2017 年,Gartner《面向威胁技术的成熟度曲线》(Hype Cycle for Threat-Facing Technologies) 中首次出现入侵与攻击模拟 (BAS) 工具这个分类,并将之归到了新兴技术行列。正如 Gartner 描述的,此类工具 “可供安全团队以一致的方式持续测试安全控制措施,贯穿从预防到检测(乃至响应)的整个过程”。自 Gartner 将 BAS 带入大众视野之后,此类工具所获关注度一飞冲天。但只要在安全行业待过几年就知道,热炒往往会搞混人们对所涉技术的功能、安全角色及作用的理解。作为安全专业人员,必须驱散这些误解,看清事实真相,挖掘这些工具的真正价值。

BAS 归属检测功能进化的一部分。事实!

认识到数据泄露规模与速度双增长,我们正从重在预防转变到将检测、响应与自动化都纳入关注重点。终端检测与响应 (EDR) 等工具的激增、MITRE 的威胁建模模型 ATT&CK 框架的流行,以及入侵与攻击模拟工具的兴起,都是这股进化趋势的有力体现。通过引入自动化,BAS 工具可使安全人员更加快速地执行模拟,持续测试控制点有效性,在动态威胁态势下更一致地保证安全状态。

BAS 工具是下一代漏洞扫描与管理解决方案。你想多了!

BAS 工具是增强漏洞管理项目的有效方式,但并不能替代漏洞扫描或渗透测试解决方案。这些工具不直接审查信息资产,也不试图找出资产中的漏洞。BAS 工具采取的是基于活动的全面视角,衡量的是整体安全有效性。它们持续自动化同步执行端到端攻击场景模拟,让用户可以更快找出网络与系统中存在的安全漏洞,抢在攻击者运用攻击生命周期中的各种战术、技术与流程 (TTP) 突破漏洞之前即时加以修复。

最终,BAS 会让我们拥有“万能”技术解决方案。你想多了!

每逢新技术类别出现,“万能解决方案” 症状就会冒头。但并没有哪种技术能大包大揽解决所有网络安全问题。威胁态势太过复杂,且是动态变化的。攻击界面总在扩展和改变。相应地,安全技术和策略也必须持续进化。BAS 工具是向前迈进的重要一步,可作为手动攻击模拟的补充和增强,但这些工具也仅仅是安全技术栈中的一环,并非 “设置了就能抛诸脑后” 的。根据自身环境配置和调适攻击模拟的工作仍需人工操作,根据公司威胁态势识别首要用例,以及解读攻击模拟结果的工作也需由人类分析师完成。

BAS 工具有利红队/蓝队和紫队演练。事实!

入侵与攻击模拟操作正是红队/蓝队和紫队演练的实际内容。红队/蓝队模式主打在为期数周或数月的演练中实施攻防对抗,演练结束后总结防御漏洞并进行修复。紫队模式则更注重协作与迭代,在演练过程中即改善公司安全态势,即时捕获持续价值。无论采取哪种模式,BAS 工具都能通过自动化扩展演练,提供比手动方法更快的模拟能力,单位时间内可执行更多模拟演练。但红队与紫队在使用 BAS 工具时应保持警惕,因为如果单纯依赖这些工具,有可能会得到一种虚假的安全感。模拟都是现成既定的场景,并没有考虑到每家公司的细微差异。必须明智挑选要执行的模拟场景。而这就要求相关人员能够根据公司及行业所面临的威胁、公司需保护的特定资产,以及确保检测与防范按既定方式运行的专业知识,来丰富或调整模拟。

BAS 工具提供有益管理的量化指标。事实!

公司企业在资产保护上投资巨大。国际数据公司 (IDC) 预测,到 2022 年,全球安全开支将超 1,330 亿美元。但这些技术和工具真的按照设想运转了吗?BAS 工具能够高效一致地衡量现有安全检测功能及运营的有效性。模拟结果可帮助指导产品投资及配置决策以堵上安全漏洞,还有助于补全企业领导的网络安全知识空缺。讨论风险管理,回答董事会和高管相关问题时,便可用上 BAS 工具的模拟结果。比如:攻击者能悄悄绕过我们的防御吗?我们适用的风险是什么?这些风险对我们能造成什么样的影响?这可以使安全人员处于影响短期投资决策、参与长期安全规划的位置上,还能从商业角度报告安全运营上的改善。

BAS 工具是防御武器库的重要补强。但与其他安全投资类似,只有了解该技术的优势与短板,才能充分体现其价值。相比传统方法,BAS 工具有助于更快更省地维持基本安全保障。而且,若与恰当的专业技能结合,BAS 工具可助你在公司整体成功中起到战略性作用。

声明:本文来自安全牛,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。