《攻击面管理技术应用指南》报告发布及代表性厂商推荐

云计算的快速应用和远程办公方式的兴起，使得现有的联网架构出现更多安全盲点,企业组织的网络攻击面迅速扩大。然而大多数企业组织跟踪相关安全变化、清点数字化资产的能力却难以跟上其发展需要。在此情况下，攻击面管理（Attack Surface Management，简称“ASM”）技术应运而生，并且受到行业用户广泛关注。

为了更好地了解攻击面管理技术的发展态势和应用价值，总结攻击面管理技术的建设应用经验，发现当前有代表性的攻击面管理技术及解决方案，安全牛以第十版《网络安全行业全景图》中“攻击面管理”细分领域收录数据为基础，进一步开展了《攻击面管理技术应用指南》报告研究工作。2023年12月22日，报告正式发布。

本次报告中，安全牛分析师通过问卷调查、企业访谈、用户评价等形式，综合调研了21家国内提供攻击面管理相关技术产品和服务的供应商，覆盖EASM、CAASM以及DPRS等典型攻击面管理技术类型，并从品牌影响力、市场应用、技术先进性、产品可用性和服务支持能力5大维度，评估收录了目前领域中的10家代表性国内厂商（见下表），并对其产品应用特点进行了总结分析。

• 攻击面管理并不是一个新的技术，而是将多种已有安全技术融合在一起，聚焦于攻击风险管理的思路和解决方案，需遵循以风险策略为中心、业务驱动、持续可见、自动化和平台集成等原则建设应用；
• 研究发现，目前国内主流攻击面管理方案在资产发现、漏洞管理方面技术成熟度较高，但是在风险优先级判断、供应链安全、多场景适应、数据挖掘深度等方面有待进一步提升，也是未来企业选型攻击面管理方案时应重点关注的因素；
• 安全牛认为，攻击面管理并不适合所有类型的企业采购应用。企业在不同的安全建设阶段，应有不同的关注重点，并采取不同的风险管理方法。只有在企业完成基础性安全合规建设，进入持续检验安全防护措施和运营策略的有效性时，对攻击面管理的需求才会显著体现；
• 做好攻击面管理对企业本身的安全运营能力有较高要求，需要持续监测网络环境变化与新出现的风险，攻击面管理的过程和结果应该能够被安全管理人员和决策者清晰地全面地看到和理解，以便及时调整和优化攻击面管理的策略和方案；
• 目前，国内攻击面管理市场处于快速增长的阶段，2022年我国攻击面管理市场规模约为4.6亿元（产品+服务），预计到2026年，攻击面管理的市场规模将超过为14.5亿元，复合年增长率约为28%，增长原因主要包括网络安全环境复杂严峻、合规要求更加严格、实战化攻防演练需求等。

在国标《GB T 20984-2022 信息安全技术信息安全风险评估规范》中，描述了信息安全风险评估的要素包括资产、脆弱性、威胁和安全措施，基本要素之间的关系是威胁利用资产存在的脆弱性导致风险，该标准能够帮助企业有效开展信息安全风险评估工作，同时也可以作为攻击面管理能力建设的参考。

参考上述标准，安全牛建议，企业在开展攻击面管理核心能力建设时，应该重点关注资产识别、攻击面识别、风险分析、收敛和验证以及持续监控能力。

图：攻击面管理核心能力和建设关键点

资产发现能力是指通过发现、存储和管理企业内外部各类资产，全面掌握企业网络资产情况。资产识别是攻击面管理的基础，只有全面了解网络中所有的资产，才能更好地进行攻击面管理。

攻击面识别能力是指识别可能被攻击者利用的漏洞、错误配置、弱口令，或者可能发生的数字风险，以及第三方引发的风险，只有发现真实的攻击面风险，才能有效地进行控制。

攻击面分析能力是攻击面管理的核心能力之一，攻击面分析技术应收集并利用威胁情报，分析并确定攻击面的优先级。

攻击面收敛就是通过减少攻击面和潜在攻击路径，确保能够满足企业的安全需求的安全性的方法。攻击面验证则是评估攻击面收敛后安全控制的有效性，促使闭环流程管理，及时调整措施，确保安全措施的有效性。

持续监控能力是指对网络中的所有资产和攻击面进行实时监测，持续监控是攻击面管理的重要环节之一，包括资产和攻击面的整体可视化，到异常情况的发现和告警，这些环节都需要结合具体的业务需求和安全策略进行设计和实施。

攻击面管理并不是一个新的技术，它是将多种已有安全技术融合在一起，聚焦于攻击风险管理的思路和方法。构建攻击面管理的技术框架包括基础环境、基础数据、中台能力、ASM应用，这些基础技术共同支撑了ASM的CAASM、EASM和DRPS的应用领域，与人员、平台以及管理服务一起实现了攻击面管理的网络安全管理、安全合规、攻击面收敛等场景的应用。

图：攻击面管理建设框架

根据攻击面管理的能力建设要求，其方案中需要具备的关健技术主要包括资产识别技术、攻击面识别技术、风险分析技术、威胁情报、攻击面收敛策略和验证技术、以及自动化和人工智能等技术，可以帮助企业实现提升网络安全风险管理和控制水平。

调研发现，在攻击面管理方案的建设过程中，企业用户经常会遇到项目复杂度高、风险分析不准确、资产发现难度大、攻击类型难分析、集成部署困难等实施问题，具体包括：

本次报告从品牌影响力、市场应用、技术先进性、产品可用性和服务支持能力5大维度，对当前市场上实际能够提供攻击面管理方案和服务的国内安全厂商进行了评估分析，并收录其中具有较高应用代表性的10家厂商（排名不分先后，按首字母序排列）。