数字时代，安全从攻击面管理开始——2022网络安全运营技术峰会丨数说安全

5月6日，主题为“数字时代，安全从攻击面管理开始”的2022网络安全运营技术峰会（简称SecOps 2022）以云峰会形式召开。会上，由来自行业权威专家、资深分析师、企业领袖分享精彩观点和产业洞察，围绕数字时代安全运营技术趋势、攻击面管理研究与实践等热点议题展开交流讨论。本次峰会由中国信息协会信息安全专业委员会副主任赵进延主持。

在2022网络安全运营技术峰会上，中国信息协会信息安全专业委员会主任叶红在致辞时表示，网络安全是护航数字经济发展的安全基石。随着国家数字化转型进程的稳步推进，新兴技术正不断涌现，并且与国民经济、社会发展紧密交织，因此网络安全面临的挑战愈发严峻。

基于当下发展态势，旨在推动行业安全运营有序发展的首届2022网络安全运营技术峰会（SecOps 2022）应运而生。峰会为探讨交流网络安全运营技术发展，为数字时代多维攻击面管理技术发展与实践搭建了一个开放性的平台。同时，叶红主任寄语峰会，希望峰会能够为中国网络安全行业的健康发展带来新的力量！

数字化时代，新理念、新技术、新产品的出现颠覆了原有的网络安全防护方式，基于攻击者视角的主动防御逐渐成为网络安全运营技术发展的重要驱动力。

SecOps 2022峰会上，赛迪顾问发布《中国攻击面管理市场白皮书》，白皮书立足于攻击面管理技术的本土化洞察与实践。白皮书基于应用场景维度，定义了攻击面管理由外部视角的攻击面管理（EASM）和内部视角攻击面管理（CAASM）构成，将数字风险保护依据其外延与内核归属为外部视角的攻击面管理。

白皮书详细剖析了中国攻击面管理技术发展现状，分享了攻击面管理领域的创新技术和典型应用场景，并对攻击面管理未来发展趋势进行预测。白皮书旨在以数字化转型为背景，探讨攻击面管理在新一代网络安全防御体系中的能动作用。

中国信安委攻防与应急工作部秘书长、北京华云安信息技术有限公司创始人兼CEO沈传宝在主旨演讲中指出，新冠疫情加速了我们进入数字化时代，网络安全也随之开启了“加速跑”。数字时代，网络安全面临复杂性、艰巨性、多元化挑战，数字安全的形式发生了巨大的改变，亟需构建新一代数字化安全方案以支撑数实的深度融合与变革。

随着数字技术的发展和数字安全方案的演进，「对抗型防御」一定是下一代安全防御体系的演进方向。而在实网攻防演练活动推动下，安全体系逐步进入到由安全建设阶段到安全运营阶段转变。攻击面管理既是「对抗型防御」理念落地实践，也是网络安全运营技术未来的发展趋势与行业热点。

数字时代需要数字安全，也需要我们用新的方法去应对。因此，华云安提出以攻击者视角构建涵盖数字资产管理、自动化测试、优先级评估、情报预警、快速处置五个步骤的完整攻击者视角的数字安全管理闭环。在此基础上，华云安从攻击者视角出发，重新定义了数字化时代的资产管理、漏洞管理、情报协同和响应处置。

在数字化时代，攻击面管理作为安全运营的创新技术，将成为数字时代安全运营技术的基石。我们认为，在攻击面管理基石之上，通过创新的资产漏洞管理、自动化安全测试、扩展的安全情报技术，共同实现新一代的企业全面风险管理。华云安通过持续的技术创新与实践，成为推动攻击面管理技术发展，推动网络安全运营技术发展的重要力量。

在数字化加速转型背景之下，信息技术由业务支撑工具转变为业务本身，网络空间已经与物理空间打通，业务流程实现计算机化、网络化，并已完全取代手工流程，致使网络安全威胁的破坏性更为突出。实际上，网络安全威胁也正逐步显性化，仅从2019年到2021年，勒索攻击的发生次数大幅增长，近年来的一些全球热点事件也佐证了这一事实。

关于如何应对日益复杂的网络安全挑战，北京赛博英杰科技有限公司创始人兼董事长谭晓生谈到，近十年来网络安全思想、技术、产品、服务形态也处于快速发展中，中国网络安全正在经历从重建设到与建设与运营并重的转变，在《2022年数说安全网络安全全景图新增产品类别》中，偏运营属性的产品占据绝大多数，其中就包括攻击面管理（ASM）、安全运营(MDR/MSS)、安全访问服务边缘（SASE）等。他指出，在数字化加速转型的今天，网络安全运营是提高网络安全防御能力的必然之选。

数字时代，如何做好网络安全运营？PCSA安全能力者联盟首席专家郭峰以关键信息基础设施安全保护的实践出发，分享了实战化智能安全运营中心的思考与建设实践。

他谈到，体系化对抗和系统性风险已经是数字安全时代的新背景，安全从合规走向实战过程中，最重要的一关就是体系合成和运转，不再依靠人工、手工临时应对，需要具备敏捷、迭代、弹性、可扩展、一体化的管理和技术 IT 信息化支撑平台。因此，数字化组织需要构建有效落地的网络安全一体化防御体系，实现数字化组织“看管监控”一体化的安全中枢。

关于安全中枢的持续打造，郭峰强调，需要在实现“资产清晰化、风险动态化、能力生态化”的基础上，满足“监测实时化、防御体系化、威胁预警化、响应迅速化、信息共享化、指挥精确化”的安全监管一体化。

SecOps 2022峰会上，华云安作为国内首家聚焦攻击面管理的网络安全公司，重磅发布“三维一体、内外兼修”的攻击面管理产品解决方案，分别是定位CAASM的灵洞·网络资产攻击面管理系统（Ai·Vul），定位EASM的灵知·互联网情报监测预警中心（Ai·Radar），定位BAS的灵刃·智能渗透与攻击模拟系统（Ai·Bot）。

三款产品都是基于攻击者视角从不同维度共同打造数字化时代数字安全风险管控的完整解决方案。三者基于云原生架构，以微服务的方式提供不断迭代的安全能力。平台化架构让三个产品既可以独立提供各自的安全能力，也可以原子化安全能力编排构成全面且完整的攻击面整体解决方案。

作为本次峰会的最后一位分享嘉宾，北京零零信安科技有限公司创始人兼CEO王宇，将分享着眼外部攻击面管理（EASM）相关的技术发展与实践。他谈到，近年网络攻击呈现组织化、团队化、立体化趋势。网络攻击早已从漏洞、口令等技术手段逐渐演变成基于组织机构数字暴露面的通用漏洞、事件型0day、移动端应用/APK攻击、API攻击、文档和文件泄露、企业敏感信息泄露、勒索软件攻击、电子凭证攻击、供应链攻击、社工库攻击等为一体的综合型攻击工程。

在此背景下，堆叠的刚性防御体系不足以保护企业内部安全，外部攻击面管理（EASM）也因此应运而生。外部攻击面管理（EASM）提倡以攻击者视角，正面对抗实战型立体攻击。他预测，未来EASM会向两个方向演进：渗透测试即服务，以及扩展威胁情报。

在峰会最后的圆桌论坛环节，旨在探讨真知，洞见未来。主持人数世咨询创始人兼总经理李少鹏，与PCSA联盟首席专家郭峰、华云安创始人兼CEO沈传宝、赛迪顾问刘娟老师、零零信安创始人兼CEO王宇，围绕“数字时代，网络安全运营技术发展与最佳实践”主题，就数字化时代、安全运营、攻击面管理和安全运营的未来等四个议题进行了探讨。

他们认为，数字时代，网络安全运营将成为行业未来发展趋势与行业关注热点，精细化、场景化、持续化将是网络安全运营未来的发展趋势。在安全体系由安全建设阶段逐步进入安全运营阶段的进程中，在构建面向数字时代的数字化安全方案中，攻击面管理技术将发挥极为重要的作用。