【数世咨询】2022中国金融行业攻击面管理白皮书_43页_5mb

2022中国金融行业攻击面管理白皮书总结

核心内容

本报告围绕攻击面管理（ASM）在中国金融行业的应用现状、需求分析、关键能力及未来趋势进行深入探讨。攻击面管理作为一项综合性的安全运营手段，结合平台 + 服务模式，致力于将攻击暴露面可视化、可管理、可收敛，以应对日益复杂的网络安全威胁和合规要求。

主要观点

• 金融行业具有关键基础设施属性、科技属性与安全属性，是网络安全管理的高要求领域。
• 攻击面管理在金融行业已逐步成为安全运营的必选项，并正在向**“大集中”模式**发展。
• 攻击面管理需要融合技术手段与服务意识，在“可见性”基础上实现“可观测性”和“可度量性”。
• 金融行业攻击面管理的标准化与自动化趋势明显，平台化交付是未来主流方式。
• **“平台 + 服务”**模式是解决安全资源不足、业务差异大的有效途径，也是实现攻防能力提升的重要支撑。

关键信息

攻击暴露面定义

攻击暴露面是潜在攻击者可能利用的所有数字资产、外部信息、脆弱性风险的集合，包括但不限于：

• 网络资产：IP地址、域名、端口、Web应用、业务应用等；
• 外部信息：机构信息、代码共享平台信息、暗网泄露数据等；
• 脆弱性风险：弱口令、漏洞、软件供应链风险等。

攻击面管理的定义

攻击面管理是金融机构依托平台和安全服务，对自身及分支机构的攻击暴露面进行发现、判别、确认，并协调内外部资源进行持续收敛的解决方案。

攻击面管理与传统安全方案的区别

• EASM：关注外部攻击面，依赖黑客视角与情报分析；
• CAASM：关注内外网资产，强调API与系统集成；
• 攻击面管理：融合EASM与CAASM，从攻击者视角出发，实现资产的多维管理与动态收敛，具有更强的可观测性与可运营性。

攻击面管理需求现状

• 合规性强但缺乏落地细则，导致不同机构之间存在显著差异；
• 监管多头、通报频繁，推动安全团队自发进行攻击面排查与收敛；
• 业务变化快、资产多标签动态管理成为关键；
• 收敛时效高，需平台具备实时可观测性；
• 收敛难度大，需结合技术与服务意识；
• 安全厂商与金融机构形成共生关系，共同推动攻防能力提升。

典型用户场景

1. 分支机构资产纳管：统一管理各分支机构的资产信息，满足监管要求；
2. 实网攻防演练：提前发现与收敛潜在风险资产，提升响应效率；
3. 数据泄露溯源取证：从泄露数据反向追踪攻击入口，实现精准响应；
4. 安全运营基础设施：作为安全运营的底层能力，支撑多维度安全分析；
5. 后疫情时代的攻击面管理：应对远程办公带来的攻击暴露面扩展，提升安全可见性。

关键能力

1. 攻击暴露面发现能力：

   • 外部信息、网络资产、脆弱性风险的全面发现；
   • 支持资产线索检索、多源数据融合等手段；
   • 强调攻击者视角与多维资产数据整合。

2. 攻击面数据融合能力：

   • 多源资产数据接入（CMDB、终端管理平台、安全产品等）；
   • 数据去重、属性补全、标记与关联分析；
   • 支持可视化与知识图谱呈现资产关系链。

3. 攻击面管理平台能力：

   • 资产属性管理（业务视角、多标签、可视化）；
   • 可观测性（资产状态、漏洞影响、攻击路径等）；
   • 数据输出（合规、漏洞管理、安全运营等）。

4. 攻击面专项收敛能力：

   • 风险资产快速定位与下线；
   • 外部信息攻击面收敛；
   • 办公网资产整体收敛；
   • 收敛需结合技术与服务意识，形成闭环。

能力建设建议

• 第一阶段：解决“可见性”问题，实现内外网资产排查；
• 第二阶段：提升安全策略覆盖度，细化资产管理颗粒度；
• 第三阶段：实现有效管控与指标化运营；
• 第四阶段：融入机构内部生态，实现全生命周期管理；
• 第五阶段：提升“可观测性”，结合知识图谱与攻击预测，实现“平战一体化”。

代表企业

1. Mandiant

   • 作为老牌安全公司，提供归一化XDR平台，支持资产信息深度与威胁情报关联；
   • 攻击面管理（ASM）能力突出，具备一键筛选、可视化展示等优势。

2. Sevco Security

   • 成立于2020年，提供资产管理平台，支持多源资产融合与状态监控；
   • 通过资产交叉查询，识别安全盲点，实现攻击面收敛。

3. 魔方安全

   • 专注攻击面管理、资产测绘与漏洞管理，提供SaaS化服务；
   • 主推“平台 + 安全代运营”模式，契合金融行业安全资源不足的现状；
   • 技术上融合主动扫描、被动流量发现、资产适配器，提升攻击面管理的全面性与准确性。

未来展望

• 攻击面管理将成为行业共识，并成为安全运营的标配；
• 金融行业将逐步向**“大集中”**模式发展，统一资产管理和运营；
• 攻击面管理方案将更多采用**“平台 + 服务”**的交付方式，提升安全效率；
• 实时可观测性与准确度将不断提升，依托云原生技术与数据能力，实现更高效的攻击面治理。

总结

本白皮书系统梳理了金融行业在攻击面管理方面的现实需求与供给现状，指出合规驱动、业务变化、响应时效是当前金融行业安全团队关注的重点。攻击面管理不仅需要技术能力，更需要服务意识与协同机制，以实现从“被动防御”到“主动收敛”的转变。随着技术发展和行业认知提升，攻击面管理将逐步成为金融行业安全运营的核心能力之一，推动行业向更高水平的安全体系演进。