面向公众的 Web应用程序、被遗忘的云工作负载、为供应商创建的远程访问门户、暴露的存储桶或旧的子域名都可能成为入侵企业的途径。
背景：外部和内部攻击面
本文主要关注外部攻击面：攻击者可以从组织外部识别和访问的域、应用程序、云服务、远程访问系统和其他资产。
但更广泛的攻击面还包括内部系统、身份、网络连接、软件弱点和业务流程。因此，外部攻击面管理是更广泛的风险暴露管理计划的一部分，与漏洞管理、身份安全、应用程序安全和网络分段并列。
外部 ASM 的价值在于它可以帮助组织识别攻击者可能用来获得初始立足点的途径——在这种暴露导致内部访问、中断或数据丢失之前。
有些资产有据可查并得到积极管理，而另一些资产则不在正式的资产清单中，属于最近收购的公司，或者是为了短期项目而创建的，从未得到妥善退役。
攻击面管理（ASM）可以帮助组织在攻击者之前发现这些漏洞。
ASM 不是一次性的扫描或一长串的技术发现清单，而是一个持续的过程，用于发现外部可见的资产，了解哪些资产重要，减少不必要的风险敞口。
什么是攻击面管理？
攻击面是指攻击者可能进入系统、造成影响或窃取数据的所有入口点。在当今企业中，攻击面的范围远远超出企业网络。它可能包括：
- 面向互联网的应用程序和 API
- 域名、子域名和 DNS 记录
- 公共 IP 地址和开放端口
- 云工作负载、存储和管理接口
- 远程访问服务，例如 VPN 和虚拟桌面网关
- SaaS 应用程序和第三方集成
- 暴露的开发环境和代码库
- 已泄露或发布到网上的凭证和其他机密信息
- 以及可从互联网访问的联网设备和运营技术系统。
这种风险并非纸上谈兵。根据卡巴斯基的研究，到 2025 年，利用面向公众的应用程序进行攻击将占初始攻击途径的近 44%，使其成为进入受影响组织的最常见途径。
攻击面管理是从外部视角发现、评估和减少这些风险的学科。因此，与其问“我们的 CMDB（配置管理数据库）显示我们拥有什么？”，不如问“攻击者可以识别、访问或利用什么？”
这一点至关重要，因为虽然内部资产清单必不可少，但它们可能无法涵盖部署在标准流程之外的云服务、废弃域名、未托管的SaaS账户、临时系统或第三方创建的基础设施。
为什么攻击面管理如此重要？
数字化业务瞬息万变。随着团队部署新应用、在云提供商之间迁移工作负载、连接供应商、开放远程访问、推出区域网站或整合收购的业务，基础设施每天都在变化。
这造成了一个运营问题：组织对其资产的了解可能很快就会变得不完整。
安全团队可能了解核心系统，但却缺乏对跨业务部门、云账户、开发团队和第三方环境的外部可见资产的可靠了解。这可能导致未知或控制不力的系统暴露在外的时间远远超过预期。
攻击者不需要组织结构图、经批准的资产清单或权限即可查看。他们利用公开信息、互联网扫描、证书记录、DNS数据、暴露的服务和泄露的信息来构建自己的环境图景。
攻击面管理为防御者提供了一种方法，让他们能够先于攻击者完成同样的工作，而且更加系统化。
对于首席信息安全官 (CISO) 而言，其价值不仅在于更清晰的可见性，更在于为风险决策提供更可靠的依据。团队可以识别哪些暴露的资产支持关键服务、哪些资产缺乏明确的所有权、哪些资产可以从互联网不必要地访问，以及哪些资产需要立即关注。
有效的攻击面管理如何运作
有效的攻击面管理遵循一个循环往复的过程，而非单一项目。
1 . 发现 是什么 可见性
第一步是构建组织的外部视图。
这通常涉及识别与组织相关的域名、IP 地址范围、云服务、暴露的应用程序、证书、开放端口、公共代码库以及其他可通过互联网访问的基础设施。发现范围应包括子公司、区域实体、收购的公司以及已知的第三方（如适用）。
一个有用的起始问题是：“如果攻击者发现这些资产，哪些会让我们感到意外？”
2. 验证所有权和业务用途
并非所有发现的资产都属于组织——有些可能是停放的域名、前供应商、共享服务或属于其他方的基础设施。其他资产可能属于组织，但没有明确的所有者。
此时，资产安全管理 (ASM) 就变成了一个操作流程，而不仅仅是一项技术工作。安全团队需要一种切实可行的方法来确认资产是否合法、其所有者是谁、其暴露的原因以及这种暴露是否仍然必要。
远程访问门户可能对供应商关系至关重要，开发服务器可能用于有时限的项目，测试应用程序可能在发布后仍保持在线状态。正确的应对措施并非自动关闭所有服务，而是要对暴露情况进行有意识的、可控的和可追溯的处理。
3. 评估暴露情况，而不仅仅是漏洞
系统并不一定需要存在关键的 CVE 漏洞才会构成风险。即使已完全打好补丁，暴露在公共互联网上的管理界面也可能令人担忧；云服务的访问权限可能超出预期；登录页面可能泄露过多信息，从而容易遭受凭证攻击；被遗忘的域名可能容易受到接管或冒充攻击。
4. 根据业务影响确定优先级
优先级是许多资产安全管理 (ASM) 项目能否发挥作用的关键所在。
大型组织可能会发现成百上千个暴露的资产，但将每个发现都视为危机既不可能也没有必要。重点应该放在那些既有技术缺陷又有重大业务影响的暴露情况上。
例如，如果暴露的测试服务器不包含敏感数据，与生产环境隔离，并且计划停用，那么它的风险可能很低。相比之下，即使没有已知的严重漏洞，支持分发操作的暴露远程访问网关也可能需要立即审查。
一个实用的优先级排序模型会考虑以下因素：
- 暴露程度：它的可见性和可访问性如何？
- 可利用性：攻击者利用此暴露有多容易？
- 关键性：它支持哪些业务流程、数据或服务？
这有助于安全领导者将技术发现转化为业务所有者能够理解的决策。
一个实际示例：暴露的远程访问服务
假设一家制造商发现一个连接到区域运营环境的远程访问网关。该服务几年前建立，旨在允许维护提供商远程支持设备。它仍然面向互联网，使用旧的身份身份验证方法，并且自提供商合同变更以来未进行过审查。
ASM 流程不会止步于报告网关的存在，而是会确定：
- 谁拥有该服务
- 供应商是否仍然需要访问权限
- 可以通过它访问哪些系统
- 是否启用了多因素身份验证
- 访问权限是否受网络位置、时间或用户角色限制
- 活动是否被记录和监控
- 该服务是否可以移除、替换或隔离
业务决策可能是停用该网关、要求供应商更严格地控制访问权限、将其限制在已批准的维护窗口内，或将其置于更强大的身份验证和隔离控制之后。
最终结果不仅仅是关闭一个技术工单。这可以降低组织运营中断的风险。
ASM如何与漏洞管理、XDR 和威胁情报协同工作
攻击面管理与安全计划的其他部分相辅相成时才能发挥最大效用。
漏洞管理能够识别、确定优先级并帮助修复组织已可评估系统中的已知弱点。攻击面管理则有助于识别那些可能尚未被漏洞管理流程所涵盖的系统、服务和云资产。
威胁情报则提供了更丰富的背景信息。它可以显示特定技术、暴露的服务或凭证类型是否正被网络犯罪分子积极攻击，或者是否与已知的攻击活动相关。这有助于团队决定哪些发现应该优先处理。
XDR、 SIEM和其他SOC工具能够帮助团队检测和调查端点、网络、云环境和其他 IT 系统中的可疑活动。攻击面管理可以通过突出显示最有可能成为攻击条目点的外部资产来提高这些工具的效率。
当团队怀疑某个漏洞已被利用，或者需要进行独立调查以确定事件经过时，事故响应和入侵评估服务也能发挥作用。
安全评估服务能够模拟攻击者的行为，展示真实的攻击者如何利用应用程序、网络和设备，从而更深入地了解组织的攻击面，并帮助降低安全风险。
重点不是创建另一个孤立的安全工具，而是将风险暴露管理与检测、响应、资产所有权和风险治理联系起来。
如何构建一个能够促成行动的资产安全管理 (ASM) 项目
一个有效的 ASM 项目始于所有权，而非控制板。
安全团队应就如何分配、验证和修复已发现的资产达成一致。这通常需要基础设施、云、应用程序、网络、采购、法务和业务团队的参与。
以下五个操作原则将有所帮助：
- 将资产所有权视为一种安全控制措施。每个重要的暴露资产都应指定所有者（尽管这通常在 ASM 之外进行）。
- 将发现结果与现有工作流程关联起来。ASM 的发现结果需要传递给能够修复它们的团队，并使用现有的服务管理、漏洞管理或风险管理流程。
- 衡量减少量，而不仅仅是发现量。资产数量的增加可能表明可见性提高，而不是安全性恶化。
- 以业务术语进行报告。董事会和高管不需要端口和证书列表。他们需要了解外部暴露可能对客户服务、运营、监管义务、收入或恢复能力产生哪些影响。
ASM 如何将可见性转化为风险降低
即使是成熟的 ASM 项目也不能保证每个暴露的系统都会消失——企业需要面向互联网的服务来进行销售、支持、连接和运营。
一个强大的资产安全管理 (ASM) 计划更注重纪律：
- 组织清楚自身拥有哪些对外可见的资产
- 并能区分合法风险敞口和意外风险敞口
- 高风险发现事项有明确的负责人、明确的响应时间和业务背景
- 不必要的服务会被移除
- 关键服务会受到保护、监控和审查
- 安全负责人可以证明，在最关键的领域，风险敞口正在降低。
这就是攻击面管理的实际价值——它并非抽象的风险图景，而是一种持续改进组织安全的方法，使攻击者更难发现、更难入侵、更难破坏。
