外部攻击面管理（EASM）：四步降低企业网络风险

黑白记忆网络攻防 2025-04-08 322

互联网暴露资产防护指南

外部攻击面管理（EASM）：四步降低企业网络风险-第1张图片-越百网

IT安全负责人需要持续分析和保护企业攻击面，这就要求他们必须全面掌握所有通过互联网暴露的资产。从物联网设备、云基础设施、Web应用到防火墙和VPN网关，企业联网资产数量正呈指数级增长。这些资产虽然提供了数据访问、传感器监控、服务器管理、电商平台等业务支持，但每新增一个暴露资产就意味着外部攻击面的扩大，网络攻击成功风险也随之攀升。

资产发现远远不够

多数企业的外部攻击面每日都在动态变化，其复杂程度给安全团队带来严峻挑战。安全负责人必须持续监控新增的互联网暴露资产，并及时掌握新发现的安全漏洞。首席信息安全官（CISO）需要具备识别潜在漏洞和错误配置的敏锐度，同时组建能够有效应对威胁的专业团队。但面对众多漏洞，修复优先级如何确定？有效的IT基础设施防护需要建立多层次的外部攻击面管理（EASM）体系，其中包含对漏洞实际风险的评估。这一迭代过程可分为四个关键步骤。

第一步：资产识别与分类

全面掌握资产是实施有效防护的基础，但资产识别工作对中型企业已属不易，对拥有众多子公司的大型集团更是巨大挑战。影子IT现象（员工未经IT部门批准擅自安装软件或使用云服务）进一步加剧了资产管控难度。为此，企业需要通过自动化工具定期扫描外部攻击面，理想情况下不仅能识别所有相关资产，还能将其准确归类到对应业务单元。EASM远超传统资产发现和漏洞扫描的范畴，它能识别包括废弃云资产、错误配置的IT/IoT设备在内的各类"盲点"。

第二步：风险检测

企业需要通过多层次的测试手段来评估潜在威胁：

使用动态应用安全测试（DAST）检测应用漏洞
核查是否有机密数据（如工业控制系统数据）意外暴露在互联网
通过凭证测试发现未授权访问风险
持续监控资产是否受已知漏洞影响

第三步：风险评估

发现漏洞后需从三个维度评估风险等级：

可利用性：漏洞是否存在已知攻击向量，还是仅停留在理论层面？
吸引力：漏洞所在资产是否具有攻击价值（如核心数据库比孤立系统更具吸引力）？
可发现性：资产是否易于被攻击者识别（如官网直接暴露还是隐藏于子公司网络）？

第四步：优先级排序与修复

缩短关键漏洞的响应时间是降低风险的核心要素。当待修复问题超出团队处理能力时，需建立科学的优先级排序机制。例如，无需认证即可访问的客户数据库漏洞，其风险等级远高于仅存在理论攻击可能的IP摄像头漏洞。统计显示，企业当前90%的外部网络风险往往集中于约10个关键漏洞。修复完成后，还应通过外部验证确认措施有效性。

典型案例：变更管理失效事件

某电商企业为应对"被遗忘权"合规要求，聘请外部开发团队协助代码改造。承包商部署了Jenkins服务器以便协作，但后续防火墙变更意外使该服务器暴露于互联网。由于该服务器未纳入企业IT管理体系，存在默认密码未修改等安全隐患。攻击者通过Groovy脚本获取root权限后，窃取了AWS API密钥，最终导致数TB包含客户个人信息（PII）的S3存储桶数据泄露。这个本为加强数据保护的项目，反而酿成重大数据泄露事件。