构建一个完善的攻击面管理平台架构，可以帮助企业有效地实施攻击面管理，降低安全风险，提升安全防护能力。
在构建攻击面管理体系的过程中，企业需要遵循一些关键原则，才能确保攻击面管理体系的有效性和可持续性。以下 是一些建议的攻击面管理实施建设原则：
全面性原则。应覆盖所有的攻击面，包括内部和外部攻击面、传统 IT 资产和新兴 IT 资产（如云资产、物联网设备、 OT 设备等），以及第三方攻击面（如供应链、合作伙伴等）。 • 持续性原则。攻击面管理应是一个持续的过程，而不是一次性的活动。 • 风险导向原则。攻击面管理应以风险管理为核心，识别、评估和控制网络安全风险。应将有限的资源集中到高风 险的攻击面上。 • 主动防御原则。攻击面管理应强调主动发现和防御，例如通过模拟攻击、漏洞验证、威胁情报等手段来识别和降 低风险。
适应性原则。应根据企业的具体情况进行调整和优化，例如企业的规模、行业、安全需求等。 • 自动化原则。应尽可能地自动化攻击面管理流程，例如自动化资产发现、自动化漏洞扫描、自动化风险评估等。 • 智能化原则。应积极探索人工智能（AI）技术在攻击面管理中的应用，例如自动化资产发现、智能化风险评估、 自动化的安全防护等。
攻击面管理实施建设的目标应根据企业的实际情况和安全需求进行制定，并分解为短期、中期和长期目标，逐步推进， 最终实现降低风险暴露，提升安全防护能力的目标，攻击面管理实施建设的目标应与企业的整体安全战略和业务目标相一致。 一般来说，攻击面管理实施建设的目标可以分解为以下几个层次：
1. 短期目标 （1）建立攻击面管理体系框架： • 明确攻击面管理的范围、职责和流程。 • 建立攻击面管理的组织架构和人员配备。 • 选择合适的攻击面管理工具和平台。 （2）提升攻击面可视化能力： • 全面识别和梳理企业所有资产，包括 IT 资产、OT 资产、云资产、IoT 设备等。 • 识别所有可能的攻击向量，包括漏洞、配置缺陷、弱口令等。 • 对攻击面进行风险评估，识别高风险资产和漏洞。（3）初步实现攻击面风险的收敛： • 针对高风险资产和漏洞，采取措施进行缓解和处置，例如漏洞修复、攻击面收敛、访问控制等。 • 验证安全控制措施的有效性，例如模拟攻击、渗透测试等。
2. 中期目标 （1）完善攻击面管理体系： • 优化攻击面管理流程，提高效率和准确性。 • 加强跨部门的沟通和协作，例如安全团队、IT 运维团队、业务部门等之间的协作。 • 将攻击面管理与其他安全技术和平台进行集成，例如与漏洞管理、威胁情报、安全运营中心（SOC）等 平台进行集成和联动。 （2）提升攻击面风险的管理水平： • 持续监控攻击面的变化，例如新增资产、变更资产、退役资产、新的漏洞、新的攻击技术等。 • 对风险进行分析和优先级排序，例如识别高风险资产和漏洞，确定修复的优先级。 • 对风险进行可视化展示，例如通过攻击路径图、风险热力图等方式展示风险。 （3）提升安全事件响应能力： • 对安全事件进行响应和处置，例如安全事件的识别、分析、响应和恢复等。 • 对安全事件进行溯源和分析，例如识别攻击源、攻击路径、攻击目标等。
3. 长期目标 • 构建全面、持续、有效、主动、协同、自动化、智能化和适应性的攻击面管理体系。 • 持续降低风险暴露，提升安全防护能力。 • 实现安全与业务的平衡发展。 • 满足安全合规要求，提升企业安全形象。
构建一个完善的攻击面管理平台架构，可以帮助企业有效地实施攻击面管理，降低安全风险，提升安全防护能力。以 下是一个建议的攻击面管理系统架构，以及每个部分应实现的功能：
（1）资产发现 资产发现可以通过主动扫描发现、被动流量发现和集成数据等方式。 ◎ 主动发现：配置扫描的 IP 地址范围、端口范围、协议等。 • 建议进行全面的资产发现，包括所有网络区域和设备类型。 • 例如，可以将企业的整个内网 IP 地址段配置为扫描范围，并扫描所有常见的端口，例如 80、443、3389 等。 ◎ 被动发现：配置网络流量镜像，将网络设备的流量镜像到攻击面管理平台。 • 被动发现可以发现主动扫描无法发现的资产，例如隐藏在 NAT 后面的资产。 • 例如，可以将核心交换机的流量镜像到攻击面管理平台，以便于平台收集和分析网络流量，识别网络中的资产。 • 集成现有安全产品数据：集成现有安全产品数据，融合处理形成资产清单 • 与企业现有的安全产品进行对接，例如 WAF、CMDB、EDR 等，读取其中的资产数据并集中存储。 • 对全部的资产数据进行清洗、去重和异常处理，形成资产清单。 • 针对资产清单实现资产之间、资产与业务的关联，根据业务的重要性进行责任人和重要性标记。 ◆ 关键点：资产发现的全面性和准确性：应尽可能地发现所有资产，并准确识别资产的类型、属性、位置等信息。 • 资产数据的融合和清洗：对收集的资产数据进行融合、清洗，以形成没有数据错误、完整的资产列表。 • 资产分类和标记的合理性：根据企业的实际情况和安全需求，对资产进行合理的分类和标记，以便于后续的风险 评估和安全防护。 • 资产管理的自动化和智能化：尽可能地自动化资产管理流程，例如自动化资产发现、自动化资产分类、自动化资 产变更管理等。
（2）攻击面识别 攻击面识别是指识别所有可能被攻击者利用的攻击向量，例如漏洞、配置缺陷、弱口令、身份和访问管理缺陷等。攻 击面识别是攻击面管理的重要环节，只有识别出所有可能的攻击向量，才能有效地进行风险评估和安全防护。 ◎ 漏洞扫描：对资产进行漏洞扫描，发现资产中存在的安全漏洞，例如 Web 漏洞、操作系统漏洞、数据库漏洞等。 • 配置漏洞扫描策略，例如扫描的频率、漏洞库、扫描插件等。 • 对漏洞扫描结果进行分析和评估，例如识别高危漏洞、分析漏洞趋势等。 • 例如，可以使用 Nessus 漏洞扫描器对服务器进行漏洞扫描，发现服务器中存在的漏洞，并评估漏洞的风险等级。 ◎ 配置检查：对资产进行配置检查，发现资产中存在的配置缺陷，例如弱口令、未授权访问等。 • 配置检查策略，例如检查的规则、检查的频率等。 • 对配置检查结果进行分析和评估，例如识别不安全的配置、分析配置缺陷趋势等。 • 例如，可以使用漏洞扫描器对网络设备进行配置检查，发现网络设备中存在的弱口令、默认账户等安全风险。 ◎ 数字风险识别：通过威胁情报分析、数据泄露监测、网络爬虫等技术手段，识别和评估数字风险，例如钓鱼攻击、 数据泄露、品牌仿冒等。 • 配置数字风险识别策略，例如监控的渠道、监控的频率等。 • 对数字风险识别结果进行分析和评估，例如识别高风险的数字风险、分析数字风险趋势等。 • 例如，使用数据泄露监测平台监控暗网、社交媒体等渠道，发现是否有企业敏感数据泄露。 ◎ 第三方风险识别：通过收集和分析第三方的安全信息，识别和评估第三方风险，例如供应链攻击、合作伙伴安全风险等。 • 配置第三方风险识别策略，例如评估的指标、评估的频率等。 • 对第三方风险识别结果进行分析和评估，例如识别高风险的第三方、分析第三方风险趋势等。 • 例如，对供应商进行安全评估，了解供应商的安全状况，并识别潜在的供应链安全风险。 ◆ 关键点： • 识别方法的全面性和有效性：攻击面识别应采用多种方法，例如漏洞扫描、配置检查、威胁情报分析等，并确保 方法的有效性。 • 识别结果的准确性和及时性：攻击面识别应尽可能准确识别所有可能的攻击向量，并及时发现新的攻击向量。 • 识别结果的可视化和易用性：攻击面识别结果应易于理解和使用。
（3）攻击面风险分析 攻击面风险分析是指对攻击面进行风险评估，识别高风险资产和漏洞，并进行优先级排序。风险分析是攻击面管理的 核心环节，只有准确地评估风险，才能有效地进行安全防护。 ◎ 风险评估：对资产和漏洞进行风险评估，例如根据资产的重要性、漏洞的严重程度、威胁情报等因素进行评估， 并计算风险评分。 • 选择合适的风险评估模型，例如 CVSS 评分模型、DREAD 模型等。 • 配置风险评估参数，例如资产的重要性权重、漏洞的严重程度权重等。 • 例如，可以使用风险评估模型对服务器和漏洞进行风险评估，例如根据 CVSS 评分模型，评估服务器中存在的漏 洞的风险等级。 ◎ 风险优先级排序：根据风险评分、资产的重要性、业务影响等因素，对风险进行优先级排序，以便于企业进行风 险处置。 • 配置风险优先级排序规则，例如根据风险评分、资产的重要性、业务影响等因素进行排序。 • 例如，将风险评分较高的漏洞优先进行修复，将影响关键业务系统的漏洞优先进行处理。 ◎ 风险可视化：对风险进行可视化展示，例如通过攻击路径图、风险热力图等方式展示风险，以便于用户理解和分析。选择合适的风险可视化工具，例如攻击路径图、风险热力图等。 • 配置风险可视化参数，例如显示的指标、颜色等。 • 例如，使用攻击路径图展示攻击者可能利用的攻击路径，使用风险热力图展示企业网络中风险资产的分布情况。 ◆ 关键点： • 风险评估的准确性和全面性：应尽可能准确评估风险，并考虑各种因素，例如资产的重要性、漏洞的严重程度、 威胁情报等。 • 风险分析的科学性和有效性：应采用科学的风险分析方法，例如定量分析、定性分析等，并能够有效地识别高风 险资产和漏洞。 • 风险可视化的直观性和易用性：风险可视化应易于理解和使用，并能够帮助用户快速了解企业的风险信息。
（4）暴露面管理 暴露面管理应识别和管理企业所有面向互联网的暴露面，例如域名、IP 地址、Web 应用程序、API 接口等，并对暴露 面进行风险评估和安全加固。 ◆ 功能： • 自动发现和识别企业的互联网暴露面，例如域名、IP 地址、Web 应用程序、API 接口等。 • 对暴露面进行风险评估，例如识别暴露面中存在的漏洞、配置缺陷、弱口令等。 • 对暴露面进行安全加固，例如修复漏洞、改进安全配置、加强访问控制等。 • 持续监控暴露面的变化，例如新增暴露面、失效暴露面、变更暴露面等。 ◆ 关键点： • 暴露面发现的全面性和准确性：应尽可能地发现所有暴露面，并准确识别暴露面的类型、属性、位置等信息。 • 风险评估的准确性和及时性：应尽可能准确评估暴露面的风险，并及时发现新的风险。 • 安全加固的有效性和及时性：应采取有效的措施对暴露面进行安全加固，并及时修复新的漏洞和安全隐患。 • 监控的实时性和全面性：应实时监控暴露面的变化，并及时发现新增暴露面、失效暴露面、变更暴露面等。
（5）攻击面验证 攻击面验证应验证企业安全防御体系的有效性，例如通过模拟攻击、渗透测试等方式，发现企业网络中存在的安全漏 洞和风险。 ◆ 功能： • 支持多种攻击面验证方法，例如模拟攻击、渗透测试、漏洞扫描等。 • 提供攻击面验证报告，例如安全评估报告、渗透测试报告等。 • 支持对攻击面验证结果进行分析和评估，例如识别仍然存在的安全风险，并提出改进建议。 ◆ 关键点： • 验证方法的科学性和有效性：应采用科学的验证方法，例如模拟攻击、渗透测试、漏洞扫描等，并能够有效地评 估安全防御体系的有效性。 • 验证结果的准确性和全面性：应尽可能准确评估安全防御体系的有效性，并覆盖所有关键资产和攻击面。 • 验证流程的自动化和智能化：尽可能地自动化验证流程，例如自动化模拟攻击、自动化漏洞扫描等。
（6）攻击面监控 监控建设应实时监控企业的攻击面信息，例如资产的变化情况、漏洞的变化情况、网络流量的异常情况等，并及时发 出告警。 • 实时采集和分析企业的攻击面信息，例如资产信息、漏洞信息、网络流量信息等。 • 支持自定义监控指标和告警规则，例如可以根据企业的实际情况和安全需求，自定义监控的指标和告警的阈值。 • 提供多种告警方式，例如邮件告警、短信告警、微信告警等。 • 提供监控报表和趋势分析，例如可以查看资产的变化趋势、漏洞的变化趋势、网络攻击的趋势等。 ◆ 关键点： • 监控的全面性和实时性：应尽可能地监控所有攻击面信息，并实时采集和分析数据。 • 告警的准确性和及时性：应尽可能地避免误报和漏报，并及时发出告警。 • 监控报表的直观性和易用性：监控报表应易于理解和使用，并能够帮助用户快速了解企业的攻击面态势。
（7）攻击态势感知的建设 攻击态势感知应实时感知企业的攻击面态势，例如当前面临的威胁、攻击者的活动轨迹、攻击的影响范围等，并提供 态势分析报告和可视化展示。 • 实时采集和分析企业的攻击面信息，例如资产信息、漏洞信息、网络流量信息、威胁情报信息等。 • 关联分析不同来源的数据，例如将漏洞信息与资产信息进行关联，将威胁情报信息与网络流量信息进行关联等。 • 识别攻击者的活动轨迹，例如识别攻击者的 IP 地址、攻击手法、攻击目标等。 • 评估攻击的影响范围，例如评估攻击可能造成的损失、影响的业务系统等。 • 提供态势分析报告和可视化展示，例如攻击面态势图、攻击路径图、攻击事件时间线等。 ◆ 关键点： • 态势感知的准确性和实时性：应尽可能准确感知企业的攻击面态势，并实时更新态势信息。 • 态势分析的科学性和有效性：应采用科学的态势分析方法，例如攻击链分析、威胁情报分析等，并能够有效地识 别安全威胁和风险。 • 态势展示的直观性和易用性：态势展示应易于理解和使用，并能够帮助用户快速了解企业的攻击面态势。
