在上一篇《不同资产管理系统之间的对比与关系》中,从使用用户、服务职能、资产范围、资产颗粒度与资产属性五个维度,对固定资产管理系统、配置管理数据库(CMDB)系统、网络安全资产管理系统进行了简单的对比。
同时,在文章的末尾也提到了现存的固定资产管理系统、配置管理数据库(CMDB)系统是无法代替网络安全资产管理系统的,这其中的原因并没有展开来详细的说明。
今天从三个维度阐述下为什么固定资产管理系统、配置管理数据库(CMDB)系统无法满足安全运营需求。
提到资产管理,大部分人想到的是以“财务为视角”的固定资产管理,信息科技人员则更多地会认为是以“运维为视角”的CMDB中资产管理。
固定资产管理系统、CMDB系统在满足各自支撑业务领域起到了很好的作用,但对于以“网络安全为出发点”的资产管理需求相差甚远。
之所以这么说是因为,无论是固定资产系统,还是CMDB系统,都没有从攻击者视角来考虑需求。
想象一下,黑客在进行网络攻击前需要收集被攻击对象的互联网暴露域名、IP、端口、应用版本、URL、VPN入口、后台入口等关键信息。
这些信息在固定资产系统、CMDB系统设计时基本上都是没有考虑的。
目前大部分单位无论是用系统,还是用表格对资产进行管理,基本上都是以硬件设备、主机操作系统、业务应用系统这个颗粒度进行管理。
对于一般性的财务与运维管理需求是足够了,但是对于网络安全需求来说这个资产管理的颗粒度还远远不够。
在网络安全运营及攻防对抗中,针对新出现的一个应用组件漏洞或安全攻击告警,需要通过资产管理定位受影响的业务、主机、应用,以及哪些在暴露在互联网上,哪些在DMZ域等等。
类似的网络安全场景,在固定资产管理系统或CMDB系统是无法有效支撑的。
单维度的资产信息只是基础要素数据,必须与相关的业务关联才能产生价值。
比如资产信息与财务关联才能进行固定资产的成本核算,比如资产信息与运维关联才能进行系统状态、性能、健康度的监控。
同样,资产信息只有与风险要素关联后,才能在网络安全中发挥起应有的价值。
资产信息需要明确其安全保护价值,即保密性、完整性、可用性上的程度,并且需要与其存在的安全漏洞、安全基线配置弱点以及遭受的安全攻击信息相关联,才能综合评估资产整体的安全保护状态及所面临的风险程度。
如果资产信息无法与风险要素进行关联,资产管理做的再好也对网络安全防护的用处不大。
联系客服