牛品推荐之

慧御ASM

随着企业数字化转型的不断深化，云计算，大数据，物联网等新技术的不断引入，企业的数字化资产种类和数量都在不断增加，如业务网站、APP、小程序、云资源、算力资源等。这些数字化资产在为企业带来业务便利和服务升级的同时，数字资产爆发式增长和频繁变更，以及各业务部门间的协同壁垒，让安全团队面临巨大挑战。资产识别不清、漏洞管理不全、漏洞修复不及时等问题普遍存在，导致企业网络暴露面不断扩大，潜在的网络攻击风险随之提升。

2023 年 5 月 1 日正式实施的《信息安全技术 关键信息基础设施安全保护要求》中明确指示，关键信息基础设施运营者应收敛互联网暴露面，加强攻击点管控，层层设防。

在国家政策引导和市场需求的双重驱动下，云盾智慧安全科技有限公司集中研发力量，重点打造了资产测绘与攻击面管理产品——慧御ASM。

一、标签

 SaaS服务     资产测绘      攻击者视角      互联网暴露面收敛    风险识别     漏洞管理 

二、用户痛点

1、资产数据维度多且管理分散

企业的信息系统资产数据包括基础信息、应用系统信息、数据库信息等，从安全视角来看，还有漏洞信息、补丁信息、代码信息以及关键配置信息等。这些资产信息缺乏统一的管理手段，分散在不同的人员手中，难以形成全面的资产清单和准确的漏洞视图。

2、数据更新不及时，容易造成管理疏漏

在传统的资产管理过程中，大量依赖于员工的管理，容易造成数据失真。如果数据发生变化时员工没有及时更新，就会导致信息的不准确，进而造成管理过程中的疏漏。

3、信息资产关联度不够高

随着企业信息化资产结构的日益复杂，应用系统越来越庞杂，不同资产之间的关联度却不够高。这会导致在安全运营中难以快速定位和处理问题，增加安全风险。

4、技术革新增大资产管理难度

随着新技术的发展，应用系统安装越来越多地被容器化或无服务化所替代，用户更加关注上层应用服务，而不再关注支撑应用服务运行的底层基础设施，资产管理难度进一步加大。加之频繁的资产变更使得传统的管理方式难以为继，需要更高效的管理手段来应对。

5、缺乏全面的威胁情报和风险评估

企业常因缺乏全面的威胁情报和风险评估能力，而难以准确判断面临的威胁和风险水平。这会导致企业在应对网络安全事件时缺乏针对性和有效性。

三、解决方案

知攻方能守，云盾智慧公司基于这一理念打造了慧御ASM，产品通过数据采集中心、数据处理中心、数据分析中心、数据展示中心四个模块，做到知有无、分轻重、明得失：

知有无：兵法有云，知己知彼方能百战不殆。因此了解资产类型、数目、状态至关重要。否则，只是针对已知资产层层设防，就会像“马奇诺防线”一样形同虚设。

分轻重：资产信息采集后需要做好分类分级，做好相应的数据清洗、去重和聚合。特别在防护资源有限的情况下，据此进行合理分配。

明得失：对暴露在外的资产进行攻击面的分析与识别，将系统面临的风险进行展示，并给出优化措施，防范于未然。

慧御ASM能够对数字化资产进行采集、处理、分析和展示，具体功能包括：

资产发现：自动化发现企业所有数字资产，包括应用程序、SaaS服务、云上资源等，根据策略识别出资产的端口开放情况、服务、应用、版本、资产指纹等数据；并对这些资产进行分类和标记，帮助企业“摸清家底”，以便后续的安全监测和管理。

资产管理：将采集到的数据处理、分析之后，将结果进行归类、聚合展示，清晰地展示出企业“家底”。用户可以快速了解资产数量、资产属性，并聚焦核心资产，明确资产负责人。系统还能根据资产数据生成资产画像，并支持资产的导出。

风险扫描：利用先进的漏洞扫描技术，对发现的资产进行漏洞扫描和风险评估，为企业提供详细的漏洞报告和风险预警，帮助企业及时发现并修复安全漏洞。用户可以根据自己业务的情况，制定监测周期和内容，并通过ASM自动执行，确保能够及时发现新的安全威胁和漏洞。

风险管理：将风险扫描结果进行提炼并给出解决办法，支持用户查看详情并按照建议修复漏洞；同时可以将漏洞分配给资产负责人，明确责任人，提供修复倒计功能，支持漏洞修复验证，最终形成漏洞处理的闭环。支持延期处理和风险白名单，将危险程度较低的风险漏洞延期或者加白。对管理员和操作员进行权限区分，操作员只有处理漏洞和提申请的权利，管理员同意才可以进行下一步操作。

威胁情报：资深安全分析专家通过云地协同的情报数据生产流程，收集、拓展、输出各类高精准威胁情报，提供各类高级威胁分析服务，为ASM产品提供情报赋能，增强产品检测预警、APT追踪发现、应急响应等安全运营能力。

可视化：系统将资产和风险进行分类汇总分析，实时更新展示数据，直观地展示出资产数量、资产类型、资产分布、资产趋势，以及风险数量、风险类型、风险分布、风险趋势、风险资产排名。 

四、典型应用场景

企业自身安全管理

全面识别、评估和减轻潜在的安全风险。通过以下方式实现：

• 网络资产清点：对企业内部的网络资产进行全面盘点，包括硬件、软件、SaaS应用程序和云资产等，确保无遗漏；
• 潜在攻击面识别：识别企业可能面临的潜在攻击面，如开放的端口、未修复的漏洞等；
• 安全审计与监测：定期进行安全审计，并实时监测网络流量和活动，以发现潜在的威胁和异常行为。

风险评估与保险领域

为保险公司提供全面的风险评估和监测服务，帮助保险公司准确评估被保险企业的安全风险，制定合理的保险条款和费率:

• 客户风险等级评估：保险公司可以用来评估客户的风险等级，以便制定合理的保险策略；
• 企业自我风险评估：企业可以用来进行自我风险评估，了解潜在的安全风险，并采取措施降低风险。

行业安全监管

在金融、医疗等特定行业，助力企业或机构满足政府或行业监管机构的安全要求：

• 监管合规：ASM可以帮助企业满足政府和行业监管机构的安全要求，确保业务运营的合规性；
• 安全风险监控：监管机构可以利用ASM来监测行业内的安全风险，制定相应的监管政策，提高整个行业的安全水平。

业务上云风险评估

企业上云时，支持多云场景下的攻击面管理，提供上云安全治理实践：

• 暴露面风险管理：ASM可以帮助企业感知新增的暴露面风险，并统一管理多云环境下的风险管理；
• 安全治理策略：ASM能够为企业提供日常安全治理一站式服务，制定可靠且强大的安全治理策略，防止企业数据泄露和资产损失。

重点时期安全保障

在重点保障时期，全面盘点企户资产暴露面，并提供优先级评估技术，帮助用户聚焦关键风险：

• 暴露面盘点：全面盘点企业在重点时期的暴露面，确保无遗漏；
• 优先级评估：结合业务给予处置优先级评估，帮助企业聚焦关键风险，节省运营成本。

五、典型应用案例及应用价值

某仪表制造企业应用案例

某仪表制造企业主要的业务痛点包括：1. 账号权限未遵循按需分配、最小权限的原则，内部特权账号满天飞，容易成为攻击渗透的突破口；2. 未知的风险才是最大的风险，未知的资产暴露面往往成为攻击者的重要入侵通道；3. 缺乏风险感知能力，面对企业整体数据泄露总是后知后觉。

该企业解决思路是：1. 先通过产品试用进行全局扫描，生成报告，直观地了解业务系统的暴露程度与可能的攻击路径，做到心里有数；2.利用产品的数据分析和威胁情报联动能力对企业内外网的风险点进行统一梳理并获取漏洞修复与防护建议，从而知晓该如何正确处置和修复安全漏洞，提升对风险的提前感知与预防能力；3. 应用该产品进行互联网监控，在百度文库、豆丁网等公开渠道发现100+的企业敏感信息，及时联系下线进行止损。

六、用户反馈

 ”这个产品确实帮助我们摸清了家底，给了不少整改建议，厂商服务也不错。“

——福州某单位信息科科长

“在演练之前，我们通过ASM做完了资产盘点，数据分析完，发现了20多个高危漏洞，还发现了十几个早就不用的虚机，赶紧关停了相关服务。这些靠人力梳理都是不可能的。它还帮我们做了整体的风险评估，并提供修复建议。参考它的修复建议，我们打了补丁，优化了ACL策略，为演练打好了基础。”

——某银行攻防演练蓝方队长

“在这个产品试用期间，我们总共发现了数十万条资产数据。通过清洗去重后，最终收敛到只剩1/5,极大地减轻了我们的运维压力。”

——-唐山某软件科技公司运维团队

推荐与建议

云盾智慧慧御ASM是一款功能较为完善的资产安全管理产品，具有全面的资产管理能力、专业的风险检测、管理功能完善、场景覆盖广泛等优势，特别适合大中型企业使用。其优势在于能够自动化发现和管理资产，提供全面的风险评估和处理能力。从用户反馈来看，产品在实际应用中确实能够帮助企业发现和解决安全问题。

安全牛建议用户在选择根据企业规模和需求选择合适的部署方式，考虑产品的技术支持和服务能力，评估总体拥有成本并验证与现有安全体系的兼容性。同时，建议潜在用户可以先进行试用，重点关注产品在实际环境中的表现，特别是资产发现的准确性和漏洞扫描的有效性，以及对业务系统的影响程度。