近年來，網際網路發展突飛猛進、社會數字化轉型持續進行中，關鍵資訊基礎設施遭受網路攻擊的安全事件也越發頻繁。隨著IoT、5G、雲原生等技術發展，未來將會有更多的新興資產和服務出現，以安全風險管控為導向的安全運營技術勢必成為企業關注的重點方向。
2021年7月，Gartner釋出的《2021安全運營技術成熟度曲線》對主流的安全運營技術進行解讀，預測創新技術的發展階段，為組織的安全和風險管理負責人提供參考，並幫助其更有效的制定組織的網路安全發展策略。
2021安全運營技術成熟度曲線
Gartner依據專業分析預測與推論各種新科技的成熟演變速度，及要達到成熟所需的時間。具體可分為：技術創新期、期望膨脹期、泡沫破裂谷底期、穩步爬升復甦期、生產成熟期5個階段。最值得關注的就是Gartner首次提出了新的技術理念CAASM網路資產攻擊面管理（Cyber asset attack surface management）和EASM外部攻擊面管理（External attack surface management），只有少數企業開展了相關技術研究和產品研發，因此具備較大的市場前景。
網路資產攻擊面管理（CAASM）
網路資產攻擊面管理專注於幫助安全團隊解決持續出現的資產和漏洞的挑戰。之前產品關注點在於終端、伺服器、裝置或應用程式等資產，CAASM 擴充套件了資產列表的範圍，在整合的資產庫中，使用者可以透過查詢找到外部攻擊面管理(EASM)和端點檢測與響應(EDR)等資產管理工具覆蓋面。並且，CAASM使組織能夠透過 API與現有工具的整合，具有檢視所有資產(包括內網和外網)的功能，確定安全控制範圍內的漏洞和差距，並糾正問題。
CAASM 功能
CAASM透過確保安全控制、安全態勢，充分全面瞭解組織控制下的所有資產，以確認攻擊面和現有安全控制的差距，並修復原系統中可能存在的老舊的或遺漏資料的記錄，使安全團隊能夠改善基本的安全狀況。
1. 透過更準確、創新、全面的資產和安全控制報告，快速生成合規性報告
2. 將已經收集到資產資訊的各種現有產品合併到統一的標準化檢視中，減少手動流程或對自制應用程式的依賴
3. 訪問整個組織內多個團隊的合併資產檢視，如企業技術部門、漏洞管理團隊和 IT 管理員，他們可以從合併資產清單中查詢需要的資訊
4. 從缺乏治理和控制的資產、安裝的第三方系統和業務線應用程式收集資料和獲得安全可見性的阻力降低。安全團隊需要這些地方的可見性，而IT管理人員可能不需要
外部攻擊面管理（EASM）
外部攻擊面管理是指為發現面向網際網路的企業資產和系統以及相關漏洞而部署的流程、技術和託管服務。比如伺服器、認證、公有云服務、物聯網裝置的錯誤配置以及可能被對手利用的第三方合作伙伴軟體程式碼漏洞。
EASM 功能
1. 監測：持續掃描網際網路，查詢與領域相關的環境(如雲服務和麵向外部的本地基礎設施)和分散式生態系統(如物聯網基礎設施)
2. 資產發現：發現並對映組織面向外部的資產和系統
3. 分析：評估和分析資產屬性，以確定資產是否存在風險或脆弱性
4. 優先順序：根據優先順序分析對風險和漏洞進行優先順序排序，並提供預警
5. 修復：提供優先威脅緩解和修復工作流程或事件響應工具等解決方案的整合操作計劃
EASM有助於識別未知資產，提供有關係統、雲服務和應用程式的資訊，這些資訊在公共域中可用且可見，這些資訊也都可能被提供給攻擊者。
EASM 應用場景
- IT、OT、IoT等數字資產發現
- 資產脆弱性與修復管理
- 雲上資產發現和風險管理
- 企業遠端辦公服務管理
- 企業敏感資料洩露監測
- 第三方供應鏈資產管理
- 子公司與併購公司的資產管理
雲基礎設施和平臺服務以及SaaS的轉移、遠端工作、物聯網（IoT）技術的採用以及IT和OT的融合，是一些新的安全需求正在出現的關鍵領域。在這些場景中，正在使用EASM工具，這些工具有助於安全專業人員瞭解並減少對網際網路和公共領域的不必要暴露，這些暴露可被利用來優先處理最關鍵的問題。
“資弱漏補”閉環安全解決方案與CAASM一貫相通
Gartner定義CAASM技術就是為了幫助在資產發現及資產可見性的基礎上，去修復安全漏洞、減輕合規報告負擔，讓資產安全風險的管理更簡單，從而減小攻擊面或縮小被攻擊的範圍。這與天防安全倡導的“資弱漏補”閉環安全解決方案完美契合，天防安全作為物聯網安全創新者，一直致力於對物聯網安全的研究，透過對物聯網資產指紋的積累和物聯網資產漏洞的收集，擁有影片監控領域國內最全的IoT裝置指紋庫和最全的IoT裝置漏洞庫，早在創立之初，即提出“資弱漏補”閉環安全方案的概念，最大化獲取經過融合的資產指紋資訊、資產弱口令資訊、多維度獲取漏洞資訊、補丁狀態，實行“資產+弱口令+IOT漏洞+補丁”的閉環安全風險管理。這種對抗防禦和主動防禦的重要表現及落地形式，切實符合CAASM資產攻擊面管理理念，環環相扣融入整個大運維環境，從而收縮攻擊面、保障安全態勢。
天防行動式影片監控網路安全檢查工具
提供行動式、按需使用的影片監控網路安全檢查工具，透過對影片監控網路空間的快速掃描測繪，及時發現存在的各類安全隱患，以便排查和整改重要網路安全隱患、風險和突出問題，縮小攻擊面，全面提升影片監控網路的整體安全性。體現CAASM技術主要功能：多維度裝置資產智慧識別能力，全面的資產和安全檢測控制報告，快速生成合規性報告。
天慧影片監控網路空間安全監測服務平臺
提供常態化影片監控網路的安全監測與管理，透過高效率、高精準的資產發現與識別、高效率弱口令檢測、裝置與應用脆弱性檢測、網路邊界完整性檢測等技術，更全面掌握所有裝置資產資訊與安全狀態，及時發現網路中存在的各類安全隱患，從而幫助使用者實時掌握影片監控網路整體網路安全態勢，輔助進行及時整改，切實提升網路安全管理和防護能力。
天慧還透過CAASM技術確保安全控制、安全態勢和資產暴露在整個環境中得到了解和修復，使安全團隊能夠改善基本的安全狀況。部署CAASM的組織減少了對自主系統和手動收集過程的依賴，實現安全管理從“被動防禦”向“積極防禦”的進化，為影片監控關鍵業務系統的安全穩定提供運維支撐和安全保障。
天合影片監控密碼保險箱
提供針對影片監控裝置賬號進行統一安全管控的解決方案，實現對影片監控網路中影片監控裝置的自動化、合規化的賬號密碼統一管理，並透過統一介面實現與影片監控管理平臺的自動同步，可幫助使用者極大減少手動收集和處理過程的依賴，實現密碼定期自動更新，並能夠達到一機一密、一次一密的管理能力，全面提升使用者對海量影片監控裝置的賬號密碼的自動化管理能力。
天倉影片監控網路漏洞補丁管理系統
提供影片監控網路中各類裝置和應用的一站式漏洞補丁查詢、下載管理解決方案，針對影片監控網路中裝置與應用漏洞確認困難、補丁查詢困難、修復困難的問題，天倉透過針對性的收集、整理，形成專業化補丁庫系統，可與“天慧影片監控網路空間安全監測服務平臺”聯動配合，為使用者提供方便的漏洞檢測結果一鍵式補丁查詢和下載服務，同時，提供漏洞修復建議和操作指南，提供補丁應用有效性評價參考，簡化漏洞修復流程，提升漏洞修復工作效率。
天防安全的“資弱漏補”閉環安全管理思想，與Gartner的CAASM和EASM技術理念不謀而合，而且在物聯網中，資產規模更大，資產多樣性複雜化，弱口令和漏洞甚至伴隨資產的全生命週期，安全性更脆弱，所以物聯網對ASM攻擊面管理的需求更為迫切，更確切的說物聯網對CAASM和EASM技術的需求更為迫切。天防安全作為物聯網安全創新者，將利用CAASM和EASM技術為推進物聯網安全的進步作出自己的貢獻。
