近年(nian)來，互聯網發(fa)展突飛猛進(jin)、社會數字(zi)化(hua)轉(zhuan)型持續(xu)進(jin)行中(zhong)，關鍵信息(xi)基礎設施遭受網絡攻(gong)擊的安(an)全(quan)(quan)事件(jian)也越發(fa)頻繁。隨著IoT、5G、云原生(sheng)等技(ji)術發(fa)展，未來將會有(you)更(geng)多的新興(xing)資產(chan)和(he)服務出(chu)現(xian)，以安(an)全(quan)(quan)風險管(guan)控為(wei)導向的安(an)全(quan)(quan)運營技(ji)術勢必(bi)成為(wei)企業關注的重點方向。
2021年7月，Gartner發(fa)(fa)布的(de)(de)(de)《2021安(an)全(quan)運營技術(shu)成熟(shu)度曲線》對主流的(de)(de)(de)安(an)全(quan)運營技術(shu)進行解讀，預測創新技術(shu)的(de)(de)(de)發(fa)(fa)展(zhan)階段，為組織的(de)(de)(de)安(an)全(quan)和風險管理(li)負(fu)責人提供參考，并幫(bang)助(zhu)其更(geng)有效的(de)(de)(de)制定組織的(de)(de)(de)網絡安(an)全(quan)發(fa)(fa)展(zhan)策略。
Gartner依(yi)據(ju)專業分析預測與推論各種新科(ke)技(ji)的(de)(de)成熟演變速度，及要(yao)達到成熟所需(xu)的(de)(de)時間。具體(ti)可分為：技(ji)術(shu)創(chuang)新期(qi)、期(qi)望膨脹期(qi)、泡沫破裂谷底期(qi)、穩步爬升復(fu)蘇期(qi)、生(sheng)產(chan)(chan)成熟期(qi)5個階段。最值得關(guan)(guan)注的(de)(de)就是Gartner首(shou)次提(ti)出(chu)了(le)新的(de)(de)技(ji)術(shu)理(li)念CAASM網絡資產(chan)(chan)攻(gong)擊面管理(li)（Cyber asset attack surface management）和EASM外部攻(gong)擊面管理(li)（External attack surface management），只(zhi)有少數(shu)企業開展了(le)相關(guan)(guan)技(ji)術(shu)研(yan)究和產(chan)(chan)品研(yan)發(fa)，因(yin)此(ci)具備較大(da)的(de)(de)市場前景。
網絡資產攻擊面管(guan)理（CAASM）
網(wang)絡資(zi)(zi)產(chan)(chan)攻(gong)擊面(mian)管(guan)理專注(zhu)于(yu)幫助安(an)全團隊解決持續出現的資(zi)(zi)產(chan)(chan)和(he)(he)漏洞(dong)(dong)的挑戰。之前產(chan)(chan)品關注(zhu)點在(zai)(zai)于(yu)終端、服(fu)務器、設(she)備或應用(yong)程序(xu)等資(zi)(zi)產(chan)(chan)，CAASM 擴展(zhan)了資(zi)(zi)產(chan)(chan)列表(biao)的范圍，在(zai)(zai)整合的資(zi)(zi)產(chan)(chan)庫中，用(yong)戶可以(yi)通(tong)過(guo)查(cha)詢(xun)找到(dao)外部(bu)攻(gong)擊面(mian)管(guan)理(EASM)和(he)(he)端點檢測與(yu)(yu)響應(EDR)等資(zi)(zi)產(chan)(chan)管(guan)理工(gong)具(ju)(ju)覆蓋(gai)面(mian)。并且，CAASM使(shi)組織(zhi)能夠通(tong)過(guo) API與(yu)(yu)現有(you)工(gong)具(ju)(ju)的集成(cheng)，具(ju)(ju)有(you)查(cha)看(kan)所有(you)資(zi)(zi)產(chan)(chan)(包括內網(wang)和(he)(he)外網(wang))的功(gong)能，確(que)定(ding)安(an)全控制范圍內的漏洞(dong)(dong)和(he)(he)差距，并糾正(zheng)問題。
CAASM 功能
CAASM通過確保安(an)全(quan)控制(zhi)、安(an)全(quan)態(tai)勢(shi)，充分全(quan)面了解組(zu)織控制(zhi)下的所有資產，以(yi)確認攻(gong)擊面和(he)現(xian)有安(an)全(quan)控制(zhi)的差距，并(bing)修復原系統中可能存(cun)在的老舊的或(huo)遺(yi)漏數據(ju)的記(ji)錄，使安(an)全(quan)團隊能夠改(gai)善(shan)基本的安(an)全(quan)狀(zhuang)況(kuang)。
1. 通過更準確、創新(xin)、全(quan)面的資產(chan)和安全(quan)控制報告(gao)，快速生(sheng)成合(he)規性(xing)報告(gao)
2. 將已經(jing)收(shou)集到資產信(xin)息的(de)各種現有(you)產品合并到統一的(de)標準(zhun)化視圖中，減少手動流(liu)程(cheng)或(huo)對(dui)自制應用程(cheng)序的(de)依賴(lai)
3. 訪問(wen)整個(ge)組織內多(duo)個(ge)團(tuan)隊的合并資(zi)產(chan)視(shi)圖(tu)，如(ru)企(qi)業技術部門、漏洞管理團(tuan)隊和 IT 管理員，他們可以從合并資(zi)產(chan)清單中查詢需(xu)要的信息(xi)
4. 從(cong)缺乏(fa)治(zhi)理(li)和控制的(de)資產、安裝(zhuang)的(de)第三方系統和業務(wu)線應(ying)用(yong)程(cheng)序收集(ji)數據(ju)和獲得安全可見性(xing)的(de)阻力(li)降(jiang)低(di)。安全團隊(dui)需(xu)要(yao)這(zhe)些地方的(de)可見性(xing)，而IT管理(li)人(ren)員可能不(bu)需(xu)要(yao)
外部攻擊面管理（EASM）
外部攻擊面管理是指為發現面向互聯網的企業資產和系統以及相關漏洞而部署的流程、技術和托管服務。比如服務器、認證、公有云服務、物聯網設備的(de)錯誤配置以及可能(neng)被對手(shou)利用的(de)第三方合作(zuo)伙伴軟件代碼漏洞。
EASM 功能(neng)
1. 監(jian)測：持續掃(sao)描互聯網(wang)，查找與(yu)領域(yu)相關(guan)的環(huan)境(jing)(如(ru)云服務和面向外部的本(ben)地(di)基礎(chu)設施)和分(fen)布式生態系統(tong)(如(ru)物聯網(wang)基礎(chu)設施)
2. 資(zi)產發現：發現并映射(she)組(zu)織面向(xiang)外部的(de)資(zi)產和系統
3. 分(fen)析(xi)：評估和分(fen)析(xi)資產(chan)屬(shu)性，以確定資產(chan)是否存在(zai)風(feng)險或脆弱性
4. 優先級(ji)：根據優先級(ji)分析對風險和漏洞進行優先級(ji)排序，并提供(gong)預警
5. 修(xiu)復：提(ti)供優先威脅(xie)緩解和修(xiu)復工作流程(cheng)或事件響(xiang)應工具等解決方(fang)案(an)的集成操作計劃
EASM有(you)助于識別未知資產，提(ti)供有(you)關系(xi)統、云(yun)服務和應(ying)用程序(xu)的信息，這些信息在公(gong)共域(yu)中可用且可見，這些信息也都可能被提(ti)供給攻擊者。
EASM 應用場景(jing)
IT、OT、IoT等數字資產發現(xian)
資產脆弱(ruo)性與修復(fu)管(guan)理
云上(shang)資產發現和風(feng)險(xian)管理(li)
企業遠程(cheng)辦(ban)公服務管理
企業敏感(gan)數(shu)據(ju)泄露監測
第三方供應鏈資產(chan)管理
子公(gong)(gong)司與(yu)并購(gou)公(gong)(gong)司的資產管(guan)理
云基礎設施和平臺服務以(yi)及(ji)SaaS的(de)(de)轉移、遠(yuan)程工(gong)作、物聯網（IoT）技術的(de)(de)采(cai)用以(yi)及(ji)IT和OT的(de)(de)融合，是一(yi)些新的(de)(de)安全(quan)需求正在出現(xian)的(de)(de)關(guan)鍵(jian)領域。在這(zhe)些場景(jing)中，正在使(shi)用EASM工(gong)具，這(zhe)些工(gong)具有助于安全(quan)專業人員了解并減少對(dui)互聯網和公共領域的(de)(de)不(bu)必要暴露，這(zhe)些暴露可被利用來優先(xian)處理最(zui)關(guan)鍵(jian)的(de)(de)問題。
“資弱(ruo)漏補”閉環安全解決(jue)方案與CAASM一(yi)貫相通
Gartner定義CAASM技術就是為了幫助在資產發現及資產可見性的基礎上，去修復安全漏洞、減輕合規報告負擔，讓資產安全風險的管理更簡單，從而減小攻擊面或縮小被攻擊的范圍。這與天防安全倡導的“資(zi)(zi)弱漏(lou)補(bu)”閉環安(an)(an)全(quan)(quan)解(jie)決方案(an)完美契合，天(tian)防安(an)(an)全(quan)(quan)作(zuo)為物(wu)聯(lian)(lian)網(wang)安(an)(an)全(quan)(quan)創(chuang)(chuang)新(xin)者，一(yi)直致(zhi)力于對物(wu)聯(lian)(lian)網(wang)安(an)(an)全(quan)(quan)的研(yan)究，通過對物(wu)聯(lian)(lian)網(wang)資(zi)(zi)產(chan)指紋的積累和物(wu)聯(lian)(lian)網(wang)資(zi)(zi)產(chan)漏(lou)洞(dong)的收集，擁有視頻監控領域國(guo)內最全(quan)(quan)的IoT設(she)備指紋庫和最全(quan)(quan)的IoT設(she)備漏(lou)洞(dong)庫，早在創(chuang)(chuang)立之初(chu)，即提出“資(zi)(zi)弱漏(lou)補(bu)”閉環安(an)(an)全(quan)(quan)方案(an)的概念，最大化(hua)獲取經過融合的資(zi)(zi)產(chan)指紋信(xin)息、資(zi)(zi)產(chan)弱口(kou)令信(xin)息、多維度獲取漏(lou)洞(dong)信(xin)息、補(bu)丁(ding)狀態，實行(xing)“資產+弱口令+IOT漏(lou)洞(dong)+補(bu)丁”的(de)閉環安(an)全風(feng)險管理。這(zhe)種對(dui)抗防御和主動防御的重(zhong)要(yao)表現及落地(di)形式(shi)，切實符合CAASM資產(chan)攻擊面管理(li)理(li)念，環(huan)環(huan)相扣融入整(zheng)個大運維環(huan)境，從而收(shou)縮(suo)攻擊面、保障(zhang)安全(quan)態勢(shi)。
天防便攜式視頻監控網絡安全檢查工具
提供便攜式、按需使用的視頻監控網絡安全檢查工具，通過對視頻監控網絡空間的快速掃描測繪，及時發現存在的各類安全隱患，以便排查和整改重要網絡安全隱患、風險和突出問題，縮小攻擊面，全面提升視頻監控網絡的整體安全性。體現CAASM技術主要功能：多維度設備資產智能識別能力，全面的資產和安全檢測控制報告，快速生成合規性報告。
天慧視頻監控網絡空間安全監測服務平臺
提供常態化視頻監控網絡的安全監測與管理，通過高效率、高精準的資產發現與識別、高效率弱口令檢測、設備與應用脆弱性檢測、網絡邊界完整性檢測等技術，更全面掌握所有設備資產信息與安全狀態，及時(shi)發現網(wang)絡(luo)中存(cun)在的各類安(an)全隱患，從而幫助用(yong)戶實(shi)時(shi)掌握視頻(pin)監控(kong)網(wang)絡(luo)整(zheng)體網(wang)絡(luo)安(an)全態勢，輔助進行(xing)及時(shi)整(zheng)改，切實(shi)提升網(wang)絡(luo)安(an)全管(guan)理和防(fang)護能(neng)力。
天慧還通過CAASM技術確保安全控制、安全態(tai)勢和(he)資產(chan)暴露在(zai)整個環境(jing)中得到了解(jie)和(he)修復，使安全團隊能夠改善基本(ben)的安全狀況。部(bu)署CAASM的組(zu)織(zhi)減少了對自主系(xi)統和(he)手(shou)動收集過程的依(yi)賴(lai)，實現(xian)安全管理從“被動防御”向“積極防御”的(de)進化，為視(shi)頻監(jian)控關鍵業務系統(tong)的(de)安全穩定提供運維支撐和安全保障。
天合視頻監控密碼保險箱
提供針對視頻監控設備賬號進行統一安全管控的解決方案，實現對視頻監控網絡中視頻監控設備的自動化、合規化的賬號密碼統一管理，并通過統一接口實現與視頻監控管理平臺的自動同步，可幫助用戶極大減少手動(dong)收集和(he)處理過程的依賴，實現密(mi)碼定期自(zi)(zi)動更(geng)新，并能夠達到一機一密(mi)、一次(ci)一密(mi)的(de)管(guan)理(li)能力，全(quan)面提升用戶對海量視頻監控(kong)設備的(de)賬(zhang)號密(mi)碼的(de)自(zi)(zi)動化管(guan)理(li)能力。
天倉視頻監控網絡漏洞補丁管理系統
提(ti)(ti)供視頻監(jian)(jian)控網(wang)絡中(zhong)各類(lei)設(she)備(bei)和(he)(he)應用的一站式(shi)(shi)漏(lou)(lou)洞補丁(ding)查詢、下載(zai)管理(li)解決方案，針對視頻監(jian)(jian)控網(wang)絡中(zhong)設(she)備(bei)與應用漏(lou)(lou)洞確認困(kun)難(nan)、補丁(ding)查找困(kun)難(nan)、修復困(kun)難(nan)的問題，天倉通過針對性(xing)的收集、整(zheng)理(li)，形成專業(ye)化補丁(ding)庫系統，可與“天慧視頻監(jian)(jian)控網(wang)絡空(kong)間安全監(jian)(jian)測服務平臺”聯動(dong)配合，為用戶提(ti)(ti)供方便的漏(lou)(lou)洞檢(jian)測結果一鍵式(shi)(shi)補丁(ding)查找和(he)(he)下載(zai)服務，同時，提(ti)(ti)供漏(lou)(lou)洞修復建議和(he)(he)操(cao)作指南，提(ti)(ti)供補丁(ding)應用有效性(xing)評價參考，簡化漏(lou)(lou)洞修復流程，提(ti)(ti)升(sheng)漏(lou)(lou)洞修復工作效率(lv)。
天防安(an)(an)全(quan)的“資(zi)弱漏(lou)補”閉環安(an)(an)全(quan)管理思想，與Gartner的CAASM和(he)EASM技術(shu)(shu)理念不謀而(er)合，而(er)且在物(wu)聯(lian)網(wang)(wang)中，資(zi)產規(gui)模更(geng)(geng)大，資(zi)產多(duo)樣性復雜(za)化，弱口令(ling)和(he)漏(lou)洞甚(shen)至伴隨(sui)資(zi)產的全(quan)生命周期，安(an)(an)全(quan)性更(geng)(geng)脆弱，所以物(wu)聯(lian)網(wang)(wang)對ASM攻擊面管理的需求更(geng)(geng)為(wei)迫(po)切(qie)(qie)，更(geng)(geng)確(que)切(qie)(qie)的說物(wu)聯(lian)網(wang)(wang)對CAASM和(he)EASM技術(shu)(shu)的需求更(geng)(geng)為(wei)迫(po)切(qie)(qie)。天防安(an)(an)全(quan)作(zuo)為(wei)物(wu)聯(lian)網(wang)(wang)安(an)(an)全(quan)創新者(zhe)，將利用(yong)CAASM和(he)EASM技術(shu)(shu)為(wei)推進物(wu)聯(lian)網(wang)(wang)安(an)(an)全(quan)的進步(bu)作(zuo)出(chu)自己(ji)的貢獻。
