設備多樣性、雲應用、遠程辦公、日益複雜(zá)的軟件供應鏈，無一(yī)不在顯著擴大(dà)當今的攻擊面。但盡管安全運營投資(zī)年年漲，大(dà)多數企業卻僅能投入資(zī)源解決自身環境裏數百萬事件中(zhōng)的10%。

有很多方法可以創建所有資(zī)産及其相關風險态勢的綜合清單：電(diàn)子表格、“傳統”網絡掃描器和IT資(zī)産管理工(gōng)具以及網絡資(zī)産攻擊面管理（CAASM）平台。

然而，取決于所選方法，團隊可能隻關注“傳統”攻擊面，而沒有******考慮分(fēn)隔良好的典型去(qù)中(zhōng)心化多雲現代網絡中(zhōng)存在的一(yī)切。盡管這一(yī)領域進展不斷，但仍建立在基于狀态的即時洞察上。因此，缺乏對攻擊行爲的洞察影響到了其整體(tǐ)有效性。

另一(yī)方面，威脅檢測與響應工(gōng)具分(fēn)析網絡、用戶和機器行爲，旨在幫助企業從對手的視角了解自身攻擊面。雖然安全信息與事件管理（SIEM）系統的數據質量相當可觀，但警報過載令團隊極其難以梳理并抽取出***相關的信息。

威脅檢測與響應平台通常隻監測“已知(zhī)”資(zī)産的更改，而******的威脅在于對未知(zhī)資(zī)産的更改。所以，盡管在快速響應和修複方面取得了長足的進步，但這些平台還是發現不了典型軟件漏洞和錯誤配置之外(wài)的暴露。咨詢公司Gartner預測，到2026年，未修複攻擊面将從2022年不足企業總暴露的10%上升到超過一(yī)半。

有幾種方法可以衡量漏洞的潛在影響和可利用性，例如通用漏洞評分(fēn)系統（CVSS）、漏洞利用預測評分(fēn)系統（EPSS）和供應商(shāng)特定的評分(fēn)系統，CVSS是***常見的漏洞優先級排序方法。

隻依賴第三方指導的******風險在于沒考慮到企業的特殊需求。比如，安全團隊仍然不得不确定一(yī)堆“高危”漏洞（如CVSS評分(fēn)9.0+）中(zhōng)到底優先修複哪些。

這種情況下(xià)，僅僅依靠這些定量方法是不可能作出明智決策的。資(zī)産所處位置等因素有助于團隊确定漏洞在公司環境中(zhōng)的可利用性，而其相互關聯可使團隊能夠了解波及範圍或整個潛在攻擊路徑。

從配置管理數據庫（CMDB）到控制措施，從依賴關系映射到數據湖，如果沒有内部業務跟蹤系統，這份資(zī)源清單就不完整。這些資(zī)源都是排序威脅和暴露優先級的重要參考，因爲它們能夠展示設備和漏洞之間的聯系以及整體(tǐ)業務關鍵性和依賴關系映射。

但盡管充實豐富，定制數據庫卻需要大(dà)量人工(gōng)操作才能實現并保持更新。因此，考慮到現代企業環境變更的速度，這些定制數據庫很快就會過時，不再能夠準确探查安全态勢的變化。

盡管上述每種數據源都有其自身的用途，能提供獨特的寶貴洞察，但沒有哪一(yī)種能獨自挑起勘破當今複雜(zá)威脅形勢的重擔。也就是說，如果能綜合使用，這些數據源非常強大(dà)，能夠******揭示有利位置，使團隊能夠作出更好、更明智的決策。

推動風險知(zhī)情決策所需的很多有價值洞察要麽遺失在企業技術堆棧孤島中(zhōng)，要麽阻塞在相互沖突的團隊和流程之間。盡管現代企業環境需要安全同步跟進，但沒有哪個工(gōng)具或團隊可以獨立修複這一(yī)割裂的過程。

文章來源：彼得研究院