作為防禦者，你必須要保證你在所有時間裡都不會犯錯誤，至於攻擊者，只需要把事情做對一次，那麼這場攻防對抗的較量其實已經宣告結束。

因此，對於企業尤其是IT、安全相關的團隊或人員而言，較為有效的方式就是能夠儘早地發現自身弱點並彌補，降低它們被攻擊者發現併成功利用的機率。

在這一狀況下，偏向於主動防禦且更注重實戰對抗的攻擊面管理（Attack Surface Management，簡稱“ASM”）理念無疑是當前值得關注的方向。如果綜合遭受攻擊的潛在成本以及可能因攻擊事件爆發導致的嚴重後果，就會發現攻擊面管理無論是在效果還是收益方面都具有不小的優勢。

關於攻擊面管理

，在Gartner此前釋出的《2022中國網路安全技術成熟度曲線》中指出，

識別網路資產，瞭解資產的脆弱性和潛在的攻擊方式尤為重要

。ASM使企業從內部管理和外部攻擊者的角度，解決資產和漏洞視覺化的難題，並基於優先順序計算指導防禦人員進行主動防禦。ASM幫助安全和風險管理（SRM）團隊識別潛在的攻擊路徑，並指導開展安全控制措施的改進和調整，提高整體安全防禦水平。

可以看到，網路資產的識別被著重強調，對於任何企業而言，要想做好安全建設，這一點都是不可或缺的。一般情況下，企業對於對資產的掌握只限於那些經常使用的，但從安全形度考量，理想情況應是對自身所擁有的所有資產都要有清晰瞭解並擁有完整而準確的清單，這也意味著任何新裝置或是被新增到網路中的內容都要從初始階段就得到充分的管理。此外，漏洞仍然是個老生常談的問題，但不可否認的是，當前所存在的漏洞肯定比我們所認知的要多得多。

如果上述這些都做不好，那麼

當未知因素疊加在一起，如“未知的資產中存在有未知的漏洞”，那麼所面臨的潛在風險有多大也就不難想象。

前文所說的攻擊者要做對的那件事，就是要發現這些處在企業未知範圍的弱點並加以利用，並最終實現一次成功的攻擊，最終令企業為之付出代價。

因此，所謂掌握攻擊者視角，就是要力爭消滅這些在防禦者視角下的“未知”，甚至是“未知的未知”。對於企業而言，以攻擊者視角審視自身將會是對傳統安全建設的極大補充，具體操作層面，較為容易的方式主要集中在以下幾種：

1、滲透測試

滲透測試這種方法已經存在多年了，對於以攻擊者視角來提高安全水平的諸多方式中，堪稱老而彌堅，他們利用自身的經驗和真實的技術、工具、流程來試圖和攻擊者一樣去尋找企業的漏洞和弱點，相比於許多企業內部的安全或IT團隊而言，他們面對安全問題會有一些不同的思考方式，並且也有著不同的心態，這也是透過外部專業團隊來做測試的好處之一。

但這種方式的弱點也非常明顯，因為它僅能反應企業當前安全水平的狀況，相當於一個時間點的快照，而不是持續的監測，畢竟企業在發展過程中總是會部署新的裝置、系統或應用，甚至包括像整體遷移到雲上這種大操作等等，那麼這種方法是難以滿足需求。

但不可否認的是，滲透測試仍然是一個很好的方法，只是單獨依靠它是不夠的。

2、開源情報（OSINT）

近年來，越來越多的IT資產透過企業網路被連線到網際網路中，如果沒有妥善保護，這些資產可能會被暴露，也意味著這些資料可以被收集和搜尋，

這裡大家比較熟的如知道創宇的ZoomEye、華順信安的FOFA、國外的SHODAN搜尋引擎等。

這些資料來源可以作為開源情報（OSINT）向所有人開放，透過利用OSINT資源，企業可以在IT、OT和IoT裝置中查詢潛在的問題資產或其他問題。當然，這其中也有一個巨大的挑戰，那就是如何將這些公共資料與企業的內部資產列表關聯對映，以使其對企業有價值。

舉個例子，假設企業擁有一個123。com的域名，而郵件伺服器和該域名相關聯，但能否代表就能看出其與在另一個不同的子域上啟動的另一臺Web伺服器有何關係嗎？如果缺少這種對所有子域及內、外部資產之間連線的可見性，那麼想要獲取全面且準確的情況將會非常難。

3、外部攻擊面管理（EASM）

關於外部攻擊面管理（EASM）我們其實也說過很多，它是一種非常好的方法，而且易用的工具也已有（

如零零信安推出的0.Zone

），它可以觀察整個組織的IT組合，包括企業在內部和雲端使用的各種系統、平臺，同時檢測任何潛在的問題或威脅，尋找任何由於糟糕的配置或不安全資產而導致的潛在漏洞。

儘早瞭解錯誤配置或漏洞對於在攻擊者利用它們之前修復它們至關重要。理想情況下，企業可以結合各種方法來提高可見性，確保持續的安全性，同時，透過自動化的流程更是可以幫助企業的安全或IT團隊更有效和高效地做好響應工作。

儘管攻擊面管理的好處多多，但對於多數企業而言，即便對如何管理攻擊面的方法、方式有所瞭解，但想要從頭建立並實現具備攻擊面管理能力，仍是一個極大的挑戰，因此，引入專業力量來實現有效的攻擊面管理，在我們看來，無論是安全能力、水平還是成本收益方面，都能體現出一定的優勢。

據安全419此前在行業內的溝通調研情況，在攻擊面管理領域，包括華雲安、雲科安信以及零零信安這三家以攻擊面管理為主要方向的企業值得關注。