三步走，360开启“两高一弱”治理新思路

· 2024年5月，某公司网站因存在高危漏洞被黑客利用，导致页面篡改、非法外链等情况。根据相关规定，该公司被给予行政警告，并责令限期改正。

· 2024年7月，某医院业务系统服务器违规开放远程运维端口，且未采取任何网络安全技术措施，存在高危端口风险隐患。根据相关规定，该医院被给予行政警告处罚，并责令限期整改。

· 2024年9月，某国有企业缴费系统存在弱口令漏洞，可获取1.6万用户多项信息，并实施退回费用、开通关停供暖等非法操作。

随着数字化和信息化加速发展，网络安全威胁日益复杂多变，高危漏洞、高危端口和弱口令等问题（即“两高一弱”）由于攻击成本低、影响范围广、造成危害大，逐渐成为网络攻击的主要突破口。

高危漏洞：网络系统中存在的、可能被黑客利用以进行非法访问、数据窃取或系统破坏的严重安全缺陷。一旦被恶意利用，将导致非法访问、数据窃取甚至造成系统瘫痪

高危端口：在网络通信中容易被黑客利用进行攻击的端口。是黑客入侵的便捷通道，通过端口黑客可以进行漏洞扫描、入侵尝试等恶意行为

弱口令：设置过于简单、容易被猜测或破解的密码，是网络安全中最常见的隐患之一。一旦被攻破，黑客可以轻松获取账号权限，进行财务转账、计费修改、实时监控等非法操作

近年来，相关部门高度重视“两高一弱”问题，持续开展专项整治行动。针对重点行业单位形成常态化排查和整改机制，以提升安全防御能力。在此背景下，建立一套行之有效的“两高一弱”专项防御体系，对政企单位安全运营工作迫在眉睫。

三步走

360实现“两高一弱”专项治理

治理“两高一弱”，首先要明确它们在攻击者眼中“长什么样子”，即以攻击者视角发现组织的安全弱点和暴露面；同时，掌握它们“暴露给了谁”，即识别出可能面临的威胁来源和具体风险暴露对象，以便采取针对性防护措施。

360以资产为主线，构建“两高一弱”专项治理方案，以工具+服务为切入口，通过暴露面清查、有效性评估和攻击面管理“三步走”帮助政企单位构建资产风险可视与漏洞闭环体系，有效进行风险治理与组织攻击面管理，提升整体安全防御能力。

第一步：暴露面梳理，全面清查

360信息资产安全统一管理平台以组织业务为核心关注点，从攻击者视角出发，排查组织互联网及内部所有可能会被攻击者利用尝试进入的系统或资产，整合碎片化的资产，补充资产的业务和管理属性数据，建立业务视角下的统一安全资产数据库。

依托360情报测绘技术积累，构建资产监测和资产漏洞相结合的管理体系，帮助组织有效发现、识别和管理IT资产和内外部数字资产攻击面，建立内外部安全资产管理制度，实现全面资产探测与暴露面清查，从根源拔除“两高一弱”问题。

第二步：有效性评估，以攻促防

360 BAS产品从攻击者视角出发，通过模拟针对边界网络、内部网络和终端机器等资产的高危漏洞利用攻击、高危端口访问、弱口令探测等“两高一弱”问题针对性攻击行为，从而识别安全防护体系的防守弱点，验证防护能力的有效性。

此外，360 BAS支持自动生成薄弱攻击面及改进建议的报告，从而持续性地提升组织的安全防御能力，为“两高一弱”防护加上“双保险”。

第三步：攻击面管理，常态管控

围绕“两高一弱”资产与漏洞管理关键要素，360信息资产安全统一管理平台通过梳理攻击面资产图谱，明确疑似攻击路径，对攻击面风险进行分析和评估，感知攻击面变更情况。基于攻击面和攻击路径，对组织资产涉及的漏洞进行全方位评分，并根据实际资产情况进行风险评估，帮助组织找到高风险漏洞并加固，持续收敛攻击面。

帮助政企单位建设以资产和风险为核心，持续暴露面收敛、风险排查、攻击视角评估的常态化风险管控体系，构建“两高一弱”常态化防御、实战化运营能力。

此前，360攻击面管理方案入选IDC《IDC Technology Assessment：中国攻击面管理厂商技术评估，2024》报告，并在多项评估中获五星满分评价。360“两高一弱”专项解决方案已落地监管、金融、政府、央企、运营商、教育等行业超百家客户。

如需进一步咨询相关服务请联系

电话：400-0309-360

01

● ISC.AI 2024周鸿祎：安全大模型要与安全业务深度融合

02

● 360荣获国家级机构五大奖项！彰显网络安全实力

03

● 开挂神器能让企业管理有多轻松？这才是真正的职场爽文

04

● 攻防0失分，就是Happy Ending？