了解企业资产存在的暴露面，掌握这些暴露面存在的潜在风险是开展有效安全计划的基础。为了更全面地了解企业在攻击面管理上的现状以及所面临的困难与挑战，Randori与ESG日前开展了一项调查，对398位企业安全团队负责人进行了访谈和调研，并发布了《2022年攻击面管理现状报告》，报告数据显示：
研究发现，行业正在努力跟上数字环境的快速扩张和不断变化的步伐，但缺乏有效做到这一点所需的工具和流程。结果导致了真正暴露给攻击者的风险与安全团队已知的风险之间的差距越来越大。研究人员认为，以下三种力量正成为推动攻击面管理（ASM）解决方案需求不断增长的重要因素：
攻击面继续扩大，但可见性仍然很差
报告调研发现，在过去一年中，随着远程办公人员数量、云解决方案和SaaS应用程序使用量的不断增加，企业组织的外部攻击面进一步扩大。
从表面上看，攻击面扩大并不奇怪，因为世界一直朝着更为互联和分散的方向发展，连接到互联网的资产数量自然会增加，攻击面扩大也是理所当然的。但值得警惕的是，导致攻击面扩张的原因，除了云采用率和SaaS应用程序及服务的增长外，企业对第三方供应商的日益依赖也是重要因素，企业组织对第三方供应商处的资产可见性管理能力不足，这引入了新的风险和盲点。
值得庆幸的是，调查显示绝大多数企业都认为应该提升对攻击面的监控能力，但这种意识形态并没有发挥作用。40%的受访企业仍然依赖于传统的IT资产管理系统进行攻击面的检测和发现；41%的企业通过广泛的网络威胁情报系统对新威胁进行监测。
虽然企业目前所采用的方案具有一定的价值，但传统的资产管理系统仅涵盖企业的IT和安全团队已知的资产，而网络威胁情报解决方案也仅能监测已知的威胁。这两种工具都不具备主动发现未知攻击面或对因未被企业重视的攻击面进行管理的能力，而这些恰好是企业进行安全管理的重要驱动力。
相比之下，专用的ASM解决方案具备自动监控和持续发现功能，可提高对攻击面的可见性。但调查显示，目前只有34%的受访企业在其安全堆栈中拥有该专用解决方案。这意味着半数以上的企业在攻击面的可见性方面仍处于劣势，由于未采用专用的ASM工具，这些企业组织面临的攻击威胁风险更大。
现有管理流程效率有待提高
2021年12月，Log4j漏洞被披露后，短短5小时内，Randori公司就开发出了一个有效的漏洞利用；48小时内，GreyNoise Intelligence等公司便观察到了针对该漏洞的广泛利用尝试。
这表明攻击者的速度正变得越来越快，攻击者采取行动时，大多数的企业组织却仍挣扎在了解自身是否暴露的阶段。企业组织平均需要80多小时来编译其攻击面的更新清单，而攻击者仅需48小时就能开发出有效的漏洞利用。
当被问及“将采取什么行动来改善攻击面管理”时，31%的受访企业表示将增加专用于发现和评估外部资产状况的漏洞扫描频率；29%的企业将根据关于资产可利用性的威胁情报，提高分析外部攻击面中资产并为资产分配风险评分的能力；25%的企业表示将为安全和IT人员提供更多的攻击面管理培训。
外部攻击面管理成为重要的投资领域
调查显示，73%的企业仍在使用电子表格管理企业攻击面；34%的企业拥有专用的外部攻击面管理（external attack surface management，EASM）解决方案；31%的企业将EASM作为2022年的重点投资领域，他们将围绕其攻击面管理计划建立正式的KPI和指标，并开始利用EASM解决方案从渗透测试和攻防演练工作中获得更大的价值。
专用的EASM解决方案能够消除传统电子表格在对攻击面管理时导致的编译、管理混乱问题。还可以通过持续监控暴露的资产，在新风险出现时及时向企业发出警报，了解企业对诸如Log4j等漏洞问题的暴露程度就像检查员工的电子邮件或登录控制台一样简单，可大大降低安全团队的工作压力，降低安全人员倦怠的风险。
外部攻击面管理的重要意义体现在多个方面。其中最主要的是，攻击面是抵御攻击的第一道防线。如果企业的攻击面中有大量未知或未受管理的资产，则可能随时遭遇未知攻击。
对外部攻击面进行管理可以实现对企业攻击面的持续可见性监测，能够帮助企业更加准确地评估这些风险。一般来说，企业的攻击面一直处于变化之中，这也是持续性监测的重要意义所在。
此外，企业对外部攻击面管理的了解只是一个开始。随着企业的攻击面不断扩大，不能仅停留在对风险的识别、发现和监控上，企业还必须能够通过持续的测试和验证来改进其安全控制措施，以确保企业资产和基础设施能够得到妥善的防护。
参考链接
私立学校如何建账
1.见<> 2.对!
安全防御未来发展趋势是什么样的？
网络安全市场的发展和ICT市场的发展是紧密相连的，网络安全的成熟度也随着ICT市场发展逐渐成熟。 全球权威咨询机构IDC在2007年提出以云计算、大数据、社交和移动四大支柱技术为依托的“第三平台” 概念，以第三平台为基础，将全球ICT市场发展分为三个阶段：试点创新、倍增创新、智能创新。
今天，第三平台技术已经进入到倍增创新的阶段，成为企业IT系统的基础。 人工智能技术开始被行业所关注，并且越来越广泛的被应用于各行各业。 未来，进入“智能创新”阶段，在超复杂性规模化环境中，人工智能的成熟度将呈现指数级增长，人工智能在网络安全的领域也将会产生更多的创新。
在过去的两年里，伴随着ICT的高速发展，全球的恶意移动软件攻击的数量增加了将近一倍；在我国，漏洞的数量也逐年递增。 究其原因，其主要在于数字化转型带来了IT资产价值的大幅提升，导致黑产为获利而加大各种网络攻击行为。 根据IDC在亚太地区的一项调研，当网络攻击发生时，只有17%企业可以使用自动化工具，实时的进行威胁处理，而其他的绝大多数的企业难以高效处理网络攻击事件。 因此，未来企业需要的是自动化的处理、快速的检测、快速的响应，人工智能技术和机器学习技术将会在此间发挥巨大的作用。
新技术推动数字化转型的同时，也会为黑产所利用。 近些年来，随着云计算、物联网、人工智能的快速发展，使得这些技术和基础设施可以作为企业业务系统的资源，极大的提高企业的生产效率。 但是，它们也为黑产进行网络攻击提供了技术支撑，例如，云计算的大量运算能力可能会被用来发起ddos攻击；会有一定比例的海量物联网终端可能被黑客控制做为“肉鸡”；人工智能技术也可能被用于自动化攻击工具的开发，形成AI黑客机器人。 在这种情况下，依赖人工去处理大量的攻击事件是不现实的。 因此，未来网络安全技术与人工智能技术结合，制造AI防御机器人对抗AI黑客机器人进行防御将是一种必然的趋势。
20年前，由于IT架构极简，企业进行网络安全建设往往是简单选择一些合规产品，如防火墙、入侵检测、日志分析等。 今天，企业的IT系统已经广泛的部署在云计算环境中，基础设施环境越发复杂，仅仅依靠这些产品已经不足以识别、发现、处置复杂的安全风险。 根据IDC研究，未来，企业所选择的网络安全技术将向大数据分析、AI、认知方向发展，具体包括：自动响应、开发安全计划、调查、探索、威胁诱捕等等新的安全技术。
根据IDC的调研，全球网络安全市场需求仍然不断快速增长。 IDC预测，到2022年，60%的安全运营中心的初级分析师，将利用人工智能和机器学习持续提高其工作效率，并提升其运营的安全水平。 未来将会有更多的安全技术与人工智能技术紧密结合，互相处促进，逐渐成熟。 人工智能也将成为网络安全产业未来发展必备的关键技术。
弱电工程资质申请条件有哪些？
《建筑业企业资质管理规定》第十四条首次申请或者增项申请建筑业企业资质，应当提交以下材料：（一）建筑业企业资质申请表及相应的电子文档；（二）企业法人营业执照副本；（三）企业章程；（四）企业负责人和技术、财务负责人的身份证明、职称证书、任职文件及相关资质标准要求提供的材料；（五）建筑业企业资质申请表中所列注册执业人员的身份证明、注册执业证书；（六）建筑业企业资质标准要求的非注册的专业技术人员的职称证书、身份证明及养老保险凭证；（七）部分资质标准要求企业必须具备的特殊专业技术人员的职称证书、身份证明及养老保险凭证；（八）建筑业企业资质标准要求的企业设备、厂房的相应证明；（九）建筑业企业安全生产条件有关材料；（十）资质标准要求的其他有关材料。 《建筑业企业资质等级标准》二级资质标准：1、企业近5年承担过2项以上合同额800万元以上的机场空管工程（包括通信、导航、气象及航管设备安装工程）或航站楼弱电系统工程施工，工程质量合格。 2、企业经理具有3年以上从事工程管理经历或具有中级以上职称；技术负责人具有5年以上从事施工技术管理工作经历并具有相关专业高级职称；财务负责人具有中级以上会计职称。 企业有职称的工程技术和经济管理人员不少于30人，其中工程技术人员不少于20人；工程技术人员中，具有高级职称的人员不少于5人，具有中级职称的人员不少于10人，且通信、导航、气象、电子、计算机等专业人员齐全。 企业具有的二级资质以上项目经理不少于3人。 3、企业注册资本金500万元以上，净资产600万元以上。 4、企业近3年最高年工程结算收入800万元以上。 5、企业具有与承包工程范围相适应的施工机械和质量检测设备。 表格、办理地址等详细信息可到“建设工程标准在线”的资质申请指导栏目去查看。 希望可以帮到你！！
发表评论