出版以来我第一次攻击表面管理报告(ASM),找到并与攻击表面覆盖你的资产管理(我最喜欢的一个标题日期),市场已经在许多不同的方向和发展几个口味和缩略词。Forrester定义了ASM总体如下:

的过程中不断发现、识别、盘点,并评估一个实体的资产的敞口。

我在报告中称,ASM是一个过程,应该组织一个项目,汇集了多个利益相关者——比如安全和风险,基础设施和操作、应用程序开发、隐私、合规、销售等等。这些函数通常是相关的问题上意见相左的影子,脆弱性管理和遵从性。他们也会受益于一个共享的漏洞,配置错误和其他暴露ASM可以带来。这种融合的ASM过程和决策矩阵组织最好通过一个ASM的工具。的首字母缩写。这就是我看到目前在市场上:

  • EASM(外部攻击表面管理):一个工具或功能,不断地扫描,发现,并列举了未知,apple资产,建立独特的指纹发现资产,并识别各种风险。公司在这个领域包括Cycognito,帕洛阿尔托网络皮层Xpanse, Randori。
  • CAASM(网络资产攻击表面管理):一种工具或功能,提供统一的可见性在所有已知的资产(内部、外部、云、本地)更好地识别漏洞和安全控制不足。公司在这个领域包括Axonius JupiterOne,纯粹理性的网络。
  • 发布(应用或API攻击表面管理):味道就是新兴市场和一些我的同事桑迪Carielli和珍妮特·沃辛顿将密切关注。从本质上讲,ASM过程特别适用于流氓api以及漏洞的发现和违反应用软件堆栈。公司目前在这个领域包括数据定理和Edgescan。

我可以很容易地添加一个“M”作为第一个字母上面的缩写,因为我看到更多供应商提供管理服务在这些工具来帮助安全、运维,开发团队更好的优先修复工作。还有一个更大的融合与ASM告诉的故事。请继续关注研究杰夫•波拉德和我。

踢了Forrester EASM景观

在我与安全领导人谈话,发现未知的资产,云配置错误、过期的证书,以及其他风险就是他们在ASM工具找到最直接的价值。一个安全专业在欧洲在线零售商告诉我们他们EASM工具发现一个完整的50%比他和他的团队认为他们有更多的资产!是时候仔细看看EASM工具市场——这两个独立的解决方案和能力在较大的安全平台或服务,所以我开始Forrester景观报告(原现在技术)在接下来的两个星期。

景观Forrester报告帮助客户理解、识别和供应商名单,结合他们最关键的业务技术问题。作为研究的一部分,我将确定EASM市场的价值主张,顶级用例,和顶级供应商。

你使用一个EASM工具吗?你值EASM能力在一个特定的安全平台或服务组合?请接触和告诉我你的故事!