攻击面管理是威胁驱动到风险驱动演进的最佳实践

随着信息技术的不断迭代，企业数字化转型进程不断深入，大量数字化的业务暴露在互联网上，网络威胁暴露面不断扩大，企业安全风险也在增加，企业安全防御面临新的挑战。在这种情况下，企业网络安全需要从威胁驱动转变为风险驱动。

从威胁驱动的局限性看风险驱动

以往，安全防御主要侧重于威胁驱动，针对特定威胁和攻击技术进行防御。数字化转型增加了企业安全建设的成本，并且传统的威胁驱动方法难以保证实际应对的有效性。威胁驱动方法在当前的安全操作中面临一些主要问题，这些问题彰显了其局限性和不足之处：

依赖于已知威胁

威胁驱动方法主要关注已知的威胁和攻击技术，这限制了对新兴和未知威胁的应对能力。随着黑客和攻击者不断改变和进化攻击方式，仅仅依赖于已知威胁的防御策略将无法全面应对复杂和未知的安全风险。

临时性和分散性

威胁驱动方法往往是临时性的应对措施，随着新的威胁出现，安全操作团队需要不断地应对和更新防御措施。这种分散性的方法增加了安全操作的复杂性和管理难度，容易导致漏洞和遗漏，使得整体安全性无法得到全面保障。

缺乏综合性视角

威胁驱动方法往往只关注特定的威胁和攻击技术，而忽视了整体风险的综合评估。这种片面的视角可能导致安全策略的偏颇和资源的不合理分配。相比之下，风险驱动方法能够提供更全面的风险评估，综合考虑组织的资产、漏洞和威胁，从而更准确地确定优先级和制定防御策略。

缺乏持续性和适应性

威胁驱动方法通常缺乏持续性和适应性，无法及时应对不断变化的安全威胁。随着威胁环境的不断演进，安全操作需要具备灵活性和适应性，能够快速调整和更新防御措施。这就需要转向风险驱动方法，通过持续风险管理的实践，实现对安全风险的持续监测和防范。

随着企业规模和复杂性的增加，简单依赖防御特定威胁的方法已经变得不够全面和可持续。以往威胁驱动的网络安全威胁及防范措施的局限性显而易见。在实战化已经成为网络安全主流方向的当下，在数字化转型实践向纵深发展的当下，持续风险管理正是突破上述局限性的有效方法。网络安全产业正由威胁驱动开始走向风险驱动的新阶段，而今天正处于这个转换的关键时期。

网络安全风险管理是一个持续的过程，企业通过实施风险管理，能够及时发现潜在风险，制定有效预防措施，降低网络安全威胁。风险驱动的核心思想是全面评估和管理各种潜在风险。这意味着安全操作团队需要深入了解组织的资产、漏洞和弱点，并评估可能的威胁和攻击路径。通过这种综合的风险评估，安全团队可以制定更加有效的防御策略，将资源集中在最关键的领域，提前预防潜在的安全漏洞。

网络安全的风险持续闭环管理

安全威胁的演化速度和多样性让企业始终面临着一定程度的风险。因此，持续风险管理成为企业的唯一选项。持续风险管理需要将风险评估和防御措施纳入到组织的日常运营中，实现安全的全生命周期管理。

在实践中，一个重要的方法论是需要将理念、流程和工具有机结合起来，实现持续风险管理的最佳实践。综合安全管理框架涵盖了安全政策与治理、风险评估与管理、安全意识与培训、安全技术与控制等方面，为企业提供了一个全面而系统的安全管理方法。

安全政策与治理

安全政策与治理是综合安全管理的基础，企业需要建立明确的安全政策和规范，明确安全目标和责任，并将其纳入组织的日常运营中。同时，建立有效的治理机制，确保安全政策的执行和合规性。

风险评估与管理

风险评估与管理是持续风险管理的核心环节，通过全面评估组织的资产、漏洞和弱点，识别可能的威胁和攻击路径，并进行风险分类和优先级排序。基于风险评估结果，制定相应的防御策略和控制措施，以最大程度地减少风险的发生和影响。

安全意识与培训

安全意识与培训在持续风险管理中起着至关重要的作用，通过开展定期的安全培训和意识活动，提高员工对安全的认知和警惕性，让他们成为安全的主动参与者和防线。

安全技术与控制

安全技术与控制是支撑持续风险管理的关键要素，企业需要采用先进的安全技术工具，如入侵检测系统、安全信息与事件管理系统等，对安全事件进行监测、检测和响应。同时，实施合适的安全控制措施，如访问控制、加密、备份与恢复等，以确保关键资产的保护和风险的最小化。

ASM是实现持续风险管理的最佳实践

威胁驱动已成为过去时，风险驱动才是未来的安全操作趋势。Gartner指出到2026年，60%以上的企业安全威胁检测、调查与响应能力将通过风险暴露面管理来实现，目前这个比例不到5%。企业需要从传统的威胁防御转向基于风险的方法，将资源集中在最重要的领域，重点防范可能的攻击点。持续风险管理成为企业的唯一选项，而攻击面管理提供了实现持续风险管理的最佳实践。

华云安以攻防视角构建一体化攻击面管理安全能力平台，以CAASM、EASM、BAS、VPT、TDR几大产品为支撑，既可独立提供各自的安全能力，又能编排联动形成全面且完整的攻击面整体解决方案；以云上云下单平台交付所有安全能力，实现全面而持续的风险管理。

以本地化部署为主的云下业务：以基于知识图谱的安全风险库为底座，以资产攻击面管理和外部攻击面管理两大平台作为具象的产品，通过主动、被动、侵入式、API形式的四类探针，为用户提供包含攻击面管理、安全验证、自动化防御等多类视角的综合安全能力。由于当前网络安全行业供应商和工具的泛滥态势，华云安提倡以单一平台交付所有安全能力，以满足企业客户寻求单一供应商的诉求和市场发展趋势。

 

以SaaS化部署为主的云上业务：首先基于外部攻击面管理产品，实现以情报的方式来交付安全能力，对于多源数据的采集、分析、关联和对数据的风险评判是核心要素；并进一步以服务的方式来交付攻防能力，如渗透测试即服务（PTaaS），在基于大数据的模式之下，以自动化为主、人工服务为辅实现常态化的攻击测试；另一方面，资产攻击面管理后续将进一步扩展云的支撑能力，包括针对容器、云原生应用、API等云环境的攻击面管理能力及产品支撑力，并逐步覆盖云安全态势管理市场。