什麼是外部攻擊面管理（EASM）？

外部攻擊面管理是一種全面性的安全方法，致力於發現、管理及降低與面向網際網路資產相關的風險。現今的組織擁有並依賴各式各樣的資產，這些資產不僅位於其傳統網路邊界之後，還大幅延伸至 Web 應用程式、雲端服務、行動 API，以及第三方平台。這些每一項對外公開的資產都可能成為網路威脅與惡意行為者的潛在入侵點，因此也大幅增加安全團隊在監控、防護及控管其直接內部網路之外所產生風險方面的複雜性。

所謂的攻擊面隨著企業採用雲端服務、數位轉型策略以及遠端工作能力，這種擴大的攻擊面會倍增。這種擴散的攻擊面需要 EASM 解決方案，以確保持續且即時地掌握所有可能存在弱點的外部資產可視性。EASM 對安全態勢的檢視是採取由外而內的視角，從假想攻擊者的觀點來看待組織的數位足跡。這種主動式方法將協助企業在其弱點遭到利用之前識別並修正這些弱點，使其更有可能避免資料外洩，並強化其外部數位環境的安全性。

攻擊面管理（ASM）領域正快速成長；Gartner 將攻擊面擴張列為 2022 年網路安全的首要趨勢。 數位風險防護服務（DRPS）、外部攻擊面管理（EASM）及網路資產攻擊面管理（CAASM）等技術，正成為 CISO 不可或缺的工具。這些解決方案有助於將內部與外部業務系統視覺化，自動化發現安全缺口，並支援更全面的組織風險檢視。

本文將探討外部攻擊面管理的核心要點、其在現代安全實務中的重要性，以及建立有效 EASM 計畫的可行步驟。

什麼是外部攻擊面管理（EASM）？

外部攻擊面管理是一套旨在監控並保護組織網際網路暴露資產的流程與工具。不同於著重內部防禦的傳統安全解決方案，EASM 從外部視角運作，將組織的數位足跡視為潛在攻擊者所見的樣貌。透過持續掃描網際網路上與組織相關的資產，EASM 有助於在惡意行為者利用弱點之前，先行發現並管理這些弱點。

為什麼 EASM 至關重要？

EASM 在當今極為必要，因為大多數組織已採用雲端技術、遠端工作模式，以及複雜的第三方整合，這些都擴大了多數組織的攻擊面。現有安全控制通常僅針對傳統定義的內部資產，卻無法確保組織面向外部的元素（例如雲端服務、Web 應用程式及 API）獲得適當保護。

它可提供對此類外部資產的可視性，因為 EASM 能夠主動發現、監控及管理這些外部風險。透過持續即時監控，EASM 可將安全盲點降至最低、促進法規遵循，並降低資料外洩與網路攻擊的可能性，保護組織免受不斷演變的外部威脅。

外部攻擊面管理（EASM）的功能

EASM 解決方案透過提供多項功能，使組織能夠追蹤並保護其外部數位資產。這些整合式功能共同支援對網際網路暴露資產風險的整體可視性、評估與優先排序，讓安全團隊得以維持對其攻擊面的掌控。以下將更深入介紹強大 EASM 解決方案的這些關鍵功能：

1. 資產探索：EASM 的基本能力之一是資產探索。這僅表示識別並編目組織所有面向網際網路的資產。這可能包括追蹤 IP 位址、網域、子網域、Web 應用程式、雲端執行個體，或任何此類暴露於網際網路的數位資產。這有助於讓 EASM 取得這些外部資產的完整清單，從而全面掌握組織對外的足跡。因此，它有助於揭露內部 IT 與安全團隊未注意到的影子 IT 與第三方資產。
2. 弱點評估：EASM 解決方案會對已發現的資產進行深入的弱點掃描，以識別可能使組織暴露於潛在攻擊風險中的安全缺口、錯誤設定和過時軟體。此掃描包括識別暴露連接埠、不安全設定，以及未修補軟體等弱點，這些都是網路攻擊最常見的入侵途徑之一。標示這類弱點將有助於 EASM 協助組織在遭駭客利用之前，精確找出其外部資產中的弱點。
3. 威脅情報整合：EASM 解決方案通常會整合威脅情報來源，以強化每項資產的安全情境，因此讓擴充後的資料可提供潛在威脅可能性與嚴重程度的指標，進而使組織了解哪些弱點正遭威脅行為者積極鎖定。風險層級的情境化則來自於根據已知或新興威脅評估資產暴露情況，進一步支援在風險管理與緩解方面做出更明智的決策。
4. 持續監控：EASM 解決方案可對組織的外部攻擊面提供持續、即時的監控。不同於週期性掃描，它能立即偵測攻擊面的變化——新增資產、現有資產的變更，以及這些資產曝險狀況的變化。持續監看可確保新建立或經過修改的對外網際網路資產能被識別並納入管理，同時跟上攻擊面動態變化的特性，以及時進行風險偵測與修復。
5. 風險評分與優先排序：EASM 讓組織能夠根據已識別漏洞的嚴重性，以及曝險程度和威脅情報洞察，對每項資產的風險進行評分。因此，風險評分與優先排序可協助安全團隊優先關注最高價值的資產，並以最佳方式限制相當有限資源的使用。使用 EASM 可協助依優先順序排列風險，以最佳化威脅緩解工作，進而可能降低遭利用的機會並提升整體安全態勢。

內部與外部攻擊面管理：關鍵差異

• 內部攻擊面管理著重於管理與保護位於其網路邊界內的資產，例如伺服器、工作站、資料庫及所有其他內部基礎架構。其本質上聚焦於提供存取控制、修補程式管理、端點防護、以及網路安全的策略，以抑制特定網路內未經授權的存取與弱點。
• 另一方面，外部攻擊面管理（EASM）是指可從組織外部存取的那些資產，例如 Web 應用程式、雲端資源、API，以及透過網際網路公開的網域。EASM 確實可提供組織的「攻擊者視角」，方法是涵蓋與資產相關的特定安全風險；這些資產可輕易從遠端存取，但較不易被內部安全工具看見。透過聚焦於暴露給攻擊者的外部元素，EASM 能夠識別外部弱點，以及針對組織安全能力的實際威脅，作為內部安全控制的補充。

外部攻擊面管理的關鍵要素

EASM 策略將涵蓋多個面向，這些面向共同實現全面可視性、即時風險管理及主動式威脅緩解。它也包含完整資產清冊的涵蓋範圍。

1. 完整資產清冊：維持所有對外資產的最新清冊，是理解與管理攻擊面的核心。範例包括網域、IP 位址、雲端服務、Web 應用程式，以及其他與組織相關的網際網路對外資產。此類資產清冊有助於安全團隊追蹤影子 IT 與第三方資源，因為這些項目可能為組織帶來未知風險。
2. 即時監控與偵測：在此情況下，持續掃描至關重要，因為攻擊面的演變可被即時察覺。因此，外部攻擊面管理工具對網際網路進行即時掃描時，便能發現新的或已修改的資產，並針對新引入的弱點發出警示。它因此能在變更發生時立即發現，並在變更帶來潛在風險或使組織暴露於潛在威脅時發出警報。
3. 風險評估與優先排序：良好的風險評估與優先排序能力，是有效 EASM 讓組織能將精力集中於最重要風險的關鍵。在 EASM 中，系統會根據每項弱點的嚴重性與發生可能性指派風險分數，協助安全團隊更有效地運用資源，因為他們可以在高風險資產惡化之前優先修復。
4. 自動化修復：攻擊面持續演變，若缺乏修復自動化能力，便無法達成修復。暴露面與弱點會觸發立即的自動化回應，包括修補、變更組態，以及重設權限。這也能擴大修復工作的規模，同時讓安全團隊將重心轉移至更複雜或更具策略性的任務。
5. 報告與分析：詳細的報告與分析可協助組織針對其外部攻擊面做出明智決策。對風險、資產變更與修復進行詳細追蹤應可確保這一點。EASM 解決方案中的儀表板與報告將協助安全團隊與決策者檢視其攻擊面的趨勢、了解現有安全措施可能具備的有效程度，並為未來的安全策略採取有依據的方向。此類洞察對於證明符合法規標準以及衡量整體安全態勢至關重要。

EASM 如何運作？

EASM 所開發的解決方案透過自動化掃描、資料彙整及威脅情報提供最佳功能，藉由持續的定期搜尋，始終找出並判定外部數位資產。

在這方面，有數個關鍵步驟著重於盡可能找出並修補更多潛在弱點：

1. 資產探索：EASM 以資產探索為基礎，工具會利用搜尋引擎、OSINT 與專有資料來源，擷取與組織相關的所有對外網際網路資產。這包括網域、IP 位址、雲端服務、API 及其他資源。對這些資產進行對應，可全面檢視組織的外部數位足跡，而這些足跡否則可能不會被內部團隊追蹤。
2. 弱點識別： 這些工具會掃描已對應的資產，並尋找已知弱點、錯誤設定、開放連接埠、不安全的端點以及未修補的軟體。這是弱點識別步驟之一，可揭露攻擊者可能利用來入侵組織的進入點，讓組織能夠預先規劃並及早看見風險，以便進行修補。
3. 威脅偵測： 這會將 EASM 整合至威脅情報來源。透過比對即時威脅情報、資產與弱點，外部攻擊面管理工具可挑選高風險指標，例如目前攻擊中正被積極利用的那些弱點。這可讓安全團隊了解哪些威脅更為關鍵，進而使其能優先處理重大弱點。
4. 持續評估： EASM 會持續掃描對外攻擊面，並立即通知任何變更、新發現的資產或新出現的曝險。透過持續評估，可立即識別新雲端執行個體類型的變更或 Web 應用程式上的變更，讓組織能從識別當下起就評估並因應這些變更。
5. 修補建議： EASM 工具會根據風險等級與潛在影響，將修補行動排定優先順序，使組織能更妥善地規劃，並將資源投入最需要修補之處。它可讓團隊依據嚴重性及對組織的潛在影響來降低弱點風險，從而簡化回應流程。

如何建立有效的 EASM 計畫？

要妥善設計有效的 EASM 計畫，需要採用結構化方法，結合資產可視性、持續監控、威脅情報與主動回應能力。

以下是建立強健 EASM 計畫所涉及的一些主要步驟：

1. 識別並盤點資產： 首先進行全面的探索流程，以建立所有對外資產的基準盤點。此資產盤點是 EASM 計畫的基礎，可確保所有潛在攻擊向量都被納入考量並受到監控。
2. 實施持續監控： 建立持續性的流程來掃描外部環境，以在新資產、弱點與威脅出現時加以識別。持續監控可讓組織即時掌握變更，並具備即時回應動態風險的能力。
3. 整合威脅情報： 利用威脅情報來源的即時資料重新建構資產資訊，以提供有關潛在威脅與利用方式的情境背景。威脅情報整合有助於更佳的風險剖析與優先排序，進而判定哪些弱點必須優先修補。
4. 優先處理修補工作： 使用風險評分與優先排序，識別最具風險的資產與弱點並優先處理。優先處理最高風險層級的項目，可最大化資源使用效率，並降低真正重要資產曝露的可能性。
5. 制定事件回應計畫： 設計專門針對對外資產的事件回應計畫，明確界定升級路徑、溝通策略以及相關成員的角色。事件回應計畫可讓組織做好準備，快速且有效地回應影響其對外資產的事件。
6. 定期更新政策： 確保安全政策與程序保持更新，以納入組織數位資產內部的變更以及新的外部威脅。適當的對齊可讓 EASM 計畫保持即時，並能穩健因應新的情勢。

實施 EASM 策略的效益

採用 EASM 策略可在安全、營運與財務方面為組織帶來顯著效益。整體而言，這些效益可協助組織更妥善地防範來自外部來源的威脅、保護其敏感資訊，並確保安全資源的最佳化運用。

以下詳細概述採用 EASM 策略的主要效益：

• 提升可視性： EASM 提供由外而內的視角，因此組織可以看見其所有面向網際網路的資產，包括影子 IT、第三方平台和未受管理的資源。要了解並管理外部攻擊面，需要具備完整範圍的可視性；由於新的雲端服務、數位轉型工作以及對第三方的依賴，外部攻擊面通常比預期更大。確切掌握存在哪些資產及其所在位置，可強化對所有可能進入點的評估與防護，進而提升整體安全態勢。
• 主動式威脅緩解： EASM 讓安全團隊能夠透過及早識別弱點，在威脅管理中採取主動立場。EASM 工具可讓團隊掃描外部資產及其暴露面與弱點，以便在遭到攻擊者鎖定或利用之前進行修補。這表示，強化的偵測能力可大幅降低網路攻擊成功的機率；因此，組織也能將可能的損害降至最低，並確保業務持續運作。作為主動式威脅緩解措施的威脅狩獵，也能促成一種預防文化，使團隊持續努力領先威脅，而不是等到發生入侵後才採取行動。
• 降低攻擊面： 持續監控以及持續修復，會隨著時間不斷將組織的外部攻擊面降至最低。對於系統中發現的每一個弱點或可被利用的狀況，這些駭客都可能將其作為執行攻擊的切入點。透過 EASM 工具提供的風險優先排序與修復，掃描與反覆執行可降低攻擊面，使組織減少落入惡意行為者手中的可用資產。這種暴露資產的持續縮減，意味著潛在攻擊入口更少，因此使駭客極難入侵組織的虛擬空間。
• 改善法規遵循： EASM 是有助於透過維護資料保護與風險管理來實現法規要求與標準合規的資產之一。這些法規中的大多數，例如 GDPR、HIPAA 和 PCI-DSS，都要求任何公司追蹤、保護並記錄其所有資產，但重點放在面向網際網路的資產上。EASM 透過定期掃描與重新評估外部資產、提供詳細報告，以及在符合安全要求的同時保護資料的工作，協助滿足這些要求。這種合規協助不僅使組織能夠降低遭受罰則的可能性，也能建立客戶與合作夥伴的信任。
• 成本效率： EASM 策略將大幅降低高成本安全事件發生的可能性，因為它讓組織有機會主動了解自身的弱點。與遭受攻擊後的復原相比，這樣的成本顯著更低，無論是財務與聲譽損失、復原成本、法律費用、罰款，還是客戶信任的流失。更重要的是，EASM 提供了一種方式，使安全資源能夠依據資產與弱點的優先順序，更妥善地進行組織與活動流程簡化，從而將時間與預算有效分配到最關鍵的領域。

外部攻擊面管理的主要挑戰

雖然 EASM 的確能提供顯著的安全價值，但對大多數組織而言，依循最佳實務來實作與管理 EASM 解決方案仍具挑戰性。若要達到最佳 EASM 效能與強健的網路安全態勢，就必須妥善管理這些挑戰。

1. Shadow IT： Shadow IT 是指在組織內使用、但未獲 IT 部門明確核准或監督的任何 IT 系統、軟體或服務。Shadow IT 資產包括未經授權的雲端帳戶、應用程式與裝置。這些資產帶來相當大的風險，因為它們通常不會出現在一般資產清單中。由於這類資產未被看見，因此既未受到監控，也未受到攻擊防護。
2. 資產識別： 無論所有外部資產是由內部開發，還是由第三方、承包商或舊有系統外包，對其進行偵測與分類都相對複雜。EASM 解決方案應能夠在不同的雲端環境、第三方供應商或組織中不易識別的舊有系統中，偵測無法使用或未被納管的資產。應採用不同技術來確保所有外部資產都已正確盤點，以減少未受管理的進入點。
3. 誤判： 自動化掃描是 EASM 的必要組成部分，但有時會產生誤判，導致不必要的警報並為安全團隊帶來大量工作。誤判可能非常常見，進而造成警報疲勞，或使安全團隊變得鬆懈，以致未來可能無法識別真正的威脅。最佳的 EASM 解決方案必須大幅降低誤判，並提供乾淨的系統，以區分真正威脅與較輕微的問題。
4. 風險優先排序的複雜性： 組織通常在修補工作的優先排序上面臨挑戰，因為不同類型弱點的風險等級各不相同。若缺乏明確的風險優先排序架構，資源可能無法被適當運用，時間與精力也可能浪費在低風險問題上，而最關鍵的弱點卻仍未解決。因此，必須透過強健的風險評估方法來引導安全團隊，鎖定高風險資產並採取行動。
5. 可擴充性： 隨著組織成長與擴展，其數位足跡也會隨之增加，進而擴大外部攻擊面，使其變得更大且更複雜。因此，他們需要具備可擴展性的 EASM 解決方案，以延伸涵蓋新的資產、地點和服務，並提供持續監控與保護。對大多數組織而言，在採用新技術、拓展新市場或面對動態雲端環境時，可擴展性都是一項需求，因此，在所有這些情況下，組織都會持續暴露於增加的外部威脅之中。

外部攻擊面管理最佳實務

為了讓 EASM 更有效，組織應採用最佳實務，以促進主動式管理、有效的資源運用，以及在以下方面持續改進：

1. 定期資產探索： 定期執行資產探索掃描，以確保所有外部資產（包括新的或最近修改的資產）都能被偵測並加入盤點。定期探索有助於掌握外部環境中的變更，包括在 IT 不知情下建立的資產，從而降低 Shadow IT 的風險，並讓資產記錄保持準確且最新。
2. 自動化監控與警示： 將監控與警示自動化可減少人工工作負擔，並確保及時掌握外部環境中的變更。例行掃描、弱點警示以及對新資產的即時追蹤，有助於提升安全團隊對威脅的回應能力，並在威脅變得更嚴重之前更有效地加以緩解。
3. 納入威脅情報： 將即時威脅情報加入 EASM，可讓組織根據最新的威脅資料來建立風險脈絡。威脅情報可透過顯示哪些弱點實際上正遭到主動利用或鎖定，來協助弱點優先排序，進而引導更聚焦的修補工作。
4. 與弱點管理整合： 因此，EASM 應與 弱點管理 工具整合，以展現全方位的安全方法。此整合可確保安全團隊從單一來源追蹤內部與外部弱點；因此可提升可視性，並支援對整個組織數位生態系的整體風險進行更一致的管理。
5. 經常檢視與更新政策： 數位轉型計畫推進得越多，外部攻擊面也會越加擴展。因此，必須定期檢視並更新安全政策，尤其是在新的數位計畫、併購或雲端使用變更之後。讓這些政策保持最新，可確保與最新的安全需求及數位資產適當對齊，從而讓組織做好準備，以具韌性的姿態面對外部威脅。

選擇 EASM 工具時的考量

選擇 EASM 工具時，應確保解決方案具備完整性、可擴充性與適應性，以滿足組織不斷演變的數位與安全需求。以下是一些考量事項：

1. 全面涵蓋： 優秀的 EASM 工具應涵蓋所有廣泛的外部資產，例如網域、IP 位址、雲端服務、API 與第三方系統。這種完整涵蓋對於避免盲點至關重要，才能讓安全團隊追蹤整個外部攻擊面。對於擁有大量數位產品的組織而言，這點尤其重要，因為其所有對外暴露於網際網路的元件都需要持續監控。
2. 可擴充性： 組織經常透過新的雲端服務、合作夥伴關係與併購來擴展其數位環境。具備可擴充性的 EASM 工具可隨組織一同成長，在不犧牲效能的情況下容納更多資產、雲端環境與遠端辦公據點。可擴充性有助於確保隨著組織攻擊面的成長，安全團隊仍能維持一致的可視性與控制能力。
3. 整合能力： 將 EASM 工具與其他安全解決方案整合，例如 SIEM 平台、弱點管理系統與事件回應工具，可簡化工作流程並集中監控。此整合支援協調式警示與回應，縮短偵測與回應威脅所需的時間。例如，EASM 與 SIEM 的整合可將外部資產警示與內部威脅進行關聯分析，提供更全面的安全態勢視圖。
4. 易於使用的介面： 具備直覺式介面與可自訂儀表板，代表安全團隊能快速存取並分析關鍵資訊。易於使用的設計可縮短新使用者的訓練時間，也能減少警示疲勞，因為團隊只需專注於高優先順序威脅。易用性可確保安全專業人員能充分運用工具功能來監控與保護外部資產。
5. 威脅情報強化： 威脅情報可讓風險更具體，協助團隊根據已知且活躍的威脅來排定弱點優先順序。整合威脅情報的 EASM 工具可提供新興風險的即時資訊，例如 threat actor 活動、利用趨勢等，讓組織能專注於最迫切的問題。這種強化對於建立知情且主動的安全決策流程至關重要。
6. 自動化選項： EASM 自動化可大幅減少在資產探索、警示與弱點優先排序方面所需的人工投入。自動化工作流程也能改善回應時間，讓團隊專注於策略性計畫，而非處理重複性工作。高度自動化的 EASM 工具可提升效率、將人為錯誤降至最低，並進一步讓安全計畫更具韌性。

結論

在這個日益複雜的數位環境中，EASM 在保護組織面向網際網路的資產方面扮演關鍵角色。它可確保這些資產持續具備即時可視性，從而促進識別弱點、排定風險優先順序，以及主動回應來自外部世界的攻擊。如此一來，安全團隊便能在潛在問題遭到利用之前加以遏止，讓組織面臨最低程度的網路威脅。

高效的 EASM 計畫建立於正確工具、持續監控，以及持續資產探索流程與威脅情報整合等最佳實務的結合之上。具備可擴充性的 EASM 策略可確保其隨組織良好成長，同時也能整合至其他安全平台，以形成統一的安全態勢。

組織透過導入 EASM，不僅能提升對外部風險的可視性與控制能力，也有助於法規遵循工作、縮小攻擊面，並整體提升對網路攻擊的韌性。隨著外部威脅持續演變，EASM 是組織不應忽視的主動式防禦措施，可用來保護其數位足跡。