數字時代，安全從攻擊面管理開始——2022網絡安全運營技術峰會

5月6日，主題為“數字時代，安全從攻擊面管理開始”的2022網絡安全運營技術峰會（簡稱SecOps 2022）以云峰會形式召開。會上，由來自行業權威專家、資深分析師、企業領袖分享精彩觀點和產業洞察，圍繞數字時代安全運營技術趨勢、攻擊面管理研究與實踐等熱點議題展開交流討論。本次峰會由中國信息協會信息安全專業委員會副主任趙進延主持。

為網絡安全運營技術發展注入新力量

在2022網絡安全運營技術峰會上，中國信息協會信息安全專業委員會主任葉紅在致辭時表示，網絡安全是護航數字經濟發展的安全基石。隨著國家數字化轉型進程的穩步推進，新興技術正不斷涌現，并且與國民經濟、社會發展緊密交織，因此網絡安全面臨的挑戰愈發嚴峻。

基于當下發展態勢，旨在推動行業安全運營有序發展的首屆2022網絡安全運營技術峰會（SecOps 2022）應運而生。峰會為探討交流網絡安全運營技術發展，為數字時代多維攻擊面管理技術發展與實踐搭建了一個開放性的平臺。同時，葉紅主任寄語峰會，希望峰會能夠為中國網絡安全行業的健康發展帶來新的力量！

發布國內首份《中國攻擊面管理市場白皮書》

數字化時代，新理念、新技術、新產品的出現顛覆了原有的網絡安全防護方式，基于攻擊者視角的主動防御逐漸成為網絡安全運營技術發展的重要驅動力。

SecOps 2022峰會上，賽迪顧問發布《中國攻擊面管理市場白皮書》，白皮書立足于攻擊面管理技術的本土化洞察與實踐。白皮書基于應用場景維度，定義了攻擊面管理由外部視角的攻擊面管理（EASM）和內部視角攻擊面管理（CAASM）構成，將數字風險保護依據其外延與內核歸屬為外部視角的攻擊面管理。

白皮書詳細剖析了中國攻擊面管理技術發展現狀，分享了攻擊面管理領域的創新技術和典型應用場景，并對攻擊面管理未來發展趨勢進行預測。白皮書旨在以數字化轉型為背景，探討攻擊面管理在新一代網絡安全防御體系中的能動作用。

攻擊面管理，數字時代安全運營技術的基石

中國信安委攻防與應急工作部秘書長、北京華云安信息技術有限公司創始人兼CEO沈傳寶在主旨演講中指出，新冠疫情加速了我們進入數字化時代，網絡安全也隨之開啟了“加速跑”。數字時代，網絡安全面臨復雜性、艱巨性、多元化挑戰，數字安全的形式發生了巨大的改變，亟需構建新一代數字化安全方案以支撐數實的深度融合與變革。

隨著數字技術的發展和數字安全方案的演進，「對抗型防御」一定是下一代安全防御體系的演進方向。而在實網攻防演練活動推動下，安全體系逐步進入到由安全建設階段到安全運營階段轉變。攻擊面管理既是「對抗型防御」理念落地實踐，也是網絡安全運營技術未來的發展趨勢與行業熱點。

數字時代需要數字安全，也需要我們用新的方法去應對。因此，華云安提出以攻擊者視角構建涵蓋數字資產管理、自動化測試、優先級評估、情報預警、快速處置五個步驟的完整攻擊者視角的數字安全管理閉環。在此基礎上，華云安從攻擊者視角出發，重新定義了數字化時代的資產管理、漏洞管理、情報協同和響應處置。

在數字化時代，攻擊面管理作為安全運營的創新技術，將成為數字時代安全運營技術的基石。我們認為，在攻擊面管理基石之上，通過創新的資產漏洞管理、自動化安全測試、擴展的安全情報技術，共同實現新一代的企業全面風險管理。華云安通過持續的技術創新與實踐，成為推動攻擊面管理技術發展，推動網絡安全運營技術發展的重要力量。

數字化轉型加速，安全運營重要性凸顯

在數字化加速轉型背景之下，信息技術由業務支撐工具轉變為業務本身，網絡空間已經與物理空間打通，業務流程實現計算機化、網絡化，并已完全取代手工流程，致使網絡安全威脅的破壞性更為突出。實際上，網絡安全威脅也正逐步顯性化，僅從2019年到2021年，勒索攻擊的發生次數大幅增長，近年來的一些全球熱點事件也佐證了這一事實。

關于如何應對日益復雜的網絡安全挑戰，北京賽博英杰科技有限公司創始人兼董事長譚曉生談到，近十年來網絡安全思想、技術、產品、服務形態也處于快速發展中，中國網絡安全正在經歷從重建設到與建設與運營并重的轉變，在《2022年數說安全網絡安全全景圖新增產品類別》中，偏運營屬性的產品占據絕大多數，其中就包括攻擊面管理（ASM）、安全運營(MDR/MSS)、安全訪問服務邊緣（SASE）等。他指出，在數字化加速轉型的今天，網絡安全運營是提高網絡安全防御能力的必然之選。

以“看管監控”為抓手，構建一體化安全中樞

數字時代，如何做好網絡安全運營？PCSA安全能力者聯盟首席專家郭峰以關鍵信息基礎設施安全保護的實踐出發，分享了實戰化智能安全運營中心的思考與建設實踐。

他談到，體系化對抗和系統性風險已經是數字安全時代的新背景，安全從合規走向實戰過程中，最重要的一關就是體系合成和運轉，不再依靠人工、手工臨時應對，需要具備敏捷、迭代、彈性、可擴展、一體化的管理和技術 IT 信息化支撐平臺。因此，數字化組織需要構建有效落地的網絡安全一體化防御體系，實現數字化組織“看管監控”一體化的安全中樞。

關于安全中樞的持續打造，郭峰強調，需要在實現“資產清晰化、風險動態化、能力生態化”的基礎上，滿足“監測實時化、防御體系化、威脅預警化、響應迅速化、信息共享化、指揮精確化”的安全監管一體化。

從產品視角看攻擊面管理

SecOps 2022峰會上，華云安作為國內首家聚焦攻擊面管理的網絡安全公司，重磅發布“三維一體、內外兼修”的攻擊面管理產品解決方案，分別是定位CAASM的靈洞·網絡資產攻擊面管理系統（Ai·Vul），定位EASM的靈知·互聯網情報監測預警中心（Ai·Radar），定位BAS的靈刃·智能滲透與攻擊模擬系統（Ai·Bot）。

三款產品都是基于攻擊者視角從不同維度共同打造數字化時代數字安全風險管控的完整解決方案。三者基于云原生架構，以微服務的方式提供不斷迭代的安全能力。平臺化架構讓三個產品既可以獨立提供各自的安全能力，也可以原子化安全能力編排構成全面且完整的攻擊面整體解決方案。

外部攻擊面管理（EASM）將正面對抗實戰型立體攻擊

作為本次峰會的最后一位分享嘉賓，北京零零信安科技有限公司創始人兼CEO王宇，將分享著眼外部攻擊面管理（EASM）相關的技術發展與實踐。他談到，近年網絡攻擊呈現組織化、團隊化、立體化趨勢。網絡攻擊早已從漏洞、口令等技術手段逐漸演變成基于組織機構數字暴露面的通用漏洞、事件型0day、移動端應用/APK攻擊、API攻擊、文檔和文件泄露、企業敏感信息泄露、勒索軟件攻擊、電子憑證攻擊、供應鏈攻擊、社工庫攻擊等為一體的綜合型攻擊工程。

在此背景下，堆疊的剛性防御體系不足以保護企業內部安全，外部攻擊面管理（EASM）也因此應運而生。外部攻擊面管理（EASM）提倡以攻擊者視角，正面對抗實戰型立體攻擊。他預測，未來EASM會向兩個方向演進：滲透測試即服務，以及擴展威脅情報。

數字時代，網絡安全運營的技術發展與最佳實踐

在峰會最后的圓桌論壇環節，旨在探討真知，洞見未來。主持人數世咨詢創始人兼總經理李少鵬，與PCSA聯盟首席專家郭峰、華云安創始人兼CEO沈傳寶、賽迪顧問劉娟老師、零零信安創始人兼CEO王宇，圍繞“數字時代，網絡安全運營技術發展與最佳實踐”主題，就數字化時代、安全運營、攻擊面管理和安全運營的未來等四個議題進行了探討。

他們認為，數字時代，網絡安全運營將成為行業未來發展趨勢與行業關注熱點，精細化、場景化、持續化將是網絡安全運營未來的發展趨勢。在安全體系由安全建設階段逐步進入安全運營階段的進程中，在構建面向數字時代的數字化安全方案中，攻擊面管理技術將發揮極為重要的作用。