与安全运营相关的五个攻击面难题

admin 2022年12月1日11:28:21企业安全评论7 views1600字阅读5分20秒阅读模式

与安全运营相关的五个攻击面难题

年初发布的ESG调研报告中,半数受访企业(52%)表示安全运营比两年前更难了。问及原因,41%指向不断发展变化的威胁形势,38%认为是越来越膨胀的攻击面,37%表示警报的数量和复杂度推高了安全运营难度,34%则归咎于公有云计算服务的普及。

如今大多数此类安全难题不过是再一次昨日重现,年复一年地折磨安全团队。但有一个例外:不断扩大的攻击面。诚然,自我们开始使用早期浏览器那一刻开始,攻击面就一直在稳步扩大,但过去几年里情况才真正一发不可收拾。再怪罪电商、新冠肺炎、数字化转型,各企业和机构也还在将IT系统连接上第三方、支持远程办公职员、开发云原生应用,以及大量使用SaaS服务。只要将所有这些因素都考虑进去,企业和机构通常在用上万个面向互联网的资产就不足为奇了。

直面攻击面难题

不断扩张的攻击面必然会扰乱旧有安全运营计划,但到底会产生什么影响呢?ESG向376位安全专业人士提出了这一问题。受访者的回答提到了攻击面扩大所带来的五个难题。

  • 需要与开发人员建立更深的联系。这一回答反映出,随着企业开发更多云原生应用,并持续向生产应用推送新功能,软件开发与安全之间出现了脱节。开发那边用了无服务器函数没有?是否连接了不安全的API?有没有把敏感数据留在了开放的S3存储桶里?很多情况下,安全团队都不知道以上这些问题的答案。云安全态势管理(CSPM)对缓解这种情况有所帮助,但此类工具并不普及,还可能被云开发团队雪藏。弥合安全/开发人员之间的脱节应该是所有首席信息安全官(CISO)的头等大事。

  • 导致重复评估当前工具和流程。这是持续困扰安全运营团队的另一个常见问题。为发现和管理攻击面,企业倾向于从现有工具着手:资产管理系统、漏洞扫描器、日志管理、CSPM等等。他们很快就会认识到,从各个迥然不同的系统统合数据过于耗时:43%的企业宣称,全面盘点攻击面管理需要花费80个小时以上的时间。由于数据来自多个系统,必须安排人核查结果的合理性,这就会开销和人为错误。至于结果,69%的企业表示遭遇了未知、未托管或管理不善的攻击面资产所造成的网络事件。

  • 增加漏洞数量,延长相关修复周期。逻辑很简单。资产增多=漏洞增加=修复周期延长。有些企业有流程和资源跟上;但很多企业并不具备这些流程和资源。

  • 拖慢安全调查和响应动作。这种情况下,安全分析师可能无法访问所需的全部数据,最终不得不深陷不同数据源追踪这些数据。而分析师试图搞清问题所在的同时,威胁的驻留时间也延长了,从而导致上述安全事件发生的频率升高。此外,如果安全和IT团队修复了某些系统,却在无形攻击面上错失攻击全貌,事件响应动作也可能并不完整。

  • 造成可见性缺口。不断扩大的攻击面会导致可见性盲点——安全分析师的噩梦。正如安全领域的老生常谈所言,“你无法管理你衡量不了的东西。”

随着CISO意识到这些问题会带来破坏性网络攻击,上述难题和其他问题也加重了对企业攻击面管理的关注。安全行业以一系列令人眼花缭乱的并购做出了回应:DarkTrace收购了Cybersprint,IBM吃下了Randori,Mandiant买下Intrigue,微软纳入RiskIQ,Palo Alto Networks吞并Expense Networks,Tenable购进BitDiscovery。背靠风险投资的CyCognito、Cyberpion和Upguard等初创公司,以及BitSight和Security Scorecard等第三方风险管理供应商也在这一领域搅动风云。

五年前还没有几家公司谈论攻击面管理,但时移世易,现在攻击面管理已成为企业安全要求。忽视攻击面管理,就得做好后果自负的心理准备。


参考阅读
[调研]推进安全运营自动化
人机共智—促进智能化安全运营
为什么外部攻击面管理至关重要
外部攻击面管理(EASM)实践——暗网威胁可视性报告

原文始发于微信公众号(数世咨询):与安全运营相关的五个攻击面难题

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年12月1日11:28:21
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  与安全运营相关的五个攻击面难题 http://cn-sec.com/archives/1436711.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: