Tenable 淺談持續暴露風險管理.pdf

《Tenable 淺談持續暴露風險管理.pdf》由會員分享，可在線閱讀，更多相關《Tenable 淺談持續暴露風險管理.pdf（22頁珍藏版）》請在三個皮匠報告上搜索。

1、淺淺談談持持續續暴暴露露風風險險管管理理T Te en na ab bl le e 中中國國區區總總經經理理趙趙陽陽安世加安世加安世加安世加安世加安世加組組織織正正在在被被”暴暴露露風風險險”所所包包圍圍2 26 60 00 0N Ne eww d do omma ai in ns s created e ev ve er ry y mmi in nu ut te e4 48 80 0N Ne eww C CV VE E s s published e ev ve er ry y wwe ee ek k2 25 50 0M MC Cl lo ou ud d mmi is sc co on nf

2、 fi ig gs s e ea ac ch h d da ay y 你你有有足足夠夠的的資資源源嗎嗎?你你是是如如何何分分清清輕輕重重緩緩急急并并處處理理?你你是是否否不不斷斷地地做做出出反反應應?1 11 17 7K KN Ne eww h ho os st ts s created e ev ve er ry y mmi in nu ut te e9 95 5M MA AD D a ac cc co ou un nt ts s attacked e ea ac ch h d da ay y 安世加安世加安世加安世加安世加安世加數字化轉型導致企業攻擊面不斷擴大快快速速增增長長高高度度變變化

3、化日日益益互互聯聯1 12 23 33 個屬性導致現代攻擊面比以往更難防御：OT基礎設施Web 應用程序/API身份本地和遠程 IT面向互聯網的資產公有云安世加安世加安世加安世加安世加安世加C CL LO OU UD DI IT TC CO ON NT TA AI IN NE ER RN NE ET TWWO OR RK KA AP PP PS SO OT T良好的安全性始于完整和持續的對于暴暴露露面面的風險可見性A AD DI IN NF FR RA AS ST TR RU UC CT TU UR RE E A AS S C CO OD DE E安世加安世加安世加安世加安世加安世加G Ga

4、ar rt tn ne er r 對對”持持續續暴暴露露風風險險管管理理“的的定定義義C CT TE EM M五五個個步步驟驟:范圍 發現 優先級 驗證 動員安世加安世加安世加安世加安世加安世加“到到2 20 02 26 6年年，優優先先基基于于持持續續暴暴露露管管理理計計劃劃進進行行安安全全投投資資的的組組織織遭遭受受入入侵侵的的可可能能性性將將降降低低三三倍倍”G Ga ar rt tn ne er r:I Immp pl le emme en nt t a a C Co on nt ti in nu uo ou us s T Th hr re ea at t E Ex xp po os

5、su ur re e M Ma an na ag ge emme en nt t (C CT TE EM M)P Pr ro og gr ra amm J Ju ul ly y,2 20 02 22 2“到到2 20 02 26 6年年，優優先先基基于于持持續續暴暴露露管管理理計計劃劃進進行行安安全全投投資資的的組組織織將將實實現現漏漏洞洞數數量量減減少少三三分分之之二二”G Ga ar rt tn ne er r:T To op p S St tr ra at te eg gi ic c T Te ec ch hn no ol lo og gy y T Tr re en nd ds s f

6、fo or r 2 20 02 24 4:C Co on nt ti in nu uo ou us s T Th hr re ea at t E Ex xp po os su ur re e M Ma an na ag ge emme en nt tO Oc ct t,2 20 02 23 3安世加安世加安世加安世加安世加安世加重重要要發發現現：很少有客戶被入侵是因為零日漏洞組織通常無法發現及修復所有暴露的問題傳統的“降低風險”方法側重于基礎設施和軟件漏洞修復的責任超出了安全團隊的范圍，有時甚至超出了組織的控制范圍企業威脅暴露超出了通?？梢?實際上)自動修補的軟件漏洞云服務的日益普及和工作習慣

7、的不斷演變，使攻擊面擴大的速度超過了威脅檢測和響應控制的成熟。主主要要建建議議：通過用于管理更廣泛的暴露面的方案，而不是簡單地從多個不同的漏洞評估工具中處理遙測數據通過從以軟件為中心的評估工具擴展到攻擊面和攻擊成功可能性場景，識別并解決多種類型的威脅暴露嘗試暴露管理周期，遵循五個流程確定范圍、發現、確定優先級、驗證和動員逐步整合持續威脅暴露管理原則，特別是將不可修補暴露納入范圍。從完全自動化的技術修復擴展到更全面的安全優化舉措，以啟動改進的跨團隊動員安世加安世加安世加安世加安世加安世加技技術術 被被動動而而非非預預防防 最最常常用用的的網網絡絡安安全全工工具具中中有有四四分分之之三三是是被被動

8、動的的，而而不不是是預預防防性性的的，這這使使得得主主動動的的網網絡絡安安全全實實踐踐難難以以執執行行。安世加安世加安世加安世加安世加安世加安世加安世加安世加安世加安世加安世加安安全全行行業業需需要要效效率率和和生生產產力力5 58 8%受訪者表示安全團隊忙于應對關鍵事件，而沒有采取預防性措施來減少組織的風險敞口7 73 3%受訪者認為如果他們能夠投入更多的資源用于預防性安全，他們的組織就能更成功地抵御威脅P Pr re ev ve en nt ti io on n(預預防防)預測和控制 資源定位 步驟之前 阻止成功的攻擊R Re ea ac ct ti io on n(被被動動)回應和爭奪

9、資源隔離 襲擊后的補救 經歷一次襲擊V Vs s1Source:A commissioned study of 825 IT and cybersecurity professionals conducted by Forrester Consulting on behalf of Tenable,May 2023 安世加安世加安世加安世加安世加安世加企企業業評評估估暴暴露露風風險險常常見見問問題題11多多種種離離散散安安全全工工具具多廠家品牌的安全檢測工具結果重復運營效率低下缺缺乏乏統統一一評評估估分分析析平平臺臺多種結果無法統一分析多種結果不能形成合力無法帶動基于上下文的關聯分析.缺缺乏乏

10、持持續續實實時時追追蹤蹤發發現現能能力力缺乏以黑客視角的發現能力定期暴露面評估或滲透無法及時有效發現問題無法及時有效驗證問題缺缺乏乏準準確確全全面面可可視視能能力力暴露面資產(應用/域名/云)傳統主機/web/容器漏洞Web API風險AD錯誤配置安世加安世加安世加安世加安世加安世加提升全面的可見性已已知知資資產產未未知知外外部部資資產產全全面面的的可可見見性性使使用用統統一一視視圖圖查查看看整整個個攻攻擊擊面面安世加安世加安世加安世加安世加安世加提升上下文下的優先級分析風風險險暴暴露露端端點點特特權權包包含含客客戶戶數數據據：-PII-付款信息-未加密的帳戶信息數數據據資資產產上上下下文文下

11、下的的優優先先級級分分析析基于攻擊者的視角對風險暴露進行優先級分析安世加安世加安世加安世加安世加安世加提升基于風險的決策能力修修復復哪些修復能將網絡安全風險降至最低？流流程程改改進進如何改進我的整體計劃的有效性？達達到到 S SL LA A 的的效效果果如何達到我規定的 SLA？投投資資重重心心企業的哪些部分需要投入最大的關注度？基基于于風風險險的的決決策策安世加安世加安世加安世加安世加安世加有效傳達網絡安全風險技技術術風風險險暴暴露露數數據據安安全全團團隊隊風險暴露狀態SLA 履行情況安安全全主主管管CES 趨勢CES 細分威脅風險暴露基準業業務務單單位位按業務單位區分的 CES董董事事會會

12、 CES 威脅威脅風險暴露基準傳傳達達網網絡絡安安全全風風險險實實施施與與業業務務保保持持一一致致的的網網絡絡安安全全風風險險視視圖圖安世加安世加安世加安世加安世加安世加持持續續風風險險暴暴露露管管理理利用情報在現代攻擊面上的可見性，對預防措施進行優先級分析，并將風險通報給企業的各級部門。管管理理現現代代攻攻擊擊面面上上的的風風險險暴暴露露OT 漏洞應用程序漏洞訪問權限軟件漏洞外部攻擊面公有云配置工業(OT)基礎設施Web 應用程序/API身份本地和遠程 IT面向互聯網的資產公有云安世加安世加安世加安世加安世加安世加保保護護現現代代攻攻擊擊面面預測威脅并對攻擊預防工作進行優先級分析通報暴露風險

13、以做出更好的決策獲得整個現代攻擊面的可見性安世加安世加安世加安世加安世加安世加4 46 6,0 00 00 0CUSTOMERS WORLDWIDEPUBLICLY TRADEDN NA AS SD DA AQ Q:T TE EN NB B+6 60 0%OF FORTUNE 500COMPANIES4 40 0%OF GLOBAL 2000COMPANIES6 6ACQUISITIONS SINCE 2019一一個個值值得得信信賴賴的的品品牌牌安世加安世加安世加安世加安世加安世加T TE EN NA AB BL LE E:從從漏漏洞洞到到暴暴露露管管理理領領導導者者 漏漏洞洞風風險險管管理理攻攻擊擊面面管管理理A AD D域域控控安安全全工工業業產產線線安安全全云云原原生生安安全全安世加安世加安世加安世加安世加安世加主主流流市市場場分分析析公公司司對對T Te en na ab bl le e技技術術的的認認可可Identity&Access Management Vender Landscape安世加安世加安世加安世加安世加安世加22收收入入保保持持高高速速增增長長安世加安世加安世加安世加安世加安世加S SE EA AR RC CH HE EX XP PL LA AI IN NA AC CT TI IO ON N關注Tenable安世加安世加安世加安世加安世加安世加