Tenable 浅谈持续暴露风险管理.pdf

1、浅浅谈谈持持续续暴暴露露风风险险管管理理T Te en na ab bl le e 中中国国区区总总经经理理赵赵阳阳安世加安世加安世加安世加安世加安世加组组织织正正在在被被”暴暴露露风风险险”所所包包围围2 26 60 00 0N Ne eww d do omma ai in ns s created e ev ve er ry y mmi in nu ut te e4 48 80 0N Ne eww C CV VE E s s published e ev ve er ry y wwe ee ek k2 25 50 0M MC Cl lo ou ud d mmi is sc co on nf

2、 fi ig gs s e ea ac ch h d da ay y 你你有有足足够够的的资资源源吗吗?你你是是如如何何分分清清轻轻重重缓缓急急并并处处理理?你你是是否否不不断断地地做做出出反反应应?1 11 17 7K KN Ne eww h ho os st ts s created e ev ve er ry y mmi in nu ut te e9 95 5M MA AD D a ac cc co ou un nt ts s attacked e ea ac ch h d da ay y 安世加安世加安世加安世加安世加安世加数字化转型导致企业攻击面不断扩大快快速速增增长长高高度度变变化

3、化日日益益互互联联1 12 23 33 个属性导致现代攻击面比以往更难防御：OT基础设施Web 应用程序/API身份本地和远程 IT面向互联网的资产公有云安世加安世加安世加安世加安世加安世加C CL LO OU UD DI IT TC CO ON NT TA AI IN NE ER RN NE ET TWWO OR RK KA AP PP PS SO OT T良好的安全性始于完整和持续的对于暴暴露露面面的风险可见性A AD DI IN NF FR RA AS ST TR RU UC CT TU UR RE E A AS S C CO OD DE E安世加安世加安世加安世加安世加安世加G Ga

4、ar rt tn ne er r 对对”持持续续暴暴露露风风险险管管理理“的的定定义义C CT TE EM M五五个个步步骤骤:范围 发现 优先级 验证 动员安世加安世加安世加安世加安世加安世加“到到2 20 02 26 6年年，优优先先基基于于持持续续暴暴露露管管理理计计划划进进行行安安全全投投资资的的组组织织遭遭受受入入侵侵的的可可能能性性将将降降低低三三倍倍”G Ga ar rt tn ne er r:I Immp pl le emme en nt t a a C Co on nt ti in nu uo ou us s T Th hr re ea at t E Ex xp po os

5、su ur re e M Ma an na ag ge emme en nt t (C CT TE EM M)P Pr ro og gr ra amm J Ju ul ly y,2 20 02 22 2“到到2 20 02 26 6年年，优优先先基基于于持持续续暴暴露露管管理理计计划划进进行行安安全全投投资资的的组组织织将将实实现现漏漏洞洞数数量量减减少少三三分分之之二二”G Ga ar rt tn ne er r:T To op p S St tr ra at te eg gi ic c T Te ec ch hn no ol lo og gy y T Tr re en nd ds s f

6、fo or r 2 20 02 24 4:C Co on nt ti in nu uo ou us s T Th hr re ea at t E Ex xp po os su ur re e M Ma an na ag ge emme en nt tO Oc ct t,2 20 02 23 3安世加安世加安世加安世加安世加安世加重重要要发发现现：很少有客户被入侵是因为零日漏洞组织通常无法发现及修复所有暴露的问题传统的“降低风险”方法侧重于基础设施和软件漏洞修复的责任超出了安全团队的范围，有时甚至超出了组织的控制范围企业威胁暴露超出了通常可以(实际上)自动修补的软件漏洞云服务的日益普及和工作习惯