不当“咸”鱼，让“家底”活起来 – 作者:华云安huaun

资产犹如企业的“家底”，资产管理是IT治理永恒的话题。精准的资产管理是网络安全精细化管理的基础，更是漏洞智能化管理的基础。相安无事时，资产管理为企业高效运营提供助力；遭遇网络攻击时，有效的资产管理为企业迅速阻断网络攻击提供支撑。正所谓知己知彼，百战不殆，摸清家底才是安全建设的基石。资产没有管理，那和“咸鱼”有什么区别。

资 产

在《信息安全技术 信息安全风险评估规范 GB/T 20984-2018》、《ISO 27001:2013》相关规范中均对资产进行了明确定义，资产是指“对组织具有价值的任何东西”。具体一点可以分为：有形资产和无形资产，有形资产包括“数据、信息系统、平台或支撑系统、基础设施”，无形资产包括“服务、人员管理、其它（声誉、知识产权等）”。小编本次说的资产更多是有形资产中的信息系统、平台或支撑系统以及基础设施。

在安全运营工作中，安全资产管理起着关键的作用。在漏洞处置过程中，当出现1day漏洞后，漏洞的利用方式和影响范围已经被曝光，此时业务系统处于最为脆弱的阶段，如何抢在黑客之前将漏洞修复是最为紧迫的问题，倘若缺乏健全有效的资产管理方法和手段，将给企业的关键业务系统带来巨大风险。

图1 安全资产管理工作面临的问题

安全资产管理的关键点

当下，资产安全管理主要面临四大问题，即资产查不清看不全，资产属性摸不准，资产的定位和归属找不到、缺乏完整管理流程导致资产问题管不了。

安全资产管理需要抓准以下关键点：

明确管理范围

安全资产管理不是IT资产管理，虽然他们之间存在着交集，但其管理的信息和内容还是有所区分的，安全资产管理不必关心服务器的序列号、维保等信息，但需要关注运行的组件、版本，各节点之间的依赖关系和关联关系。

确定资产位置及价值

识别组织的核心业务是安全资产管理的重点，并且需要根据业务的部署位置进行标识，如：互联网、DMZ、内网等。不同的业务也具有不同的资产价值，组织需要根据自身实际情况定义资产价值。

建立自动化的识别手段

随着云大物移的蓬勃发展，传统的通过人工识别和维护的资产台账已经无法满足当下的管理要求，我们需要构建更加高效、智能的自动化资产发现和识别手段来降低资产管理的难度。

制定规章制度

资产是动态变化的，IT资产更是如此，因此安全资产管理需要持续不断的进行维护，为保障安全资产管理的持续有效，应建立适当的管理规范，但组织需要考虑规范的可操作性和可落地性。

一个合格的安全资产管理系统的标配

资产发现识别能力

传统方式为人工发现，但已经无法满足当下的实际需求，因此需要通过技术手段进行资产发现，资产发现主要包含“主动探测、流量发现、Agent获取和第三方同步等方式”，资产发现能力应该是全面和精确的，需要避免“千里之堤，毁于蚁穴”类似情况发生，彻底消除隐匿资产的存在。

资产持续监测能力

资产的配置会随着业务的需求不断变化，为保证安全资产信息的持续有效，必须具备对资产配置变更的监测能力。

高危端口监控能力

对于开放了3389（远程桌面服务）、22（SSH服务）、21（FTP服务）、23（Telnet服务）等相关端口和服务，组织应重点关注，如非必须管理者应及时关闭，以减少资产的脆弱性降低风险事件的发生。

业务视角管理能力

安全资产管理，应基于组织业务架构进行全局视角的管理，站在业务视角将各类资产进行关联，以业务的视角看到资产的安全问题。

灵洞让“家底”活起来

灵洞威胁与漏洞管理平台Ai.Vul，具有完整的安全资产管理功能，具有资产识别、持续监测、变更记录等相关功能，能够站在业务视角将资产进行关联和监管，通过漏洞与资产的结合完整的呈现出资产的安全问题。

图 2 灵洞资产管理功能

资产识别

系统通过主动探测方式进行资产发现，并结合CPE指纹识别技术能够精准识别厂商、产品及设备类型，能够主动同步Agent和CMDB中的资产信息，做到对安全资产的全面管理。

持续监测

系统会根据第一次的入库信息建立资产基线，当资产信息发生变化时会通过消息机制传递至管理者，系统会记录所有的资产变更信息并形成对比记录供管理者审核。

高危监控

系统会对高危端口/服务信息进行监控，并对高危端口信息进行统计分析，管理者可根据统计结果进行处置。

业务关联

系统能够以业务视角管理安全资产，能够建立资产和业务的关联关系，并以可视化方式展现业务资产视图。

漏洞关联

安全资产管理最主要的目的就是关联漏洞，当然还有威胁的处置，灵洞Ai.vul提供了漏洞的全生命周期管理能够将漏洞信息和资产及业务系统进行无缝关联，真正做到了以业务视角监管漏洞，从更高的维度看待安全问题。

图 3 业务视角的资产漏洞管理——灵洞全知图谱

结语

资产管理是安全的基础，整个安全行业对资产管理的重视程度正在提高，只有做好资产“看清、看懂、看全”的能力，才能更好地保障业务安全，才能在遇到应急响应事件时做到“心里有底，遇事不慌”。

来源：freebuf.com 2020-10-19 10:19:52 by: 华云安huaun