零零信安：外部攻擊面管理，以攻擊者的視角將未知風險可視化

　　

新冠疫情加速了云采用、數字化轉型和遠程工作的擴展，加之普通公司每天都有新資產涌入網絡，其數字足跡和攻擊面變得更廣、更分散、更具動態性。

伴隨著企業網復雜程度的提升，如何識別網絡資產，了解資產的脆弱性和潛在的攻擊方式就顯得尤為重要。

安全風險源于未知數字資產

·2020年12月某市非公開系統證書泄露

·2022年4月該系統云配置accessKey泄露

·es數據庫首批泄露147MB數據

·7月第二批次泄露公民數據26.4TB

·同月該數據以數十萬美元被售賣

數據泄漏是指任何私人數字數據都是公開的，而沒有任何識別要求。當一個未經授權的實體訪問您的關鍵數據時將成為一種入侵。具體有哪些情景可能會造成數據的泄露呢？

①攻擊者或外部競爭對手，基于經濟利益或政治原因驅動，通過層出不窮的高超技術手段來竊取企業的各種重要數據，企業與企業之間采用多種方式竊取競爭對手機密信息，自古以來都是普遍發生的。如果企業不重視對自身機密信息的保護，不僅會在商業競爭中處于被動還會造成直接經濟損失，甚至會導致整體行業的衰落。

②企業內部人員安全意識薄弱，如員工在辦公終端上插入來歷不明的U盤或使用非正規渠道下載的盜版軟件、單擊釣魚郵件的誘導內容等都能導致終端被控制造成數據泄露。部分人員對于數據安全的分級不夠明確，操作失誤。一些存儲設備丟失和維修失密，移動存儲設備例如常用電子設備、移動硬盤、手機存儲卡等一旦遺失、維修或者報廢后，其存儲數據往往暴露無遺。部分中高層涉密人員無意識的泄露數據等造成企業信息數據泄露。離職人員由于權限管理的疏忽在離職時有意或無意違規帶走一些專利著作及源碼等核心數據。

③對于帳號生命周期管理不善，權限劃分及認證鑒別方式失控，導致人員對數據的密級訪問權限不對等，高密級數據流向低權限帳號，涉密數據流向無權限帳號等。使用一些不安全的加密方式或明文存儲、公開的存儲位置、管理密鑰或存儲介質丟失、未完全擦除報廢，存儲數據發生泄露。對一些合作渠道商管理不善造成了數據交互泄露，發布信息審核不當涉及密級數據泄露，信息數據流入了并未授權或者正處于競爭關系的第三方。

④企業自身供應鏈泄露及第三方供應商泄露。企業的一些自身產品生產和流通過程中的采購部門、生產部門、倉儲部門、銷售部門等組成的供需網絡往往包含企業大量敏感信息，如果這類系統被惡意攻擊者入侵就可造成數據泄露。一些企業由于業務需要，使用或者購買了第三方服務，如供應商代碼倉庫、供應商外包人員服務、供應商提供的SaaS服務等。那么惡意攻擊者就可以通過入侵相關系統來竊取數據或是第三方供應商為了牟取利益泄露數據。

⑤互聯網搜索引擎通過收錄企業的相關網站，導致數據泄露。企業相關的技術研發運維人員違規的將代碼上傳至公開的代碼倉庫，如GitHub或者公開的百度網盤也可以導致數據泄露。

影子資產與邊界資產成為最大安全隱患

根據調研機構Forrester Research公司的調查顯示，在數字化轉型和軟件即服務時代，98%的企業決策者決定使用云計算。企業的IT職能部門使用多個公共云提供商的服務來創建多云產品組合，如今無疑已經成為一種常態。

94%的企業在使用云服務，導致接入節點大幅度增多，基礎外圍防護設備難以全面覆蓋。企業如今面臨的挑戰在于服務、安全性和成本控制的日益復雜的管理。

隨著基礎設施即服務（IaaS）和平臺即服務(PaaS)的大量使用，云存儲泄露專有數據或機密信息的事件比2021年增長了150%。

遠程辦公的普及使切入點和設備大量增加。軟件即服務時代，第三方依賴增加，第三方工具被大量采購和使用。當前云服務商的安全交付能力良莠不齊，在SaaS環境中的數據是否會被泄露或篡改、丟失都存在不確定性。因此，對云化的影子資產無法感知，就造成數據安全無法得到保障。

此外，企業組織中可能一直有人與外部提供商保持聯系，所以通常情況下都甚至不清楚攻擊面包含了什么。每一個影子資產和邊界資產都將成為單一風險點。

如果造成數據泄露即將面臨的懲罰

《中華人民共和國數據安全法》2021.9.1起實施

·對數據泄露進行：監測、預警、研判、應急、防止危害擴大等要求。

·最高處以1000萬元罰款、吊銷營業執照、追究法律責任。

《中華人民共和國個人信息保護法》2021.11.1起實施

·履行部門具有保護職責，對信息泄露要有匯報、通知、應急、減輕危害等預案。

·最高處以5000萬元/上一年5%營業額罰款、吊銷營業執照、追究法律責任。

《關鍵信息基礎設施安全保護要求》2023.5.1起實施

在2022.10.12發布，2023.05.01起實施的《關鍵信息基礎設施安全保護要求》第十章主動防御中提到了對于收斂暴露面的要求：

·應識別和減少互聯網和內網資產的互聯網協議地址、端口、應用服務等暴露面壓縮互聯網出口數量。

·應減少對外暴露組織架構、郵箱賬號、組織通信錄等內部信息，防范社會工程學攻擊。

·不應在公共存儲空間（例如∶ 代碼托管平臺、文庫、網盤等）存儲可能被攻擊者利用的技術文檔。例如∶ 網絡拓撲圖、源代碼、互聯網協議地址規劃等。

面對攻擊企業應先發制人主動出擊

近日發布由Ponemon Institute操刀、IBM贊助與分析的《2022年數據泄露成本報告》深入分析了全球550個組織在 2021年3月至2022年3月期間所遭遇的真實數據泄露事件。

報告分析，全球數據泄露成本在過去兩年間上漲近13%。其中60%的受訪組織表示他們在遭遇數據泄露事件之后提高了自身產品或服務的價格。83%的受訪組織不止一次遭遇過數據泄露事件，而網絡攻擊不斷所導致的數據泄露事件更是成為企業揮之不去的夢魘。

IBM Security X-Force的全球負責人Charles Henderson 表示：“面對攻擊，企業應先發制人，采取主動出擊的安全保護策略，阻止攻擊者達成不法目的，并將攻擊造成的影響降到最低。越是試圖完善其周邊防御、而非加大檢測和風險響應投入的企業，就越有可能遭遇更多的數據泄露事件，導致成本飆升。從這份報告可以看出，當企業遭遇攻擊時，采用正確的策略和技術可以帶來截然不同的結果。”

保護現代企業機構數字足跡免受新威脅

Gartner表示，安全和風險管理領導者必須應對圖中七大趨勢，才能保護現代企業機構不斷擴張的數字足跡免受新威脅影響。

由圖可以看出企業的受攻擊面正在擴大。網絡系統和物聯網的使用、開源代碼、云應用、復雜的數字供應鏈和社交媒體等引發的風險使企業機構暴露出的受攻擊面超出了其可控資產的范圍。

這就要求企業機構必須采用比傳統的安全監控、檢測和響應更先進的方法，來管理更大范圍的安全風險。零零信安所處的EASM技術賽道，即以外部攻擊者視角來審視企業自身的風險暴露面，幫助企業持續評估外部風險并提供早期威脅預警，從而為企業減少攻擊面提供有力抓手。

零零信安：外部攻擊面管理和暴露面收斂專家

中國安全成熟度曲線“攻擊面管理”代表廠商

中國 《攻擊面管理市場研究報告》推薦廠商

中國網絡安全市場年度報告“攻擊面管理”典型廠商

全方位感知風險威脅比攻擊者更快更強

隨著現在數據的豐富和檢測、關聯能力的提升、響應能力更加自動化，APT識別/跟蹤，攻擊溯源，威脅狩獵與響應，團伙分析，態勢感知等安全防御目標已經遠遠超出了傳統孤立檢測系統的應用范疇。應用日志、檢測事件日志、資產信息、評估結果等數據已經成為了數據檢測的標配。多源異構數據的接入和關聯，為事件的可視化、檢測、推理、響應和治理提供了全面的支撐。零零信安基于大數據立體攻防、以攻促防、主動防御、力求取得立竿見影效果的理念，為客戶提供基于攻擊者視角的外部攻擊面管理技術產品和服務。系統化能力能夠覆蓋企業的信息系統（IP設備、子域名、敏感目錄、組件、云端、影子資產、邊緣資產）、移動應用、M&A和供應鏈、漏洞和口令、文檔和代碼泄露、郵箱和人員列表、企業VIP和管理員、全網情報等風險敞口。

雖然現在對于數據提取的工具已經非常強大，但是僅從表面網頁提取數據通常是不夠的。零零信安外部攻擊面管理以大數據采集和智能分析為技術核心，當前已采集原始數據達數十億條，能夠進行智能處理和關聯分析后的數據達到了近萬億條，每秒最大數據吞吐量為400萬，智能分析速度可達到10萬條/秒，每天互聯網風險文件和代碼檢測速度最大可達1.2億個，每天暗網入庫數量為10-15萬篇。零零信安系統產品可以對數據進行更深層次的提取，7*24小時持續監測公開網絡、深網、暗網數萬個隱藏的威脅源與情報進行全量互聯網和暗網風險采集和分析，再通過機器學習，將風險智能映射到企業，形成外部攻擊面數據，使企業及時知曉并篩選可能存在的風險威脅。

2021年全球重大安全事件4,145起，其中由漏洞攻擊引起的就有2,761起，占67%以上由外部攻擊引起的3,176起，占77%以上，利用外部暴露資產進行遠程漏洞攻擊，引發的安全事件占絕大多數，也是需要重點關注的方面。對于那些已經被發掘出來的漏洞，黑客極有可能趁漏洞的信息還未大范圍傳播的時候，利用這段時間差來攻擊目標機器，此時絕大多數企業或用戶并沒有獲取到相關的漏洞信息自然也無從防御。零零信安外部攻擊面管理平臺不僅能夠為企業提供 0day、勒索蠕蟲、免殺病毒、定向攻擊情報等預警信息，還能夠進行全球范圍全自動數據采集和高效存儲，為企業第一時間發現全網售賣相關信息，協助企業及時報警、上報有關單位，及時通知受影響用戶采取措施等，輔助企業更好地制定應急策略。

隨著數字時代的來臨，數據安全開始逐漸被重視，傳統權限類、枷鎖類數據防護產品性能逐漸無法滿足企業需要。零零信安產品不僅能夠對數據進行分類分級，完整梳理企業數據資產，還能針對重要數據和敏感數據采取適當、合理的整改建議，幫助企業對資產進行規范化管理和保護來確保企業數字資產的安全。在數據“裸奔”時代，零零信安秉持“防微杜漸未雨綢繆”的理念，不斷完善產品功能與服務做您安全路上最專業的護航者！

免責聲明：市場有風險，選擇需謹慎！此文僅供參考，不作買賣依據。

關鍵詞：