持续蔓延的疫情以及数字化云端转型为网络安全带来了许多新挑战：攻击面增长，IT复杂化、影子化等等。年，Gartner敦促安全领导者开始着手减少、监控和管理他们的攻击面，作为整体网络安全风险管理计划的一部分。如今，攻击面管理正在成为CIO、CTO、CISO和安全团队的首要任务。
何为攻击面？您的攻击面是指可以通过Internet访问的用于处理或存储您的数据的所有硬件、软件、SaaS和云资产。也可以将其视为网络犯罪分子可以用来操纵网络或系统以提取数据的攻击向量总数。您的攻击面包括：
已知资产：库存和管理的资产，例如您的公司网站、服务器以及在它们上面运行的依赖项；
未知资产：例如影子IT或孤立的IT基础设施，这些基础设施超出了您安全团队的权限范围，例如被遗忘的开发网站或营销网站；
流氓资产：由威胁行为者启动的恶意基础设施，例如恶意软件、域名抢注或冒充您域名的网站或移动应用程序等；
供应商：您的攻击面不仅限于您的组织，第三方和第四方供应商同样会引入重大的第三方风险和第四方风险。即便是小型供应商也可能导致大规模数据泄露，例如最终导致Target泄露超过1.1亿消费者信用卡和个人数据的HVAC供应商。
不幸的是，每天都有数以百万计的此类资产出现在Internet上，并且完全超出了防火墙和端点保护服务的范围。攻击面有时候也称为外部攻击面或数字攻击面。
何为攻击面管理？攻击面管理（ASM）是对存储、传输或处理敏感数据的外部数字资产的持续发现、盘点、分类、优先级排序和安全监控。
攻击面管理非常重要，因为它有助于预防和减少源自以下方面的风险：
遗留、物联网和影子IT资产；
网络钓鱼和数据泄露等人为错误和疏忽；
易受攻击和过时的软件；
未知的开源软件（OSS）；
针对贵组织的有针对性网络攻击；
针对您所属行业的大规模攻击；
侵犯知识产权；
从并购活动中继承的IT资产；
供应商管理资产；
及时识别数字资产是强大威胁情报的基本组成部分，可以大大降低数据泄露的风险。要知道，攻击者发起网络攻击所需要的只是您组织中的一个薄弱环节。
攻击面管理最佳实践云计算解决方案、远程和在家工作系统以及联网设备的急剧增加，无疑会带来更大的攻击面，从而进一步增加安全风险。而减少漏洞数量的最佳方法就是建立适当的企业攻击面管理程序。
正确有效的攻击面管理需要分析操作以发现潜在漏洞并了解具体情况。这些信息有助于企业组织制定计划，但成功与否还要取决于在组织的网络、系统、渠道和接触点中如何执行该计划。
以下是构建企业攻击面管理程序时需要考虑的一些最佳实践，遵循下述建议可以最大限度地减少漏洞，并降低威胁行为者危害组织网络和设备的机会。
1.绘制攻击面
要部署适当的防御，您必须了解暴露了哪些数字资产、攻击者最有可能入侵网络的位置以及需要部署哪些保护措施。因此，提高攻击面的可见性并构建对攻击漏洞的有力呈现至关重要。要查找的漏洞类型包括较旧且安全性较低的计算机或服务器、未打补丁的系统、过时的应用程序和暴露的物联网设备等。
预测建模有助于创建对可能发生的事件及其风险的真实描述，进一步加强防御和主动措施。一旦您了解了风险，您就可以对事件或违规之前、期间和之后会发生的情况进行建模。您可以预计会造成怎样的经济损失？事件会对企业声誉造成多大损害？您会丢失商业情报、商业机密或更多信息吗？
SANS新兴安全趋势主管JohnPescatore称：
成功的攻击面绘制策略非常简单：了解您要保护的内容（准确的资产清单）；监控这些资产中的漏洞；并使用威胁情报来了解攻击者如何利用这些漏洞攻击这些资产。这三个阶段中的每个阶段都需要配置具备熟练安全技术的员工，才能跟上这三个领域的变化速度。
2.最小化漏洞
一旦组织绘制完成他们的攻击面，就可以立即采取行动减轻最重要的漏洞和潜在攻击媒介带来的风险，然后再继续执行较低优先级的任务。在可能的情况下使资产离线并加强内部和外部网络是值得