甲方与攻击面管理实践-2024企业信息安全实践.pdf

甲方攻击面管理实践

攻击面管理实践

2024企业信息安全峰会大会以“直面信息安全挑战，创造最佳实践”为主题，聚焦企业信息安全技术与实践等热点话题，致力于推进企业信息安全体系建设，加强企业信息安全管理，助推企业信息安全生态圈的健康发展。

分享者：蔡浩宇

前言

2021年7月份，Gartner将攻击面管理相关技术定义为网络安全运营技术中的新兴技术。概念生成，相关的乙

方安全公司开始实现概念，推出对应的安全产品或者服务。

攻击面管理是一个集成了多种安全技术实践以及对应解决方案的一种方法论。常规甲方通常是安全体系建设

需求，安全运营关注点是企业IT资产的安全性，而攻击面管理厂商理解的ASM范围更大，不仅仅限于数字资

产风险，还包括生态风险，比如游戏的私服，电商业务的反羊毛党，常见的员工留痕等等内容，真正从攻击

攻击面管理实践

2024企业信息安全峰会大会以“直面信息安全挑战，创造最佳实践”为主题，聚焦企业信息安全技术与实践等热点话题，致力于推进企业信息安全体系建设，加强企业信息安全管理，助推企业信息安全生态圈的健康发展。

者视角审视企业自身风险，超出了常规甲方安全运营体系的工作，攻防的不对等性显而易见。三年过去，攻

分享者：蔡浩宇

击面管理在国内发展情况如何、未来又将如何演进？

基于以上，今天我将分享游族在攻击面管理工作上相关的背景，技术实践以及未来一些思考，并且给到大家

一些案例作为参考，希望能够帮助到大家解决问题

目录

03如何评价工作做的好与坏

审查核心安全风险外采+部分功能自研安全工作结果导向

资源重心投入安全技术实践数据该如何利用

攻击面管理实践

2024企业信息安全峰会大会以“直面信息安全挑战，创造最佳实践”为主题，聚焦企业信息安全技术与实践等热点话题，致力于推进企业信息安全体系建设，加强企业信息安全管理，助推企业信息安全生态圈的健康发展。

分享者：蔡浩宇

攻击面管理实践

2024企业信息安全峰会大会以“直面信息安全挑战，创造最佳实践”为主题，聚焦企业信息安全技术与实践等热点话题，致力于推进企业信息安全体系建设，加强企业信息安全管理，助推企业信息安全生态圈的健康发展。

分享者：蔡浩宇

行业安全现状：审查安全技术能力到底如何？

2024年的今天回头再看十年前的乌云，大部分白帽子前辈都可以实现企业内网漫游，企业数据，权限任意获取

十年后的今天由于各种因素存在，安全事件貌似是被大量减少公开，但是在技术角度看来，大部分企业安全现状并未出现太大

改观。从信息量级不断提升的数据泄露事件，各家SRC不断创新高的漏洞奖金，以及在每年的护网中，攻击展现的0day漏洞和稍

变化的入侵手段就能够直接淘汰大部分企业就可以看出，本质上与以往攻防对抗形式变化不大

2024企业信息安全峰会大会以“直面信息安全挑战，创造最佳实践”为主题，聚焦企业信息安全技术与实践等热点话题，致力于推进企业信息安全体系建设，加强企业信息安全管理，助推企业信息安全生态圈的健康发展。

攻击面管理实践

2024企业信息安全峰会大会以“直面信息安全挑战，创造最佳实践”为主题，聚焦企业信息安全技术与实践等热点话题，致力于推进企业信息安全体系建设，加强企业信息安全管理，助推企业信息安全生态圈的健康发展。

分享者：蔡浩宇

02如何落地攻击面管理

我围绕着需求，投入成本，产出回报几个部分平衡后，进行具体项目落地。

前面已经提及到了，攻击面管理是一