光明網(wǎng)訊（記者 李政葳）在5月6日舉行的“2022網(wǎng)絡(luò)安全運(yùn)營(yíng)技術(shù)峰會(huì)”上，國(guó)內(nèi)權(quán)威咨詢機(jī)構(gòu)賽迪顧問發(fā)布了《中國(guó)攻擊面管理市場(chǎng)白皮書》（以下簡(jiǎn)稱白皮書）。據(jù)介紹，這是我國(guó)網(wǎng)絡(luò)安全領(lǐng)域首份就攻擊面管理方向發(fā)布的白皮書。

　　白皮書詳細(xì)剖析了中國(guó)攻擊面管理技術(shù)發(fā)展現(xiàn)狀，分享了攻擊面管理領(lǐng)域的創(chuàng)新技術(shù)和典型應(yīng)用場(chǎng)景，并對(duì)攻擊面管理未來(lái)發(fā)展趨勢(shì)進(jìn)行預(yù)測(cè)。白皮書旨在以數(shù)字化轉(zhuǎn)型為背景，探討攻擊面管理在新一代網(wǎng)絡(luò)安全防御體系中的能動(dòng)作用。

　　攻擊面管理的本土化洞察

　　白皮書指出，攻擊面管理（ASM）是一種從攻擊者視角對(duì)企業(yè)數(shù)字資產(chǎn)攻擊面進(jìn)行檢測(cè)發(fā)現(xiàn)、分析研判、情報(bào)預(yù)警、響應(yīng)處置和持續(xù)監(jiān)控的資產(chǎn)安全性管理方法，其最大特性就是以外部攻擊者視角來(lái)審視企業(yè)所有資產(chǎn)可被利用的攻擊可能性，而這里的所有資產(chǎn)包含已知資產(chǎn)、未知資產(chǎn)、數(shù)字品牌、泄露數(shù)據(jù)等等一系列可存在被利用的風(fēng)險(xiǎn)的資產(chǎn)內(nèi)容。

　　攻擊面管理，最早由國(guó)際知名咨詢機(jī)構(gòu)Gartner于2018年首次提出。在2021年7月，Gartner將攻擊面管理相關(guān)技術(shù)定義為網(wǎng)絡(luò)安全運(yùn)營(yíng)技術(shù)中的新興技術(shù)。Gartner認(rèn)為攻擊面管理由網(wǎng)絡(luò)資產(chǎn)攻擊面管理（CAASM）、外部攻擊面管理（EASM）以及數(shù)字風(fēng)險(xiǎn)保護(hù)（DRPS）三部分組成。賽迪顧問本次發(fā)布的白皮書基于應(yīng)用場(chǎng)景的維度，將攻擊面管理分為外部視角的攻擊面管理和內(nèi)部視角的攻擊面管理，數(shù)字風(fēng)險(xiǎn)保護(hù)依據(jù)其外延與內(nèi)核歸屬為外部視角的攻擊面管理。

　　其中，外部視角的攻擊面管理主要關(guān)注外部資產(chǎn)，使用一系列來(lái)源和方法來(lái)掃描全球的互聯(lián)網(wǎng)，尋找其面向外部的資產(chǎn)暴露面，并且對(duì)這種資產(chǎn)暴露面進(jìn)行可視化。而內(nèi)部視角的攻擊面管理關(guān)注企業(yè)數(shù)字化資產(chǎn)，發(fā)現(xiàn)功能主要通過與現(xiàn)有工具的API集成來(lái)工作，依賴于其他已部署的技術(shù)作為上下文，并富化從這些技術(shù)中提取的數(shù)據(jù)，以提供組織資產(chǎn)庫(kù)存的整體視圖。

　　闡釋體系搭建與成熟度模型

　　在白皮書中，賽迪顧問將攻擊面管理框架體系自下向上分別為基礎(chǔ)技術(shù)、安全能力和應(yīng)用場(chǎng)景三層。基礎(chǔ)技術(shù)為支撐攻擊面管理的技術(shù)能力集合，多種技術(shù)組合形成攻擊面管理的能力體系，根據(jù)不同的業(yè)務(wù)場(chǎng)景需求采用不同的能力組合，形成不同的應(yīng)用場(chǎng)景下的攻擊面管理解決方案，為用戶提供有針對(duì)性的攻擊面閉環(huán)管理能力。

　　此外，在白皮書中建立了攻擊面管理的成熟度模型，主要是工具階段的被動(dòng)防御、平臺(tái)階段的主動(dòng)防御、流程化階段的對(duì)抗防御、先知階段的優(yōu)先防御四個(gè)層級(jí)；提出了暴露面獲取、脆弱點(diǎn)發(fā)現(xiàn)、攻擊面挖掘、情報(bào)獲取能力等攻擊面管理要具備的12個(gè)能力域，從檢測(cè)發(fā)現(xiàn)、分析研判、情報(bào)預(yù)警、響應(yīng)運(yùn)營(yíng)的閉環(huán)管控過程分解了響應(yīng)的能力子項(xiàng)，從子能力的具備和完善情況來(lái)評(píng)價(jià)攻擊面管理的有效性。

　　透視場(chǎng)景應(yīng)用與趨勢(shì)預(yù)測(cè)

　　隨著數(shù)字化轉(zhuǎn)型進(jìn)程的不斷加深，攻擊面管理的應(yīng)用場(chǎng)景也將不斷涌現(xiàn)。在本次發(fā)布的白皮書中，選取了3個(gè)典型引用場(chǎng)景，即行業(yè)垂直監(jiān)管場(chǎng)景中的攻擊面管理、物聯(lián)網(wǎng)場(chǎng)景中的泛終端攻擊面管理、網(wǎng)絡(luò)安全保險(xiǎn)中的攻擊面管理，旨在提升用戶對(duì)于攻擊面管理技術(shù)的使用體驗(yàn)，并由核心應(yīng)用場(chǎng)景向更多應(yīng)用場(chǎng)景拓展。

　　最后，白皮書對(duì)于攻擊面管理的未來(lái)市場(chǎng)和技術(shù)的發(fā)展趨勢(shì)進(jìn)行了預(yù)測(cè)。白皮書指出，在未來(lái)一段時(shí)間內(nèi)，攻擊面管理將從傳統(tǒng)場(chǎng)景擴(kuò)展到新興技術(shù)領(lǐng)域，將與業(yè)務(wù)風(fēng)險(xiǎn)管理融為一體；供應(yīng)鏈和第三方風(fēng)險(xiǎn)管理將成為攻擊面管理的重要組成部分；自動(dòng)化、智能化技術(shù)在攻擊面管理產(chǎn)品中得到廣泛應(yīng)用。