INSEC WORLD—基于主动防御思想的攻击面管理实践

3月23日-24日，INSEC WORLD世界信息安全大会在西安举办。大会以“聚焦安全 打造多元新格局”为主题，围绕实战性安全技术以及企业安全架构体系建设、安全运营、安全创新及实践经验等热点问题展开了40余场高级别主题演讲。

华云安安全产品专家李书杰应邀出席并以“基于主动防御思想的攻击面管理实践”为题进行分享，为数字时代新常态下的安全运营提供攻击面管理方面的创新思路与实践参考。

对抗型防御是下一代安全防御体系的演进方向

过去三年，新冠疫情的全球蔓延对世界经济运行、全球治理体系产生重大冲击和影响，促进了信息化、网络化向数字化、智能化转型升级：在线数字用户、数字资产成爆发式增长，其中，在线办公用户已达4.69亿，同比增长35.7%；在线医疗用户2.98亿，增长38%；全球移动通信联盟预计，到2025年，全球物联网终端资产可达250亿。

其次，近年来国内外实战化攻防演练形成了跨国家、跨领域、跨部门以及多方参与的一体化模式，推动了网络安全从建设到运营的转变。在实战攻防的大趋势下，被动防御、主动防御已成为一种安全建设手段，而进攻反制、以攻促防成为下一代安全防御体系建设方向。

安全的本质是对抗，我们要比攻击者更快一步

在新常态下，大部分企业在安全建设中投入巨大，但在实战攻防面前却不堪一击，其原因在于数字化转型导致的IT资产、数字资产多而复杂；新型漏洞多样化；全方位安全建设24小时防守，不如攻击者一次单点突破；防御体系存在安全盲区，安全建设有效性存疑。

为应对新常态的安全挑战，我们需要比攻击者更快一步，像攻击者一样思考，去监测完整网络攻击面，包括内部和外部，供应链、云资产等，自动化梳理重要弱点，对漏洞进行优先级分析，并采用自动化技术和攻击模拟技术，以攻击者视角，持续不断的检验现有安全机制的有效性，获取更快响应速度。

基于以上诉求，攻击面管理技术应运而生，其中，外部攻击面管理（EASM）以攻击者视角监测暴露在互联网上的未知及已知资产、未经授权就能访问和利用的风险总和；网络资产攻击面管理（CAASM）以防守方视角，收录EASM信息，侧重网络资产内部视角的风险管理，实现资产可视化、漏洞修复、跟踪、数据共享及自定义告警等；而渗透与攻击模拟（BAS）则是一种持续验证安全防御体系有效性的自动化手段，通过模拟“攻击”，识别重要资产，进而进行风险评估、修复措施排序。以上三种技术组合便是符合本土化的天然攻击面管理技术框架体系。

华云安以攻击者视角构建的闭环攻击面管理体系

作为国内攻击面管理的领导者，华云安结合实战攻防，从五个维度构建闭环攻击面管理体系：

01

数字资产发现与清点

采用创新的知识图谱、自然语言处理、机器学习等人工智能技术，将海量数字资产以关系图的形式清晰呈现，快速发现安全弱点和资产暴露面。

02

自动化验证安全有效性

采用人工智能驱动的自动化渗透和攻击模拟系统，以攻击者视角持续不断地检测网络的内外部环境，确保网络防御体系的有效性，还原整个攻击链路，并结合华云安红队服务，为客户提供全方位的弱点检测能力。

03

漏洞优先级评估

采用具有核心专利的漏洞优先级评估技术，HVPR漏洞优先级评估模型。除引入漏洞自身危害性、漏洞扩散范围、漏洞情报外，还引入资产价值维度，有效帮助用户识别真正高危的漏洞风险，将精力聚焦在有价值的漏洞修复上。

04

情报预警

华云安创新的将国家级监管通报、实时漏洞情报、外部攻击面管理（EASM）进行结合，监控和处理包括漏洞数据库、社交媒体、SSL证书、域名注册、泄露数据、暗网资源、代码存储库等数据源，通过识别被遗忘的资产或影子资产来了解不断变化的外部攻击环境，及早发现弱点和漏洞，先于攻击者进行预警。

05

快速处置

采用自定义流程、SOAR集成和第三方API，实现持续的检测响应，不断发现安全差距，验证控制策略有效性，加快响应速度；通过简化的工作流集成，缩短漏洞响应时间，提高响应速度与效率。

落实到产品层面，华云安通过内外部暴露面及暴露面风险分析模型，梳理出三大核心产品线：

灵洞-网络资产攻击面管理平台（Ai.Vul），为用户提供涵盖事前预警、事中发现、事后处置的漏洞与资产全生命周期管理。其中，资产管理与弱点管理相关联，通过攻击者视角分析、测绘出与业务相关联的弱点情况，以防守角度做整体安全风险分析，自动化处置弱点，对安全有效性进行评估，对安全建设未能处置的残余风险进行梳理，提出建议。

灵知-互联网威胁监测预警中心（Ai.Radar），该产品是华云安基于大数据与人工智能技术，将情报、资产、风险三个维度综合，依托海量数据情报构建的互联网威胁监测平台。通过主动+被动+服务的形式，实时分析暴露在互联网、暗网中的弱点及暴露面，并对弱点进行关联分析，反馈给用户完整的攻击面信息。其中，用户仅需提供一个企业域名，即可对企业进行外网全方位测绘，由华云安情报库进行被动识别，自动化标记资产信息，关联业务画像。

灵刃-智能渗透与攻击模拟系统（Ai.Bot），该产品基于人工智能技术自主研发，通过目标分析、智能决策、可控攻击、横向移动等手段以攻击者视角对网络弱点和安全防御策略进行模拟攻击测试，让组织直观了解真实对抗环境下，网络弱点的影响和安全防御的有效性，深度挖掘企业数字资产攻击面。

三款产品分别对应网络资产攻击面管理（CAASM）、外部攻击面管理（EASM），以及渗透与攻击模拟（BAS），结合华云安原子化安全能力平台，构建起下一代的数字安全防御体系。同时，平台化架构支持安全能力的灵活组合，结合用户不同业务场景下的实战需求，形成具有针对性的攻击面管理解决方案。