RSAC启示：资产管理的正确“打开方式”

RSAC创新沙盒大赛历来被称为网络安全行业的风向标，本届RSAC 创新大赛上 Axonius获得了冠军，这给我们的一个重要启示是，网络安全越来越注重资产管理这样的基础工作，越来越务实了，这是一个好事。

在之前，很多人都觉得资产管理是一个非常简单的工作，但是随着云、大数据、IOT设备的爆发式应用，原有的网络体系结构发生重大变化，资产管理的重要性逐渐凸显，回归资产管理也是网络安全的再次对标。

目前，对于网络空间的资产识别和管理，业界出现了三种主流形式：

• 安装代理（Agent），本次获奖的Axonius采用的就是Agent模式，这种模式优点是获取的信息多，能实时感受变化，缺点是Agent部署有限，场景有限。
• 流量分析，即通过流量分析获取网络资产情况。这种模式的优点是对系统无感，能支持更大规模的部署，而缺点在于流量采集点限制了资产识别的准确性和完整性。
• 主动探测，就是发指定探测包，通过回包确认指纹识别资产属性。这是当前普遍采用的办法，比如shodan等。

目前，盛邦安全采取的是主动探测和被动流量分析相结合的方式。盛邦安全 CEO权小文指出：“无论采用哪种资产治理方式或者方案，真正考验的是团队的核心工程能力。资产是安全体系建设的基础，这个主题永远不会变。而资产识别是资产治理的基础，只有先把这一步走好了，才能谈得上后续的网络资产管理。”

在中国，随着云计算、大数据应用的落地，以及物联网设备的普及，组织内部的网络资产种类越来越多、使用越来越复杂，这导致了传统的机房管理系统、IP备案系统失效，很多用户对自己资产情况无从感知，这也带来了很大的安全隐患。

盛邦安全从2014年开始关注资产管理这一领域，通过对数百起攻击事件的持续跟踪和分析，盛邦安全发现大量机构出现安全隐患的原因是资产不清。2015年盛邦安全参与了9.3阅兵安保工作，发现很多组织在资产管理方面有着巨大的漏洞，此后便从资产梳理开始，在资产治理领域进行了长期的探索与创新。

2015年，盛邦安全发布了Web资产治理平台系统（RayGate），并在之后的几年内，不断升级、精心打磨该款产品。2017年，盛邦安全开发了大规模网络资产探测系统（RaySpace），专注方向开始从Web安全延伸到数据资产治理的领域。目前，盛邦安全具备了主动与被动资产探测能力以及一整套资产安全治理解决方案。

权小文表示：“作为国内较早关注和专注于资产治理领域的安全厂商，盛邦安全认为资产管理的核心是要发现资产，这个过程中会存在很多坑，比如业内很多人觉得资产管理就是开源Nmap软件+Masscan，这个方案一旦放在生产环境中，就很容易产生大量不可预料的问题。盛邦安全花了很长时间、耗费了许多人力物力去实践和摸索资产治理之道，积累了大量的实践经验，探索出一条真正行之有效的资产治理之路。”

基于“安全有道，治理先行”的数据资产安全治理核心理念，盛邦安全正在以资产摸底为起点，打造“资产摸底-备案管理-立体化防御（等级保护）-自动化安全运营-应急处置”的“五步法”资产安全治理解决方案，覆盖客户数据资产全生命周期。目前，盛邦安全数据资产安全治理运营平台已成功部署于国家互联网应急中心、国家电网、中共中央党校、北京市教委等行业客户，更得到了清华大学、浙江大学、复旦大学为代表的超过1/3的双一流高校客户的认可。