近年来，互联网发展突飞猛进、社会数字化转型持续进行中，关键信息基础设施遭受网络攻击的安全事件也越发频繁。随着IoT、5G、云原生等技术发展，未来将会有更多的新兴资产和服务出现，以安全风险管控为导向的安全运营技术势必成为企业关注的重点方向。

2021年7月，Gartner发布的《2021安全运营技术成熟度曲线》对主流的安全运营技术进行解读，预测创新技术的发展阶段，为组织的安全和风险管理负责人提供参考，并帮助其更有效的制定组织的网络安全发展策略。

2021安全运营技术成熟度曲线

Gartner依据专业分析预测与推论各种新科技的成熟演变速度，及要达到成熟所需的时间。具体可分为：技术创新期、期望膨胀期、泡沫破裂谷底期、稳步爬升复苏期、生产成熟期5个阶段。最值得关注的就是Gartner首次提出了新的技术理念CAASM网络资产攻击面管理（Cyber asset attack surface management）和EASM外部攻击面管理（External attack surface management），只有少数企业开展了相关技术研究和产品研发，因此具备较大的市场前景。

Ø  网络资产攻击面管理（CAASM）

网络资产攻击面管理专注于帮助安全团队解决持续出现的资产和漏洞的挑战。之前产品关注点在于终端、服务器、设备或应用程序等资产，CAASM 扩展了资产列表的范围，在整合的资产库中，用户可以通过查询找到外部攻击面管理(EASM)和端点检测与响应(EDR)等资产管理工具覆盖面。并且，CAASM使组织能够通过 API与现有工具的集成，具有查看所有资产(包括内网和外网)的功能，确定安全控制范围内的漏洞和差距，并纠正问题。

 CAASM功能

CAASM通过确保安全控制、安全态势，充分全面了解组织控制下的所有资产，以确认攻击面和现有安全控制的差距，并修复原系统中可能存在的老旧的或遗漏数据的记录，使安全团队能够改善基本的安全状况。

• 通过更准确、创新、全面的资产和安全控制报告，快速生成合规性报告
• 将已经收集到资产信息的各种现有产品合并到统一的标准化视图中，减少手动流程或对自制应用程序的依赖
• 访问整个组织内多个团队的合并资产视图，如企业技术部门、漏洞管理团队和 IT 管理员，他们可以从合并资产清单中查询需要的信息
• 从缺乏治理和控制的资产、安装的第三方系统和业务线应用程序收集数据和获得安全可见性的阻力降低。安全团队需要这些地方的可见性，而IT管理人员可能不需要

Ø  外部攻击面管理（EASM）

外部攻击面管理是指为发现面向互联网的企业资产和系统以及相关漏洞而部署的流程、技术和托管服务。比如服务器、认证、公有云服务、物联网设备的错误配置以及可能被对手利用的第三方合作伙伴软件代码漏洞。

 EASM功能

• 监测-持续扫描互联网，查找与领域相关的环境(如云服务和面向外部的本地基础设施)和分布式生态系统(如物联网基础设施)
• 资产发现-发现并映射组织面向外部的资产和系统
• 分析-评估和分析资产属性，以确定资产是否存在风险或脆弱性
• 优先级-根据优先级分析对风险和漏洞进行优先级排序，并提供警报
• 修复-提供优先缓解威胁行动计划和补救工作流程与解决方案的集成

EASM有助于识别未知资产，提供有关系统、云服务和应用程序的信息，这些信息在公共域中可用且可见，这些信息也都可能被提供给攻击者。

EASM应用场景

• IT、OT、IoT等数字资产发现
• 资产脆弱性与修复管理
• 云上资产发现和风险管理
• 企业远程办公服务管理
• 企业敏感数据泄露监测
• 第三方供应链资产管理
• 子公司与并购公司的资产管理

云基础设施和平台服务以及SaaS的转移、远程工作、物联网（IoT）技术的采用以及IT和OT的融合，是一些新的安全需求正在出现的关键领域。在这些场景中，正在使用EASM工具，这些工具有助于安全专业人员了解并减少对互联网和公共领域的不必要暴露，这些暴露可被利用来优先处理最关键的问题。

• “资弱漏补”闭环安全解决方案与CAASM理念不谋而合

Gartner定义CAASM技术就是为了帮助在资产发现及资产可见性的基础上，去修复安全漏洞、减轻合规报告负担，让资产安全风险的管理更简单，从而减小攻击面或缩小被攻击的范围。这与天防安全倡导的“资弱漏补”闭环安全解决方案完美契合，天防安全作为物联网安全创新者，一直致力于对物联网安全的研究，通过对物联网资产指纹的积累和物联网资产漏洞的收集，拥有视频监控领域国内最全的IoT设备指纹库和最全的IoT设备漏洞库，早在创立之初，即提出“资弱漏补”闭环安全方案的概念，最大化获取经过融合的资产指纹信息、资产弱口令信息、多维度获取漏洞信息、补丁状态，实行“资产+弱口令+IOT漏洞+补丁”的闭环安全风险管理。这种对抗防御和主动防御的重要表现及落地形式，切实符合CAASM资产攻击面管理理念，环环相扣融入整个大运维环境，从而收缩攻击面、保障安全态势。

天防便携式视频监控网络安全检查工具

提供便携式、按需使用的视频监控网络安全检查工具，通过对视频监控网络空间的快速扫描测绘，及时发现存在的各类安全隐患，以便排查和整改重要网络安全隐患、风险和突出问题，缩小攻击面，全面提升视频监控网络的整体安全性。体现CAASM技术主要功能：多维度设备资产智能识别能力，全面的资产和安全检测控制报告，快速生成合规性报告。

天慧视频监控网络空间安全监测服务平台

提供常态化视频监控网络的安全监测与管理，通过高效率、高精准的资产发现与识别、高效率弱口令检测、设备与应用脆弱性检测、网络边界完整性检测等技术，更全面掌握所有设备资产信息与安全状态，及时发现网络中存在的各类安全隐患，从而帮助用户实时掌握视频监控网络整体网络安全态势，辅助进行及时整改，切实提升网络安全管理和防护能力。

天慧还通过CAASM技术确保安全控制、安全态势和资产暴露在整个环境中得到了解和修复，使安全团队能够改善基本的安全状况。部署CAASM的组织减少了对自主系统和手动收集过程的依赖，实现安全管理从“被动防御”向“积极防御”的进化，为视频监控关键业务系统的安全稳定提供运维支撑和安全保障。

天合视频监控密码保险箱

提供针对视频监控设备账号进行统一安全管控的解决方案，实现对视频监控网络中视频监控设备的自动化、合规化的账号密码统一管理，并通过统一接口实现与视频监控管理平台的自动同步，可帮助用户极大减少手动收集和处理过程的依赖，实现密码定期自动更新，并能够达到一机一密、一次一密的管理能力，全面提升用户对海量视频监控设备的账号密码的自动化管理能力。

天仓视频监控网络漏洞补丁管理系统

提供视频监控网络中各类设备和应用的一站式漏洞补丁查询、下载管理解决方案，针对视频监控网络中设备与应用漏洞确认困难、补丁查找困难、修复困难的问题，天仓通过针对性的收集、整理，形成专业化补丁库系统，可与“天慧视频监控网络空间安全监测服务平台”联动配合，为用户提供方便的漏洞检测结果一键式补丁查找和下载服务，同时，提供漏洞修复建议和操作指南，提供补丁应用有效性评价参考，简化漏洞修复流程，提升漏洞修复工作效率。