光明網(wǎng)訊（記者 李政葳）在5月6日舉行的“2022網(wǎng)絡(luò)安全運營技術(shù)峰會”上，國內(nèi)權(quán)威咨詢機構(gòu)賽迪顧問發(fā)布了《中國攻擊面管理市場白皮書》（以下簡稱白皮書）。據(jù)介紹，這是我國網(wǎng)絡(luò)安全領(lǐng)域首份就攻擊面管理方向發(fā)布的白皮書。

　　白皮書詳細剖析了中國攻擊面管理技術(shù)發(fā)展現(xiàn)狀，分享了攻擊面管理領(lǐng)域的創(chuàng)新技術(shù)和典型應(yīng)用場景，并對攻擊面管理未來發(fā)展趨勢進行預(yù)測。白皮書旨在以數(shù)字化轉(zhuǎn)型為背景，探討攻擊面管理在新一代網(wǎng)絡(luò)安全防御體系中的能動作用。

　　攻擊面管理的本土化洞察

　　白皮書指出，攻擊面管理（ASM）是一種從攻擊者視角對企業(yè)數(shù)字資產(chǎn)攻擊面進行檢測發(fā)現(xiàn)、分析研判、情報預(yù)警、響應(yīng)處置和持續(xù)監(jiān)控的資產(chǎn)安全性管理方法，其最大特性就是以外部攻擊者視角來審視企業(yè)所有資產(chǎn)可被利用的攻擊可能性，而這里的所有資產(chǎn)包含已知資產(chǎn)、未知資產(chǎn)、數(shù)字品牌、泄露數(shù)據(jù)等等一系列可存在被利用的風(fēng)險的資產(chǎn)內(nèi)容。

　　攻擊面管理，最早由國際知名咨詢機構(gòu)Gartner于2018年首次提出。在2021年7月，Gartner將攻擊面管理相關(guān)技術(shù)定義為網(wǎng)絡(luò)安全運營技術(shù)中的新興技術(shù)。Gartner認為攻擊面管理由網(wǎng)絡(luò)資產(chǎn)攻擊面管理（CAASM）、外部攻擊面管理（EASM）以及數(shù)字風(fēng)險保護（DRPS）三部分組成。賽迪顧問本次發(fā)布的白皮書基于應(yīng)用場景的維度，將攻擊面管理分為外部視角的攻擊面管理和內(nèi)部視角的攻擊面管理，數(shù)字風(fēng)險保護依據(jù)其外延與內(nèi)核歸屬為外部視角的攻擊面管理。

　　其中，外部視角的攻擊面管理主要關(guān)注外部資產(chǎn)，使用一系列來源和方法來掃描全球的互聯(lián)網(wǎng)，尋找其面向外部的資產(chǎn)暴露面，并且對這種資產(chǎn)暴露面進行可視化。而內(nèi)部視角的攻擊面管理關(guān)注企業(yè)數(shù)字化資產(chǎn)，發(fā)現(xiàn)功能主要通過與現(xiàn)有工具的API集成來工作，依賴于其他已部署的技術(shù)作為上下文，并富化從這些技術(shù)中提取的數(shù)據(jù)，以提供組織資產(chǎn)庫存的整體視圖。

　　闡釋體系搭建與成熟度模型

　　在白皮書中，賽迪顧問將攻擊面管理框架體系自下向上分別為基礎(chǔ)技術(shù)、安全能力和應(yīng)用場景三層。基礎(chǔ)技術(shù)為支撐攻擊面管理的技術(shù)能力集合，多種技術(shù)組合形成攻擊面管理的能力體系，根據(jù)不同的業(yè)務(wù)場景需求采用不同的能力組合，形成不同的應(yīng)用場景下的攻擊面管理解決方案，為用戶提供有針對性的攻擊面閉環(huán)管理能力。

　　此外，在白皮書中建立了攻擊面管理的成熟度模型，主要是工具階段的被動防御、平臺階段的主動防御、流程化階段的對抗防御、先知階段的優(yōu)先防御四個層級；提出了暴露面獲取、脆弱點發(fā)現(xiàn)、攻擊面挖掘、情報獲取能力等攻擊面管理要具備的12個能力域，從檢測發(fā)現(xiàn)、分析研判、情報預(yù)警、響應(yīng)運營的閉環(huán)管控過程分解了響應(yīng)的能力子項，從子能力的具備和完善情況來評價攻擊面管理的有效性。

　　透視場景應(yīng)用與趨勢預(yù)測

　　隨著數(shù)字化轉(zhuǎn)型進程的不斷加深，攻擊面管理的應(yīng)用場景也將不斷涌現(xiàn)。在本次發(fā)布的白皮書中，選取了3個典型引用場景，即行業(yè)垂直監(jiān)管場景中的攻擊面管理、物聯(lián)網(wǎng)場景中的泛終端攻擊面管理、網(wǎng)絡(luò)安全保險中的攻擊面管理，旨在提升用戶對于攻擊面管理技術(shù)的使用體驗，并由核心應(yīng)用場景向更多應(yīng)用場景拓展。

　　最后，白皮書對于攻擊面管理的未來市場和技術(shù)的發(fā)展趨勢進行了預(yù)測。白皮書指出，在未來一段時間內(nèi)，攻擊面管理將從傳統(tǒng)場景擴展到新興技術(shù)領(lǐng)域，將與業(yè)務(wù)風(fēng)險管理融為一體；供應(yīng)鏈和第三方風(fēng)險管理將成為攻擊面管理的重要組成部分；自動化、智能化技術(shù)在攻擊面管理產(chǎn)品中得到廣泛應(yīng)用。