甲方与攻击面管理实践-蔡浩宇.pdf

1、安世加安世加安世加安世加安世加安世加 攻击面管理实践分享者：蔡浩宇甲方攻击面管理实践分享人：蔡浩宇安世加安世加安世加安世加安世加安世加 攻击面管理实践分享者：蔡浩宇前言2021年7月份，Gartner将攻击面管理相关技术定义为网络安全运营技术中的新兴技术。概念生成，相关的乙方安全公司开始实现概念，推出对应的安全产品或者服务。攻击面管理是一个集成了多种安全技术实践以及对应解决方案的一种方法论。常规甲方通常是安全体系建设需求，安全运营关注点是企业IT资产的安全性，而攻击面管理厂商理解的ASM范围更大，不仅仅限于数字资产风险，还包括生态风险，比如游戏的私服，电商业务的反羊毛党，常见的员工留痕等等内容

2、，真正从攻击者视角审视企业自身风险，超出了常规甲方安全运营体系的工作，攻防的不对等性显而易见。三年过去，攻击面管理在国内发展情况如何、未来又将如何演进？基于以上，今天我将分享游族在攻击面管理工作上相关的背景，技术实践以及未来一些思考，并且给到大家一些案例作为参考，希望能够帮助到大家解决问题安世加安世加安世加安世加安世加安世加 攻击面管理实践分享者：蔡浩宇 目录 0 03 3 如如何何评评价价工工作作做做的的好好与与坏坏 审查核心安全风险 外采+部分功能自研 安全工作结果导向 资源重心投入 安全技术实践 数据该如何利用安世加安世加安世加安世加安世加安世加 攻击面管理实践分享者：蔡浩宇安世加安世加

3、安世加安世加安世加安世加行业安全现状：审查安全技术能力到底如何？2024年的今天回头再看十年前的乌云，大部分白帽子前辈都可以实现企业内网漫游，企业数据，权限任意获取十年后的今天由于各种因素存在，安全事件貌似是被大量减少公开，但是在技术角度看来，大部分企业安全现状并未出现太大改观。从信息量级不断提升的数据泄露事件，各家SRC不断创新高的漏洞奖金，以及在每年的护网中，攻击展现的0day漏洞和稍变化的入侵手段就能够直接淘汰大部分企业就可以看出，本质上与以往攻防对抗形式变化不大 安世加安世加安世加安世加安世加安世加攻击面管理实践分享者：蔡浩宇安世加安世加安世加安世加安世加安世加02 如何落地攻击面管理

4、我围绕着需求，投入成本，产出回报几个部分平衡后，进行具体项目落地。前面已经提及到了，攻击面管理是一个集成了多种安全技术以及对应解决方案的一种思路。如果在此工作中发现乙方能获取的资产测绘数据，业务信息比我们内部更熟悉，数量更多，足以说明我们安全技术工作的不足安世加安世加安世加安世加安世加安世加攻击面管理实践分享者：蔡浩宇攻击面利用全局可见安世加安世加安世加安世加安世加安世加02 如何落地攻击面管理借助外部力量对比测试多家乙方攻击面安全产品，每家的侧重点不同，有的重资产梳理，有的重持续运营，有的重漏洞及监测能力，考虑到本质需求是信息采集，最后对比，根据安全需求，选择了某厂商作为攻击面基础能力 攻击

5、面管理实践分享者：蔡浩宇安世加安世加安世加安世加安世加安世加02 如何落地攻击面管理内部安全技术实践依靠甲方的优势我们做了以下工作：攻击面管理实践分享者：蔡浩宇安世加安世加安世加安世加安世加安世加攻击面管理实践分享者：蔡浩宇值得分享工作中遇到的一些正反馈：1.HR在护网前夕收到了较为高级的红队样本并且发现异常后主动反馈有意思的是简历的真实主人确实在7月份来面试过2.开展业务梳理中，发现了较多的员工留痕行为，涉及到了较多个人隐私，公司数据等。给到对应部门反馈时，得到了较高的评价以及对安全后期工作的支持安世加安世加安世加安世加安世加安世加攻击面管理实践分享者：蔡浩宇安世加安世加安世加安世加安世加安

6、世加03 如何评价工作的好与坏先以技术导向，让阶段性成果以及对应的数据说话，实际降低的安全风险来看 攻击面管理实践分享者：蔡浩宇安世加安世加安世加安世加安世加安世加03 如何评价工作的好与坏攻击面管理实践分享者：蔡浩宇安世加安世加安世加安世加安世加安世加03 如何评价工作的好与坏非技术导向：作为数据方提供给到其他技术同事使用，有需即可采用为什么SDL没检测出来的漏洞这里存在？拿去确认业务，提升SDL覆盖度为什么会有这些业务不在CMDB但是确开放到公网上？拿去运维同事确认，提升