软件攻击面分析,攻击系统软件

导航：

• 1、软件处理差
• 2、软件供应链安全及防护工具研究
• 3、常见的网络安全威胁中 哪些是主动攻击,哪些是被动攻击？
• 4、什么是外部攻击面管理?绝对新手指南

软件处理差

尽管自编码有了一些进展软件攻击面分析，但现在开发软件主要仍然得靠人工。

然而软件攻击面分析，人非圣贤，孰能无过？因此，我们可以得到一个合理的推测：由人生产出来的产品和服务，必然包含某种形式的缺陷。所以，软件缺陷不可避免，并且是软件开发过程的固有部分。

软件缺陷是逻辑或配置上的错误，会导致系统产生我们不期望的行为。

软件应用程序中的一些主要和常见缺陷包括业务逻辑错误、复杂性问题、文件处理问题、封装问题、数据验证问题、身份认证和授权错误。

常见弱点枚举 (CWE) 清单描述了常见的软件和硬件弱点，会导致安全方面的相关问题。 该清单对可能存在的软件弱点进行了全面分类。

在业务研发过程中，我们通常通过比较内部质量和风险指标以及对需求、规范、标准和截止日期等方面的遵守程度，来衡量和评估软件质量等级的可接受度。

因此，我们应该可以得到这样一个结论：软件质量是主观的，受业务承诺、高级管理人员的参与情况和组织文化的影响。

软件开发中一个重要的关注点涉及到在预算、进度、范围、质量和安全性这些方面之间保持适当的平衡。一个方面的变化会影响其他方面。虽然都不希望改变计划，但这在软件开发生命周期中并不少见。这些场景反映了组织为了控制预算和进度，不得不在软件质量和安全性方面做出妥协。

软件质量并不总是软件的安全性指标。软件安全性的衡量标准，是在测试期间和生产部署之后发现的漏洞数量。软件漏洞是一类软件缺陷，潜在的攻击者经常利用这些漏洞，绕过授权，访问计算机系统或执行操作。有时，授权的用户也会出于恶意，利用系统中这些未修补的已知漏洞。

这些用户还可能会输入不能通过校验的数据，无意中利用了软件漏洞，从而损害数据完整性和使用这些数据的功能的可靠性。对漏洞的利用会针对下面三个安全支柱中的一个或多个：机密性、完整性和可用性，它们通常称为 CIA 三元组。

机密性指保护数据在未经授权时不会被泄漏；完整性指保护数据在未经授权时不会被修改，以保证数据的真实性；可用性指系统在需要时可供授权用户使用，并拒绝未经授权的用户访问。了解软件错误和漏洞之间的区别，是为创建安全的软件和及时减少缺陷和漏洞的整体战略的关键。

软件漏洞

现在已公布的漏洞利用行为，以及OWASP十大、MITRE常见漏洞和暴露 (CVE) 列表、美国国家漏洞数据库和其他来源提供的见解都在讲软件漏洞。总体而言，这些信息强调了技术创新如何打破了所需的平衡，我们可以根据这些信息采取更有效的措施，在产品部署之前更好地检测和减少软件漏洞。

软件安全瑕疵越来越多，影响最大的因素是我们对软件安全性不思进取的态度、在软件安全性方面缺乏有效的最佳实践、软件开发人员和潜在攻击者之间的知识差异以及不安全的遗留软件。

由于威胁在不断变化，因此，在安全方面与时俱进的态度对于达成软件安全性很有必要。组织在开发和部署软件时，如果对安全的态度原地踏步，有可能会把内部合规跟有效、安全的软件开发周期过程混为一谈；对不断发展的威胁向量认识不足；从而无意中增加客户在各方面的风险。安全策略一成不变，只依赖内部合规来证明开发的软件很安全，这是短视的行为。

随着时间的推移，这种依赖性将导致利益相关者对组织开发安全软件的能力产生盲目的信心，并降低软件开发团队充分审查和应对不断变化的威胁的能力。若我所料不差，这些组织很可能没有有效的补丁管理程序，也没有在产品或解决方案实施过程中集成软件安全方面的设计原则。他们也不太可能添加安全相关场景的测试套件，或将软件安全的最佳实践纳入软件开发流程。

想要研发安全的软件，在研发生命周期中就应该应用软件安全方面的最佳实践。最佳实践涵盖安全设计原则、编码、测试、工具以及针对开发人员和测试人员的培训，有助于在将产品和解决方案部署到生产环境之前主动检测和修复漏洞。在合适的情况下，应用“故障安全”、“最小权限”、“深度防御”和“职责分离”等安全设计原则，可以增强应用程序的安全性。此外，还必须优先对开发人员和测试人员进行软件安全性方面的常规培训。

软件开发人员和潜在攻击者之间的知识差距正在扩大。这种现象的原因不尽相同，其中一些原因是心态、主要关注领域不同和缺乏学习机会。此外，一些软件开发人员对系统妥协持零和态度。这种心态与深度防御的安全设计原则背道而驰，并认为网络和设备漏洞实际上是“天国的钥匙”事件（译注：keys-to-the-kingdom，基督教典故，此处是指通过漏洞获得极大权限是漏洞发现者应得的）。因此，他们认为试图尽量减少妥协是徒劳的。有许多被爆出来的系统数据泄露事件，正是这种心态引发的后果，它们因缺少安全性或分层安全性不足，导致未加密的个人数据被盗。

这种“零和”心态，无意中助长了潜在攻击者通过各种技术深入到网络中进一步破坏生态系统的能力，从而可能获得对包含个人和业务数据的其他系统的访问权限。仔细审查代码是常见的深度防御措施，但一些软件开发人员未能有效利用。这些开发人员完全依赖自动代码扫描工具，而没有审查代码，或者只是粗略地审查代码。使用自动代码扫描工具并仔细审查代码才是一种有效的深度防御策略，可以在解决方案或产品部署到生产环境之前检测出漏洞。

软件开发人员和潜在攻击者有不同的优先级和重点领域。软件开发人员的重点领域包括实现业务逻辑；修复软件缺陷以满足质量要求；确保他们实施的功能或解决方案满足内部实用性、可用性和性能指标或服务水平协议 (SLA) 中的指标。显而易见，软件开发人员会在其主要关注领域获得专业知识。而潜在攻击者主要关注领域包括系统和软件行为分析，他们不断磨练技能以增加收入、满足好奇心、实现工具集、侦察和探索。所以同样地，潜在攻击者在其关注领域里也能获得专业知识。

潜在攻击者和软件开发人员之间的技能差异，让组织需要在软件安全方面持续地对软件开发人员进行培训。软件开发人员还必须了解当前的和不断拓展的攻击向量，并了解软件攻击面的概念，以避免在软件实现和修改过程中误入雷区。此外，软件开发人员必须转变观念，将软件安全原则和最佳实践纳入到软件开发生命周期中，它们与功能实现具有同等优先级。

在开发现在被称为“遗留”软件的那些年里，功能实现通常有最高优先级。对于许多软件供应商而言，软件安全跟功能的优先级不同，而且不是软件开发流程的一部分。在这种优先级安排以及威胁形势不断增长的长期影响下，其结果就是现在“遗留”软件中那些漏洞会被人发现和利用。为什么优先考虑功能实现，原因各不相同。

竞争、上市时间问题以及对软件安全缺乏关注，是组织不能遵循软件安全最佳实践和维持软件安全开发流程的主要原因。某些组织为了更好地保护“遗留”软件，给它们分配了资金和资源，在所需功能的实现上做出牺牲；并且由于持续关注在“遗留”软件的保护上，可能会丧失潜在的竞争优势。而其他组织通过检查软件漏洞来主动评估其“遗留”系统。尽管如此，在代码库被完全修补、升级到最新最安全或被废弃之前，遗留软件都将是漏洞利用方面的沃土。

结论

软件是潜在攻击者最常用的攻击媒介之一。因此，许多组织意识到，为了实现和维护安全的软件开发流程和基础架构，尽职尽责的调查非常重要。这些组织独立而又协同地为推进网络和软件安全领域的防御策略做出贡献。企业贡献包括：创建描述网络攻击阶段的安全模型和框架（例如洛克希德马丁公司的网络杀伤链），从而使组织能够规划相应的缓解措施；设立赏金计划，奖励查找漏洞，让安全研究人员和其他人可以因发现可利用的软件缺陷而挣到钱；对开源网络安全工具集的贡献；编写应用程序安全白皮书，描述最佳实践并促进软件安全向开发-安全-运维（DevSecOps）自然过渡。

不断发展的软件攻击向量使得我们不可能在生产部署之前消除所有软件漏洞。尽管如此，软件开发人员还是必须持续学习软件安全开发。也有人正关注于使用机器学习来检测软件漏洞，这将有助于更快、更有效地检测软件漏洞。然而，这种在专业领域采用机器学习的结果是否符合预期，目前还不确定。与此同时，各组织还是必须继续在同一战线上持续投入，共同抗衡潜在攻击者。

软件供应链安全及防护工具研究

文 中国信息通信研究院云计算与大数据研究所云计算部工程师 吴江伟

随着 5G、云计算、人工智能、大数据、区块链等技术的日新月异，数字化转型进程逐步推进，软件已经成为日常生产生活必备要素之一，渗透到各个行业和领域。容器、中间件、微服务等技术的演进推动软件行业快速发展，同时带来软件设计开发复杂度不断提升，软件供应链也愈发复杂，全链路安全防护难度不断加大。近年来，软件供应链安全事件频发，对于用户隐私、财产安全乃至国家安全造成重大威胁，自动化安全工具是进行软件供应链安全防御的必要方式之一，针对软件供应链安全及工具进行研究意义重大，对于维护国家网络空间安全，保护用户隐私、财产安全作用深远。

一、软件供应链安全综述

软件供应链定义由传统供应链的概念延伸扩展而来。业界普遍认为，软件供应链指一个通过一级或多级软件设计、开发阶段编写软件，并通过软件交付渠道将软件从软件供应商送往软件用户的系统。软件供应链安全指软件供应链上软件设计与开发的各个阶段中来自本身的编码过程、工具、设备或供应链上游的代码、模块和服务的安全，以及软件交付渠道安全的总和。软件供应链攻击具有低成本、高效率的特点，根据其定义可知，相比传统针对软件自身安全漏洞的攻击，针对软件供应链，受攻击面由软件自身扩展为了软件自身内部的所有代码、模块和服务及与这些模块、服务相关的供应链上游供应商的编码过程、开发工具、设备，显著降低了攻击者的攻击难度。同时，软件设计和开发所产生的任何安全问题都会直接影响供应链中所有下游软件的安全，扩大了攻击所造成的影响。

近年来，软件自身安全防御力度不断加大，攻击者把攻击目标由目标软件转移到软件供应链最薄弱的环节，软件供应链安全事件频发，对用户隐私及财产安全乃至国家安全造成重大威胁。最典型的如 2020 年 12 月，美国网络安全管理软件供应商“太阳风”公司（SolarWinds）遭遇国家级 APT 组织高度复杂的供应链攻击，直接导致包括美国关键基础设施、军队、政府等在内的超过 18000 家客户全部受到影响，可任由攻击者完全操控。

软件供应链安全影响重大，各国高度重视，纷纷推行政策法规推动软件供应链安全保护工作。2021 年 5 月 12 日，美国总统拜登签署发布《改善国家网络安全行政令》，明确提出改善软件供应链安全，要求为出售给政府的软件开发建立基线安全标准，不仅提供应用程序，而且还必须提供软件物料清单，提升组成该应用程序组件的透明度，构建更有弹性且安全的软件供应链环境，确保美国的国家安全。同年 7 月，美国国家标准与技术所（NIST）发布《开发者软件验证最低标准指南》，为加强软件供应链安全加码，明确提出关于软件验证的 11 条建议，包括一致性自动化测试，将手动测试最少化，利用静态代码扫描查找重要漏洞，解决被包含代码（库、程序包、服务）等。

我国对软件供应链安全问题也给予了高度重视，2017 年 6 月，我国发布实施《网络产品和服务安全审查办法》，将软件产品测试、交付、技术支持过程中的供应链安全风险作为重点审查内容。2019 年12 月 1 日，《信息安全技术 网络安全等级保护基本要求》2.0 版本正式实施，在通用要求及云计算扩展部分明确要求服务供应商选择及供应链管理。

二、软件供应链安全挑战

目前，软件供应链安全受到高度重视，但仍面临多重现实挑战，可以总结分为以下五大类。

1. 软件设计开发复杂化成为必然趋势

随着容器、中间件、微服务等新技术的演进，软件行业快速发展，软件功能及性能需求也不断提升，软件设计开发复杂化已经成为必然趋势。这一现状同时带来了软件设计、开发及维护难度陡增，设计与开发过程不可避免的产生安全漏洞，为软件供应链安全埋下隐患。

2. 开源成为主流开发模式

当前，开源已经成为主流开发模式之一，软件的源代码大多数是混源代码，由企业自主开发的源代码和开源代码共同组成。根据新思 科技 《2021 年开源安全和风险分析》报告显示，近 5 年，开源代码在应用程序中所占比例由 40% 增至超过 70%。开源的引入加快了软件的研发效率，但同时也将开源软件的安全问题引入了软件供应链，导致软件供应链安全问题多元化。

3. 快速交付位于第一优先级

由于业界竞争环境激烈，相较于安全，功能快速实现，软件快速交付仍处于第一优先级，虽然软件通常实现了安全的基本功能需求，如身份认证鉴权、加解密、日志安全审计等，但整体安全防护机制相对滞后，以后期防护为主，前期自身安全性同步建设往往被忽视，软件自身代码安全漏洞前期清除存在短板。

4. 软件交付机制面临安全隐患

软件交付指软件由软件供应商转移到软件用户的过程。传统软件交付以光盘等存储设备为载体，随着互联网等技术的发展，通过网络对于软件进行快速分发已经成为基本模式，不安全的分发渠道同样会对软件供应链安全产生重大影响。

5. 使用时软件补丁网站攻击

针对软件供应链安全防护，软件的生命周期并非结束于软件交付之后，而是直到软件停用下线。软件在设计及开发过程中难免存在安全缺陷，通过补丁下发部署是修复软件缺陷漏洞的最通用方式。软件补丁的下发部署同样受分发渠道影响，受污染的补丁下载站点同样会造成软件供应链安全问题。

三、软件供应链安全防护工具

软件供应链安全涉及众多元素及环节，参考业界常见划分，软件供应链环节可抽象成开发环节、交付环节、使用环节三部分。针对交付环节及使用环节安全防护，主要通过确保分发站点及传输渠道安全。开发环节与软件源代码紧密相关，安全防护较为复杂，囊括编码过程、工具、设备及供应链上游的代码、模块和服务的安全，涉及四类安全工具，包括软件生产过程中的工具和软件供应链管理工具。

1. 静态应用程序安全测试工具

静态应用程序安全测试（SAST）是指不运行被测程序本身，仅通过分析或者检查源程序的语法、结构、过程、接口等来检查程序的正确性。源代码静态分析技术的发展与编译技术和计算机硬件设备的进步息息相关，源代码安全分析技术多是在编译技术或程序验证技术的基础上提出的，利用此类技术能够自动地发现代码中的安全缺陷和违背安全规则的情况。目前，主流分析技术包括：（1）词法分析技术，只对代码的文本或 Token 流与已知归纳好的缺陷模式进行相似匹配，不深入分析代码的语义和代码上下文。词法分析检测效率较高，但是只能找到简单的缺陷，并且误报率较高。（2）抽象解释技术，用于证明某段代码没有错误，但不保证报告错误的真实性。该技术的基本原理是将程序变量的值映射到更加简单的抽象域上并模拟程序的执行情况。因此，该技术的精度和性能取决于抽象域对真实程序值域的近似情况。（3）程序模拟技术，模拟程序执行得到所有执行状态，分析结果较为精确，主要用于查找逻辑复杂和触发条件苛刻的缺陷，但性能提高难度大。主要包括模型检查和符号执行两种技术，模型检查将软件构造为状态机或者有向图等抽象模型，并使用模态/时序逻辑公式等形式化的表达式来描述安全属性，对模型遍历验证这些属性是否满足；符号执行使用符号值表示程序变量值，并模拟程序的执行来查找满足漏洞检测规则的情况。（4）定理证明技术，将程序错误的前提和程序本身描述成一组逻辑表达式，然后基于可满足性理论并利用约束求解器求得可能导致程序错误的执行路径。该方法较为灵活性，能够使用逻辑公式方便地描述软件缺陷，并可根据分析性能和精度的不同要求调整约束条件，对于大型工业级软件的分析较为有效。（5）数据流分析技术，基于控制流图，按照某种方式扫面控制流图的每一条指令，试图理解指令行为，以此判断程序中存在的威胁漏洞。数据流分析的通用方法是在控制流图上定义一组方程并迭代求解，一般分为正向传播和逆向传播，正向传播就是沿着控制流路径，状态向前传递，前驱块的值传到后继块；逆向传播就是逆着控制流路径，后继块的值反向传给前驱块。

2. 动态应用程序安全测试工具

动态应用程序安全测试（DAST）技术在测试或运行阶段分析应用程序的动态运行状态。它模拟黑客行为对应用程序进行动态攻击，分析应用程序的反应，从而确定该应用是否易受攻击。以 Web 网站测试为例对动态应用程序安全测试进行介绍，主要包括三个方面的内容：（1）信息收集。测试开始前，收集待测试网站的全部 URL，包括静态资源和动态接口等，每一条 URL 需要包含路径和完整的参数信息。（2）测试过程。测试人员将测试所需的 URL列表导入到测试工具中。测试工具提供“检测风险项”的选择列表，测试人员可根据测试计划选择不同的风险检测项。测试工具在测试过程中，对访问目标网站的速度进行控制，保证目标网站不会因为同一时刻的请求数过高，导致网站响应变慢或崩溃。测试人员在设定测试任务的基本信息时，根据目标网站的性能情况填入“每秒请求数”的最大值。测试工具在测试过程中保证每秒发送请求的总数不超过该数值。（3）测试报告。在安全测试各步骤都完成后，输出测试报告。测试报告一般包含总览页面，内容包括根据测试过程产生的各种数据，输出目标网站安全性的概要性结论；测试过程发现的总漏洞数，以及按照不同安全等级维度进行统计的漏洞数据。

3. 交互式应用程序安全测试工具

交互式应用程序安全测试（IAST）通过插桩技术，基于请求及运行时上下文综合分析，高效、准确地识别安全缺陷及漏洞，确定安全缺陷及漏洞所在的代码位置，主要在三方面做工作：流量采集、Agent监控、交互扫描。（1）流量采集，指采集应用程序测试过程中的 HTTP/HTTPS 请求流量，采集可以通过代理层或者服务端 Agent。采集到的流量是测试人员提交的带有授权信息有效数据，能够最大程度避免传统扫描中因为测试目标权限问题、多步骤问题导致扫描无效；同时，流量采集可以省去爬虫功能，避免测试目标爬虫无法爬取到导致的扫描漏水问题。（2）Agent 监控，指部署在 Web 服务端的 Agent 程序，一般是 Web 服务编程语言的扩展程序，Agent通过扩展程序监控 Web 应用程序性运行时的函数执行，包括 SQL 查询函数、命令执行函数、代码执行函数、反序列化函数、文件操作函数、网络操作函数，以及 XML 解析函数等有可能触发漏洞利用的敏感函数。（3）交互扫描，指 Web 应用漏洞扫描器通过Agent 监控辅助，只需要重放少量采集到的请求流量，且重放时附带扫描器标记，即可完成对 Web 应用程序漏洞的检测。例如，在检测 SQL 注入漏洞时，单个参数检测，知名开源 SQL 注入检测程序 SQLMAP需要发送上千个 HTTP 请求数据包；交互扫描只需要重放一个请求，附带上扫描器标记，Agent 监控SQL 查询函数中的扫描器标记，即可判断是否存在漏洞，大大减少了扫描发包量。

4. 软件组成分析软件组成分析

（SCA）主要针对开源组件，通过扫描识别开源组件，获取组件安全漏洞信息、许可证等信息，避免安全与法律法规风险。现有的开源组成扫描技术分为五种。（1）通过进行源代码片段式比对来识别组件并识别许可证类型。（2）对文件级别提取哈希值，进行文件级哈希值比对，若全部文件哈希值全部匹配成功则开源组件被识别。（3）通过扫描包配置文件读取信息，进行组件识别从而识别组件并识别许可证类型。（4）对开源项目的文件目录和结构进行解析，分析开源组件路径和开源组件依赖。（5）通过编译开源项目并对编译后的开源项目进行依赖分析，这种方式可以识别用在开源项目中的开源组件信息。

四、软件供应链安全研究建议

1. 发展软件安全工具相关技术

软件供应链安全防护的落地离不开安全工具的发展使用。大力发展软件安全工具技术，解决安全开发难点需求，进行安全前置，实现安全保护措施与软件设计、开发同步推进。

2. 提升软件供应链安全事件的防护、检测和响应能力

软件供应链安全防护需要事前、事中、事后的全方位安全防御体系。软件供应链安全攻击事件具有隐蔽性高、传播性强、影响程度深的特点，软件供应链作为一个复杂、庞大的系统，难免存在脆弱节点，应提升对软件供应链安全攻击事件的防护、检测和响应能力，避免安全事件造成重大影响。

3. 构建完善软件供应链安全相关标准体系

通过科研院所及标准机构完善软件供应链安全标准体系，普及软件供应链安全防范意识，提升企业组织对软件供应链安全的重视程度，进行软件供应链安全投入，推进安全建设工作落实。

4. 建立软件供应链安全可信生态

实现软件供应链安全需要各领域企业的共同努力。企业共建安全可信生态将满足不同用户、不同行业、不同场景的安全可信需求，提升业界整体软件供应链安全水平。

（本文刊登于《中国信息安全》杂志2021年第10期）

常见的网络安全威胁中 哪些是主动攻击,哪些是被动攻击？

计算机网络上软件攻击面分析的通信面临以下的四种威胁软件攻击面分析： (1) 截获—从网络上窃听软件攻击面分析他人的通信内容。 (2) 中断—有意中断他人在网络上的通信。 (3) 篡改—故意篡改网络上传送的报文。 (4) 伪造—伪造信息在网络上传送。 主动攻击：更改信息和拒绝用户使用资源的攻击软件攻击面分析，攻击者对某个连接中通过的 PDU 进行各种处理。被动攻击：截获信息的攻击，攻击者只是观察和分析某一个协议数据单元 PDU 而不干扰信息流。 *防火墙 *数据加密 *网络检测入侵 *网络安全漏洞扫描 *访问控制技术 *其他防范措施

什么是外部攻击面管理?绝对新手指南

外部攻击面管理(ASM)External attack surface management (ASM)是一个发现、列出、分类、分析、确定优先级和监控所有可能在互联网上收集的信息的过程，并通过搜索外部数字资产将敏感数据通知您的组织。

一个有用的ASM在互联网上跟踪您的整个数字足迹，发现并收集与您的公司有关的信息。但这可能是太多的信息，也可能是没用的信息。这就是为什么这些信息不是与你的公司共享，而是首先被 分析和分类 。在这一步之后， 将根据信息的敏感性对其进行优先级排序 。最后，监控是最后一步。

简而言之，攻击面就是攻击者在研究脆弱组织的威胁时所能发现的一切。

要管理这种动态攻击接口，组织必须确保他们拥有正确的安全控制，以减少攻击表面中攻击者可以利用的漏洞数量。这可以通过使用网络安全工具来最小化组织容易受到网络攻击的地方。

然而，这并不是不可能将一个组织的目标区域的巨大规模纳入观点;它只是需要以一种新的方式来看待它。通过主动映射数字足迹，监控在线通道的攻击指标，快速化解识别的威胁，并保护客户、员工和网络，可以进一步减少攻击面。为了保证组织的安全，重要的是要了解基础设施暴露和易受攻击的方式，然后对有助于减少攻击的活动进行优先级排序。一旦您了解了什么是网络攻击，它涉及什么，以及您自己的攻击范围有多大，安全专家就可以开始缩小您的基础设施可能受到的攻击类型。

ASM结合了先进的互联网数据情报和分析，以加快调查，了解攻击面，并采取行动应对数字威胁。持续安全监控是针对第三方可信任数字资产的攻击区域管理。ASM工具提供了对这些资产的洞察和可见性，以发现和监视Internet上与您的组织相关的一切，从而聚焦于您的攻击表面的巨大规模。

这种实时可见性对于违反攻击表面的风险至关重要，攻击表面是动态的和高度复杂的，因为它是任何组织的安全策略的关键组成部分。

因此，重要的是监控攻击面，以检测和管理攻击者在互联网、移动和云环境中的目标资产。您可以通过主动映射您的数字足迹、监控在线渠道的攻击指标、快速缓解已识别的威胁并保护您的客户、员工和网络，从而进一步减少攻击面。智能威胁接口管理还可以帮助您的IT安全团队从危机管理人员转变为真正的安全分析师，他们的见解可以保护您的底线。通过增加数字攻击区域的可见性和减少您的业务暴露，您可以找到并监视Internet发布的所有资产。

组织可以通过不断管理和减少攻击面来主动干预防御，使攻击者越来越难以成功。他们可以通过使用ASM来提高自己的安全地位;通过在云计算中使用可信和真实的欺骗来改进攻击面，从而降低风险。

您可能已经在网络周围设置了一个保护整个系统的边界，但是一个受控的攻击面可以帮助您避免当今组织面临的一些最常见的网络安全风险。对网络进行分割是有意义的，因为分割可以增加攻击者在试图通过网络时遇到的障碍数量，从而帮助减少攻击区域。通过定义软件的范围，您可以在网络边缘识别和阻止潜在问题，以免它们到达攻击面。减少新出现的端点攻击影响的另一个关键是使事件在端点处更可见。

良好的外部攻击面管理产品全天候监控所有系统，以发现新发现的新的安全漏洞。实时可见性对于检测攻击对企业中在线运行的一系列网络、软件、协议和服务的攻击表面的影响至关重要。考虑到在线业务中的网络、软件协议和服务的数量和复杂性，可能很难确定哪些部分的攻击是入侵和入侵的来源。伤害风险的识别是动态的、高度复杂的，其特点是需要探索几个复杂的领域，如网络基础设施、网络安全、数据安全和网络管理。

对于今天的组织来说，管理攻击面本身可以最大限度地减少对手利用漏洞的机会，并有助于防止数据泄露。

攻击接口是攻击者进入环境的点或向量，它仅仅是攻击者进入设备或网络并提取数据的所有可能方式的列表。换句话说，攻击接口可以描述为不同点的集合，未经授权的用户可以在这些点上渗透IT环境。攻击者可以从几个方面试图渗透环境，例如访问网络、从远程位置访问或通过网络连接访问。

攻击面描述了攻击者可以进入系统并访问数据的各个点。简单地说，攻击面包括攻击者可以利用来进行成功攻击的组织的网络环境，包括协议、接口、软件和部署的服务。它是暴露给企业的资源。

在现代公司中，攻击面是大规模的和超维的，鉴于当今数字环境的复杂性，我们开始更好地理解与外部攻击面管理相关的挑战。

攻击面可分为4组。所有攻击面可以是这4组中的至少一个。

攻击面是指任何对互联网开放并可被攻击者利用的资产，如域基础设施、网站服务、云技术等。它可以被描述为一个组织的网络接口、它的网络基础设施和资源。综上所述，攻击面包括:

已知资产: 已知资产是指网站、服务器等公司注册管理的资产。

未知资产: 未知资产就像为了营销目的而被安全 团队遗忘的域名 ，或者开发团队遗忘在存储库中构成未知实体的 一些敏感数据。

假冒资产: 恶意基础设施，如虚假域名，恶意社交媒体帐户看似属于公司，但由攻击者创建。

第三方资产: 攻击面最终不只是针对拥有资产和公司的公司。公司网站上的第三方javascript脚本或用于定位其资产的托管服务器是公司数据交换生态系统中攻击面的一部分。

要管理外部攻击面，首先需要识别所有对互联网开放的资产。发现阶段很重要，因为公司有许多他们不知道或忘记的资产，以及他们知道和管理的资产。例如，为了营销目的而打开的一些促销页面可能忘记关闭，或者没有通知安全团队。任何被遗忘或未进行安全配置的资产都可能对公司造成危害。因为攻击者总是更喜欢攻击公司而不是非托管资产。

另外，一些暴露的被攻击者用来模仿公司的PII(个人身份信息)数据和资产，如网站、sm账户等，也可以在外部攻击面管理的第一步被检测出来。

连接到公司资产的第三方应用程序或供应商也会出现在发现阶段，在这种情况下，它会扩大您的攻击面，因为它包含在公司的生态系统中。

发现过程从简单的扫描提供的IP地址和子网到更全面的OSINT(开源情报)和暗网浏览。

一些安全解决方案要求组织提供数据清单，以监控和管理外部攻击面，或在公司内部进行一些定位。

SOCRadar仅以域名地址作为输入，用于发现组织的攻击面。由于采用了先进的搜索方法，它使用OSINT方法在表面网、深层网和暗网上探索整个资产清单，而不触及和破坏公司的任何资产。

在发现资产之后，应该根据资产的类型、技术特征、业务关键性和遵从性需求，创建具有正确标签的库存。

组织需要不断更新的资产维护和保护。但是，每个部门管理的资产类型是不同的。例如，当网络团队想要监控DNS记录的变化时，社交媒体帐户的管理可能会在营销团队之下。希望能够快速访问其管理的资产的负责人。正因为如此，创建一个正确分类的库存是很重要的。

SOCRadar通过将资产分类到不同的类别，提供了对资产的轻松访问。它还具有一种授权机制，可以通知不同的人，这些人负责监视每个资产期间发生的发现。

在数字世界中，组织的资产不断更新，随着资产清单的增加，安全团队很难跟踪更新的资产。还有很多第三方应用程序在资产上运行，每天都有数百个容易被利用的安全漏洞在这些应用程序上发布。因此，必须确保对数字资产进行全天候监控，以发现新发现的漏洞和错误配置。

SOCRadar旨在持续监控检测到的资产，通知安全团队公司内部的任何误解或配置，并识别可能的攻击活动。通过漏洞跟踪模块，可以在攻击面内检测到具有弱点的应用程序。

持续安全监控涵盖由您的组织或授权的第三方操作的已知和未知数字资产。然而，攻击的范围远不止于此，还包括网络罪犯创建的恶意或欺诈资产。

这包括滥用你的商标或信誉的钓鱼网站，假装属于你的移动应用程序，或社交网络上的虚假账户等数字威胁。

因此，持续监视恶意实体和事件对于确保针对组织的攻击载体的整体可见性至关重要。

SOCRadar通过将海量数据点聚合并关联到可采取行动的情报警报中，构建了即时网络钓鱼领域识别、全互联网扫描和受损证书检测技术。

组织需要外部攻击面管理，以识别其数字资产可能出现的风险，并采取相关行动。

ASM帮助客户以自动化的方式获得关于未知外部数字资产严重性的额外可见性和上下文。通过SOCRadar先进的全互联网监控算法，AttackMapper为安全团队提供了对所有正在使用的面向互联网的技术资产以及IP、DNS、Domain和密码基础设施的资产的直接可见性。

SOCRadar只使用主域名地址信息来检测公司的数字足迹，并通过分类自动提取资产清单。

它定期监视组织的资产并检测与之相关的更改。通过监视构成攻击面的资产，它使我们能够跟踪攻击者并防止可能的攻击。此外，它还可以向安全团队提供关于公司内部丢失的安全配置、关键开放端口、过期的SSL证书/域等的信息。

当有关公司资产的漏洞在外部网络及其应用程序上可见时，SOCRadar会通知公司。

SOCRadar以服务的形式提供以下模块：

数字足迹发现

域/ IP监控

SSL证书监控

DNS监控

漏洞检测

重要端口检测

JavaScript监控

关键数据泄漏检测