网络攻击层面已经成为现代企业的安全领导者重点关注的防护领域，根据Censys公司最新发布的《2023年企业安全领导力状况调查报告》数据显示，几乎所有（93%）的受访CISO都表示遭受过一次以上的网络攻击，而了解和管理组织的攻击层面将是他们未来12个月中的首要任务，因为随着网络威胁态势的不断加剧，如果不能准确掌握组织内外部的所有资产及其中的脆弱性，就无法进行更有效地威胁防御工作。

研究人员同时发现，尽管很多企业已经开始高度关注网络攻击层面的监测与管理，但是对自身网络攻击层面的了解程度却远远不够。持续而准确地理解攻击层面绝非易事，企业在正式开展攻击层面管理工作之前，企业应该提前关注和了解几个问题：

1. 连接到组织的面向外部的资产位于何处？

知道所有资产的位置，企业就能够更好地确定安全团队的注意力和资源应该分配到哪里。对于没有风险管理解决方案的团队来说，这说起来容易做起来难。这是因为今天比以往任何时候都有更多关于“在哪里”的答案:固定IP地址正在移动短暂的云，越来越多的工作人员正在使用远程设备……这样的例子不胜枚举。

2. 组织的攻击面上是否不知道的资产？

未知或未被管理的资产是攻击者的主要目标。企业战略集团(Enterprise Strategy Group)的研究发现，“69%的组织承认他们至少经历过一次网络攻击，这种攻击始于利用未知或不受管理的面向互联网的资产”。

3. 组织攻击面视图的刷新频率如何？

研究发现平均来说，未知的和潜在恶意的扫描器扫描互联网每三分钟。相比之下，2023年的安全态势和卫生调查发现，只有14%的组织的攻击面被持续扫描。

4. 团队应该优先考虑我的攻击面上的哪些风险？

超过60%的安全专业人员估计他们的安全职能部门每天花3个多小时来验证误报。”要在威胁参与者采取行动之前对高严重性风险采取行动，您需要能够以足够的洞察力识别关键暴露，以确定优先级并进行适当的补救。

5. 对云中的所有资产是否有完整的了解？

不受管理的云可能会导致IT影子化，进而为威胁者打开大门。一个Censys风险管理客户发现了600多项受监控帐户之外的云资产，比该公司认为他们在线拥有的资产多80%。

6.攻击面上是否有暴露，使公司的法规遵从性面临风险？

保持合规性是非常重要的。不合规会使您面临漏洞、网络攻击、安全违规和监管罚款的风险。保持法规遵从性在很大程度上取决于您有效跟踪和监控所有可能遭受违规的面向外部的资产的能力。

7.我的攻击面上的资产是如何相互连接的？

了解资产连接有助于您的团队更好地识别您的安全边界最容易受到攻击者攻击的地方。

8. 随着时间的推移，攻击面会发生怎样的变化？

观察攻击面的变化有几个有用的目的。它让你能够衡量你的攻击面可能扩大或缩小的程度。

9. 攻击面配置上有什么错误吗？

错误配置是互联网上最常见的漏洞类型。事实上，互联网上60%的漏洞都是配置错误。如果不全面了解您的攻击面，错误配置可能会持续存在，从而给攻击者提供攻击机会。

10. 子公司的资产对我的组织构成风险吗？

福布斯（美国出版及媒体集团）发现“超过三分之一(40%)从事并购交易的公司表示，他们在被收购公司的收购后整合过程中发现了网络安全问题。”

对自身网络攻击层面进行足够的了解，持续而准确地理解攻击层面任重而道远，企业准确掌握组织内外部的所有资产及其中的脆弱性，才能进行更有效的威胁防御工作，保护组织的资产安全。

来源：https://censys.com/