近年來，互聯網發展突飛猛進、社會數字化轉型持續進行中，關鍵信息基礎設施遭受網絡攻擊的安全事件也越發頻繁。隨著IoT、5G、云原生等技術發展，未來將會有更多的新興資產和服務出現，以安全風險管控為導向的安全運營技術勢必成為企業關注的重點方向。
2021年7月，Gartner發布的《2021安全運營技術成熟度曲線》對主流的安全運營技術進行解讀，預測創新技術的發展階段，為組織的安全和風險管理負責人提供參考，并幫助其更有效的制定組織的網絡安全發展策略。
Gartner依據專業分析預測與推論各種新科技的成熟演變速度，及要達到成熟所需的時間。具體可分為：技術創新期、期望膨脹期、泡沫破裂谷底期、穩步爬升復蘇期、生產成熟期5個階段。最值得關注的就是Gartner首次提出了新的技術理念CAASM網絡資產攻擊面管理（Cyber asset attack surface management）和EASM外部攻擊面管理（External attack surface management），只有少數企業開展了相關技術研究和產品研發，因此具備較大的市場前景。
網絡資產攻擊面管理（CAASM）
網絡資產攻擊面管理專注于幫助安全團隊解決持續出現的資產和漏洞的挑戰。之前產品關注點在于終端、服務器、設備或應用程序等資產，CAASM 擴展了資產列表的范圍，在整合的資產庫中，用戶可以通過查詢找到外部攻擊面管理(EASM)和端點檢測與響應(EDR)等資產管理工具覆蓋面。并且，CAASM使組織能夠通過 API與現有工具的集成，具有查看所有資產(包括內網和外網)的功能，確定安全控制范圍內的漏洞和差距，并糾正問題。
CAASM 功能
CAASM通過確保安全控制、安全態勢，充分全面了解組織控制下的所有資產，以確認攻擊面和現有安全控制的差距，并修復原系統中可能存在的老舊的或遺漏數據的記錄，使安全團隊能夠改善基本的安全狀況。
1. 通過更準確、創新、全面的資產和安全控制報告，快速生成合規性報告
2. 將已經收集到資產信息的各種現有產品合并到統一的標準化視圖中，減少手動流程或對自制應用程序的依賴
3. 訪問整個組織內多個團隊的合并資產視圖，如企業技術部門、漏洞管理團隊和 IT 管理員，他們可以從合并資產清單中查詢需要的信息
4. 從缺乏治理和控制的資產、安裝的第三方系統和業務線應用程序收集數據和獲得安全可見性的阻力降低。安全團隊需要這些地方的可見性，而IT管理人員可能不需要
外部攻擊面管理（EASM）
外部攻擊面管理是指為發現面向互聯網的企業資產和系統以及相關漏洞而部署的流程、技術和托管服務。比如服務器、認證、公有云服務、物聯網設備的錯誤配置以及可能被對手利用的第三方合作伙伴軟件代碼漏洞。
EASM 功能
1. 監測：持續掃描互聯網，查找與領域相關的環境(如云服務和面向外部的本地基礎設施)和分布式生態系統(如物聯網基礎設施)
2. 資產發現：發現并映射組織面向外部的資產和系統
3. 分析：評估和分析資產屬性，以確定資產是否存在風險或脆弱性
4. 優先級：根據優先級分析對風險和漏洞進行優先級排序，并提供預警
5. 修復：提供優先威脅緩解和修復工作流程或事件響應工具等解決方案的集成操作計劃
EASM有助于識別未知資產，提供有關系統、云服務和應用程序的信息，這些信息在公共域中可用且可見，這些信息也都可能被提供給攻擊者。
EASM 應用場景
IT、OT、IoT等數字資產發現
資產脆弱性與修復管理
云上資產發現和風險管理
企業遠程辦公服務管理
企業敏感數據泄露監測
第三方供應鏈資產管理
子公司與并購公司的資產管理
云基礎設施和平臺服務以及SaaS的轉移、遠程工作、物聯網（IoT）技術的采用以及IT和OT的融合，是一些新的安全需求正在出現的關鍵領域。在這些場景中，正在使用EASM工具，這些工具有助于安全專業人員了解并減少對互聯網和公共領域的不必要暴露，這些暴露可被利用來優先處理最關鍵的問題。
“資弱漏補”閉環安全解決方案與CAASM一貫相通
Gartner定義CAASM技術就是為了幫助在資產發現及資產可見性的基礎上，去修復安全漏洞、減輕合規報告負擔，讓資產安全風險的管理更簡單，從而減小攻擊面或縮小被攻擊的范圍。這與天防安全倡導的“資弱漏補”閉環安全解決方案完美契合，天防安全作為物聯網安全創新者，一直致力于對物聯網安全的研究，通過對物聯網資產指紋的積累和物聯網資產漏洞的收集，擁有視頻監控領域國內最全的IoT設備指紋庫和最全的IoT設備漏洞庫，早在創立之初，即提出“資弱漏補”閉環安全方案的概念，最大化獲取經過融合的資產指紋信息、資產弱口令信息、多維度獲取漏洞信息、補丁狀態，實行“資產+弱口令+IOT漏洞+補丁”的閉環安全風險管理。這種對抗防御和主動防御的重要表現及落地形式，切實符合CAASM資產攻擊面管理理念，環環相扣融入整個大運維環境，從而收縮攻擊面、保障安全態勢。
天防便攜式視頻監控網絡安全檢查工具
提供便攜式、按需使用的視頻監控網絡安全檢查工具，通過對視頻監控網絡空間的快速掃描測繪，及時發現存在的各類安全隱患，以便排查和整改重要網絡安全隱患、風險和突出問題，縮小攻擊面，全面提升視頻監控網絡的整體安全性。體現CAASM技術主要功能：多維度設備資產智能識別能力，全面的資產和安全檢測控制報告，快速生成合規性報告。
天慧視頻監控網絡空間安全監測服務平臺
提供常態化視頻監控網絡的安全監測與管理，通過高效率、高精準的資產發現與識別、高效率弱口令檢測、設備與應用脆弱性檢測、網絡邊界完整性檢測等技術，更全面掌握所有設備資產信息與安全狀態，及時發現網絡中存在的各類安全隱患，從而幫助用戶實時掌握視頻監控網絡整體網絡安全態勢，輔助進行及時整改，切實提升網絡安全管理和防護能力。
天慧還通過CAASM技術確保安全控制、安全態勢和資產暴露在整個環境中得到了解和修復，使安全團隊能夠改善基本的安全狀況。部署CAASM的組織減少了對自主系統和手動收集過程的依賴，實現安全管理從“被動防御”向“積極防御”的進化，為視頻監控關鍵業務系統的安全穩定提供運維支撐和安全保障。
天合視頻監控密碼保險箱
提供針對視頻監控設備賬號進行統一安全管控的解決方案，實現對視頻監控網絡中視頻監控設備的自動化、合規化的賬號密碼統一管理，并通過統一接口實現與視頻監控管理平臺的自動同步，可幫助用戶極大減少手動收集和處理過程的依賴，實現密碼定期自動更新，并能夠達到一機一密、一次一密的管理能力，全面提升用戶對海量視頻監控設備的賬號密碼的自動化管理能力。
天倉視頻監控網絡漏洞補丁管理系統
提供視頻監控網絡中各類設備和應用的一站式漏洞補丁查詢、下載管理解決方案，針對視頻監控網絡中設備與應用漏洞確認困難、補丁查找困難、修復困難的問題，天倉通過針對性的收集、整理，形成專業化補丁庫系統，可與“天慧視頻監控網絡空間安全監測服務平臺”聯動配合，為用戶提供方便的漏洞檢測結果一鍵式補丁查找和下載服務，同時，提供漏洞修復建議和操作指南，提供補丁應用有效性評價參考，簡化漏洞修復流程，提升漏洞修復工作效率。
天防安全的“資弱漏補”閉環安全管理思想，與Gartner的CAASM和EASM技術理念不謀而合，而且在物聯網中，資產規模更大，資產多樣性復雜化，弱口令和漏洞甚至伴隨資產的全生命周期，安全性更脆弱，所以物聯網對ASM攻擊面管理的需求更為迫切，更確切的說物聯網對CAASM和EASM技術的需求更為迫切。天防安全作為物聯網安全創新者，將利用CAASM和EASM技術為推進物聯網安全的進步作出自己的貢獻。
