“診病”后如何“開方”或成為攻擊面管理廠商的發(fā)展瓶頸所在

11月2日,云科安信在北京舉辦以“智御未來 不止所見”為主題的白澤攻擊面管理產(chǎn)品升級發(fā)布會,正式發(fā)布了旗下的“OSINT-ASM白澤”攻擊面管理產(chǎn)品。(擴展閱讀:為企業(yè)注入實戰(zhàn)攻防能力 云科安信正式發(fā)布OSINT-ASM白澤攻擊面管理產(chǎn)品)

發(fā)布會現(xiàn)場,在北京賽博英杰董事長譚曉生的主持下,云科安信CEO金飛、安全419創(chuàng)始人張毅、賽博諦聽創(chuàng)始人金湘宇、紫金支點北京分公司副總經(jīng)理周如雪等安全行業(yè)中的各方從業(yè)者代表圍繞當(dāng)前國內(nèi)網(wǎng)絡(luò)安全形勢的變化、攻擊面管理技術(shù)賽道在國內(nèi)和國外發(fā)展現(xiàn)狀,以及未來攻擊面管理技術(shù)的發(fā)展等相關(guān)話題,從技術(shù)、市場和產(chǎn)業(yè)的角度展開了討論和分享,為攻擊面管理產(chǎn)品和技術(shù)的進(jìn)一步發(fā)展提供了諸多有益參考。

實戰(zhàn)攻防態(tài)勢的持續(xù)升級 迅速催生了攻擊面管理市場

圓桌討論伊始,主持人北京賽博英杰董事長譚曉生首先拋出了一個當(dāng)前安全行業(yè)十分關(guān)注的話題,Gartner最初在2018年提出了攻擊面管理的概念,直至2021年才開始火熱起來,但縱觀行業(yè)已經(jīng)有多家安全廠商都將自身定位為攻擊面管理廠商,那攻擊面管理概念是如何由來的?又為何甫一提出就迅速爆紅?

賽博諦聽創(chuàng)始人金湘宇從產(chǎn)業(yè)的視角回答了譚校長代表業(yè)界提出的這一疑惑,他談到,事實上在攻擊面管理這一概念出現(xiàn)之前,業(yè)界已經(jīng)出現(xiàn)過一些如“互聯(lián)網(wǎng)資產(chǎn)管理”、“暴露面管理”、“掛圖作戰(zhàn)”等相近的技術(shù)名詞,它們都是攻防實戰(zhàn)和對抗的背景下衍生的技術(shù)理念,同屬漏洞管理領(lǐng)域的范疇之中。

盡管國內(nèi)一些安全廠商也引入了這些技術(shù)概念,但最終它們在用戶場景中落地時,都或多或少的表現(xiàn)出了一些先天的不足。譬如,互聯(lián)網(wǎng)資產(chǎn)管理類的產(chǎn)品會將全網(wǎng)的資產(chǎn)進(jìn)行數(shù)據(jù)梳理,導(dǎo)致用戶很難從中找到與己相關(guān)的安全風(fēng)險;而暴露面管理則更多是從防守者的視角剖析自身可能存在的薄弱環(huán)節(jié),用戶往往會陷入“自視甚高”的誤區(qū)。

“近年來,隨著網(wǎng)絡(luò)攻擊手段和攻防對抗技術(shù)的不斷升級,網(wǎng)絡(luò)安全威脅態(tài)勢進(jìn)一步加劇,因此,網(wǎng)絡(luò)安全的防御方逐漸開始采用如att&ck這樣的新的技術(shù)理念驅(qū)動防御技術(shù)的提升,從防御者的視角嘗試把網(wǎng)絡(luò)攻擊手法、黑客的攻擊流程進(jìn)行結(jié)構(gòu)化和標(biāo)準(zhǔn)化,進(jìn)而重新評估自身的安全建設(shè)水平,而攻擊面管理這一概念也由此產(chǎn)生”,金湘宇表示。

在他看來,攻擊面管理與暴露面管理是截然不同的兩種技術(shù)方向,暴露面往往是從甲方用戶的視角剖析自身,而攻擊面管理則完全是從攻擊者視角出發(fā),去尋找包括企業(yè)公開經(jīng)營信息、公開網(wǎng)站、WiFi網(wǎng)絡(luò)等等一切可利用的信息和暴露資產(chǎn),力求以最快速的方式突破企業(yè)組織網(wǎng)絡(luò),這些路徑往往站在防御者的視角是無法從中感知到風(fēng)險的?！皬墓粽邔⑵髽I(yè)作為攻擊目標(biāo)的那一刻起,風(fēng)險就已經(jīng)無處不在。”

金湘宇談到,當(dāng)前業(yè)內(nèi)也有不少人會拿攻擊面管理和漏洞掃描類產(chǎn)品相比較,但除了攻擊者視角和防御者視角上的差異外,漏洞掃描類產(chǎn)品往往會按照漏洞管理的角度來對漏洞進(jìn)行高中低危級別的識別和判斷。

但對攻擊者而言,往往并不會關(guān)注漏洞的危害等級,只關(guān)注能夠最直接有效利用的漏洞,由于業(yè)務(wù)場景的不同,一個漏洞對一家企業(yè)而言可能是低危,但對另一家企業(yè)而言或許就具備致命威脅,而從外部攻擊者視角往往會更直面威脅。

既需“診病”也需“開方” 攻擊面管理應(yīng)為用戶打造安全閉環(huán)

雖然當(dāng)前業(yè)界已經(jīng)有不少企業(yè)都宣稱在做攻擊面管理,但實際上能夠拿出成熟產(chǎn)品的廠商屈指可數(shù)。而這些廠商在技術(shù)路線上也各有側(cè)重。那么云科安信給自己什么樣的定位,能夠為用戶解決哪一類的安全問題?

在云科安信CEO金飛看來,是否真正具備攻擊者視角和攻擊者思路是一家攻擊面管理廠商正名定分的核心能力。誰能夠以最快的速度、最短的路徑驗證用戶存在安全風(fēng)險,誰就具備快速打動客戶的能力。

“攻擊者視角和攻擊者思路是每家安全廠商或者安全團隊非常特殊的能力積累,而這些恰恰是做攻擊面管理的核心和基礎(chǔ),云科安信是一家具備20年攻防一線對抗經(jīng)驗的安全廠商,我們的底氣在于能夠以最快的速度找到支撐攻擊思路的數(shù)字資產(chǎn)漏洞,做最有效的威脅驗證?！?/p>

他指出,當(dāng)前業(yè)內(nèi)許多從業(yè)者將攻擊面管理概念定位為一個體檢的手段,但事實上在云科安信看來遠(yuǎn)不止于此,實戰(zhàn)攻防應(yīng)該是一個高效的閉環(huán)?！芭e個例子,當(dāng)我們幫助一個用戶診斷出了病因后,還要給他開方煎藥,這樣才能夠真正幫助用戶緩解病痛?！?/p>

“回到實戰(zhàn)攻防的視角,云科安信聚焦在Web攻防領(lǐng)域,只專注于高對抗性場景下的防御和保障。因此云科安信想做的是更有價值的事情,我們既然能夠以最高效的方式幫助用戶發(fā)現(xiàn)那些見血封喉的攻擊招數(shù),必然就也需要幫助用戶做好緩解措施和針對性防護(hù)?！?/p>

安全419創(chuàng)始人張毅也對金飛的這一觀點表示贊同,他認(rèn)為,攻擊面管理的概念并非是一個革新性的成果,而是在過往實戰(zhàn)攻防基礎(chǔ)之上的質(zhì)變。因此,攻擊面管理的概念未來會注定還有更多的外延,相關(guān)的安全廠商也需要不斷豐富自身的技術(shù)和產(chǎn)品范疇,不斷的為用戶打造安全的閉環(huán)。

“做攻擊面管理不能說是開一家慈銘體檢或者愛康國賓,首先體檢的商業(yè)價值有限,第二,用戶也不希望在一個地方做完體檢之后,反而還要自己去找醫(yī)院、找醫(yī)生治病。用戶的心態(tài)往往是,既然你是一個好醫(yī)生,能夠診斷出我的病理,那能不能幫我治好?”

因此張毅認(rèn)為,作為一項能夠幫助用戶發(fā)現(xiàn)致命弱點的安全技術(shù)手段,在發(fā)現(xiàn)威脅后是否能夠幫助用戶進(jìn)一步處置或?qū)⑹菦Q定一家攻擊面管理廠商未來發(fā)展規(guī)模的瓶頸所在。

展望未來 攻擊面管理將到哪里去?

作為一個新興的技術(shù)領(lǐng)域,攻擊面管理整體市場仍然處于發(fā)展早期,包括國外相關(guān)安全廠商也仍然處于探索階段。展望未來,攻擊面管理相關(guān)的技術(shù)與產(chǎn)品將到哪里去的問題,或許需要每一位參與者來貢獻(xiàn)自己的答案。

在金湘宇看來,攻擊面管理實際上是實戰(zhàn)攻防對抗時代下的產(chǎn)物,從宏觀的維度應(yīng)該被劃分到安全運營的賽道中。因此在他看來,攻擊面管理廠商將自身最新的漏洞研究、技術(shù)趨勢以及相關(guān)安全風(fēng)險和事件形成威脅情報,以標(biāo)準(zhǔn)化服務(wù)的形式向SIEM、SOC安全運營類產(chǎn)品集成,或許是未來其中一條發(fā)展思路。“攻擊者看到的資產(chǎn)和漏洞,往往是能夠直接驗證威脅存在的信息,攻擊者既然能夠看到就一定會優(yōu)先利用這些更高效的資產(chǎn)和漏洞,因此這部分信息在安全運營平臺中,相比其他資產(chǎn)產(chǎn)生的告警信息而言,應(yīng)該對應(yīng)更高的處置優(yōu)先級?！?/p>

除此之外,金湘宇認(rèn)為,當(dāng)把實戰(zhàn)攻防技術(shù)做到頂級之后,順著安全運營的思路事實上能夠拓展出很多的應(yīng)用場景。比如將攻擊面管理與蜜罐蜜罐類產(chǎn)品相關(guān)聯(lián),“如果我們假設(shè)一個攻擊面一定會被攻擊者利用,那么就可以反向利用,把攻擊面相關(guān)弱點打造成一個蜜罐,以此吸引攻擊者的火力,同時也能夠抓住攻擊者的更多身份信息?！?/p>

金飛也就此分享了自己的理解,他認(rèn)為,攻擊面管理的一切基因都來自于攻擊思路和攻擊技法的演變,而攻擊思路又會受到最新的威脅變化的牽引,因此,當(dāng)前很難去準(zhǔn)確預(yù)測攻擊面管理未來會具體向哪些方向發(fā)展?！拔覀儠刂鴮崙?zhàn)攻防對抗這條路持續(xù)向下拓展,如果新的攻擊技法里面涉及到一些原來沒觸碰到的領(lǐng)域,我們就會把這個領(lǐng)域里的信息收集起來,來支持我們的攻擊思路、驗證攻擊的路徑,這是云科安信的基本邏輯,一切以攻擊為牽動,攻擊需要什么樣的信息,我們就豐富什么樣的信息,豐富什么樣的功能?！?/p>

他同樣認(rèn)為,安全運營的整體思路與攻擊面管理未來的發(fā)展方向相契合,攻擊面管理擅長的是發(fā)現(xiàn)問題和快速止血,如何系統(tǒng)化的解決問題仍然要依賴于一個組合式的技術(shù)架構(gòu)和更多元化的安全生態(tài)來共同保障?！肮裘娓嗟氖琴x予用戶攻擊者的視角,讓用戶能夠了解自身的基礎(chǔ)架構(gòu)在攻擊者眼中有哪些致命點,在快速補上缺口之后,用戶也能夠梳理現(xiàn)有技術(shù)架構(gòu)中的能力空缺,去找到相應(yīng)的安全廠商來提供最優(yōu)解決方案,更體系化的促進(jìn)整體安全能力的提升。”

他表示,作為當(dāng)前攻擊面管理領(lǐng)域的早期參與者,云科安信的定位并非是以大而全的方式幫助用戶檢出風(fēng)險,而是以最犀利的手段,主動找出那些可能對當(dāng)前技術(shù)架構(gòu)造成嚴(yán)重傷害的攻擊路徑,優(yōu)先幫助用戶解決最高危的安全問題,協(xié)同安全生態(tài)合作伙伴一起,在最短的時間周期內(nèi),將用戶的整體安全防御能力提升至安全可控的水平。