实战要求下，如何做好资产安全信息管理

“摸清家底，认清风险”做好资产管理是安全运营的第一步。本文一起来看一下资产管理的重要性、难点痛点是什么，如何做好资产管理，认清风险。

一、资产安全信息管理的重要性

安全风险管理的三要素分别是资产、威胁和脆弱性，脆弱性的存在将会导致风险，而威胁主体利用脆弱性产生风险。网络攻击主要利用了系统的脆弱性。由于网络管理对象（资产）自身的脆弱性，使得威胁的发生成为可能，从而造成了不同的影响，形成了风险。什么是网络安全资产参见《网络安全之资产及攻击面管理》

首先，网络安全资产管理有助于降低网络风险。通过对公司网络资产进行识别和分类，包括硬件设备、软件系统、数据等，可以更好地进行后续的安全措施和决策，从而最大程度地减少网络风险和避免潜在的安全漏洞。这对于保护企业的核心业务和数据安全至关重要，有助于防止数据泄露、非法访问和业务中断等风险事件的发生。

其次，网络安全资产管理是高质量安全管理与运营的基础。良好的资产管理能够有效支撑互联网暴露面收敛、安全漏洞修复与验证、威胁检测与分析、安全事件响应与处置等日常安全运营与攻防对抗中的关键活动。这不仅可以提高网络安全的防御能力，还可以为企业的日常安全管理和运营工作带来极大的便利。

此外，网络安全资产管理也有助于满足法规和合规要求。随着网络安全法规的不断完善和监管力度的加强，企业需要确保其网络资产符合相关法规和政策要求，避免违法违规行为的发生。通过网络安全资产管理，企业可以系统地管理网络资产，确保合规性，降低因违反法规而带来的潜在风险。

二、资产安全信息管理的痛点

随着企业数字化转型进程的不断加速，IT系统安全资产数量增长迅猛。与此同时，云计算、大数据等各种新技术应用也使得安全资产类型日益复杂多样。传统的安全资产管理方式难以适应新环境要求，主要面临如下问题：

1. 安全资产覆盖面广，梳理工作量巨大
   安全资产管理的对象包括与IT系统运行相关的主机/虚机、容器、中间件、数据库、大数据组件、WEB应用、WEB框架、网络设备、安全设备等其它应用软件。安全资产分布范围广、种类繁多、属性各异、关系复杂，面对这么多的安全资产对象，传统的填表梳理方式需要投入大量的人力，而且效果极差。
2. 台账不清晰，无法为安全资产风险治理提供有效输入
   人工的梳理方式同时也带来大量的安全资产遗漏、属性缺失、资产归属关系不清、安全资产数据碎片化严重等问题，很难形成完整的安全资产台账与暴露面台账，无法为安全资产风险治理与防护提供支撑。
3. 安全资产更新不及时，无法对变更进行及时监控与预警
   缺乏动态的资产更新机制，不能及时发现安全资产的变更情况，例如互联网暴露面端口的开通、恶意应用软件的安装、高危WEB插件的应用等，无法及时对安全资产进行风险预警与防范。
4. 缺乏安全资产运营的机制和流程保障，安全资产管理成效差
   没有建立规范的安全资产运营机制与流程，安全资产管理工作存在着职责不清、管理制度缺乏、安全资产管理工作无法有条不紊地进行等问题，最终导致安全资产纳管随意、安全资产管理成效差，安全资产风险处置无法有的放矢。

三、如何做好资产安全信息管理

1、提升资产安全信息自动化、集约化管理能力，做到资产全过程管理

管理措施：
1)集约化统一纳管
随着数字化应用的深入，资产分布在多个数据中心、私有云、公有云、混合云、边缘计算和物联网等各种基础设施环境中，照成了资产信息割裂碎片化，给资产的统一管理带来了困难。为了看到全局的资产信息，有必要实现资产安全信息的自动化、集约化管理，将资产安全管理纳入云主虚机分配、IP 地址申请等流程，打通资产安全管理平台与云管平台、各专业网管系统等 平台接口，将资产安全信息通过接口采集至资产安全管理平台， 确保云网资产安全信息自动化、集约化的统一纳管。
2)资产信息全过程管理
资产的全生命周期覆盖资产上线、资产运行、资产下线，在这过程中要对资产进行定级备案、对资产的台账进行维护、对资产进行风险评估、对资产进行定期的清查。参考《安全运营之资产安全信息管理》。
在资产上线阶段，组织开展Agent安装、资产信息同步、资产安全管理平台信息确认，提升新增资产入网的规范性；在资产入网运营阶段，结合网络部门IP地址分配清单，通过网络空间测绘、IP扫描、流量监测等技术定期开展资产清查，对发现的未知IP地址开展溯源、认领等资产核查工作；在资产下线退网阶段，及时清理资产安全管理平台基本信息、IP地址备案、云管平台等资产分配管理系统数据。
运营指标：
关键的运营指标包括：纳管的资产类型、各类型资产数、Agent的安装率、资产信息准确率、安全资产脱管率（Agent被卸载或失效）、“三无”资产数等。

2、做好资产的安全风险识别

管理措施：
对本单位管理的资产和安全事件进行关联、分析、展示和管理；
对本单位管理的资产和脆弱性进行关联、分析、展示和管理；
按期开展风险评估和符合性评测，使用定量或定性的风险评估模型，结合资产价值、威胁可能性和脆弱性暴露程度进行计算风险等级，对本单位资产风险情况进行动态管理。
运营指标：
关键的运营指标包括：资产漏洞数、漏洞影响资产数、资产被攻击数、资产被攻击趋势、资产风险值等。

3、做好互联网暴露面的测绘与管空

管理措施：
1）开通审批，应按“非必须不开通”、“先审批后开通”原则管控互联网暴露资产。开通前应由需求单位开展必要性评估，安全运营维护单位完成系统安全加固和问题整改，安全运营支撑单位开展风险评估，安全运营归口管理单位审核。
2）统一管理，对互联网暴露面资产数据进行统一管理，应对互联网暴露资产进行清单制管理，安全运营支撑单位应至少每月开展一次暴露资产探测和自有网站备案情况自查，安全运营维护单位及时整改相关问题。对未经审批上线的互联网暴露资产责任到人。
3）定期测绘，基于本单位企业指纹和暴露面地址段定期进行互联网暴露面测绘。安全运营支撑单位至少每月开展一次互联网暴露资产安全风险评估，包含安全防护策略有效性核实、全 IP 和端口漏洞扫描、渗透测试和基线配置合规率核查等。系统发生代码更新或版本升级时，安全运营维护单位应重新开展安全风险评估。
4）下线更新，互联网暴露资产下线阶段，系统维护单位应及时发起相关资源的下线申请，在互联网暴露资产关停后 15 日内完成资产安全管理平台的信息更新。
运营指标：
关键的运营指标包括：互联网暴露的系统数、互联网暴露面审批数、互联网暴露的URL数、互联网暴露的端口数、互联网暴露的APP、互联网暴露面趋势等。

4、做好资产安全信息的动态稽核管理

管理措施：
1）对内网资产资源自动化测绘，对未纳管资产的扫描和识别，应至少每季度开展一次资产探测，识别并推进“三无”资产下线。
2）定期对资产数据进行稽核，确保定级备案资产信息和资产安全管理平台、4A 系
统资产信息一致。
运营指标：
关键的运营指标包括：“三无”资产数、未纳管资产数、资产信息准确率等。

---

博客地址：http://xiejava.ishareread.com/