2023年09月19日
網絡攻擊面已經成為現代企業的安全領導者重點關注的防護領域，根據Censys公司最新發布的《2023年企業安全領導力狀況調查報告》數據顯示，幾乎所有（93%）的受訪CISO都表示遭受過一次以上的網絡攻擊，而了解和管理組織的攻擊面將是他們未來12個月中的首要任務，因為隨著網絡威脅態勢的不斷加劇，如果不能準確掌握組織內外部的所有資產及其中的脆弱性，就無法進行更有效地威脅防御工作。
研究人員同時發現，盡管很多企業已經開始高度關注網絡攻擊面的監測與管理，但是對自身網絡攻擊面的了解程度卻遠遠不夠。持續而準確地理解攻擊面絕非易事，企業在正式開展攻擊面管理工作之前，應該仔細思考以下10個問題：
1、組織有哪些面向互聯網的資產？
這是所有企業的安全負責人都需要能夠明確回答的基礎問題。企業只有知道所有數字資產的位置，才能更好地確定安全團隊的注意力和資源分配到哪里。對于還沒有部署應用攻擊面管理解決方案的團隊來說，往往很難回答出這個問題。因為與過去相比，“資產位于哪里”包含了更多的內容：固定IP地址正逐漸遷移至云端，越來越多的員工使用遠程設備，位置的分散使安全團隊難以準確地管理和清點自己的資產，這些挑戰也引出了下一個重要的攻擊面問題。
2、在組織的攻擊面上有哪些未知的資產？
企業的安全團隊往往認為他們能夠全面掌握組織的所有資產，但實際上，研究人員發現攻擊面上占比約43%的資產是用戶并不知道的，而這些未知或未管理的資產正是攻擊者的主要攻擊目標。報告研究發現，69%的組織承認因為未知資產被入侵而遭受了損失。如果企業不知道自己擁有什么，如何保護它呢？
3.組織攻擊面視圖的更新頻率是多少？
現代企業的數字資產每天都在變化，陳舊的數據無法驅動新一代威脅防護技術的應用。如果只是間歇性地或每周進行一次攻擊面態勢掃描，那么很多先進的安全防護措施將會難以落地實現。研究人員發現，互聯網上的惡意掃描時間間隔平均為三分鐘，相比之下，只有14%的企業組織會持續性地進行攻擊面監控掃描。
4.企業安全團隊應該優先處理哪些風險？
盡管企業暴露的IT資產很多，但攻擊者并不會對所有的資產漏洞都感興趣，他們會從那些最容易被利用的弱點切入，進而攻破重要系統，造成數據泄露。因此，企業安全團隊不能將時間和資源浪費在處理誤報和低風險的事情上，而是要將有限的資源和精力，優先投入到防護最緊急的威脅。為了在高風險威脅爆發之前采取行動，企業需要回答哪些資產存在關鍵的暴露面，企業是否有足夠的洞察力來確定風險處置的優先級？
5.企業是否有云上所有資產的完整視圖？
當前，多云和混合云的采用率仍然在持續上升，隨著組織將更多業務資產遷移到多云環境中，而相應的安全管理能力卻很難及時跟上。這會造成一些問題，因為未管理的云可能會導致影子 IT 的出現，從而為威脅行為者敞開大門。本次報告所調研的一家大型企業組織就表示，通過資產梳理后發現，有超過600個云資產是在他們監控之外的，比企業資產管理臺賬中記錄的在線資產多出了80%。
6.攻擊面上是否存在安全合規性風險？
現在的企業組織在數字化發展過程中，都需要遵守大量的安全監管要求和法規，因為保持合規對業務穩定開展非常重要，否則將會面臨數據泄露和監管罰款的風險。保持合規很大程度上取決于您能否有效地跟蹤和監控那些處于網絡攻擊面上的暴露性資產。企業該如何獲得確保合規性所需的全面和持續的資產可見性？企業是否具有自動化生成安全審計報告的能力？
7.企業攻擊面上的資產是如何相互連接的？
只有了解各類數字資產的連接方式，安全團隊才能更好地識別網絡中最容易受攻擊者入侵的地方，如果攻擊者可以通過網絡中的一個資產間接攻擊或損害其他的關鍵資產，他們就會不斷嘗試找到可行的攻擊方法。畢竟，如果給予攻擊者一點機會，他們就會乘虛而入。這也說明了為什么建立和應用零信任安全框架非常重要。
8.企業的網絡攻擊面是如何變化的？
持續觀察企業網絡攻擊面的變化，對企業建立良好的網絡衛生環境非常重要：首先，企業能夠以此來衡量攻擊面可能擴大或縮小的程度。如果變化程度超出預想，那么跟蹤這些變化可以為安全團隊提出需要解決的問題；其次，了解資產的變化規律可以幫助安全團隊更好地調查威脅，例如通過索引字段和多年積累的歷史數據，獲得攻擊事件調查的更多背景信息。
9.企業的網絡攻擊面上是否存在人為的錯誤配置？
報告研究人員發現，配置錯誤是企業網絡環境中最常見的安全風險類型。事實上，當前企業所存在的網絡風險中，60%都會和配置錯誤有關聯。如果企業的安全團隊準確知道配置錯誤存在的位置，就能夠很容易地規避大量的風險隱患，但是前提是，安全團隊需要能夠知道配置錯誤究竟有多少，并且存在于什么地方。如果不能全面地了解網絡攻擊面，那么這些由于錯誤配置導致的安全風險就可能會長期存在，使攻擊者有機可乘。
10.企業分支機構的資產狀況如何？是否會對組織構成風險？
在現代企業的發展中，經常遇到設立分公司或并購其他公司等情況。然而很多企業在開展網絡安全防護工作時，往往忽略了分支機構或并購企業可能帶來的網絡安全風險。組織可能已經掌握了集團總部的攻擊面對那些要收購的公司是否掌握了他們的攻擊面呢？當并購活動完成后，一些原來未知的網絡風險可能會使你的組織處于脆弱的境地。本次調查發現，40%的受訪者表示在整合被收購公司的過程中發現了新的網絡安全問題。