攻击面管理技术应用指南报告（2024版）

攻击面管理技术应用指南

攻击面管理背景概述

• 威胁态势分析：全球网络攻击威胁态势呈现勒索软件攻击高发、漏洞利用攻击为主流、针对关键信息基础设施的攻击增多、APT攻击持续活跃等特点。国内网络攻击威胁态势呈现勒索软件攻击快速增长、APT攻击趋于长期化和隐蔽化、内部人员威胁不容忽视、供应链攻击成为新兴威胁、数据泄露事件频发等特点。
• 防护要求与标准：国外安全合规要求包括美国FISMA、NIST网络安全框架、CISA指令等；欧盟NIS指令、欧洲网络安全法、GDPR等；英国NCSC最佳实践等。国内安全合规要求包括国家信息化发展战略纲要、《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《关键信息基础设施安全保护条例》等。
• 应用必要性分析：攻击面管理能够增强企业风险可见性、满足合规要求、应对数字化转型带来的挑战、能力融合降本提效、提升安全响应速度、优化安全资源配置。

攻击面管理能力框架

• 发展历程：攻击面管理经历了事件驱动（被动）阶段、资产发现阶段、暴露面风险驱动阶段、实战驱动阶段。
• 概念的改变：攻击面管理需求场景的变化包括从关注外部攻击面到关注内部攻击面、从资产梳理转向资产治理优化、从面向设备资产到面向风险管理、从单点资产管理到全链路风险防护、从合规检查到有效性验证、持续监控；攻击面管理能力目标的变化包括资产治理优化、整体攻击面梳理、风险场景化、验证实战化、自动化和智能化、产品服务化。
• 能力框架：攻击面管理成功的关键因素包括资产数据和关联要全和准、攻击面需要“管理 + 技术”、攻击面需要安全与运维协同、企业需要有一定的基础设施基础；攻击面管理能力包括资产治理、攻击面识别、基于业务的风险分析、自动验证、持续监控。
• 关键技术：攻击面管理的关键技术包括资产识别技术（主动扫描、被动扫描、网络空间测绘、威胁情报、Agent）、资产数据质量治理技术（集成现有资产数据、融合、清洗、去重和异常处理）、攻击面识别技术（漏洞扫描、配置检查、敏感信息识别、数据泄漏检测、威胁情报、暗网监控）、风险评估技术（定量风险评估、定性风险评估）、持续威胁暴露管理（CTEM）、攻击路径分析技术（基于图论的攻击路径分析、基于攻击链的攻击路径分析、攻击路径可视化）、入侵和攻击模拟（BAS）。

攻击面管理应用场景分析

• 行业用户场景：金融行业、政府行业、能源行业、医疗行业。
• 企业规模分类：大型企业、中型企业、小型企业。

攻击面管理应用实施方法

• 实施原则：全面性原则、持续性原则、风险导向原则、主动防御原则、适应性原则、自动化原则、智能化原则。
• 实施目标：短期目标（建立攻击面管理体系框架、提升攻击面可视化能力、初步实现攻击面风险的收敛）、中期目标（完善攻击面管理体系、提升攻击面风险的管理水平、提升安全事件响应能力）、长期目标（构建全面、持续、有效、主动、协同、自动化、智能化和适应性的攻击面管理体系、持续降低风险暴露，提升安全防护能力、实现安全与业务的平衡发展、满足安全合规要求，提升企业安全形象）。
• 实施思路与方法：攻击面管理主要功能包括资产发现、攻击面识别、攻击面风险分析、暴露面管理、攻击面验证、攻击面监控、攻击态势感知的建设。
• 应用挑战与建议：针对企业已有CMDB、SOC、资产数据的多源异构和数据冲突、无法准确全面地识别攻击面、攻击面风险评价不准确、用暴露面管理的处置效率低下等挑战，提出相应的建议。

人工智能攻击面应对初探

• AI 攻击面威胁分析：AI攻击面包括AI模型攻击面、AI数据攻击面、AI应用攻击面、AI基础设施攻击面。
• 应对 AI 攻击面威胁的策略和建议：加强AI模型安全防护（模型鲁棒性测试、模型攻击面收敛、模型安全审计）、保障AI数据安全（数据加密、访问控制、数据脱敏）、提升AI应用安全（代码安全审计、漏洞扫描、安全测试）、加强AI基础设施安全（网络安全防护、服务器攻击面收敛、安全监控）。

攻击面管理成功案例分析

• 案例一：某城商行统一安全管理平台运营项目（绿盟科技提供）
• 案例二：某新能源汽车控股集团攻击面管理案例（魔方安全提供）
• 案例三：某科技集团网络空间风险暴露面治理实践案例（亚信安全提供）
• 案例四：某全国性金融公司 EASM 联动 BAS 项目案例分析（矢安科技提供）

国内外攻击面管理技术研究

• 国外攻击面管理技术现状：攻击面管理从外部转向全面攻击面、攻击面管理与威胁情报、漏洞管理等技术深度融合、从静态分析到动态分析、人工智能（AI）和机器学习（ML）的应用、攻击面管理向持续威胁暴露管理（CTEM）演进、从孤立到融合、攻击面管理向持续威胁暴露管理（CTEM）演进、云原生攻击面管理兴起。
• 国内攻击面管理技术现状：从外部攻击面到内外部的整体攻击面、从单点产品到整体解决方案、从资产梳理转为资产数据质量治理阶段、外部攻击面 EASM 的资产发现方面已经较为成熟、攻击面风险运营平台初步兴起、从合规能力到验证能力、供应商安全受到关注、云原生攻击面管理兴起。
• 国内外攻击面管理技术差距分析：国内攻击面管理技术与国外相比，在产品成熟度、功能完善性和智能化程度方面存在一定差距。
• 国内攻击面管理未来发展趋势：自动化和人工智能 (AI) 的深入应用、攻击面管理的平台化和整合、基于风险的攻击面管理、主动式攻击面管理、供应商安全受到关注、云原生攻击面管理兴起。

攻击面管理厂商推荐

• 选型关键指标：厂商品牌、市场表现、产品技术能力、产品创新能力、管理与服务。
• 十大代表性厂商推荐：华顺信安、华云安、绿盟科技、魔方安全、奇安信、矢安科技、亚信安全、知其安科技、知道创宇、中国通服。