Gartner洞察显示网络资产攻击面管理将于510 ^繁體

• CAASM 经常与CMDB 混淆，因为两者都支持资产管理。两者的区别在于CAASM侧重于安全团队的资产管理场景，而非IT 服务管理ITSM场景。

• CAASM主要提供相关安全能力，包括提供组织所有资产完整可见性、映射资产依赖关系、覆盖漏洞信息以执行优先级排序并进行修复和响应。

• IT职能部门在ITSM工具中使用CMDB收集的资产类型和有关资产的信息不足以满足安全职能部门的需求。例如，CMDB可能不会跟踪每一项资产，也不会管理物理设备、云账户等类型的资产。

• CMDB无法收集和关联与资产相关的漏洞。CAASM无法取代为传统 IT资产管理而设计的CMDB，后者侧重于跟踪资产生命周期和执行财务成本分析等方面。

• CAASM 可以作为数据源与CMDB 进行双向集成，并用于丰富或补充CMDB 数据集中的问题。

EASM 可以是为CAASM提供外部资产和风险可见性的数据源之一。

EASM 和 CAASM的重点都是为组织的资产及资产相关的漏洞/风险提供更好的可见性。不同之处在于EASM只关注外部资产，主要是通过互联网主动扫描来实现。

CAASM 可提供更全面的组织资产视图， 主要通过与现有工具的 API集成实现资产被动发现。由于CAASM依赖于其他已经部署的技术来收集有关资产的信息，因此CAASM的价值取决于现有数据源的质量。

CAASM 从来都不是数据来源，而是现有数据源的集成和融合中心。

• CAASM 可以将多个漏洞源聚合到一起，并将漏洞与资产进行关联，而不需要进行手动匹配。

• CAASM可以提供漏洞评估工具VA未覆盖资产的可见性，例如未知资产、医疗设备和POS设备等资产。这是因为漏洞评估工具VA通常只扫描企业控制资产的漏洞。

• 利用工具计算 CAASM的价值和客户投资回报率（详见Gartner官网）。这将有助于更好地展示企业从使用CAASM 而非手动报告工作中获得的效率提升和附加功能所带来的成本效益。

• 继续扩展第三方系统数据连接器，接入更多的数据源，包括赛博物理系统(CPS)、IT系统和安全解决方案，涵盖端点安全、身份管理、云服务、移动设备管理、CMDB、漏洞评估和网络安全。CAASM将在解决方案层面进行竞争，包括第三方系统接入的范围，映射不同系统之间的数据关系，以进行详细的资产清点和梳理。

• 资产管理。这种应用场景侧重于提供组织控制下的所有IT、IoT和OT资产的可见性。利用CAASM进行资产管理的组织旨在识别其拥有的所有资产。此场景扩展到资产配置文件整合，即收集信息（例如，设备类型、制造商、操作系统版本、资产信誉、漏洞和连接）并在集中视图中展示，以获得更完整的资产配置文件。这种场景可能会吸引那些拥有多个漏洞扫描工具，并希望集中进行数据融合处理的大型组织。

• 监控基本安全卫生和指标报告。此应用场景侧重于通过网络安全控制和风险暴露管理来改善基本的安全卫生。CAASM可以提供安全栈的可见性，并识别潜在的安全工具配置错误、安全控制覆盖范围和差距以及重复的安全工具/许可证。

• IT合规性和审计报告。此场景侧重于收集有关技术控制的必要信息，以满足组织需要遵守的法规、行业标准或框架。CAASM可以帮助生成关于技术控制措施状态的证据。

• IT 治理。该场景重点关注影子IT 治理。CAASM可以降低从 "影子IT "组织、已安装的第三方系统和非IT部门管理的应用程序收集数据的阻力，并提供更好的安全可见性，安全团队需要这些可见性，而IT 部门可能不需要。

• 问题优先级排序。此场景侧重于从各种源系统中获取漏洞信息，并将其与资产信息和资产依赖性相关联，以确定修复或缓解措施的优先级。CAASM能够按资产类型、应用程序、站点等进行漏洞分类，这将有助于修复工作的开展。CAASM场景还可进一步扩展，以支持持续威胁暴露管理CTEM。

• 将安全团队作为CAASM的主要采购部门，同时确定其他潜在的利益相关者。在销售周期的早期与这些利益相关者接触，以便有更好的机会展示CAASM 的能力，通过早期介入降低销售周期延期风险。

• 基于当前能力培养CAASM场景，并进行必要的外部能力集成（侧重于响应和报表），包括工单系统、GRC工具、BI报告工具或SIEM和SOAR解决方案等。

• 宣传CAASM在CTEM中的作用，传递CAASM帮助企业进行风险暴露管理的价值。

• 评估通过合作伙伴关系扩展ASM相关能力（如EASM和DRPS）的机会。利用Gartner《竞争格局：外部攻击面管理》报告，识别潜在合作伙伴。