攻击面管理安全案例研究 | 城商行统一安全管理平台运营

本案例正式收录于《攻击面管理技术应用指南（2024版）》，项目由绿盟科技集团股份有限公司实施，并提供案例研究支持。

项目背景

某银行属于国内大型城商行，拥有20余家分行和400多家对外营业机构。该银行的IT环境复杂且多元化，不仅涵盖了传统的本地数据中心、虚拟化平台以及部分云服务，也包括多种形式的互联网服务。随着业务的快速发展和数字化转型的推进，该银行的IT资产规模不断扩大，安全风险也随之增加。

该银行为落实有关安全规划建设目标，进一步满足监管相关要求，提升资产安全管理水平，完善安全策略有效性验证工作机制，增强互联网安全监测及处置质效，拟开展信息安全管理体系建设，建立统一安全管理中心，并开展持续安全风险治理运营工作。

在项目开展前，该银行在终端安全方面遇到了以下问题和挑战：

• 资产管控难：缺乏互联网资产暴露发现和管理手段，风险视角下现有科技资产的安全底账覆盖面不全，不能快速掌握资产的动态变化，如互联网数据资产泄露、内网违规业务系统上线等。

• 漏洞管理复杂：没有建立实时漏洞信息获取和响应机制，热点漏洞与现有资产难以快速进行关联，未建立漏洞处置优先级技术手段和机制，导致漏洞管理效率低下。

• 安全风险分散：不同工具和服务发现的安全风险、问题等分布在不同平台，无法做到统一管理，导致安全风险难以全面掌控和及时处置。

项目实施

项目目标和需求

知家底：建设内外网IT资产、新媒体应用服务、数字资产等多维度多数据来源的资产数据采集能力，建设安全视角的资产台账。

常态化：建立持续的威胁评估手段，结合情报和资产指纹对企业敏感服务、仿冒投毒、数据泄露、安全漏洞、配置缺陷等威胁进行持续评估。

重闭环：打通统一安全管理平台与工单平台的流程对接，形成处置流程，并且对处置结果与持续监测/复测结果进行比对验证，确保问题闭环。

项目实施思路和方法论

• 采用攻击面管理的思路，从攻击者的视角来审视和管理企业的安全风险。

• 构建统一的安全管理平台，整合多种安全数据和工具，实现对攻击面的全面管理。

• 增加日常安全策略有效性验证工作，确保安全风险处置及时有效。

• 建立安全运营机制，实现对安全风险的持续监控和及时响应。

项目实施内容

在运维管理区部署统一安全管理平台，接入已有的漏洞扫描设备、被动流量设备，接入互联网攻击面服务数据，接入行内已有的第三方配置管理数据库（CMDB）、OA数据、终端管控平台数据，以及云控制器和SIME管理平台等，建立安全视角的资产风险台账模型，进行资产数据融合与统一管理。

统一安全管理平台

通过适配器实现对本地多种数据来源的轻量化识别和有效利用，通过搭建反向代理，安全地获取云端SaaS服务数据；优化现有风险管理流程，开展风险生命周期统一管理运营，实现风险问题流转、转派、验证，以及不同部门、账号之间分权分域管理。

关键成功因素

统一的安全管理平台：该项目中通过平台整合了行内多种安全数据和工具，并补充了安全策略有效性验证环节工作，实现了对攻击面的全面和有效管理，提高了安全运营效率；

攻击面管理方法论：从攻击者的视角来审视和管理企业的安全风险，指导安全运营人员聚焦关键风险，及时处置和阻断潜在攻击途径，更加有效；

安全运营机制：优化行内现有风险管理流程，建立了依托统一安全管理平台的安全风险运营机制，实现了对安全风险的持续监控和及时响应；

与现有安全产品的集成：将统一安全管理平台与现有的安全产品进行集成，例如漏洞扫描设备、CMDB、终端管控平台等，实现了数据共享和联动响应。

项目价值

多维度资产台账打好风险管理基础：项目实施过程，协助客户建立了多维度、符合该银行实际资产管理工作的台账，实现了对IT资产、新媒体应用服务、数字资产等多种类型资产的统一管理。

攻击视角管理方法提升风险管理水平：通过汇总CMDB、终端平台、互联网测绘平台、漏洞扫描工具等多维度的风险数据，进行数据融合和分析，形成了持续风险运营数据支撑能力，发现单一工具无法覆盖的安全风险死角。

持续安全风险运营落实监管合规要求：建立持续安全风险运营工作机制，实时监控安全风险变化，及时响应处置，确保满足国家和行业安全风险监管要求。

统一安全管理平台提高安全运营效率：实现风险处置优先级自动化评估能力，统一平台进行安全风险优先级推荐，重点关注高风险和优先级的漏洞，减轻运维人员工作量。

策略有效验证提升安全防护能力：实现了多种维度实时风险发现的安全能力，快速响应并处置潜在的安全风险；结合业务现状，配置合理的策略，形成风险优先级修复的最优解，以最低的修复成本，达到最优的安全效果；对安全修复工作进行有效性验证，确保修复工作达到预期；实现对数据资产泄露风险的监控能力，提供关停和下架闭环管理，保护自身的数字资产和业务运行不受损害。

安全牛评

金融行业作为数字化转型的先锋，其IT架构日趋复杂，混合云、移动应用、开放API等新技术应用广泛，导致资产类型激增、边界日益模糊，安全管理难度加大。同时，金融行业对数据安全和合规性要求极高，面临的网络攻击也更加复杂和有针对性，任何安全漏洞和风险都可能导致严重的损失，如资金损失、客户信息泄露、监管处罚等。

该方案的关键能力在于整合多种安全数据和工具，构建统一的安全管理平台，并采用攻击面管理的思路，从攻击者的视角来审视和管理企业的安全风险，实现对企业IT资产、新媒体应用服务、数字资产等多维度资产的全面覆盖和持续监控。

该方案的优势在于其针对性、创新性和可落地性。针对金融行业的需求和痛点，实现了对多维度资产的全面覆盖、持续监控和闭环管理，并从攻击者的视角来审视和管理企业的安全风险，更加有效。

该案例为其他金融机构提供了参考经验，特别是对于面临类似挑战的城商行和其他中小型金融机构，具有一定的借鉴意义。