自动化|攻击面管理实践平台化是关键自动化和智能化是未来网络安全

近期，由魔方安全主办的以“深入金融行业，需求驱动技术”为主题的《2023中国金融行业攻击面管理白皮书》发布会成功举办。这次发布会由安全419张毅主持，中国科学技术大学左晓栋教授、CSA大中华区研究院执行院长吕骊啸先后为大会致辞。发布会聚焦攻击面管理技术在金融行业的落地实践，如东方证券安全负责人邬晓磊就在发布会上发表了名为《证劵行业攻击面管理实践》的主题演讲。
网络安全越发向实体化、体系化、常态化发展，企业需要建立主动防御、动态防御、整体防护、纵深防御、精准防护、联防联控疏而不漏的安全防控体系，即“三化六防”要求。邬晓磊在演讲中明确指出，攻击面管理技术的出现，已经成为企业“三化六防”安全建设的基础，即从安全建设转向安全运营为主，而良好的攻击面管理实践更是保证企业网络安全的下限。

对于企业而言，攻击面管理技术的落地，可以解决企业当下诸多的棘手痛点。邬晓磊总结该企业自身攻击面管理痛点问题如下：
1、信息系统资产数据维度多，从不同管理人员的视角， ??会有不同的数据，比如基础信息， ??应用系统信息， ?包括数据库信息等等。从安全视角来看，还会有漏洞信息，补丁信息，以及一些关键配置信息等等，这些资产的信息以前缺乏比较好的管理手段，管理上??分散在不同的人员手中；
【自动化|攻击面管理实践平台化是关键自动化和智能化是未来】??2、数据在传统的管理过程当中，大量依赖于人员的管理，容易造成数据失真，即??数据发生了变化，但是由于人员没有及时更新，做统计记录信息的不准确，容易造成管理过程中的??疏漏。
3、信息资产关联度不够高，不同企业的信息化资产结构不同，且应用系统越来越庞大复杂。 ??现在的应用系统??对企业来说可能会有几十台，甚至于上百台的主机，或者是各种各样的资产??参与在其中，包括像容器，甚至是其他技术参与其中，滤清企业资产之间的关系将非常重要。比如对于证券企业而言，甚至可能会有几百套应用系统，这些应用系统之间也是会有关联的，所以??传统的资产之间的关联度不够，也会造成在安全运营当中的问题处理。
4、信息资产的变更比以前更频繁， ?应用系统安装?越来越多地被像容器化或者说无服务化所替代， ??资产管理难度更大，这也是新技术革新带给资产管理一个新的挑战。
关于攻击面管理在实践过程中的目标：
1、需要掌握攻击面的资产， ??特别是暴露在外部的攻击面资产；
2、要??掌握攻击面资产之间的内部关系，即不仅仅要掌握攻击面资产的入口， ??同时也要掌握资产之间的关系；??
3、掌握攻击面的漏洞以及一些威胁信息；
4、要掌握第三方和??企业相关的一些包括IP地址，包括一些其他的相关联的一些信息。 ??因为在非常多的场景和案例当中，通过第三方的攻击面，特别是一些城域网专线的攻击面??造成影响的事件也不在少数。 ?
邬晓磊强调称，攻击面管理技术在落地实践中最关键的目标是要常态化的去更新数据，以工具化实现高效的安全运营，由技术工具带来的管理能力??不再是依靠人的方式，或者说不完全依靠人的方式，去实现自动化的方式去更新和建立关联关系。
从攻击面管理角度来实践内部资产管理方面，则需要每个企业建立一个比较完善的内部资产数据模型，邬晓磊也指出企业可以遵循CMDB框架去建立一个相较完善的数据模型，实现内部资产管理。但他也指出，在企业的具体实践过程中，除了底层信息之外，还需要补足高层次信息之间的关联性。

自动化|攻击面管理实践 平台化是关键 自动化和智能化是未来

自动化|攻击面管理实践平台化是关键自动化和智能化是未来