全球新冠疫情深刻改變了人們的生活方式、工作學習習慣，加速行業和企業的數字化轉型進程。在這一過程中，各個企業將數字技術融合到自身的運營流程、產品和解決方案中，相關創新技術對企業的業務模式、組織架構和企業文化產生了積極影響，但同時給企業帶來了更多的安全威脅和風險，因此以風險管控為導向的安全運營技術已經成為企業關注的重點方向。
安全運營的發展，需要技術融合架構
安全運營不僅僅是一個部門、團隊或一組技術。它是由人員執行的一系列最佳實踐的過程，旨在保護企業組織免受傷害。安全運營人員需要利用各種新興安全技術來快速檢測和緩解威脅，以降低安全風險。
2021年7月，Gartner發布了《Hype Cycle for Security Operations, 2021》（2021安全運營技術成熟度曲線），對主流的安全運營技術進行了解讀，預測創新技術的發展階段，為組織的安全和風險管理負責人提供參考，并幫助其更有效的制定組織的網絡安全發展策略。
技術成熟度曲線（The Hype Cycle），又稱技術循環曲線，指的是企業用來評估新科技的可見度，利用時間軸與市面上的可見度，決定是否采用新科技的一種工具。1995年開始，Gartner依其專業分析預測與推論各種新科技的成熟演變速度及要達到成熟所需的時間，具體可分為：技術萌芽期、期望膨脹期、泡沫破裂谷底期、穩步爬升復蘇期、生產成熟期5個階段。
在《Hype Cycle for Security Operations, 2021》報告中：
技術萌芽期和期望膨脹期：諸如外部攻擊面管理（EASM、網絡資產攻擊面管理（CAASM）、擴展檢測和響應（XDR）、突破和攻擊模擬（BAS）、漏洞優先技術（VPT）等新興技術被歸類到了技術萌芽期和期望膨脹期，這些技術處于快速發展階段，且被市場高度認可，但只有少數企業開展了相關技術研究和產品研發，因此具備較大的市場前景。
泡沫破裂谷底期：安全編排自動化與響應（SOAR）、欺騙防御（DP）、威脅情報（TI）等相關技術被歸類到泡沫破裂谷底期，在經歷過產業市場和資本市場的狂熱追逐之后，技術關注度逐漸冷卻，市場進入冷靜期。
穩步爬升復蘇期和生產成熟期：終端檢測與響應（EDR）、安全信息和事件管理（SIEM）、漏洞評估（VA）等發展多年的技術已經比較成熟穩定，被歸類到了穩步爬升復蘇期和生產成熟期，相關技術已經在各行各業有著比較成熟的應用，市場空間趨于穩定。
然而，在《Hype Cycle for Security Operations, 2021》中提到的，各種不同安全運營技術所覆蓋的領域往往是獨立的，相關技術很難實現有效的整合。對于安全管理者來說，更希望通過一個平臺或者框架來融合不同的安全能力，亦或者是通過一套完整的方法論來落地威脅和風險管理，以提高對威脅的感知能力、網絡安全管控和響應能力。在技術萌芽期和期望膨脹期的諸多技術中，攻擊面管理（ASM）可以說既是一個新興技術，一個新興的方法論，亦是一個天然的技術融合架構。
ASM是實現持續風險管理的最佳實踐
攻擊面管理（ASM）旨在以攻擊者視角，從外部發現企業組織的數字資產，包括但不限于應用、IP、端口、域名、數據、云服務等已知資產和未知資產，并基于資產清點開展風險、脆弱性和異常行為評估，結合內部業務和外部威脅情況開展風險優先排序，進而指導管理者制定緩解措施和處置計劃，及時進行攻擊面收斂，對威脅和風險進行有效管控。
在攻擊面管理（ASM）過程中，可以通過外部攻擊面管理（EASM）和網絡資產攻擊面管理（CAASM）的能力，進行攻擊面的主動檢測和持續監控，通過擴展檢測和響應（XDR）能力被動進行攻擊面檢測和威脅發現，通過突破和攻擊模擬（BAS）以及滲透測試服務（Pen Testing as a Service）等對抗的方式發現潛在的弱點和風險，通過威脅情報(TI)準確定位威脅行為，通過漏洞優先級技術(VPT)指導攻擊面收斂。相關技術可以融入到攻擊面管理的技術框架中，并作為一個子集提供獨特的安全能力。
通過攻擊面管理(ASM)框架，可以有效整合各種安全能力，實現攻擊面的有效檢測、分析、響應和監控。同時傳統的網絡安全方法論，例如PDCA、ASA（自適應安全框架）模型，都可以平滑過渡到攻擊面管理(ASM)方法框架中，最終實現以風險為導向的安全管理閉環。對于企業來說，可以有效降低學習成本和技術成本，可以說攻擊面管理（ASM）框架使得企業具備了從合規導向演進到風險導向的條件，讓企業能夠聚焦網絡安全的本質，這也符合全球網絡安全產業發展的趨勢。
華云安攻擊面管理（ASM）方法框架
華云安基于多年的網絡安全漏洞研究與人工智能賦能攻防的技術實踐，基于攻擊者視角，提供一系列完整的攻擊面檢測和管理解決方案。作為攻擊面管理(ASM)框架的最佳實踐，華云安從漏洞評估、智能滲透、威脅檢測、情報協同、管理響應等五個方面實現攻擊面的持續檢測響應能力。
華云安靈鑒TM弱點檢測與評估系統（Ai.Scan）定位于新一代、輕量級漏洞檢測與評估，目標是精準定位企業真實的安全風險；靈刃®智能化滲透攻防系統（Ai.Bot）定位于人工智能與攻擊模擬相結合，提供企業內部深度的攻擊面檢測能力；靈源TM高級威脅檢測與分析系統（Ai.Hunter）主要面向零日攻擊與未知威脅的檢測，基于人工智能技術進行漏洞利用等攻擊行為捕獲；靈智TM互聯網安全風險庫（Ai.KG）則是情報驅動、先于攻擊的互聯網攻擊面監測系統；靈洞®自適應威脅與漏洞管理平臺(Ai.Vul)則是基于漏洞優先級技術進行企業完整攻擊面管理與響應的自適應安全能力平臺。
回到Gartner《Hype Cycle for Security Operations, 2021》報告，可以看出產業界對網絡安全技術發展是有著清楚地認知，傳統的安全技術偏向于被動防御，更加關注合規性要求，但是面對真實的攻擊者，合規已經不能滿足當下的安全需求。面向未來的安全防御技術，更能體現主動防御的技術思路，即突破合規思想，突出對抗防御思想，從攻擊者視角來審視安全防御措施的有效性。Gartner報告可以充分證明，風險管理依然是網絡安全的核心。像攻擊面管理（ASM）這類的新興技術，就是對抗防御和主動防御思想的重要表現形式和落地方法，對于企業和技術供應商來說，也將是未來重要的投入方向。
