什麼是持續性威脅曝險管理（CTEM）？

在本文中，我們將討論什麼是 CTEM（持續性威脅曝險管理）、其核心組成、運作方式、優勢、挑戰、最佳實務，以及如何選擇合適的 CTEM 工具，在網路威脅造成任何損害之前加以監控並消除。

什麼是持續性威脅曝險管理（CTEM）？

持續性威脅曝險管理（CTEM） 是一種自動化的網路安全管理技術，可協助組織識別安全弱點與缺口、加以修補以降低威脅曝險，並保護其系統與資料。其方式是持續評估您的 攻擊面、測試防禦措施，並即時處理弱點。

CTEM 會評估組織的完整生態系統，包括網路、資產、裝置、系統等，以識別攻擊者可加以 利用 的弱點。它會掃描組織的 IT 系統，以找出安全漏洞、組態錯誤、遺漏的更新與修補程式等。這有助於安全團隊在網路犯罪分子利用這些問題之前立即處理威脅，進而提升 網路韌性。

為什麼 CTEM 很重要？

傳統的 網路安全工具 與框架不足以對抗進階網路攻擊。攻擊者會在您的系統與第三方工具中尋找安全弱點，或利用不良的安全管理來威脅您的組織。他們也會利用供應鏈弱點、未使用的使用者帳戶、弱密碼以及人為錯誤來滲透您的系統。

令人擔憂的是，傳統工具往往無法偵測到這些問題，導致未經授權的存取、資料外洩及其他攻擊。這就是為什麼您需要主動式而非被動式的安全策略來維持安全。CTEM 提供持續性的安全監控，可在網路威脅危害您的系統並竊取資料之前加以識別、分析與緩解。

CTEM 提供的內容：

• 降低風險曝險：CTEM 會持續評估您組織的攻擊面、識別安全弱點並排定網路威脅的優先順序。這有助於您在安全缺口演變為嚴重風險之前將其補上。

• 提升可視性：現代組織在地端、混合式與雲端基礎架構中運作，並且也支援自帶裝置（BYOD）的工作文化。CTEM 會持續掃描您的數位資產，無論位於外部或內部，以協助安全團隊找出弱點並採取主動措施。

• 為威脅做好準備：CTEM 即時提供威脅情報與自動化威脅修復能力，以有效對抗新的攻擊技術。

• 法規遵循：組織需要證明其符合產業標準，以避免法律後果與罰款。CTEM 會持續監控並記錄安全事件，以協助您維持法規遵循。

CTEM 的核心組成

CTEM 提供一種持續且主動的方法來識別並消除安全風險。若要在您的組織中實施它，您需要了解 CTEM 的一些關鍵組成，以及它如何協助您維持強大的安全態勢。

• 資產探索與管理：持續性威脅與曝險管理會追蹤您的數位資產，例如伺服器、雲端環境、端點與第三方整合，並更新資產清冊。如此一來，它可偵測未受保護的裝置，並提供跨多個環境的可視性，以管理您的資產並保護其免受網路攻擊。
• 風險評估：CTEM 使用自動化安全掃描器來監控威脅，並執行弱點評估以持續找出安全風險。它會評估過時軟體、存取控制與錯誤組態，讓您能即時調整並處理弱點。

• 攻擊路徑分析：攻擊路徑分析可協助您了解網路犯罪分子如何入侵、存取了哪些內容，以及竊取了哪些資料。它會模擬攻擊情境，以揭露安全缺口、識別需要套用修補程式的高風險路徑，並強化存取控制機制與其他防禦措施。

• 安全測試與驗證：您可以定期執行滲透測試來檢視防禦能力，並進行安全態勢評估以評估改善成效。執行攻擊模擬演練，以測試您的事件回應計畫是否有效。

• 自動化修復：CTEM 的自動化修復與回應系統可讓您自動修補弱點、部署 AI 驅動的安全自動化，並縮短例行事件回應工作的處理時間。

• 威脅情報：CTEM 運用威脅情報能力，始終領先攻擊者一步。這包括分析對手的戰術、程序與技術，並使用 AI 驅動的預測分析來識別並修復攻擊向量。

持續性威脅曝險管理（CTEM）如何運作？

CTEM 是一種以循環方式運作的結構化流程，可提供您組織攻擊面的可視性。它讓您的安全團隊能即時識別、排定優先順序、驗證並消除風險，並重複此流程，以持續保護您的資料與系統免受攻擊者侵害。

CTEM 分為五個階段運作——範圍界定、探索、優先排序、驗證與動員。讓我們來討論持續性威脅曝險管理框架如何在這些階段中運作，以消除威脅並改善安全態勢。

步驟 1：範圍界定

CTEM 的第一個流程是定義您可能面臨的威脅與攻擊範圍，並建立行動計畫。使用關鍵績效指標（KPI）來評估您組織攻擊面的風險等級。

為此，您需要遵循以下步驟：

• 識別關鍵資產： 安全團隊需要識別內部和外部資產，例如資料庫、應用程式、雲端基礎架構和端點。

• 定義攻擊向量： 安全團隊必須分析最相關且最危險的網路威脅，以及它們用來進入您組織的戰術。如果您了解攻擊路徑，就能輕鬆定義範圍。

• 建立安全目標： 您的安全工作必須符合標準安全要求和風險容忍度，才能通過稽核流程。為此，隱私與安全專業人員必須定義安全目標，以符合產業標準。

• 設定評估邊界： 您可以定義 IT 生態系統中哪些部分將納入範圍，讓安全團隊只專注於這些資產。請考慮優先處理高價值資產和關鍵業務營運，以保護它們免受網路威脅。

透過清楚且精確的範圍，您可以確保 CTEM 工作有效、協調一致，並與您的業務安全目標保持一致。

步驟 2：探索

範圍準備就緒後，安全團隊會執行內部探索流程，以列出所有資產、識別弱點、偵測安全缺口，並了解風險。CTEM 框架可協助組織使用特定工具發現弱點和錯誤設定。

在探索階段，您必須：

• 繪製資產清冊： 建立資產清單，無論是內部或外部資產，包括應用程式、IoT 裝置、第三方整合、網路和端點。這將幫助您了解哪些資產可能成為利用的目標。

• 評估弱點： CTEM 會自動掃描您的資產，以識別弱點和安全缺口。這將使安全團隊能夠列出過時軟體、薄弱的安全控制措施和錯誤設定。

• 整合威脅情報： CTEM 與威脅情報整合，以偵測和分析可能損害您聲譽並導致高額罰款的新興攻擊方法。

• 識別未受管理和影子 IT 資產： 安全團隊必須發現未經授權的軟體，這些軟體可能協助網路犯罪分子進入您的系統。

CTEM 的探索步驟可協助組織清楚了解攻擊向量，並在其利用您的系統弱點之前採取行動。

步驟 3：優先排序

在此階段，安全團隊會根據風險等級，對已發現的安全風險進行優先排序。網路威脅曝險管理計畫會根據威脅的可利用性和影響，為問題指派優先等級。

此步驟可讓您：

• 檢查基於風險的弱點評分： CTEM 可讓您使用不同的框架和風險模型，為已發現的安全問題指派優先等級。

• 評估業務情境： CTEM 可讓您了解已發現的弱點如何影響您的業務營運和資料安全。

• 關聯威脅情報： 安全團隊會分析該弱點是否可能遭到利用，進而妨礙您的關鍵業務營運。這有助於您決定應優先處理哪個弱點。

• 篩除低風險項目： CTEM 讓安全團隊能夠監控和分析您網路中的所有必要資產，以篩除不會對您的系統構成重大威脅的低影響威脅。

透過風險優先排序，安全團隊可以根據優先順序分配資源，並在適當時機處理最危險的風險，以防止安全事件發生。

步驟 4：驗證

在此階段，安全團隊會針對已知威脅驗證現有安全控制措施的有效性。網路威脅曝險管理計畫會利用其服務能力，例如攻擊模擬和自動化滲透工具，來評估先前發現的曝險、估算攻擊影響，並測試您的回應計畫。

若要驗證您的控制措施，請執行：

• 滲透測試與攻擊模擬： 駭客的目標是利用您系統中的弱點並取得未經授權的存取權。安全團隊必須執行滲透測試並模擬攻擊情境，以了解攻擊者如何取得您系統的存取權。

• 對手模擬： 安全團隊會複製網路犯罪分子的戰術、技術和程序 (TTPs)，以建立真實情境來測試組織的安全控制措施。

• 評估安全策略： 測試您目前的策略是否足以偵測並消除風險。如果不足，就該加以精進。

• 評估業務影響： 了解威脅如何在財務、聲譽、資料遺失、法規遵循等方面影響您的業務，並將其與您的風險承受度進行比較。

透過 CTEM，您可以驗證安全控制措施，並指示安全團隊將重點轉向構成立即危險的高風險攻擊。

步驟 5：動員

這是 CTEM 的最後階段，可讓組織採取措施修補安全風險。在此階段，安全團隊會與開發人員和產品負責人合作，修補威脅和弱點。他們會套用修正、部署修補程式、更新系統和應用程式、設定組態、落實安全策略等等。

動員流程的關鍵步驟包括：

• 變更組態並套用修補程式： 安全團隊會套用更新、修補程式和重要的安全措施來修補漏洞。

• 改善安全控制： 您必須改善目前的安全控制、使用自動化安全工具以節省時間，並指示組織中的每個人遵循嚴格的安全政策，以防止未經授權的存取並降低風險發生的可能性。

• 安全意識： 向員工宣導有關網路威脅、如何防範這些威脅，以及應遵循的最佳安全實務的安全意識。

• 持續監控： 組織必須持續監控新的網路威脅，並據此調整策略。

CTEM 以循環方式運作；當您完成所有階段後，不必就此停止。請持續重複這些流程，以持續發現威脅與漏洞、排定其優先順序、進行修補，並維持對攻擊者的防護。

持續性威脅曝險管理的優勢

持續性威脅曝險管理（CTEM）可識別、評估並消除安全風險，協助組織避免新興網路威脅。

以下是 CTEM 的一些優勢：

• 威脅管理： 傳統安全框架著重於在威脅發生後進行回應。但 CTEM 框架可讓組織在攻擊發生前識別漏洞、監控整個攻擊面的威脅曝險，並使用攻擊模擬來強化防禦。這將有助於組織降低勒索軟體感染、資料外洩和零時差攻擊的風險。

• 完整的風險可視性： 大多數組織因組態錯誤、第三方風險和影子 IT，而無法找出其安全態勢中的盲點。CTEM 會持續監控並發掘所有數位資產，以檢查安全性是否足以應對即將到來的風險。它也會在攻擊者利用暴露或未受保護的資產之前，驗證這些資產是否已受到保護，而安全團隊則可即時掌握攻擊面的視圖。

• 威脅優先排序： 組織每天都會收到大量安全警示，其中大多數為誤判或漏判。如果您專注於處理每一則警示，將耗費大量時間與資源。CTEM 使用以風險為基礎的優先排序，區分最關鍵的漏洞與低優先順序的威脅。它也使用以 AI 為基礎的分析，根據可利用性、業務情境和影響來對風險進行排序。這將讓您清楚了解哪些安全缺口需要優先修補。

• 縮小攻擊面： CTEM 可識別並關閉多個環境中的錯誤組態設定，以將組織暴露於網路威脅的程度降到最低。它可協助您找出並移除過時軟體和未使用的帳戶，並實施最低權限存取以限制未經授權的存取。

• 更快的回應： CTEM 可實現即時監控，並與威脅情報來源整合，以偵測已發現的漏洞、因應攻擊技術，並縮短對網路威脅的回應時間。這將協助您在新攻擊成為組織的嚴重問題之前加以處理。

實作 CTEM 的挑戰

雖然 CTEM 提供結構化且主動式的方法，協助您的組織在網路威脅面前保持領先，但組織在實作時仍會面臨挑戰。各種因素會引發這些挑戰，並可能阻礙您成功實施 CTEM 計畫。

• 監控與評估的複雜性： CTEM 需要持續評估您所有資產中的風險。對安全團隊而言，要管理包含過多系統與端點、遠端工作文化、BYOD 政策等在內的廣泛攻擊面，將是一項挑戰。許多公司仍在孤島式的安全環境中運作，這使得他們難以取得所有網路風險的單一視圖。

解決方案： 組織可以使用自動化安全工具來管理其攻擊面，並自動監控漏洞。他們也可以部署以 AI 為基礎的分析來關聯網路風險並取得洞察。

• 資料過載： CTEM 會持續監控威脅曝險，並產生各種安全警示與日誌。安全團隊難以處理如此龐大的資料量，這往往導致錯失關鍵威脅。

解決方案： 您可以使用以 ML 為基礎的威脅情報來分類高層級與低層級威脅。實施以風險為基礎的優先排序，將更多焦點放在高可利用性的威脅上，以節省時間與資源。

• 技能不足： CTEM 不是一項技術，而是一個需要威脅情報、持續風險管理流程、滲透測試和網路安全專業知識才能運作的計畫。然而，技能水準較低的專業人員會發現難以實作它並管理威脅曝險。

解決方案： 您可以投資於網路安全訓練計畫，以提升您的安全團隊在 CTEM 方面的技能。著重改善攻擊路徑分析、安全驗證和紅隊演練。此外，您也可以投資以 AI 為基礎的安全自動化軟體，以減少手動工作負擔。

• 成本與資源限制： 在實作 CTEM 時，中小型企業會發現很難合理化安全工具、技術人才、雲端原生技術和自動化的成本。規模較小的組織通常沒有資源來驗證持續性的安全檢查，例如紅隊演練和攻擊模擬。

解決方案： 您可以利用開源安全工具來降低成本，並以分階段方式開始採用 CTEM，優先聚焦於關鍵資產。您也可以將 CTEM 功能外包給 Managed Detection and Response (MDR) 供應商，例如 SentinelOne Vigilance。

• 法規遵循問題： CTEM 會持續監控您的所有資產，並蒐集網路、使用者和裝置的資料以進行分析。這可能會引發隱私疑慮以及與產業標準相關的法規遵循風險，例如 HIPAA、GDPR 和 CCPA。

解決方案： 您首先需要做的是定期稽核 CTEM 流程，以檢查該流程是否符合法規要求。找出法規遵循缺口並加以補強。您可以使用資料匿名化和加密來保護機密資訊與使用者資料。

有效實作 CTEM 的最佳實務

當您有效實作 CTEM 以改善安全態勢時，將需要採用以風險為基礎、自動化且具策略性的方法。組織需要確認，在將 CTEM 整合至其既有安全框架時，是否能獲得即時威脅情報、持續性安全評估，以及主動式修復能力。

讓我們來討論可將 CTEM 實作成效最大化的最佳實務：

• 定義清晰的路線圖： 明確定義與您目前安全目標一致的 CTEM 目標，包括縮小攻擊面、改善威脅偵測，以及維持合規。設定可衡量的 KPI，並在 CTEM 策略中優先處理重要資產。

• 探索並繪製攻擊面： 使用 Attack Surface Management (ASM) 工具來識別並保護網路中的所有資產。找出並消除遭棄用的雲端服務、影子 IT 等，並確保安全控制涵蓋您所有關鍵系統。

• 實作風險優先排序： 建立以風險為基礎的優先排序規則，優先處理高度脆弱的資產，以分析並防止網路攻擊。使用以 AI 為基礎的分析來找出漏洞與攻擊模式之間的關聯。

• 自動化安全驗證： 實作攻擊模擬工具以驗證防禦控制。執行紅隊演練以進行滲透測試並模擬攻擊，藉此識別弱點。您也可以使用紫隊演練來改善 blue team（防禦）與 red team（攻擊）之間的協作。

• 建立修復工作流程： 針對高風險漏洞自動化進行組態強化與修補程式部署。實作 zero trust architecture 並改善 incident response plans，以更快修復威脅。

• 監控外部安全： 持續評估外部安全風險，並透過網路威脅與曝險管理來管理第三方供應商風險。使用分析工具偵測第三方程式碼中的風險，並實作零信任控制，以對敏感資料提供有限存取權限。

如何選擇合適的 CTEM 工具？

組織必須選擇合適的 CTEM 工具來管理網路威脅。合適的解決方案可提供持續性風險評估、攻擊面可視性、自動化安全驗證，以及無縫整合。

您可以根據以下關鍵因素選擇工具：

• 識別組織需求： 組織的安全需求會依其攻擊面、漏洞、經常面臨的風險，以及其他獨特的業務挑戰而有所不同。設定安全目標，並決定哪些控制最能解決您的挑戰。例如，決定您是否需要資產探索、曝險監控、自動化風險評估、風險優先排序等。將符合您安全需求的多個 CTEM 工具列入候選名單。

• 追蹤功能： 根據您手上的 CTEM 工具清單，您可以探索其功能，並確認它們是否支援持續性的攻擊面可視性、持續監控、威脅情報整合、可擴充性、即時客戶支援、易於使用的介面，以及報告功能。在做出決策時，務必檢視平台的聲譽與產業經驗。

• 檢查自動化與 AI 式修復： 安全團隊通常缺乏資源與時間，無法同時管理大量安全資料。優秀的 CTEM 工具會自動提供修復建議，並提供以 AI 為基礎的安全調適。

• 與既有安全工具整合： 合適的 CTEM 工具可與您現有的安全工具協同運作。請確保該工具能與 XDR、SIEM 以及 vulnerability management 工具良好整合。為了自動化風險修復流程，CTEM 工具也必須與 ITSM 平台整合。

• 評估合規需求： 可靠的 CTEM 工具必須支援各種法規要求，並提供持續監控與可供稽核的報告。它必須提供各項功能，例如自動化合規評估、即時合規儀表板、稽核日誌與鑑識分析，以及預先設定的安全政策。

SentinelOne 適用於 CTEM

SentinelOne 提供先進的工具與技術，以降低組織暴露於網路威脅的風險並防範攻擊。它可識別、排序並處理威脅，以保護您的資料與系統。無論您的 IT 基礎架構多麼複雜且多樣化，該平台都具備可滿足您所有安全與隱私需求的解決方案。

SentinelOne 的 Singularity Threat Intelligence 功能可讓您更深入了解您的攻擊面。它運用每年 1800+ 起事件應變與每年 20 萬小時事件應變所獲得的洞察。它也擁有分布於 30 個國家的 500 位威脅情報專家。它會監控您的系統、應用程式與網路，以找出對手並主動回應。除此之外，SentinelOne 還提供其他實用工具，例如 Singularity Vulnerability Management 和 XDR，以偵測並移除威脅。

Singularity™ Platform

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

結論

隨著網路犯罪持續增加，Continuous Threat Exposure Management (CTEM) 可讓您在網路威脅危害系統之前主動加以消除。它提供持續性漏洞評估、驗證、以風險為基礎的優先排序、完整的攻擊面可視性等。

CTEM 著重於即時資產監控與改善修復技術，以縮小攻擊面。它可解決警示疲勞、技能短缺、預算與資源限制，以及與既有工具整合等挑戰。它運用以 AI 為基礎的威脅情報、整合安全驗證技術，並協助您符合合規法規。請務必讓 CTEM 與您的業務目標保持一致，以將此框架的成效最大化。

如果您正在尋找可在 IT 基礎架構中實作 CTEM 的可靠平台，讓 SentinelOne 協助您。 觀看示範以探索.