暑期档电视剧《隐秘的角落》掀开了一幕幕人性的善与恶，你所见未必如汝所见，这是精神世界的一种表述。对于客观世界，则一直强调客观存在，所以科学家们用各种技术手段来描绘我们所见到的物理世界。不知不觉间，随着云计算、大数据、物联网、移动互联网、区块链、人工智能等技术的飞速发展，我们突然迎来了一个广阔的数字世界。这个数字世界展现给我们丰富财富的同时，也带来了一些新的“隐秘角落“里的威胁，比如安全问题。

数字世界 如何梳理资产?

今天，我们将探讨一下数字世界资产与威胁的相关话题。

新的数字世界里，我们自然有必要重新定义资产。所谓资产，是指对组织具有价值的任何东西。从属性划分，包括物理资产、软件资产、数据与信息资产、服务类资产、人员类资产与无形资产。

从企业资产安全性的角度，则分为：

可控资产：就是用途明确、关系人明确，资产情况明确，一般为企业的重要核心资产;

冰面资产：是指理论上可以通过技术、管理两种手段发现的所有资产

无主资产：是指资产信息缺失，无法定位到管理员的资产;

灰色资产：一般是资产信息模糊，可通过资产关联算法与其他资产关系密切的资产;

僵尸资产：是应该下线退网，但经过相关审批流程后依旧在线服役的资产;

挂名资产：管理边界模糊，名义上有归属，但无实际管理权力的资产，多见于集团型的复杂IT架构;

脱缰资产：以往是合规管控，但后续因变更、特殊化处理后成为未授权的设备、服务、软件，未纳入到安全管理范围的资产。

沉默资产：是哑终端、物联网设备、打印机、摄像头、传真机等资产;

幽灵资产：一般是指开发测试环境临时对外的服务。

数字化转型 造成资产风险持续扩大

通过对企业资产的安全性进行梳理后发现，企业的应急响应核心要求往往缺少关联：

比如监管部门发来了互联网漏洞整改通知，谁是资产责任人?无从查证!

收到了安全厂商发布的漏洞预警，哪些资产可能受影响，哪些要做应急处理?无所分类!

要参与网络安全攻防演练，资产台账是否清楚?无法摸清家底，收敛暴露面!

由此可见，数字化转型带来的暴露面和风险正在持续扩大。主要原因如下：

1、 随着云大物移等新技术的应用，网络边界不断扩大，同时也在不断模糊;

2、 业务创新的影响，难以摸清家底和跟踪资产属性的变化情况;

3、 保护对象的外延：在网络空间的背景下，保护对象除了OT、IOT、新基建、5G等新型资产外，外延到数字资产，比如数字供应链、数字凭证、品牌、人员(如员工邮箱地址)、知识产权、组织信誉、社交媒体等。

4、 资产暴露面：联网的资产都存在暴露面，具有被入侵的风险。

资产安全管理 可信数字网络空间之基石

受数字化转型带来的暴露面持续扩大影响，通过一个给定的威胁，利用一项或多项资产的脆弱性，对组织造成损害的风险也越来越大。企业资产安全管理正暴露出静态化、碎片化、残缺、孤立、缺乏关联性等问题，总体而言，就是缺乏统一安全视角的运营体系。

实际上，资产的安全管理在安全体系中处于纵深的基础地垃，也是可信数字网络空间之基石。从最底层的网络空间的全景资产发现与风险管理、纵深防御与监控运营、情报分析能力、态势感知能力到最上层的指挥处置决策能力，构成了安全管理的整体架构体系。

构筑资产安全管理的“全景视图”

如何进行资产的安全管理?相比较传统的资产安全管理，现阶段的资产安全管理呈现哪些特色?

孙子曰：“知彼知己者，百战不贻;不知彼而知己，一胜一负;不知彼，不知己，每战必贻。”在资产安全管理领域，犹是如此。我们需要进行理念革新，构筑资产安全管理的全景视图，要时刻进行视角转化、全要素、安全需要运营等理念的转变。

首先，视角转化包括四个层面：

1、 攻防视角转化，从以往防御角度转化为攻击者的角度做好防御;

2、 要素转化，拥抱变化，考虑全量风险要求，包括漏洞、信息资产、供应链等等;

3、 能力转化，从关注漏洞防护升级到关注资产;

4、 效能转化，注重效能，按二、八原则关注poC漏洞，暴露面等，

其次，全要素是指贯穿于资产管理的方方面面，从IT资源、IT资产、信息资产到数字资产，从漏洞、资产、供应链到人的要素，全部涵盖。

第三，安全的持续性运营，从资产测绘、情报监测、应急响应、持续监控，以攻方视角，搭建自动化的测绘和监测，实现自动检测、自动关联、安全推送、实时感知，形成安全的运营闭环。

UniCSM网络空间资产测绘系统3.0 为资产安全构筑防御屏障

联软科技与魔方安全于近日共同发布的UniCSM网络空间资产测绘系统3.0正式上线，就是站在资产安全管理全景视图的角度，为企业资产安全构筑了一座坚实的防御屏障。相比较2016年发布的企业互联网安全监控平台1.0及2018年发布的全网资产风险检测平台2.0等产品，UniCSM网络空间资产测绘系统3.0在理念更新、技术迭代、能力升维、聚焦闭环上均有所突破。

UniCSM网络空间资产测绘系统3.0扩大了资产管理的疆界，采用资产安全的上帝视角，在资产采集、资产数据丰度、情报数据对接方面的能力再次提高，对漏洞情报自动关联、漏洞管理闭环可跟踪方面有了很大的改善。

具体而言：

1、 在资产采集与资产发现，新增了流量采集探针，通过流量被动发现存活资产，支持基于网络协议(SNMP/DHCP/ARP)的资产采集，支持基于特定格式的资产清单的批量导入及手工导入;

2、 在资产管理方面，支持资产关联分析、资产登记功能、资产告警功能、数据导出、资产分类、全局快速检索、网页快照功能、资产备注等;

3、 风险识别，持续的PoC的插件更新，总量2000+;

4、 安全情报，实现了开源社区监控、漏洞情报关联、暗网监控等功能;

5、 风险管理，实现漏洞汇总、漏洞闭环管理;

6、 任务管理，3.0版本对扫描任务做了优化，增加了任务向导，拆分了资产盘点、PoC漏洞扫描和版本型漏洞扫描的场景。改善了任务总揽页面，提供更加直观可视化的任务视图;

7、 系统管理，划分扫描区域、扫描并发调节、系统更新;

8、 态势大屏，实现了态势的可视化管理。

厚积薄发 联软科技与魔方安全的资产管理三阶法策略

联软科技与魔方安全在资产安全管理领域经过多年的技术及应用积累，两次迭代更新，才有今天UniCSM网络空间资产测绘系统3.0的面世，且联软的IP化软硬件资产安全管理和SaaS化的数字资产风险管理方案均以CSM3.0为基础进行。

其中，联软科技与魔方安全提出了著名的资产管理三阶法策略：以测绘为基础、脆弱性为落脚点，构建出指标化资产安全运营为目标的资产安全管理体系。最重要的一点，是强调测绘是资产安全管理的基础。最终形成以全景测绘、开放架构、管控能力、指纹插件四大特色的资产安全管理整体解决方案。

小结

实际上，数字世界发展到今天，我们对它的认识仍然只是刚刚开始，它的博大和精彩，新的“隐秘角落“里的威胁，仍然会永不停歇，攻防也永远都会在。

联软科技与魔方安全提出的安全管理全景视图的理念，攻防视角转化、要素转化、能力转化及效能转化的安全策略思想，不仅为我们在资产安全管理方面带来思考，同样在整个数字网络空间安全的大视野下都极具有价值，期待联软科技与魔方安全未来能带给行业更多更有价值的产品及解决方案。