随着云计算、物联网和移动互联网等技术的普及，企业传统的安全边界正不断被打破，攻击面以惊人的速度扩张，导致安全威胁愈加多样化和复杂化。企业不仅面临传统的病毒攻击和网络入侵，还需应对勒索软件、供应链攻击以及APT（高级持续性威胁）等高难度、高隐蔽性的攻击手段。

传统的被动防御模式已难以为继，其依赖固定边界和静态策略的方式，无法满足动态变化的攻击场景需求。因此，一种主动出击、动态感知的安全理念——攻击面管理（Attack Surface Management, ASM）应运而生。

ASM的核心思想在于主动识别和动态管理企业网络中的所有潜在风险点。通过持续监控和自动化扫描，ASM能够在攻击发生之前发现可能的薄弱环节，从而提前采取针对性措施进行防范和应对。

安全牛在2023年发布的《攻击面管理技术应用指南2023版》，凭借其对前沿技术的深度解读和实用性建议，受到了广大读者的欢迎和一致好评。为进一步帮助甲方用户深入理解新一代攻击面管理的核心理念、能力框架和具体应用方法，安全牛在延续去年成果的基础上，于今年再次推出了《攻击面管理技术应用指南2024版》。

新版指南进一步深入剖析了新一代攻击面管理的能力框架与技术现状，提供了针对性强的实施建议。同时，详细剖析了攻击面管理的实际应用案例，并结合市场趋势对优秀厂商进行了推荐，为企业在选择合作伙伴和技术解决方案时提供了权威参考。

关键发现

01攻击面管理需要管理和技术并重

攻击面管理不仅是技术，更需要管理支撑，制定相应的管理标准和规范，推动安全团队与IT运维团队的深度协作，才能实现更高效、更精确的攻击面管控。

02适用于较高成熟度的企业实践

实施攻击面管理需要企业具备一定的基础设施与技术能力，在基础设施深度集成与联动的条件下，攻击面管理才能更有效地为企业的安全运营提供有力支撑。

03国内市场的初级发展与资产数据挑战

当前国内攻击面管理仍处于发展早期阶段。核心难点在于企业普遍面临资产数据质量参差不齐、数据冗余与缺失的问题，亟需加强数据治理与质量管控，数据质量直接影响了攻击风险的发现与分析。

04需求增长与政策驱动

随着数字化转型加速，企业外部暴露面随之增多，对攻击面管理的需求持续上升。同时，国家对网络安全监管与实战化要求不断提高，从政策与合规层面推动了市场对更完备的攻击面管理能力的强烈需求。

05平台化与融合方向

攻击面管理平台正从单点工具转向与其他安全技术有机融合。一方面，CAASM、EASM与BAS正逐步整合为统一平台，实现数据共享与功能互补；另一方面，与其他安全平台的循环交互与数据联动正在形成新的生态，使整体安全防御体系更为完善、敏捷与高效。

06关注重点从外部扩展至内部

国内用户正从关注外部攻击面（EASM）转向内部攻击面（CAASM）。用户意识到内网资产通常比外网资产更加敏感，在此趋势下，将外部与内部攻击面管理有机融合，为企业提供更全面的资产视图与风险画像，成为新的关注焦点。

07资产数据质量的核心地位与治理需求

企业已积累大量资产数据，但数据质量参差不齐是当前痛点。企业期望通过资产数据治理技术与方法，获得高精度、高关联性的资产数据，为后续攻击面分析和防护策略制定奠定坚实基础。

08从资产到风险的价值转移

攻击面管理的价值正从传统的资产管理拓展到风险管理层面。用户不仅期望通过攻击面管理提升资产可见性，更希望实现对整体安全态势的动态、可量化管控，提高攻击风险的检测和响应能力。

09开始关注全链路威胁展示与溯源

用户不再满足于对孤立风险点的识别，而是希望通过跨设备、跨系统的数据关联和分析，实现完整的攻击链路可视化。精准定位真正的攻击路径与风险源，更好地支持事前预防与事中响应。

10AI技术应用初步尝试，成效有限

尽管厂商积极探索利用人工智能（AI）技术实现自动资产发现、漏洞识别与风险评估，然而当前成果仍然有限。技术应用仍处于初级阶段，有待进一步优化算法模型、提升数据训练质量与增强应用场景适配度。

11行业定制与深耕趋势

国内攻击面管理正在走向行业化应用，针对不同行业的需求与业务场景提供差异化方案。通过贴合行业特性与业务流程的深度定制，攻击面管理厂商正逐步构建行业生态，提升客户满意度与实际防护效果。

12安全验证需求崛起

目前大多数用户已经完成基础安全建设阶段，进入攻防演练等验证阶段，需要利用攻击面管理技术从攻击者视角检验现有安全防御能力的有效性，确保安全投入的实战价值。

攻击面管理的发展

安全牛 2023 年的调研显示，当时企业用户对攻击面管理的概念尚显模糊。随着实践的深入，安全牛发现企业用户对攻击面管理的认知发生了显著转变，已能准确理解攻击面主动防御的核心理念，并将其实际应用于多种安全场景。攻击面管理的目标正在经历从传统的互联网资产梳理、合规检查和应对攻防演练等静态需求，向更为动态和全面的资产质量治理、整体攻击面的持续可视化、场景化风险评估以及态势感知能力提升的方向转变。这一变化反映了网络安全从被动防御向主动治理的升级趋势。

攻击面管理能力转变

随着攻击面管理目标的转变，攻击面管理正在扩展资产数据的治理、网络资产的攻击面识别、基于业务的风险分析、攻击面的验证和态势感知等能力。

攻击面管理能力框架

2024年攻击面关键能力特点包括：

1、资产治理优化

• 互联网资产识别更全面。识别企业所有面向互联网的资产，并持续监控这些资产的变化；
• 网络资产数据更完整。攻击面管理应能够识别企业内部网络中的所有资产；
• 资产数据更准确。准确识别资产的属性信息，确保资产信息的准确性和完整性；
• 资产与业务关联更清晰。将资产与业务系统进行关联，为后期风险评估等打下基础。

2、整体攻击面梳理

• 全面覆盖各种攻击向量。攻击面管理应能够识别所有可能的攻击向量；
• 攻击面路径图。攻击面管理应能够绘制攻击面路径图，清晰地展示可能利用的攻击路径。

3、基于业务的风险分析

• 准确评估风险。攻击面管理应能够对攻击面进行风险评估，并进行分析和优先级排序；
• 风险可视化。攻击面管理应能够对风险进行可视化展示。

4、自动验证

• 攻击面验证。自动化地验证安全控制措施的有效性。
• 持续监控暴露面变化。攻击面管理能够持续监控暴露面的变化。

5、态势感知

• 攻击面态势感知。实时感知企业的攻击面态势，例如当前面临的威胁、攻击者的活动轨迹、攻击的影响范围等，并提供态势分析报告和可视化展示。

挑战与建议

1、挑战：企业已经有CMDB、SOC了，是否还需要攻击面管理呢？

安全牛分析，攻击面管理与CMDB、SOC等不同，CMDB侧重于IT资产的管理，SOC侧重于安全事件的监控和响应，而攻击面管理则侧重于从攻击者的视角来识别、评估和管理安全风险，三者共同构成了企业安全防护体系的重要组成部分。

•  CAASM vs CMDB（配置管理数据库）：CMDB侧重于IT资产的管理，记录和跟踪资产的配置信息、生命周期等，主要用于IT运维管理。而CAASM（网络资产攻击面管理）则侧重于IT资产的安全属性，例如漏洞、配置缺陷、风险等级等，主要用于安全风险管理。
•  CAASM vs SOC（安全运营中心）：SOC是通过实时监控和分析来发现正在发生的安全事件和响应安全威胁。而CAASM是通过检查来提前发现潜在的安全隐患，并及时采取措施进行管理。

2、挑战：对接其他安全产品（如WAF、CMDB、EDR等）进行资产数据的收集时，资产数据的多源异构和数据冲突。例如IP地址不一样、MAC地址缺失等。

安全牛建议，造成的原因主要是不同安全产品采集资产信息的维度和方式不同，导致数据存在差异和冲突，企业应：

• 数据标准化：建立统一的资产数据标准，对不同来源的数据进行标准化处理，例如统一IP地址的格式、MAC地址的格式等；
•  数据融合清洗：采用数据融合技术，将不同来源的资产数据进行融合，例如根据资产的唯一标识符进行融合，并解决数据冲突问题；
•  数据质量控制：对资产数据进行质量控制，例如识别和处理重复资产、缺失资产、数据冲突等问题。

3、挑战：攻击面风险评价不准确，例如难以评估风险的严重程度、难以确定风险的优先级等。

安全牛建议，造成的原因主要是风险评估的因素众多、数据来源分散、分析方法复杂等因素，以及用户缺乏风险评估的经验和知识等，导致风险评估的准确性和有效性不足，企业应：

• 建立科学的风险评估模型：根据企业的实际情况和安全需求，建立科学的风险评估模型，并选择合适的风险评估方法，例如定量风险评估、定性风险评估等；
• 采用威胁情报：采用威胁情报平台，例如威胁情报平台、安全运营中心（SOC）等，获取最新的威胁情报，并用于风险评估和分析；
• 利用 AI 技术进行风险评估和攻击路径分析：使用机器学习算法对安全数据进行分析，识别异常行为和安全威胁，并进行风险预测。并使用图算法分析攻击者可能利用的攻击路径，预测攻击行为，并评估攻击成功的可能性；
• 利用安全服务引进安全专家：例如，聘请安全咨询顾问、安全服务提供商等，弥补部分企业安全人员缺乏风险评估的经验和知识。

技术现状

攻击面管理正经历从外向内、从单品向平台、从通用化向行业垂直化的深刻转变。这一趋势不仅反映了网络安全管理需求的升级，也预示着技术和理念的全方位革新。在这一转变过程中，企业更加重视资产数据的治理与准确性，强调对关键资产的精细化管理，以及对外部攻击面的精准探测和高效漏洞挖掘，以全面提升风险识别和防护能力。驱动这一转变的核心动力正在从传统的合规需求向实战验证迈进；与此同时，核心理念也从以资产为中心的静态管理模式，转向以风险闭环为导向的动态防护模式。

1、从外部攻击面到内外部的整体攻击面

攻击面管理从关注互联网资产的暴露面，扩展到关注内网资产的攻击面，包括内网资产的识别、漏洞管理、攻击路径分析等。

2、从单点产品到整体解决方案

攻击面管理产品不再是单个工具，正在朝着平台化解决方案的方向发展，将攻击面管理平台与SOC、SIEM、威胁情报、攻击模拟等其他安全产品进行集成，实现对风险的全面管理，未来还将提供实时监测和预警功能，帮助用户进行持续的安全运营管理。

3、从资产梳理转为资产数据质量治理

网络资产管理CAASM的资产可以通过各种设备获取到较多的数据，但是数据存在数据缺失、资产无主等问题，数据的准确性已经成为用户的痛点，需要资产数据的精准度，而国内厂商也更加重视数据准确的治理工作。

4、外部攻击面EASM资产发现已较成熟

大部分厂商的产品都可以实现企业未知的影子资产、泄露数据等的全面发现。主要差异在于外部资产的准确度和漏洞发现，以及风险处理等服务方面。

5、攻击面风险运营平台初步兴起

攻击面风险运营是指以攻击者视角，持续识别、评估和管理企业网络暴露面的风险，并通过有效手段降低安全风险，提升安全防护水平。攻击面风险运营平台通过融合EASM、CAASM，并集成其他多种安全产品。

6、从合规能力到验证能力

随着国家对网络安全的重视程度提升，攻击演练频繁，攻击手段和攻击目标不断变化，企业的安全需要转变为以实战对抗为目标，更加注重安全体系的有效性验证，以抵御真实攻击威胁。安全厂商也更加关注安全验证能力。

7、供应商安全受到关注

厂商开始重视厂商供应链的安全性和稳定性，有助于确保供应链的透明度和安全性，同时提高供应链的韧性和响应能力，以应对潜在的供应链打击。目前主要应用场景包括供应商准入、安全监控等场景。

预测与趋势

安全牛预测，未来的攻击面管理将更加自动化、智能化、云原生化，并与企业的安全运营和业务风险管理流程更紧密地结合。

攻击面管理未来发展趋势如下：

1、自动化和人工智能 (AI) 的深入应用

自动化和人工智能应用将在自动化发现和映射、AI 驱动的风险优先级排序、自动化修复建议和预测性分析等方面广泛应用。

2、攻击面管理的平台化和整合

攻击面管理平台将与其他安全工具，进行更紧密的集成，实现安全数据的共享和协同。

3、基于风险的攻击面管理

攻击面管理将从单纯的资产发现和枚举，转变为基于风险的管理，更加关注对业务造成实际影响的风险。攻击面管理工具将提供更精细的风险量化功能，帮助企业评估不同攻击路径的风险等级，并制定相应的缓解措施。

4、主动式攻击面管理

 攻击面管理工具将提供攻击全路径模拟功能，帮助安全团队识别潜在的攻击路径，并在攻击者利用之前进行修复。

5、供应商安全受到关注

供应链安全将成为攻击面管理的重要组成部分，攻击面管理产品将更加注重供应链安全风险的评估和管理。

6、云原生攻击面管理兴起

云原生攻击面管理技术将更好地支持云原生环境，例如，提供云原生资产发现、云原生漏洞扫描、云原生安全策略管理等功能。

攻击面代表性厂商分析

安全牛建议用户在选择攻击面管理平台时应考虑多方面因素，针对企业场景明确不同建设阶段的目标和需求，选择适合自身特点的解决方案。

报告认为，企业选购新一代攻击面管理平台时，应从厂商品牌、市场表现、产品技术能力、产品创新能力、管理与服务等维度进行考量评估。本次报告以安全牛年度《中国网络安全企业100强》和《中国网络安全行业全景图》研究成果为基础，对10家代表性厂商进行了收录和推荐（排名不分先后，按公司简称首字母序展现）。

厂家	特点
华顺信安	互联网资产全面性、快速测绘；丰富的报告模板，成熟的资产可信度打分机制；报告模板和专家解读服务；易用性强：操作简便，自动化程度高
华云安	资产数据质量治理和资产关联；攻击路径可视化；安全验证能力；易用灵活的配置和定制化功能；深入了解金融行业需求
绿盟科技	前瞻性的安全理念和风险管理方法论；较高的漏洞知名度和市场占有率；全面的安全能力和丰富的产品线；内外网泛资产和全方位风险治理；攻击路径的可视化；数据挖掘与分析利用
魔方安全	外部攻击面精细化运营服务；攻击路径推演和可视化；基于合规模板和信创场景的检查
奇安信	较高的知名度和市场占有率；聚焦安全实战，识别和评估攻击面；资产多源融合归一，构建时空动态的资产视图；数据驱动和安全运营持续提升；强调安全和信息化的协同管理；事前安全管理 + 技术视角的理念；经验赋能预置规则和知识库
亚信安全	结合 BAS 检测和增强人员安全意识；精细化服务和易用性；攻击路径推演和可视化；AI 降噪技术深度集成；前瞻性的发展方向
知道创宇	基于 ZoomEye 历史数据、攻击、暗网等全面情报数据；攻击者角度的暴露面与脆弱性；AI 数据挖掘和情报评估，多语言情报收集；内外网资产数据利用；供应链安全、外部暴露风险指数和动态情报表等前瞻性的发展方向
中国通服	运营商大网资源优势；资产探测类型覆盖范围广，效率高；可应对大型企业复杂环境；SOC 与攻击面深度融合；贴合产品 + 服务；专业的运营服务团队
知其安科技	资产数据质量治理；BAS 平台联动实现安全验证；灵活和易用性；第三方产品快速集成能力

扫码下载报告全文、扫码进行AI报告问答互动