10年资深安全工程师告诉你,资产暴露面管理要注意的4个误区

  • A+
所属分类:安全闲碎

- 本文共计 1972 个字,预计阅读时间 6 分钟 -


10年资深安全工程师告诉你,资产暴露面管理要注意的4个误区
 
子曾曰:看不见的东西,企业保护不了。现实的情况是,看得见的东西,企业也不一定能保护好。

曾几何时,传闻某企业做了一款防火墙产品,并表示此款防火墙是业内“最好的盾牌”,绝对能够保护企业的安全。要是谁能攻破该防火墙,其愿意给这位老铁一个双击666没想到的是,天底下真有强手好汉,最终攻入该企业内部。不过这位好汉没有直接进攻防火墙,而是先拿下了企业运维人员的电脑,再通过运维人员权限达成入侵目标,成功绕过了防火墙。

故事很短,但对每一个企业来说都很有意义:企业想要做好网络安全,一定要进行资产暴露面管理原因在于,网络安全同样遵循“木桶原理”,最薄弱的位置决定了企业的安全牢固程度不做好资产暴露面管理,约等于在攻防对抗中直接缴械投降。

不过,这次我们不说如何进行资产暴露面管理,而是聊聊很多企业存在的资产管理误区。这里我们梳理出了四个典型误区,来看看你信过几个:



误区一:安全资产暴露面管理就是 CMDB

很多企业误以为资产暴露面管理就是 CMDB,或者运维人员的资产台账,只是来做资产的管理与罗列。这种认知不在少数,但与资产暴露面管理的本质相比,确实存在偏差。CMDB(Configuration Management Database,配置管理数据库)专注于资产配置类信息,的确能够提供设备类、IP 类、MAC 类及软件版本等丰富的信息,但整体仍偏于信息管理。

而资产暴露面管理的本质,其实是企业的攻击面管理企业对资产暴露面进行梳理,可以知道有哪些暴露的资产口子,可能会被利用。对于攻击者而言,这些暴露面就是可进攻的入口。企业了解到可能被攻击的资产入口后,如果缩小资产暴露面,就是在缩小攻击范围,减少被攻击的可能。


误区二:资产管理没有固定的标准
 
不能否认的是,端口、域名管理是有固定标准的。例如,企业对外的端口,只能开放 80 端口或者 443 端口;管理端口、数据端口是不能对外开放的,如果涉及到业务需要,必须通过其他方式,如加白进行访问;再比如,某台电脑想要连接一家公司的内网,可能需要下载杀毒软件、开启某防火墙,再进行关联、登录 WIFI 认证等,满足条件后才能进行上网,这就是固定的标准。

这些标准,能够保证企业达到最基本的安全要求,但无法为企业资产提供一个绝对安全的网络环境。网络资产的相对安全,是依赖于企业的资产规模、企业对安全的要求与标准、以及外部威胁因素的技术水平等多种复杂的条件。也就是说,没有绝对的网络安全,但一定有更高的安全标准

10年资深安全工程师告诉你,资产暴露面管理要注意的4个误区


误区三:资产暴露面管理就是内部资产管理
 
长期以来企业更多是基于“知己”的视角保护网络安全,做内部风险防范与管理在谈到资产暴露面管理时,很多企业都是对企业的内部资产在进行管理,从企业内部进行探测。随着网络安全威胁复杂化,资产内涵的延展,企业资产暴露面管理已不局限于硬件基础信息、软件、业务、端口、内部账号等内部信息,还需要关注暗网交易数据、用户信息泄露、代码仓库等外部潜在的企业资产,才能尽量避免各种经济损失或名誉损失。

对于外部资产暴露面的管理,大多数企业还是依靠人工录入等传统方式进行,风险检测效率与覆盖率远远不够,很难真正发现外部的威胁。更高效、安全的办法,是可以通过最新的专业外部威胁感知产品来完成。例如,借助微步在线的外部威胁与风险监控平台,从外部视角、黑产视角、监管视角,全面发现企业暴露在互联网的影子资产、数据泄露等不同资产风险,快速锁定外部敏感资产。


误区四:事后才需做安全资产暴露面管理

传统资产管理,多半采用静态方式对资产进行清点管理,使得很多企业都持有一种观点:资产暴露面管理应该是静态的,如果出现问题,事后进行资产风险盘点即可,很少没有主动发现的意识与理念,安全人员始终在充当企业消防员的角色。

其实大可不必如此。资产暴露面梳理,需要核心关注的,除了“全面”,还有就是“及时”。如果业务部门新上的服务或业务,没有及时通知到企业的 IT 运维或者安全部门,都可能成为企业新的攻击点,威胁到企业安全。所以,最好的资产暴露面管理,应该是主动发现与告知,并且可以通过产品来实现。例如,微步在线的 TDP 威胁感知平台,不仅能够全面发现 IP、域名等资产风险,还可主动掌握新开的服务或者端口,及时告知企业安全人员。(关于 TDP 风险管理,可以看看这篇:《数据安全法》正式公布!企业如何保护敏感数据?

安全资产管理,是每个企业安全人员面对的一道必答题。对于安全人员来说,在进行暴露面管理之前,企业需要先有一个正确的认识,才能确保行驶在正确有效的航道之上:资产暴露面管理不是 CMDB,它没有绝对的标准,但需要全方位、主动去梳理企业拥有的资产,尽可能提高资产的可见性,降低资产的风险性,企业才能更安全。


安全传送门


资产暴露面管理,相信不少企业有过“血泪教训”,多分支机构的大公司更甚,各地业务新开服务和端口总是“先上线,后/不通知”,IT 运维&安全人员身心劳累,还担心公司是否有资产在互联网上“裸奔”……


如果你的企业也遇到这方面的问题,欢迎长按下方二维码了解联系我们,给你一份专业的资产暴露面管理解决方案。

10年资深安全工程师告诉你,资产暴露面管理要注意的4个误区

长按识别二维码

咨询资产暴露面管理解决方案




· END ·

点击下方名片,关注我们
觉得内容不错,就点下“”和“在看
如果不想错过新的内容推送,可以设为星标 10年资深安全工程师告诉你,资产暴露面管理要注意的4个误区 哦

戳“阅读原文,了解威胁感知平台TDP

本文始发于微信公众号(安全威胁情报):10年资深安全工程师告诉你,资产暴露面管理要注意的4个误区

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: