压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

2017 年，Gartner《面向威脅技術(shù)的成熟度曲線》(Hype Cycle for Threat-Facing Technologies) 中首次出現(xiàn)入侵與攻擊模擬 (BAS) 工具這個分類，并將之歸到了新興技術(shù)行列。正如 Gartner 描述的，此類工具 “可供安全團隊以一致的方式持續(xù)測試安全控制措施，貫穿從預(yù)防到檢測（乃至響應(yīng)）的整個過程”。自 Gartner 將 BAS 帶入大眾視野之后，此類工具所獲關(guān)注度一飛沖天。但只要在安全行業(yè)待過幾年就知道，熱炒往往會搞混人們對所涉技術(shù)的功能、安全角色及作用的理解。作為安全專業(yè)人員，必須驅(qū)散這些誤解，看清事實真相，挖掘這些工具的真正價值。

BAS 歸屬檢測功能進化的一部分。事實！

認識到數(shù)據(jù)泄露規(guī)模與速度雙增長，我們正從重在預(yù)防轉(zhuǎn)變到將檢測、響應(yīng)與自動化都納入關(guān)注重點。終端檢測與響應(yīng) (EDR) 等工具的激增、MITRE 的威脅建模模型 ATT&CK 框架的流行，以及入侵與攻擊模擬工具的興起，都是這股進化趨勢的有力體現(xiàn)。通過引入自動化，BAS 工具可使安全人員更加快速地執(zhí)行模擬，持續(xù)測試控制點有效性，在動態(tài)威脅態(tài)勢下更一致地保證安全狀態(tài)。

BAS 工具是下一代漏洞掃描與管理解決方案。你想多了！

BAS 工具是增強漏洞管理項目的有效方式，但并不能替代漏洞掃描或滲透測試解決方案。這些工具不直接審查信息資產(chǎn)，也不試圖找出資產(chǎn)中的漏洞。BAS 工具采取的是基于活動的全面視角，衡量的是整體安全有效性。它們持續(xù)自動化同步執(zhí)行端到端攻擊場景模擬，讓用戶可以更快找出網(wǎng)絡(luò)與系統(tǒng)中存在的安全漏洞，搶在攻擊者運用攻擊生命周期中的各種戰(zhàn)術(shù)、技術(shù)與流程 (TTP) 突破漏洞之前即時加以修復(fù)。

最終，BAS 會讓我們擁有“萬能”技術(shù)解決方案。你想多了！

每逢新技術(shù)類別出現(xiàn)，“萬能解決方案” 癥狀就會冒頭。但并沒有哪種技術(shù)能大包大攬解決所有網(wǎng)絡(luò)安全問題。威脅態(tài)勢太過復(fù)雜，且是動態(tài)變化的。攻擊界面總在擴展和改變。相應(yīng)地，安全技術(shù)和策略也必須持續(xù)進化。BAS 工具是向前邁進的重要一步，可作為手動攻擊模擬的補充和增強，但這些工具也僅僅是安全技術(shù)棧中的一環(huán)，并非 “設(shè)置了就能拋諸腦后” 的。根據(jù)自身環(huán)境配置和調(diào)適攻擊模擬的工作仍需人工操作，根據(jù)公司威脅態(tài)勢識別首要用例，以及解讀攻擊模擬結(jié)果的工作也需由人類分析師完成。

BAS 工具有利紅隊/藍隊和紫隊演練。事實！

入侵與攻擊模擬操作正是紅隊/藍隊和紫隊演練的實際內(nèi)容。紅隊/藍隊模式主打在為期數(shù)周或數(shù)月的演練中實施攻防對抗，演練結(jié)束后總結(jié)防御漏洞并進行修復(fù)。紫隊模式則更注重協(xié)作與迭代，在演練過程中即改善公司安全態(tài)勢，即時捕獲持續(xù)價值。無論采取哪種模式，BAS 工具都能通過自動化擴展演練，提供比手動方法更快的模擬能力，單位時間內(nèi)可執(zhí)行更多模擬演練。但紅隊與紫隊在使用 BAS 工具時應(yīng)保持警惕，因為如果單純依賴這些工具，有可能會得到一種虛假的安全感。模擬都是現(xiàn)成既定的場景，并沒有考慮到每家公司的細微差異。必須明智挑選要執(zhí)行的模擬場景。而這就要求相關(guān)人員能夠根據(jù)公司及行業(yè)所面臨的威脅、公司需保護的特定資產(chǎn)，以及確保檢測與防范按既定方式運行的專業(yè)知識，來豐富或調(diào)整模擬。

BAS 工具提供有益管理的量化指標(biāo)。事實！

公司企業(yè)在資產(chǎn)保護上投資巨大。國際數(shù)據(jù)公司 (IDC) 預(yù)測，到 2022 年，全球安全開支將超 1,330 億美元。但這些技術(shù)和工具真的按照設(shè)想運轉(zhuǎn)了嗎？BAS 工具能夠高效一致地衡量現(xiàn)有安全檢測功能及運營的有效性。模擬結(jié)果可幫助指導(dǎo)產(chǎn)品投資及配置決策以堵上安全漏洞，還有助于補全企業(yè)領(lǐng)導(dǎo)的網(wǎng)絡(luò)安全知識空缺。討論風(fēng)險管理，回答董事會和高管相關(guān)問題時，便可用上 BAS 工具的模擬結(jié)果。比如：攻擊者能悄悄繞過我們的防御嗎？我們適用的風(fēng)險是什么？這些風(fēng)險對我們能造成什么樣的影響？這可以使安全人員處于影響短期投資決策、參與長期安全規(guī)劃的位置上，還能從商業(yè)角度報告安全運營上的改善。

BAS 工具是防御武器庫的重要補強。但與其他安全投資類似，只有了解該技術(shù)的優(yōu)勢與短板，才能充分體現(xiàn)其價值。相比傳統(tǒng)方法，BAS 工具有助于更快更省地維持基本安全保障。而且，若與恰當(dāng)?shù)膶I(yè)技能結(jié)合，BAS 工具可助你在公司整體成功中起到戰(zhàn)略性作用。