2022年攻击面管理调查：七成企业还在用电子表格管理IT资产

了解企业资产的暴露面，掌握这些暴露面的潜在风险，是有效安全计划的基础。为了更全面地了解企业攻击面管理的现状及其面临的困难和挑战，Randori和ESG近期进行了一项调查，对398位企业安全团队负责人进行了访谈和调查，并发布了《2022年攻击面管理现状报告》。报告数据显示:

67%的受访组织表示，他们的外部攻击面在过去12个月中有所扩大；
69%的组织受到未知、未管理或管理不善的面向互联网的资产的威胁；
平均而言，组织需要80多个小时来更新他们的攻击面列表；
70%的组织使用至少10种解决方案来管理其安全和健康状况；
近3/4的组织仍然依赖电子表格来管理他们的攻击面；
不到1/3的组织拥有正式的外部攻击面管理解决方案；
外攻面管理是2022年大型企业的第一投资重点。
人们发现，该行业正试图跟上数字环境的快速扩张和变化步伐，但缺乏有效做到这一点所需的工具和流程。因此，真正暴露给攻击者的风险和安全团队已知的风险之间的差距正在扩大。研究人员认为，以下三种力量正在成为推动攻击面管理(ASM)解决方案需求不断增长的重要因素:

1.攻击面继续扩大，但能见度还是很差。

调查发现，在过去的一年中，随着远程办公人员的不断增加，云解决方案和SaaS应用程序的使用，企业组织的外部攻击面进一步扩大。

从表面上看，攻击面扩大并不奇怪，因为世界一直在向更加互联和分散的方向发展。连接到互联网的资产数量自然会增加，攻击面自然会扩大。然而，值得警惕的是，攻击面扩大的原因不仅是云采用率和SaaS应用和服务的增长，还包括企业对第三方供应商的依赖程度越来越高，以及企业组织在第三方供应商处管理资产可见性的能力不足，这引入了新的风险和盲点。

幸运的是，调查显示，绝大多数企业认为应该提高监控攻击面的能力，但这种意识形态并没有发挥作用。40%的受访企业仍然依赖传统的IT资产管理系统来检测和发现攻击面；41%的企业通过广泛的网络威胁情报系统监控新威胁。

虽然企业目前采用的解决方案具有一定的价值，但传统的资产管理系统只覆盖企业的IT和安全团队已知的资产，而网络威胁情报解决方案只能监控已知的威胁。这两种工具都不具备主动发现未知攻击面或管理不被企业重视的攻击面的能力，而这些恰恰是企业进行安全管理的重要驱动力。

相比之下，专用的ASM解决方案具有自动监控和持续发现的功能，可以提高攻击面的可见性。然而，调查显示，目前只有34%的受访企业在其安全堆栈中有这种专用解决方案。这意味着超过一半的企业在攻击面的可见性方面仍然处于劣势，这些企业组织由于没有采用专门的ASM工具，面临攻击威胁的风险更大。

2.现有管理流程的效率需要提高。

2021年12月，Log4j漏洞被披露后，短短5小时内，Randori就开发出了有效的漏洞利用；在48小时内，GreyNoise Intelligence等公司观察到大量利用该漏洞的企图。

这说明攻击者的速度越来越快。当攻击者采取行动时，大多数企业组织仍然很难知道他们是否暴露了。平均而言，企业需要80多个小时来编制其攻击面的更新列表，而攻击者只需要48个小时就可以开发出一个有效的漏洞。

当被问及“将采取哪些行动来改善攻击面的管理”时，31%的受访企业表示将增加专门用于发现和评估外部资产的漏洞扫描频率；29%的企业会提高对外部攻击面中资产的分析能力，并根据关于资产可用性的威胁信息为资产分配风险分值；25%的企业表示，他们将为安全和IT人员提供更多关于攻击面管理的培训。

3.外部攻击面管理已经成为一个重要的投资领域。

调查显示，73%的企业仍在使用电子表格管理其攻击面；34%的企业拥有专用的外部攻击面管理(EASM)解决方案；31%的企业将EASM作为2022年的重点投资领域。他们将围绕其攻击面管理计划建立正式的KPI和指标，并开始使用EASM解决方案，以从渗透测试和攻防演练中获得更大的价值。

特殊的EASM解决方案可以消除传统的攻击面电子表格管理带来的编译和管理混乱。您还可以持续监控暴露的资产，并在新的风险出现时及时提醒企业。了解企业对Log4j等漏洞的暴露程度，就像查看员工邮件或登录控制台一样简单，可以大大降低安全团队的工作压力和安全人员倦怠的风险。

外部攻击面管理的重要性体现在很多方面。最重要的是，攻击面是抵御攻击的第一道防线。如果一个企业的攻击面中有大量未知或未被管理的资产，那么它随时都可能遭遇未知的攻击。

管理外部攻击面可以实现对企业攻击面的持续可见性监控，可以帮助企业更准确地评估这些风险。一般来说，企业的攻击面总是在变化的，这也是持续监控的重要意义。

另外，企业对外部攻击面管理的认识只是开始。随着企业攻击面的不断扩大，不仅是对风险的识别、发现和监控，企业还必须能够通过不断的测试和验证来改进其安全控制措施，以确保其资产和基础设施能够得到妥善保护。