隨著數字化轉型的深入發展，網絡安全工作已經得到企業組織的高度重視。但是在很多企業中，還是將安全建設的重心放在如何響應和處置已經發生的安全事件上，這樣的防護模式并不能減少企業未來面對的安全風險。在此背景下，研究機構Gartner提出，企業組織應該將網絡安全工作的重心從被動事件響應轉向主動威脅管理。

Gartner副總裁級分析師Jeremy D’Hoinne認為，通過鼓勵安全團隊采用主動的風險管理心態，將會有效改善企業內、外部的安全態勢，并可為企業長期安全管理戰略的轉變提供決策支撐。因為主動威脅管理并不關注攻擊事件本身，而是關注攻擊路徑，站在攻擊者的角度去思考攻擊可能發生在哪里，以及可能采用的攻擊戰術和實施手段。為了實現主動威脅管理的防護目標，組織需要完成以下五個關鍵步驟。

步驟1：界定組織的攻擊面

云計算的快速應用，及遠程辦公方式的興起，直接導致現代企業組織的網絡攻擊面迅速擴大，并導致聯網架構出現越來越多的盲點。因此，要實現有效的網絡威脅主動管理，首先要從界定組織的攻擊面做起，全面跟蹤數字化環境中所有變化的因素并及時清點數字化資產。界定攻擊面的最終目的是，確保組織中沒有暴露的資產未受監控，最大限度地消除安全盲點。

步驟2：持續進行資產發現

為了準確識別和界定攻擊面，組織需要通過探測互聯網數據集和證書數據庫，或模擬攻擊者的入侵方式，全面分析組織的數字資產，并針對所發現的安全缺口，尋找實用的應對方法。很多組織會將界定攻擊面和資產發現相混淆，已發現的資產和漏洞的數量本身并不代表成功，基于業務風險和潛在影響準確地識別未知資產和新增資產對企業更加重要。做好主動威脅管理的基礎是要持續量化資產暴露面和風險問題，并且提供針對性的治理。

步驟3：評估威脅優先級

盡管企業暴露的IT資產很多，但并不是所有的資產漏洞黑客都會感興趣。攻擊者通常會從一個最容易被利用的弱點切入，進而攻破重要系統，造成數據篡改、信息泄露、病毒勒索等安全事件的發生。對網絡威脅進行優先級評估的目的不是為了解決資產上的每一個安全問題，而是要將有限的資源和精力，優先投入到防護最緊急的威脅。優先級的確定應該考慮以下因素：

• 威脅的緊迫感；
• 威脅的嚴重性與破壞性；
• 相應安全控制措施的可用性；
• 對相關威脅風險的容忍度；
• 企業面臨的風險等級。

步驟4：開展有效性驗證

根據Gartner的定義，在主動威脅管理的要求中，會明確涉及威脅有效性驗證的要求，因此企業的安全團隊不能只聚焦于識別發現和評估通知的能力，同樣應當具備攻擊有效性驗證核查以及收斂攻擊面的能力。從技術角度，融合驗證收斂能夠提升識別驗證與處置的效果，防止大范圍誤報、海量告警無從處理的情況發生。從管理角度，開展攻擊有效性驗證也保證了流程的閉環，避免只告警待整改、不整改的情況發生。

實踐表明，攻擊驗證應當整合平臺自動化驗證以及安全服務涉及的專家驗證，其中自動化驗證能夠盡速縮減驗證范圍，提升人員驗證的效率；而專家驗證可以基于自動化驗證結果，也可基于專門場景。

步驟5：實施完善的威脅管理計劃

主動威脅管理是一種更加務實且有效的系統化威脅管理方法，可以有效降低組織遭受網絡安全攻擊的可能性。通過優先考慮高等級的潛在威脅處置，CTEM實現了不斷完善的安全態勢改進，同時還強調有效改進安全態勢的處置要求。主動威脅管理工作的開展需要一套完善的實施計劃，并遵循治理、風險和合規性（GRC）的要求。

在實施主動威脅管理計劃時，雖然自動化技術有助于解決一些明顯或不明顯的問題，但企業不能完全依賴它。企業應該將主動威脅管理計劃傳達給安全團隊所有成員和其它部門的利益相關者，確保大家都已充分了解。實施完善的威脅管理接話，可以減少審批、實施過程或緩解部署等方面的障礙，確保團隊將主動威脅管理中發現的問題及應對措施諸實施，并將跨團隊的協同工作完整記錄。

參考鏈接：https://www.expresscomputer.in/guest-blogs/gartner-how-to-manage-cybersecurity-threats-not-episodes/103287/