RSAC啟示：資產管理的正確“打開方式”
責編：gltian ｜2019-03-08 10:16:08RSAC創新沙盒大賽歷來被稱為網絡安全行業的風向標，本屆RSAC 創新大賽上 Axonius獲得了冠軍，這給我們的一個重要啟示是，網絡安全越來越注重資產管理這樣的基礎工作，越來越務實了，這是一個好事。
在之前，很多人都覺得資產管理是一個非常簡單的工作，但是隨著云、大數據、IOT設備的爆發式應用，原有的網絡體系結構發生重大變化，資產管理的重要性逐漸凸顯，回歸資產管理也是網絡安全的再次對標。
目前，對于網絡空間的資產識別和管理，業界出現了三種主流形式：
- 安裝代理（Agent），本次獲獎的Axonius采用的就是Agent模式，這種模式優點是獲取的信息多，能實時感受變化，缺點是Agent部署有限，場景有限。
- 流量分析，即通過流量分析獲取網絡資產情況。這種模式的優點是對系統無感，能支持更大規模的部署，而缺點在于流量采集點限制了資產識別的準確性和完整性。
- 主動探測，就是發指定探測包，通過回包確認指紋識別資產屬性。這是當前普遍采用的辦法，比如shodan等。
目前，盛邦安全采取的是主動探測和被動流量分析相結合的方式。盛邦安全 CEO權小文指出：“無論采用哪種資產治理方式或者方案，真正考驗的是團隊的核心工程能力。資產是安全體系建設的基礎，這個主題永遠不會變。而資產識別是資產治理的基礎，只有先把這一步走好了，才能談得上后續的網絡資產管理。”
在中國，隨著云計算、大數據應用的落地，以及物聯網設備的普及，組織內部的網絡資產種類越來越多、使用越來越復雜，這導致了傳統的機房管理系統、IP備案系統失效，很多用戶對自己資產情況無從感知，這也帶來了很大的安全隱患。
盛邦安全從2014年開始關注資產管理這一領域，通過對數百起攻擊事件的持續跟蹤和分析，盛邦安全發現大量機構出現安全隱患的原因是資產不清。2015年盛邦安全參與了9.3閱兵安保工作，發現很多組織在資產管理方面有著巨大的漏洞，此后便從資產梳理開始，在資產治理領域進行了長期的探索與創新。
2015年，盛邦安全發布了Web資產治理平臺系統（RayGate），并在之后的幾年內，不斷升級、精心打磨該款產品。2017年，盛邦安全開發了大規模網絡資產探測系統（RaySpace），專注方向開始從Web安全延伸到數據資產治理的領域。目前，盛邦安全具備了主動與被動資產探測能力以及一整套資產安全治理解決方案。
權小文表示：“作為國內較早關注和專注于資產治理領域的安全廠商，盛邦安全認為資產管理的核心是要發現資產，這個過程中會存在很多坑，比如業內很多人覺得資產管理就是開源Nmap軟件+Masscan，這個方案一旦放在生產環境中，就很容易產生大量不可預料的問題。盛邦安全花了很長時間、耗費了許多人力物力去實踐和摸索資產治理之道，積累了大量的實踐經驗，探索出一條真正行之有效的資產治理之路。”
基于“安全有道，治理先行”的數據資產安全治理核心理念，盛邦安全正在以資產摸底為起點，打造“資產摸底-備案管理-立體化防御（等級保護）-自動化安全運營-應急處置”的“五步法”資產安全治理解決方案，覆蓋客戶數據資產全生命周期。目前，盛邦安全數據資產安全治理運營平臺已成功部署于國家互聯網應急中心、國家電網、中共中央黨校、北京市教委等行業客戶，更得到了清華大學、浙江大學、復旦大學為代表的超過1/3的雙一流高校客戶的認可。