未來網絡風險管理將會變得更加輕松

（文章來源：企業(yè)網）

新的連續(xù)自動滲透和攻擊測試（CAPAT）工具將幫助首席財務官（CISO）更好地了解自身的薄弱點并先后采取最重要的補救措施。

與兩年前相比，如今組織的網絡風險管理更加困難。最近展開的ESG調研中有73%的安全專業(yè)人員這樣表示。為什幺會這樣呢？受訪者指向了一系列因素，如攻擊面越來越大，軟件漏洞數量不斷增加，網絡攻擊者的技術實力也在不斷提高。

那幺組織如何減輕日益增長的網絡風險呢？一種常見的方法是通過紅隊測試（red teaming）和滲透測試等演練更好地利用現有網絡防御的力量。許多組織已經進行了滲透測試或紅隊測試，使用所得數據來衡量安全團隊的績效，與IT領導者一起評估結果，以及對一系列安全控制措施和流程進行重新評估——這一切都是有價值的成果。

但問題就在于：大多數組織每年只進行一兩次這樣的演練。此外，ESG的研究表明，在75%的組織中，滲透測試和紅隊測試方面的工作只能堅持兩周，甚至兩周都不到。盡管滲透測試和紅隊測試很有價值，但也十分昂貴，而且很少有組織具備專門的人員或高級技能來親自進行這些演練或使用第叁方服務來增加演練的次數。

在瞬息萬變的IT環(huán)境中，僅僅花兩周時間進行安全防御是遠遠不夠的。

幸運的是，市面上有一個新興的，前景無量的網絡安全技術市場領域，ESG稱其為連續(xù)自動滲透和攻擊測試（CAPAT）。企業(yè)并沒有雇傭技能嫻熟的滲透測試黑客或白帽黑客來展開連續(xù)自動滲透和攻擊測試，而是通過模擬網絡釣魚電子郵件，社交工程或應用程序層漏洞之類的技術來模仿攻擊者的行為，以清除網絡安全鏈中的薄弱環(huán)節(jié)。

與偏向于遵循靜態(tài)攻擊模式的人不同，連續(xù)自動滲透和攻擊測試工具可以不斷更新以包括最新的攻擊戰(zhàn)術，技術和程序（TTP），因此組織可以根據當前的攻擊來評估防御能力——而不僅僅是通過道德黑客所使用的久經考驗的工具。有些工具在察看和了解組織網絡的特質時使用機器學習來對攻擊進行細微地改動。該領域的供應商包括AttackIQ、Cymulate、Randori、SafeBreach、Verodin和XM Cyber。

如果這些工具得到了恰當的使用，那幺它們就確實可以幫組織改善網絡風險的度量/管理。換句話說，首席信息安全官可以發(fā)現薄弱處并先后采用補救措施。這也有助于提高網絡安全支出所帶來的投資回報率，其方法是使安全團隊能夠基于數據（而不是有根據的猜測）在最重要的領域投入預算資金。

（責任編輯：fqj）