學位證書

課程優(yōu)勢與特色

免全國聯(lián)考		在職學習
增加人脈資源	教育部承認的名校證書
教育部直屬“211”院校		留服認證

首頁 >> 行業(yè)動態(tài) > 御安信息：漫談企業(yè)安全管理中的攻擊面管理

御安信息：漫談企業(yè)安全管理中的攻擊面管理

近日,ISC 2023第十一屆互聯(lián)網(wǎng)安全大會上線數(shù)字小鎮(zhèn)New50論壇，討論企業(yè)安全管理,廣邀行業(yè)知名企業(yè)家、學者、技術專家展開熱點安全技術、行業(yè)趨勢分享。開放首日,曝光量突破千萬,在線人數(shù)逾百萬!御安信息總經(jīng)理葉翔受邀并發(fā)表《漫談攻擊面管理——小缺口管理的大用途》主題演講。

企業(yè)安全管理攻擊面和攻擊面管理

企業(yè)運行過程中存在眾多暴露面,當暴露面可以被用來疊加攻擊向量時,就會形成攻擊面。攻擊面是指組織中容易受到攻擊和利用的系統(tǒng)元素集合包括軟件、硬件、組網(wǎng)、人員等方面,它是攻擊者對系統(tǒng)發(fā)起攻擊的所有可利用入口點的總和。攻擊面管理需要對內(nèi)部、外部資產(chǎn)持續(xù)發(fā)現(xiàn)、分析、監(jiān)控和評估以發(fā)現(xiàn)潛在暴露面、攻擊向量和風險,并按照優(yōu)先排序進行響應處置的過程。對企業(yè)來說,由于業(yè)務需要,暴露面很難收斂,但是攻擊面卻可以實現(xiàn)收斂。

企業(yè)安全管理基于PDCA方法的攻擊面管理流程

御安信息結合攻擊面管理方面的實踐經(jīng)驗,提出了基于PDCA方法的攻擊面管理流程,包括資產(chǎn)發(fā)現(xiàn)、資產(chǎn)管理、風險評估、加固和收斂等環(huán)節(jié)。通過資產(chǎn)盤點、脆弱性評估、滲透測試以及威脅情報等進行攻擊面分析,并依據(jù)資產(chǎn)評分和優(yōu)先級完成風險排序,在漏洞修復、補償措施、安全加固多方面實現(xiàn)攻擊面收斂。

企業(yè)安全管理攻擊面管理的用途

攻擊面管理使組織能夠持續(xù)全面地發(fā)現(xiàn)、分析、監(jiān)控和評估內(nèi)外部資產(chǎn),發(fā)覺潛在安全風險,可有效應用于三類主要業(yè)務場景:

應用場景1:企業(yè)自身安全

企業(yè)互聯(lián)網(wǎng)資產(chǎn)的邊界模糊以及未知資產(chǎn)不清晰,導致企業(yè)運營成本巨大,無法實現(xiàn)安全管控,迫切需要攻擊面管理類型產(chǎn)品進行安全建設。攻擊面管理平臺可以通過對資產(chǎn)的風險分析,完成資產(chǎn)分級分類,幫助企業(yè)規(guī)避安全風險,實現(xiàn)企業(yè)資產(chǎn)及其風險的全方位管理。

應用場景2:網(wǎng)絡安全保險核保

網(wǎng)絡安全風險的不確定性,導致保險公司不愿承?；蛞笃髽I(yè)進行一系列復雜的風險評估。這成為網(wǎng)安險市場混亂、成本高昂的重要原因。而利用攻擊面作為網(wǎng)安險核保指標是相對科學的方法,目前已經(jīng)獲得了多家保險公司的認可。以攻擊面管理為基礎方法的企業(yè)安全評級,可通過非侵入式動態(tài)量化風險評估系統(tǒng),為企業(yè)提供實時風險評估分析數(shù)據(jù)及報告,幫助保險公司做出準確判斷并作為保費參考依據(jù),有效平衡雙方利益促進網(wǎng)安險市場發(fā)展。

應用場景3:行業(yè)安全監(jiān)管

由于行業(yè)監(jiān)管部門轄管的企業(yè)數(shù)量多、管理難度大,無法有效感知企業(yè)安全狀態(tài),往往缺乏管理措施。相較于傳統(tǒng)態(tài)勢感知高成本、難監(jiān)測的痛點。攻擊面管理具備投入低、覆蓋廣、準確性高等優(yōu)勢,可強化互聯(lián)網(wǎng)網(wǎng)絡安全威脅治理,深化網(wǎng)安態(tài)勢感知能力和屬地化網(wǎng)絡防護體系建設,有效提高管理部門網(wǎng)絡安全威脅、事件、情報的監(jiān)測和發(fā)現(xiàn)能力,提升網(wǎng)絡綜合治理水平。

04某區(qū)政府攻擊面管理案例實踐

某區(qū)政府出具有效的激勵政策,要求區(qū)域內(nèi)生產(chǎn)對信息系統(tǒng)具有依賴性或有等保系統(tǒng)的企業(yè)購買網(wǎng)絡安全保險,御安信息為該區(qū)提供完善的網(wǎng)絡安全水平和事件趨勢報告,并支持網(wǎng)絡安全事件的應急救援和善后賠付。