什麼是威脅曝險管理 (TEM)？

威脅曝險管理是一種整合式安全方法論，可協助以主動方式偵測並緩解威脅。將威脅情報、攻擊面管理與弱點評估整合至單一系統中，可讓組織在安全曝險遭利用之前加以發現、排序優先順序並修補。

在這篇部落格中，我們將討論威脅曝險管理的不同要素、如何實作、常見挑戰、最佳實務，以及如何衡量成效。我們也將了解威脅曝險管理如何因應雲端與混合式環境而演進，以及 SentinelOne 如何支援這項任務關鍵的安全功能。

什麼是威脅曝險管理？

威脅曝險管理 (TEM) 是一種結構化的安全方法，結合威脅情報、弱點管理與攻擊面監控，根據對組織的實際風險來識別、評估並排序潛在安全曝險的優先順序。不同於主要著重於弱點識別的傳統安全方法，TEM 採取更廣泛的視角，考量整體威脅環境，以及特定弱點在您獨特環境中可能遭利用的方式。

傳統的弱點管理通常遵循掃描、識別、修補與重複的週期性模式。這種方法往往會產生大量弱點報告，但對於哪些問題會對組織構成實際風險，提供的脈絡卻相當有限。  威脅曝險管理透過納入威脅情報與攻擊面分析來強化弱點管理，以判斷攻擊者正積極鎖定哪些弱點，以及哪些資產曝險程度最高。

威脅曝險管理的關鍵組成要素

威脅曝險管理包含彼此關聯的功能與流程，旨在偵測、評估並修補安全曝險。

威脅情報整合

威脅情報整合是蒐集、分析並使用組織所掌握之現有與潛在入侵和攻擊資訊的過程。此要素將外部世界的威脅指標與公司內部的安全資料整合，使團隊能夠更全面地檢視整體威脅態勢。有效整合威脅情報意味著篩選出哪些資訊相關、哪些不相關，讓團隊能專注於對特定環境與業務營運構成風險的事項。

攻擊面探索與映射

攻擊面探索意指識別攻擊者可用來存取系統與資料的所有可能入口點。這將需要盤點所有項目，也就是列出所有裝置、應用程式、雲端資源、帳戶等，並了解它們的設定方式以及彼此之間如何連接。現代環境變化迅速，因此這項探索流程必須持續進行，而非一次性作業。

威脅建模與模擬

威脅建模提供一種系統化方法，根據設計與架構來識別並評估系統與資料所面臨的威脅。它包括從攻擊者的角度檢視系統，並判定安全漏洞與可能的攻擊路徑。威脅建模適用於每個應用程式、系統、網路或完整的業務流程。

弱點脈絡與影響評估

弱點脈絡不只是找出安全弱點，而是更深入地評估這些缺陷在環境中的實際影響。這包括評估弱點是否真的可被利用、哪些系統與平台受到影響，以及這些系統所維護或控制的資料與功能為何。

以風險為基礎的優先排序

此工具的風險導向優先排序功能，會根據透過整體企業管理器其他所有元件蒐集的資料，對需要修正的曝險進行優先排序。此排序會考量弱點嚴重性、受影響資產的價值、活躍威脅、現有緩解控制措施，以及修補所需的工作量等因素。

有效威脅曝險管理的效益

實施全面性的威脅曝險管理計畫可帶來多重效益，同時改善安全成果與營運效率。

先發制人的威脅緩解

透過威脅曝險管理，組織可以在攻擊者發現安全缺口之前先行找出並修補。將威脅情報與弱點資料結合使用，可協助安全團隊了解哪些弱點實際上風險最高，並據此排定修補工作的優先順序。這種早期介入方式可避免標準的被動式安全措施循環，也就是團隊在攻擊開始後才匆忙修補系統。

最佳化安全資源配置

人力、時間與有限預算，是組織中 90% 安全團隊共同面臨的現實。威脅曝險管理提供解決方案與指引，聚焦於少數最重要的安全問題。團隊可以專注於那些對實際資產構成真正風險的弱點，而不是試圖全部修補。

加速平均修補時間

傳統弱點管理可能會在團隊嘗試安排工作優先順序時，造成未處理弱點的積壓。這正是威脅曝險管理發揮作用之處，它能明確告訴團隊哪些弱點應優先處理，從而加快修補速度。這是一種更具針對性的方法，可讓團隊快速完成修補工作，並縮短攻擊者可乘之機的時間窗口。

強化安全態勢可視性

威脅曝險管理有助於全面掌握組織的安全態勢。TEM 不再提供彼此孤立的弱點、威脅或資產視圖，而是形成一幅這些元件彼此關聯表現的整體圖像。採用這種整體觀點，可讓安全主管了解其真實安全態勢，並觀察其隨時間的變化。

改善高階主管溝通

威脅曝險管理最廣為人知的優勢，在於能圍繞技術性安全資料提供可採取行動且與業務相關的脈絡。當安全團隊能夠展示組織最關鍵的業務功能如何因特定威脅而面臨風險，以及安全活動如何降低這些威脅帶來的風險時，高階主管便能更清楚理解安全的價值。

如何建立威脅曝險管理策略

要實施成功的威脅曝險管理策略，需要經過周密思考，並在各種安全功能之間進行協調。

明確目標

第一步是識別清楚且具體的目標，並使其與組織整體的安全與業務目標保持一致。這些成果可能包括縮短修補關鍵弱點的時間、提升跨雲端環境的可視性，或根據真實風險更有效地排定安全工作的優先順序。

評估目前能力

分析目前用於弱點管理、威脅情報與資產探索的既有工具、流程與技能。找出團隊需要補足的缺口，以協助組織達成其 TEM 目標。

技術選擇

專注於那些有助於重要 TEM 活動的工具。例如，弱點掃描器、威脅情報平台、攻擊面管理工具、風險評分與整合。選擇符合組織需求的互補技術。

流程開發

組織應定義工作流程、決策標準、升級路徑與報告需求。清楚記錄這些流程，並訓練所有相關人員，以確保一致性。

識別並排序威脅曝險優先順序的步驟

資產探索與分類是識別並排序威脅曝險優先順序的基礎。此方法會盤點環境中的每項資產及其在業務中的角色、儲存的資料類型，以及業務功能。所有後續的優先排序決策都建立在準確的資產資訊之上。

完成資產探索後，請透過多種向量執行全面性的弱點掃描。以滲透測試、程式碼分析及組態評估，以找出自動化掃描器可能遺漏的弱點，從而建立整個環境中可能存在漏洞的完整清冊。

下一步是以情境資訊強化漏洞資料。這包括了解哪些漏洞可在環境內被利用、哪些具有任何人都可使用的公開 exploit，以及哪些正遭威脅行為者在實際環境中積極利用。這項處理會將原始漏洞資料轉化為可用的安全情報。

下一步是風險評分。每個暴險都會根據漏洞的嚴重性、漏洞所在資產的重要性、關於漏洞可利用性的威脅情報，以及現有安全控制的有效性來指派風險分數。這將依據暴險對組織造成的實際風險進行排序，而不僅僅是技術嚴重程度（例如 CVSS）。

定義由高到低的風險分數，並設定相關的修復門檻，使高風險暴險優先處理，而較低風險的問題則落入明確定義的修復時程。記錄這些門檻的理由，以便做出一致的決策，並回應利害關係人對優先順序決策的任何詢問。

衡量威脅暴險管理的指標與 KPI

需要結合作業指標與成果指標，才能評估威脅暴險管理的有效性。暴險涵蓋率指標是衡量環境中有多少百分比受到 TEM 計畫涵蓋。這涵蓋了已發現、已分類並定期掃描的資產比例。涵蓋率偏低代表存在盲點，而未知暴險可能就存在於這些盲點中。

時間型指標可反映識別與修復暴險的速度。關鍵指標包括 MTTD（平均偵測時間），用於識別發現新漏洞的速度、MTTR（平均修復時間），以及從 IT 管理員得知漏洞到完成修復的平均解決時間。縮短這些時間是作業效率良好的明確跡象。

風險降低指標是衡量 TEM 活動對整體組織安全態勢影響的方式。這些指標可能包括高風險暴險總數、所有資產的平均風險分數，或零高風險暴險的關鍵資產百分比。

這些指標用於評估威脅暴險管理計畫在最佳化其可用豐富資源方面的成效。範例包括每工時追蹤了多少已修復的暴險、有多少百分比的問題是自動修復的，或花在高風險與低風險暴險上的時間量。這些指標有助於找出流程改善與自動化機會。

常見的威脅暴險管理挑戰

在導入威脅暴險管理的組織中，常見挑戰可能限制其計畫的有效性。

威脅情報過載

可取得的大量且多樣化威脅情報，往往讓組織難以有效管理。安全團隊每天都會被數千個威脅指標淹沒，因此判斷哪些與其環境相關成為一項挑戰。過多的警示可能導致嚴重威脅被漏偵測，或讓誤判的調查耗費過多時間。

跨環境可視性有限

隨著世界變得更加複雜且組織轉向分散式環境，他們發現很難維持 100% 的可視性。雲端、影子 IT、遠端工作端點及 IoT 裝置都會形成盲點，使暴險得以持續存在。

資源與專業能力限制

TEM 需要具備威脅建模、漏洞掃描及風險態勢管理方面的專業知識。這種技能落差使許多組織缺乏合格的安全專業人員，進而阻礙有效的 TEM 計畫落實。

技術整合問題

TEM 可能是由不同技術組裝而成，且需要黏合機制才能協同運作。多數組織擁有彼此脫節的工具，導致資料孤島、手動流程，以及缺乏一致性的結果。這種碎片化會造成效率低落與安全防護網中的缺口。

作業摩擦

TEM 計畫的實施經常會在安全團隊與其他營運團隊之間引發衝突。同時，安全團隊在修復方面承受高度壓力，而 IT 營運則必須在安全性、 可用性與效能能力之間取得平衡。

威脅暴險管理最佳實務

在威脅暴險管理方面表現良好的計畫會採用最佳實務，不僅能從流程中擷取最大的安全價值，也能降低作業摩擦。

實施持續探索流程

若要成功達成持續探索，組織需要結合多種探索方法，例如網路掃描、以代理程式為基礎的監控、API 整合及日誌分析。這些方法必須涵蓋環境中的所有要素，從地端基礎架構到雲端服務再到端點裝置。

將威脅與您的環境脈絡化

安全團隊需要將外部威脅情報對應到內部所見的資產與漏洞。這需要詳細的環境地圖，包括網路分段、存取控制及資產相依性。為了預測哪些威脅比其他威脅更可能影響組織，威脅情境應提供攻擊者通常具備的動機與能力背景，以及他們通常選擇的目標類型。

採用以風險為基礎的優先排序

當優先排序納入生態系統的各個面向時，就會更有效，包括漏洞嚴重性、資產關鍵性、威脅情報、可利用性及現有控制。所有這些因素都會形成綜合分數，進而為修復策略提供依據。此評分應以一致的方式計算，以維持不同暴險類型之間的可比較性。

跨安全功能整合

整合的第一步是透過技術整合，讓安全工具能自由共享資料並在需要時進行關聯。漏洞掃描器應整合至 SIEM 解決方案，接著應延伸至威脅情報平台與安全協調工具。這類連結可建立自動化工作流程，能在無需任何額外人工互動的情況下，引導資料從偵測到分析再到修復。

衡量並報告成效

企業必須為 TEM 維持完整的指標組合，涵蓋從資產探索涵蓋率到修復時間再到風險分數趨勢的一切。這些指標必須隨時間監控，以觀察安全成效是否有任何改善或下降。應頻繁檢視這些指標，以發現流程中的潛在問題與改善機會。

雲端與混合環境中的威脅暴險管理

威脅暴險管理在雲端與混合環境中面臨獨特挑戰。雲端安全態勢管理（CSPM）是 TEM 最重要的領域之一。CSPM 工具 會監控雲端組態是否符合安全最佳實務與法規遵循要求，識別可能暴露敏感資料、改變資源行為及／或導致資料外洩的錯誤組態。這些工具透過不同的 API 與雲端平台通訊，並持續監控雲端資源與組態。

身分與存取管理的重要性在雲端環境中特別提高，因為網路邊界只能提供有限的保護。對於雲端，TEM 應探索並評估身分組態、特權帳戶及存取原則。這需要聚焦於權限過高的帳戶，以及可將跨雲端驗證作為攻擊向量使用的可用路徑。

雲端 TEM 的另一個基礎支柱是 容器安全。這類暴險在容器環境中屬於新型態，範圍從有漏洞的基礎映像到不安全的協調組態。因此，TEM 計畫必須具備容器專屬的探索與評估能力，以因應這些風險。

SentinelOne 如何實現威脅暴險管理

SentinelOne 安全解決方案的核心能力可實現有效的威脅暴險管理。該平台提供整合式端點防護、雲端安全及威脅情報，以在各種環境中提供整合的可視性與控制。

SentinelOne 是一個 Singularity Platform，提供次世代 端點安全，具備即時偵測與回應能力。平台中的系統代理程式會持續監控端點，不僅偵測已知弱點，也會偵測可能暗示未知威脅的行為。

SentinelOne 透過 Threat Intelligence 功能強化曝險優先排序，指出威脅行為者正積極鎖定哪些資產。其平台整合來自多種來源的資訊，例如公司的全球感測器網路、威脅研究團隊，以及第三方情報來源。

SentinelOne 擁有統一的管理主控台，可提升整體安全環境的可視性。企業可利用該主控台在單一檢視中查看弱點資料、威脅情報和偵測事件，以及這些因素彼此之間的關聯。

結論

Threat Exposure Management 是從被動式安全邁向主動式安全風險管理的務實橋樑。TEM 將完整的資產探索、具情境脈絡的弱點評估與威脅情報整合在一起，讓安全團隊能以有限資源處理真正重要的曝險。只專注於需要保護的項目，可提升安全成效，同時確保更有效率地運用資源。

TEM 是透過正確的技術、流程與專業能力的組合來實現的。組織需要建立持續探索能力、整合威脅情報，並建立以風險為基礎的優先排序框架。他們也需要促進資安、IT 營運與業務利害關係人之間的協作，以確保安全性與業務情境保持一致。隨著我們所處的數位環境日益複雜，以及鎖定這些環境的威脅行為者愈加成熟，對威脅曝險管理的需求也將持續上升。