攻击面管理专业赛道的安全厂商，在技术积累和市场开拓方面，要更加具备先发优势。基于2022年度安全419选题调研计划，我们对国内攻击面管理市场进行了全面了解，我们认为以下几家安全厂商在攻击面管理赛道上已经脱颖而出，值得向企业客户推荐。
1、华云安
企业介绍：
华云安是一家深耕于网络空间安全领域的高新技术企业，专注于漏洞研究、攻防对抗、产品研发、安全服务；致力于对主动防御、情报协同、溯源反制能力进行融合创新，以攻防视角构建攻击面管理安全能力平台，提供新一代网络安全对抗防御解决方案。公司服务于国家网络安全监管部门及金融、能源、教育、医疗等关键信息基础设施行业。公司持续构建的原子化安全能力平台，秉承数据驱动、AI引领的理念，通过基于知识图谱的安全风险库和场景化人工智能引擎两大核心技术，结合不同的业务需求灵活组合安全能力，实现一个平台覆盖所有安全能力。
编辑推荐理由：
华云安是国内攻击面管理领域的创新企业，他们基于全面的攻防趋势，与安全技术的充分理解，以更加全面的姿态拥抱攻击面管理技术赛道。经过三年的发展，华云安已拥有“基于云原生架构的攻击面管理整体产品体系”，以CAASM（网络资产攻击面管理）+EASM（外部攻击面管理）+BAS（入侵和攻击模拟）三大产品引领ASM+BAS市场发展。
华云安对于攻击面管理技术的理解在行业内首屈一指，同时更加重要的是其公司成立以来，已经完成了从过去的单点产品到完整的攻击面管理体系的建立。全面系统的技术拥抱和产线调整，也为公司在2022年实现了100%的业绩增长。
相关报道：
1、《畅聊安全》第一期 | 深度解析攻击面管理
2、华云安：用攻击面管理 实现持续数字风险管理的最佳实践
3、攻击面管理如何为企业提供面向未来的安全价值？
4、产品视角看攻击面管理 华云安发布攻击面管理产品解决方案？
5、如何防范网络中“未知的未知”风险？ 获取攻击者视角或是唯一答案
2、零零信安
企业介绍：
北京零零信安科技有限公司成立于2020年，是国内首家专注于外部攻击面管理（EASM）的网络安全公司。基于大数据立体攻防、以攻促防、主动防御、力求取得立竿见影效果的理念，为客户提供基于攻击者视角的外部攻击面管理技术产品和服务。零零信安EASM产品以最佳实践从而实现安全解决方案的扩展，获得客户及行业认可，在赛迪《中国攻击面管理白皮书》、Gartner《Hype Cycle for Security in China, 2022》、数说安全《2022年中国网络安全十大创新方向》等被列为攻击面管理推荐厂商。
编辑推荐理由：
零零信安是国内首家外部攻击面管理（EASM）厂商，零零信安基于领先的技术理解与实践，已经在国内率先布局完成了商用外部攻击面管理系统，其视角覆盖广，且以先发优势在“全量数据”上持续保持领先，其“全量数据”与关联的国内企业数量已达数十万等级，在其最终向企业客户输送外部攻击面管理服务时，将更具优势。
零零信安的创新能力保持行业领先，作为一家初创公司，其创新能力也得到了多家行业机构的认可。在产品开拓方面，其已推出国内首款外部攻击面管理平台0.zone，并在平台综合能力基础之上，不断开拓外部攻击面管理细分应用。
相关报道：
1、零零信安王宇：数字化转型进程伴生新威胁 风险管理亟需智能化
2、零零信安王宇：防御前置 外部攻击面管理是抵御安全风险的“疫苗”
3、SecOps2022 | 零零信安王宇谈外部攻击面管理（EASM）的挑战与未来
4、零零信安王宇：EASM技术将弥补传统威胁情报在风险预测数据方面的空白
5、零零信安的外部攻击面落地应用 三大应用场景辅助主动防御
6、EASM的落地实践 从数据泄露视角看网络安全建设
3、魔方安全
企业介绍：
深圳市魔方安全科技有限公司（简称魔方安全）由CubeSec网络安全攻防团队于2015年10月创立，是一家致力于驱动前沿科技保护数字安全的创新型公司。公司以“随时洞察和有效缓解网络空间风险”为使命，专注于网络空间资产安全相关的技术研究和产品研发，包括：攻击面管理、网络空间资产测绘、漏洞管理、安全攻防服务。魔方安全于2015年在国内率先推出攻击者视角的“外部攻击管理平台”并以SaaS化形态服务于金融、运营商、交通、教育等行业用户及大型企业，并于2019年入围工信部网络安全技术应用试点示范工程。2020年，魔方安全提出资产安全管理三阶论，并发布《资产安全管理解决方案》和“数字资产风险监控SaaS服务”。2021年，魔方安全业内首发攻击面可视化管理解决方案。
编辑推荐理由：
魔方安全在2015就在国内率先推出了基于攻击者视角的“外部攻击面管理平台”，即公司安全理念与当前攻击面管理技术理念存在先天重合。在2020年，魔方安全曾率先提出“资产测绘为起点、脆弱性管理为落脚点，安全运营为目标”的资产安全管理三阶论，并发布了相关产品和解决方案，可以看得出来，攻击面管理理念的落地实践在同行业中保持领先。
目前魔方安全两款主力产品EASM（外部攻击面管理系统）、CAASM（网络资产攻击面管理系统）已经经过了多年打磨，其具有领先的商业化运营经验，产品与专业服务覆盖各大行业客户。
相关报道：
1、《基金行业攻击面管理白皮书》：聚焦金融业 管理攻击面
2、《2023中国金融行业攻击面管理白皮书》发布会成功举办！聚焦关键洞察与最佳实践
4、云科安信
企业介绍：
北京云科安信科技有限公司是一家专注于安全实战攻防领域的高新技术企业，总部设立在北京，在上海、武汉、广州、海南分别设有分支机构。云科安信结合自身对安全领域的经验，学习并深入研究国外先进的防御思路，依托自主研发力量，最终形成了一系列产品和解决方案并推向市场。公司秉承持续更新安全防御技术的宗旨和以攻促防的理念，陆续发布了攻击面管理（ASM）系统、WAF、动态应用加固、数据安全、可编程动态防御平台等自主研发产品。公司汇聚了众多安全领域的优秀人才，并获得CISP、PTE等多项安全领域证书，为各行业客户提供专业高品质的安全服务。在攻击场景和攻击技术日新月异的今天，无论是传统物理环境亦或是虚拟环境，无论是本地化部署亦或是SAAS安全服务，云科安信为行业客户持续输送最新的安全防御技术和多维的安全构建视角，助力客户轻松应对多变复杂的安全挑战。
编辑推荐理由：
云科安信是一家专注于安全实战攻防领域的高新技术企业，2020年底，云科安信发布了白泽智能应用风险探测与验证系统，这也是云科安信白泽攻击面管理平台的前身。该平台以攻击者视角聚焦企业网络空间IT资产，可帮助客户时刻洞察网络空间资产风险，主动掌控资产动态，及时缓解企业安全压力，为客户打造一套可快速构建的实战化、自动化、智能化的安全风险监测平台。
云科安信认为，安全产品要想达到理想的效果，产品不仅要在技术上保证领先，更要为客户提供更加灵活的交付性和易用性。白泽攻击面管理平台就是这样一款产品，其提供了良好的交互性，无需客户花费大量时间去熟悉产品，即采即用，即用即有效的理念也让其捕获了更多的客户。
相关报道：
1、云科安信：打造自动化攻击面管理平台 让实战化攻防能力信手拈来
2、《畅聊安全》第二期 | 攻击面管理市场与价值剖析
3、为企业注入实战攻防能力 云科安信正式发布OSINT-ASM白泽攻击面管理产品
4、如何防范网络中“未知的未知”风险？ 获取攻击者视角或是唯一答案
5、云科安信陈思：专注攻击者视角 帮助用户建立以攻促防的安全闭环
京公网安备 11010802033237号
