没有暴露，就没有伤害--暴露面管理（EM）面面观（1）
数字化转型加快了我国信息技术基础设施向数字化基础设施转变，数字化时代带来了新的安全挑战，传统的资产发现、风险评估和漏洞管理流程无法跟上当今网络中新漏洞和新攻击方法的速度。脆弱点的瞬间暴露，可能会带来巨大的风险包括业务中断、数据丢失、企业形象受损等等，这些风险带来的代价也是难以估量的。
ZHENGCE YAOQIU
近年来，随着攻防演练常态化，以及《网络安全法》、《关键信息基础设施安全保护条例》等法律法规的相继颁布，网络安全建设从“合规驱动”阶段逐步过渡到“实战驱动”阶段，从“被动防御”向“主动防御”演进，更加突出实战对抗、全面监测、快速响应、情报协同等，强调“先发现、先预防、先处理”的防御前置原则
2023年5月1日正式实施的《关键信息基础设施安全保护要求》从分析识别、安全防护、检测评估、监测预警、主动防御、事件处置等6个方面提出了安全要求。其中主动防御提到了收敛暴露面的要求，包括：
- 应识别和减少互联网和内网资产的互联网协议地址、端口、应用服务等暴露面，压缩互联网出口数量；
- 应减少对外暴露组织架构、邮箱账号、组织通信录等内部信息，防范社会工程学攻击；
- 不应在公共存储空间（例如：代码托管平台、文库、网盘等）存储可能被攻击者利用的技术文档。例如：网络拓扑图、源代码、互联网协议地址规划等。
BAOLUMIAN GUANLI
安全行业一直在寻找一种框架，该框架将从单纯的主动防御转变为更成熟的战略增强型预防控制，暴露面管理（Exposure Management）正是这一思想的实现，EM是一种集成的迭代方法、流程、功能，允许组织能够持续和一致地可视化评估自身数字资产的可访问性、暴露面及可利用性，遵循治理、风险和合规性（GRC）的要求。EM通过五个阶段交付:确定范围、发现识别、优先级、验证和采取行动。
EM是Gartner 2023年提出的网络空间安全新赛道，Gartner预测，到2026年，通过暴露面管理能有效优化组织的安全投资，并减少其三分之二的违规行为。
HEXIN SIXIANG
暴露面管理提出了一种主动式安全防御新思路，通过动态周期性的识别、发现、优先评估、验证、处置来应对新安全威胁的挑战。暴露面管理并不只关注安全事件本身，更关注攻击路径，站在攻击者的角度去思考攻击可能发生在哪里，以及可能采用的攻击战术和手段。暴露面管理的核心思想包括：主动发现、提前预警、积极响应、持续优化。
YINGYONG CHANGJING
- 高风险暴露面展示
基于高危漏洞、敏感端口、弱密码入口、登录入口等维度，展示互联网高风险暴露面。
- 发现未知资产/影子资产
监测未知资产/影子资产，识别用户违规上线、脱离管控的资产，以及相关仿冒资产（包含网站、IP、公众号、小程序、APP等）。
- 及时发现失陷资产
及时发现用户的失陷资产，包括木马、后门、暗链、页面篡改、隐蔽控制通道等，及时处置失陷资产导致的业务中断或经济损失。
- 敏感数据泄露场景
及时发现暴露在互联网/暗网上的业务数据、源代码、客户信息、企业敏感文档的泄露情况，并定位泄露信息源。
- 内容合规性和服务健康度
内容安全合规要求日趋严格，协助用户及时发现公开内容的敏感信息，实时监测窗口资产（网站资产、微信公众号、微博等），识别对外服务的异常情况。
守望者实验室：专注AI大模型在“暴露面管理”领域的创新实践，坚持“能力化、自动化、智能化”的理念，聚焦情报驱动的“暴露面管理”平台的建设运营，为关键信息基础设施安全保驾护航 。
原文始发于微信公众号（守望者实验室）：没有暴露，就没有伤害--暴露面管理（EM）面面观（1）
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论