社区编辑申请
注册/登录
Forrester:攻击面管理(ASM)不仅是一种工具
安全
Forrester给攻击面管理(ASM)所下的定义是:“持续发现、识别、清点和评估组织全部IT资产面临的风险这一流程”。

当2021年12月Log4j漏洞被曝出并带来广泛影响时,越来越多的企业开始意识到IT资产可见性的重要性。由于影子IT、并购和第三方/合作伙伴的活动,组织通常不了解其资产状况,安全团队和IT团队努力实现其可见性,以使企业深入了解日益复杂的分布式IT环境。如果没有足够深入的可见性,企业不可能实现应用程序和基础设施依赖映射(AIDM)的理想状态。当然,企业也无法为未摸清底细的应用程序和系统推出关键补丁!

近日,研究机构Forrester发布ASM(Attack Surface Management,攻击面管理)研究报告,阐述了ASM市场、主要应用场景以及企业安全计划中基本的ASM集成点等。Forrester给攻击面管理(ASM)所下的定义是:“持续发现、识别、清点和评估组织全部IT资产面临的风险这一流程”。攻击面管理不仅仅局限于通过互联网访问的环境,而是在组织的整个环境中进行。组织有机会将来自ASM工具和流程的外部可见性与内部安全控制、配置管理数据库(CMDB)、其他资产以及跟踪及管理平台整合起来,全面映射企业中的所有连接和资产。

在报告中,Forrester列出了ASM应用的几点建议:应该将ASM视为是工具赋能的一项计划,而不仅仅是一种工具或功能;还应该利用ASM将优先级相互冲突的团队聚集起来。如果组织正力求达到应用程序和基础设施依赖关系映射的预期状态,那么让ASM计划的目标紧紧围绕提高可见性、进而提高可观察性,并将其定位于达到这个预期状态的关键手段,就可以统一安全、技术、业务领导者及团队,这是漏洞风险管理和内部补丁SLA肯定无法做到的。

实际上,ASM计划应如同一个融合或矩阵组织,牵涉多个利益相关者,包括基础设施及运营、应用程序开发及交付、安全、风险、合规、隐私、营销、社交媒体及其他职能部门。

ASM解决方案的采用者盛赞ASM的诸多优点:提高可见性、节省时间以及确定风险优先级。一位安全工程师表示:“ASM工具发现的资产比我们以为的多50%。”美国一家ISP的一位网络安全架构师说:“ASM是必不可少的安全控制工具。”虽然市面上有几家公司将ASM作为独立解决方案来提供,但我们越来越多地看到这些独立产品被提供威胁情报、漏洞管理以及检测和响应的供应商收购。研究人员表示,在今后12到18个月内,ASM将是这些类别中的一项标准功能。Log4j漏洞印证了这一点,该漏洞凸显了开源软件管理和软件物料清单(SBOM)的重要性。

责任编辑:Blue 来源: 安全牛
相关推荐

2022-06-05 21:09:47

Python办公自动化

2022-06-15 08:21:49

Linux运维工程师

2022-06-16 15:42:16

攻击面管理ASM

2022-05-27 15:06:22

攻击面管理(ASM)网络安全运营

2022-06-16 17:02:49

微软智能云混合云Azure

2022-06-15 09:01:41

2022-06-01 17:47:24

运维监控系统

2022-06-23 14:03:26

混合ITCIOIT管理工具

2022-06-09 18:04:46

网络攻击网络安全

2022-06-16 16:12:57

网络资产攻击面管理CAASM

2022-06-20 22:37:25

Linux操作系统命令

2022-06-15 11:02:40

网络安全运营

2022-06-16 07:32:38

VSCodePython插件

2022-06-24 11:34:38

云计算应用安全

2022-06-16 11:06:07

开源Grafanaon-call

2022-06-20 14:57:50

漏洞安全威胁

2022-06-09 10:12:01

网络安全人工智能威胁监测

2022-06-23 09:49:16

火绒安全英特尔

2022-06-24 14:07:06

机器人供应链人工智能

2022-06-22 05:53:49

城域网广域网VXLAN

同话题下的热门内容

无线网络安全的12个优秀实践如何避免严重网络安全事故的发生?Google发布《SOC建设指南》,对未来SOC提出新思考六个优秀漏洞管理工具以及它们如何帮助确定威胁的优先级如何做好统一身份认证账号管理及集成?摒弃传统的用户名和密码登录防不胜防?网络钓鱼攻击常用手法盘点与防护建议首席信息安全官仍然会犯的漏洞管理错误

编辑推荐

付费成人网站OnlyFans数百名创作者内容泄露,可能有你关注的YouTube博主2019年最近发现的网络安全事件权威解读 | 网络安全等级保护2.0标准体系以及主要标准2019年网络安全事件回顾(国际篇)2019年网络安全事件回顾(国内篇)
我收藏的内容
点赞
收藏

51CTO技术栈公众号