数世咨询：2022中国金融行业攻击面管理白皮书_43页_5mb

2022中国金融行业攻击面管理白皮书总结

核心内容概述

本报告围绕“攻击面管理”这一新兴安全领域，聚焦金融行业的现状、需求、场景及关键技术能力，探讨攻击面管理在金融行业中的重要性与实践路径。攻击面管理被视为支撑数字安全的核心手段，其目标是通过发现、管理、收敛攻击暴露面，实现对金融行业数字资产的全面、可观察和可控。

主要观点

• 攻击面管理是金融行业在强合规、高安全需求背景下，实现“数字安全三元论”（信息技术、网络攻防、业务应用）的重要实践方式。
• 攻击面管理强调从攻击者视角出发，通过技术手段与管理策略相结合，实现资产的全面发现与有效收敛。
• 攻击面管理方案正从“平台 + 服务”模式逐步发展，成为安全运营的必选项。
• 随着云原生技术的发展，攻击面管理的实时可观测性与准确性将不断提升。
• 金融机构与安全厂商的共生关系将推动攻击面管理能力的持续优化。

关键信息

攻击暴露面的定义

• 攻击暴露面包括数字资产、外部信息、脆弱性风险等。
• 资产涵盖设备、信息、应用、API、源代码等。
• 攻击暴露面管理的目标是实现“可视、可查、可控、可度量”。

攻击面管理的分类

• EASM（外部攻击面管理）：从外部信息视角进行攻击暴露面发现与管理。
• CAASM（网络资产攻击面管理）：从内外部全局视角，整合资产信息与漏洞情报，实现资产可见性与风险收敛。

攻击面管理与传统安全解决方案的区别

攻击面管理的八大需求现状

1. 强合规但缺乏落地细则：金融行业合规要求高，但缺乏具体的指导规范。
2. 多监管方扫描与通报：安全团队需应对多维度的合规与安全要求。
3. 事件驱动建设与运营：多数机构仍依赖安全事件推动攻击面管理。
4. 业务变化快，需多标签动态管理：资产生命周期管理是关键。
5. 同业参考不现实：业务属性差异大，难以统一标准。
6. 响应时效高：需具备可观测性与安全有效性验证能力。
7. 收敛难度大：需专业技术与服务意识结合。
8. 共生互助关系：金融机构与安全厂商协同成长，形成“平台 + 服务”模式。

金融行业典型用户场景

1. 分支机构资产纳管：监管机构与集团总部需统一管理分支机构的资产信息。
2. 实网攻防演练：通过演练发现并收敛暴露面，提升整体安全响应能力。
3. 数据泄露溯源取证：通过攻击面管理实现数据泄露路径还原与处置。
4. 安全运营基础设施：攻击面管理平台是安全运营的基石。
5. 后疫情时代的攻击面管理：远程办公等新业务形态增加了攻击暴露面的复杂性。

攻击面管理关键能力

1. 攻击暴露面发现能力

   • 外部信息攻击面覆盖（机构信息、代码平台、外部接口、暗网监测）
   • 网络资产攻击面覆盖（主动扫描、被动流量发现、云资产发现）
   • 脆弱性风险评估（弱口令、漏洞风险、软件供应链风险）

2. 攻击面数据融合能力

   • 多源资产数据接入（CMDB、终端管理平台、安全产品等）
   • 数据融合与分析（交叉验证、去重、属性补全、标记等）

3. 攻击面管理平台能力

   • 基于业务视角的资产属性（业务分类、责任划分、风险等级）
   • 可观测性（可视化、可度量、可响应）
   • 资产数据输出（支持合规、安全运营、漏洞管理等场景）

4. 攻击面专项收敛能力

   • 互联网风险资产快速定位与下线
   • 外部信息攻击面收敛（API、代码平台、暗网等）
   • 办公网资产整体收敛（零信任“单包敲门”等）

能力建设建议：阶梯式建设

1. 第一阶段：解决“可见性”问题，实现攻击暴露面排查与有效观测。
2. 第二阶段：洞察安全策略覆盖度，识别防护盲点，提升管理颗粒度。
3. 第三阶段：聚焦有效管控，实现指标化运营。
4. 第四阶段：融入机构内部生态，实现全生命周期管理。
5. 第五阶段：增强“可观测性”，实现“平战一体化”运营。

代表企业

• MANDIANT：提供归一化XDR平台，具备资产信息深度、威胁情报关联与快速响应闭环。
• SEVCO SECURITY：通过资产管理平台实现多源数据融合，具备资产状态动态监控与收敛能力。
• 魔方安全：提供EASM与VASM解决方案，采用“SaaS平台 + 安全代运营”模式，具备主动扫描、被动流量发现与可视化管理能力。

未来展望

• 攻击面管理将成为安全运营的行业共识。
• 攻击面管理将向“大集中”方向发展，提升ROI。
• 交付方式以“平台 + 服务”为主，逐步实现自动化与智能化。
• 实时可观测性与准确度将持续提升，为数字安全提供更有力支撑。

总结

攻击面管理是金融行业应对日益复杂的网络威胁、满足强合规与高安全需求的重要手段。随着技术发展和监管趋严，攻击面管理的建设与运营将更加系统化、智能化和平台化。金融机构与安全厂商的协同将成为推动该领域发展的关键力量。