指南
如何規劃邁向曝險管理成熟度的道路
準備好要將曝險管理視為您的優先要務了嗎？ 這份快速入門指南可協助您精確指出您目前曝險管理成熟度的狀態，並提功能強大的人員、流程與技術變革，協助您達到您期望的狀態。
何謂曝險管理？(英文版)
曝險管理是一種主動安全的策略性方法，旨在持續識別、優先處理並消除企業最急迫的網路曝險。這些曝險是可預防風險 (例如：弱點、錯誤設定和過度寬鬆的權限) 的有害組合，為威脅執行者提供了侵入企業最關鍵資產的途徑。
曝險管理的效益
資安長將曝險管理作為其網路安全策略基石的 6 大理由
- 曝險管理有助於提高網路安全功能的生產力與效率，同時降低整體成本與曝險。
- 曝險管理讓安全與業務主管能夠統一檢視其企業真正的網路曝險。
- 曝險管理透過優先處理曝險並促進單一、統一的修復流程，進而提升主動安全與修復團隊的效率和效能。
- 曝險管理有助於減少企業遭到刺探利用的攻擊破綻，進而減輕被動回應的安全團隊 (例如：資安事端應變人員、SOC 分析師、威脅獵捕團隊) 的負擔。
- 曝險管理為安全主管提供一種機制，用以整合各自為政的主動安全功能及其不同工具產生的資料。
- 曝險管理為提升主動安全團隊的成熟度等級提供一條可延展的永續途徑。
曝險管理證明點
Tenable 的客戶透過曝險管理達成了以下成果：
10 倍
資產能見度提升高達 10 倍75%
彙整與標準化暴露資料所需時間減少高達 75%82%
新產生的修復工單數量減少高達 82%80%
授權成本降低多達 80%$4,500 萬
在一年內將網路曝險成本減少 4,500 萬美元曝險管理成熟度的 5 個階段
第 1 階段： 不定期
如果貴企業符合以下情況，代表您正處於此階段：
- 主要依賴手動稽核來識別其環境中的資產。
- 較主動回應更傾向於被動回應，且僅部署有限工具或甚至沒有工具來偵測各安全領域的風險。
- 尚未採用任何架構或效能評定。
- 缺乏已定義的修復工作流程。
- 依賴零散、不一致且手動追蹤的指標。
第 2 階段： 已定義
如果貴企業符合以下情況，代表您正處於此階段：
- 擁有明確職責分工的人員，負責各個安全網域，即使每個網域的成熟度各不相同 (例如，某些團隊擁有更進階的專業知識和流程)。
- 擁有較佳的資產與攻擊破綻能見度，但由於某些安全領域間歇性地使用自動化探索工具，可能仍存在較大的涵蓋範圍缺口。
- 使用特定工具或業界標準的風險評分機制，並已開始將威脅情報納入該評分中，以協助排定個別研究發現的優先順序。
- 已部署一些修復工具，並已採取初步措施來定義基本修復流程。
- 已採取初步措施為每個領域定義一套基本指標與報告，但各領域之間缺乏業務協調和一致性。
第 3 階段：標準化
如果貴企業符合以下情況，代表您正處於此階段：
- 對其攻擊破綻上各種資產類型已具備自動化能見度，風險偵測主要集中在弱點 (CVE)。
- 在特定工具或產業標準的風險評分基礎上，疊加威脅情報和資產重要性，以瞭解弱點遭刺探利用的可能性以及資產的業務價值。
- 將部分資產和風險資料彙整到單一資料儲存庫中，無論是資料庫、報告工具還是統一的資料湖。
- 在個別安全領域擁有成熟的優先排序流程，以及整合到工具中且詳實記錄的修復流程。
- 已為每個安全領域定義基準指標和報告，且能根據業務單位的需求調整。
第 4 階段：進階
如果貴企業符合以下情況，代表您正處於此階段：
- 對其攻擊破綻上的大多數資產擁有可靠且統一的檢視畫面。然而，由於依賴特定時間點的自動化探索，可能仍存在一些能見度缺口。
- 具備穩健的功能來偵測整個攻擊破綻的弱點和錯誤設定，但通常缺乏對過度寬鬆的人員與機器權限所造成曝險的能見度。
- 在各個領域中標準化風險評分，並考量威脅情報和資產重要性。
- 自動將安全資料彙整、刪除重複資料並互相關聯至統一的資料湖中。
- 擁有一套跨領域的統一優先排序方法，其中包括使用業務背景資訊進行標記，以瞭解潛在的業務影響。
- 指派專職人員擔任跨領域角色，並使用現有成熟流程來動員修復工作。
- 擁有與業務目標一致且跨領域一致的指標和報告。
第 5 階段： 最佳化
如果貴企業符合以下情況，代表您正處於此階段：
- 透過持續的資產探索，對其端對端的攻擊破綻擁有可靠且統一的檢視畫面。
- 主動偵測攻擊者可刺探利用的所有可預防風險形式：弱點、錯誤設定和過度寬鬆的權限。
- 擁有以曝險為中心的進階評分機制，可以確定總體資產曝險以及不同業務單位的曝險分數。
- 根據威脅執行者可能刺探利用來入侵關鍵資產並造成中斷之攻擊途徑與曝險的優先順序檢視，採取相應行動。
- 擁有專職、成熟的跨領域團隊，持續最佳化流程和修復工作流程，以推動最高生產力和降低風險。
- 持續衡量並報告真實曝險，而不僅是個別風險。
