安全行业大模型解读｜SecLLM在外部攻击面管理中的应用之道

外部攻击面管理（External Attack Surface Management，EASM）是一种网络安全实践，是指识别、监控和管理组织的外部攻击面（攻击入口）。外部攻击面包括互联网暴露的服务器资产、凭证、公有云服务、源代码、暗网信息披露以及可能被攻击者利用的第三方合作伙伴软件代码等。通过EASM跟踪和评估这些潜在的攻击面来帮助组织更好地了解面临的风险，并采取措施来减少潜在威胁，企业安全做到“比攻击者更懂您的外部风险”。

EASM任务包含泛资产普查，攻击触点识别、攻击面分析、风险评估及预警等一系列的安全实践。具体实践如下：   

通过分布式探测引擎，持续扫描和监控外部环境，对网络空间的泛资产进行搜索普查，识别一切可能被潜在攻击者利用的数字资产、敏感数据、email情报等，为弱点检测和风险分析打好基础。

在攻防视角下，依托强大的指纹库、情报库对外部泛资产进行弱点检测。对关键信息基础设施、业务系统、数据库、物联网等资产进行弱口令检测和漏洞扫描。基于关键字匹配或正则匹配，识别网站JS代码中敏感数据。利用email情报信息发现易被钓鱼利用的弱点。结合攻防情报、供应链情报等信息进行智能分析，检测易被攻击者利用的供应商高风险资产。

基于弱点检测结果进行综合分析研判，确定是否存在社工利用风险、漏洞利用风险、供应链风险、数据泄露风险、勒索利用等风险。通过对风险统一研判，识别外部攻击面，评估一旦发生安全事件客户业务受影响范围，并提供风险收敛优先级，以便及时进行处置闭环。

一旦确定了外部攻击面上的风险，组织可以采取措施来缓解这些风险。这可能包括修复漏洞、配置安全策略、限制访问权限等。

定期监控其外部攻击面，以检测新的或变化的资产、漏洞和威胁。这种监控可以通过实时扫描、漏洞管理和威胁情报源来实现。

生成报告和记录，以跟踪外部攻击面的状态、风险和改进措施的执行情况。对于组织安全合规性要求和安全审计也同等重要。

利用SecLLM开展EASM外部攻击面管理是一种创新尝试，该应用旨在更好地识别、评估和管理外部攻击面，从而提高网络安全的整体防御能力。如图所示：

SecLLM站在潜在攻击者的角度来持续不断地审视与管理组织资产和薄弱环节，包括以下三部分：

SecLLM具备的自然语言处理能力能够有效的应用到多源数据的信息提取中，如从批量的资讯文本中提取重要安全实体和关系，同时进行自动化数据分类；能够帮助组织监控和处理多种数据，包括识别社交媒体、SSL证书、域名信息、漏洞数据库、违规数据集、深网/暗网数据、代码存储库等。通过SecLLM可以快速识别多源数据中的关键数据，清理无效信息，仅收集和整理与组织相关的公开可见信息。

将SecLLM与威胁情报数据相结合，对外部攻击面进行威胁分析。这些情报源可能包括开源情报、商业情报、政府情报等，大模型可以分析这些信息，识别与组织相关的潜在威胁，并为每个威胁提供上下文信息。大模型可以整合来自不同威胁情报源的信息，识别新的威胁并生成实时告警，丰富威胁情报库；同时安全运营中通过与威胁情报数据对比，及时发现可能受到攻击的系统和服务，有效协助组织及时进行攻击面收敛。

利用大模型进行数据分析和挖掘，对组织的外部攻击面进行评估。（1）风险排序：SecLLM将合适的数据和技术工具结合起来，可以分析各种风险因素，包括漏洞、威胁情报、网络活动、系统配置等，然后将它们排序，以确定哪些风险对组织的安全性构成最大威胁。（2）漏洞发现：SecLLM分析外部暴露信息数据和漏洞数据库，识别可能存在的漏洞和已知的安全问题。它可以与漏洞扫描工具集成，帮助自动化漏洞检测。（3）攻击路径分析：SecLLM可以模拟攻击路径，从外部攻击者的角度分析组织的网络和系统，识别潜在的攻击入口和攻击路径，有助于安全团队理解攻击者的思维方式和行动方式。（4）EASM评估和报告：SecLLM可以自动生成安全风险和漏洞的报告，包括风险级别、建议的行动计划和优先级，以帮助安全团队决策和通信。

通过上述SecLLM在企业安全评估EASM中尝试应用，可以能够帮助组织发现潜在的威胁，评估系统的安全性，优化安全措施，保护重要数据和资产的安全。后续利用SecLLM在数据处理能力、智能威胁识别、威胁情报整合以及攻击面可视化等方面的技术优势，对攻击面进行细分和分层评估，提高EASM评估的效率、准确性和全面性。

安全行业大模型（SecLLM）作为安全分析的大脑，较强的数据分析能力能够很好地解决安全数据的信息识别抽取、分类以及上下文综合分析的问题；高质量的数据生成能力解决了威胁情报整合，脆弱性评估报告的产出；结合上下文分析能力可结合威胁情报、知识图谱等多源数据进行预测性分析，识别未来可能的威胁趋势。

攻防对抗是一场不断演进的博弈过程，涉及网络安全领域的攻击者与防御者之间的智力对抗。攻击者寻求发现和利用漏洞、渗透系统、窃取敏感信息或者破坏关键基础设施；而防御者则努力检测、阻止、纠正和回应这些攻击。这场博弈不仅要求防御者不断改进安全措施，还需攻击者不断寻找新的攻击方式。在这个不断升级的竞赛中，创新、智能分析和持续学习成为了攻防双方的关键筹码。安全行业大模型（SecLLM）作为安全专家，可以不断转换角色并应用于攻防对抗中，能够更加灵活和高效地应对不断变化的威胁和攻击，助力解决安全运营中的大部分问题。可以在以下几个方面充分利用安全大模型：

作为防御者，安全专家可以使用大模型来分析网络流量和日志数据，快速检测异常行为和潜在威胁。模型可以帮助他们识别攻击迹象、异常模式和威胁指标，从而及早发现攻击事件。

安全专家可以利用大模型整合多个威胁情报源的信息，分析新的威胁趋势，识别可能的攻击者行为，并根据情报数据改进安全策略。

在防御角色下，安全专家可以使用大模型和已有工具或系统来管理漏洞和系统脆弱性评估。大模型可以帮助他们自动化漏洞扫描、评估漏洞的严重性，并提供修复建议。

作为防御者，安全专家可以利用大模型来模拟攻击路径，理解攻击者如何渗透系统，识别可能的攻击入口，并采取相应的防御措施。

大模型可以为安全专家提供自动化的决策支持，根据威胁严重性和影响程度，建议采取适当的响应措施，加速攻击事件的应对。

安全专家可以使用大模型来模拟攻击，测试其安全防御措施的有效性，并识别弱点。这有助于改进安全策略和培训团队。

大模型可以帮助安全专家将复杂的安全数据可视化，生成易于理解的报告和仪表板，提供实时的安全信息。

综合来看，大模型在安全专家的支持下可以适应多种角色，帮助他们更好地应对不同类型的安全挑战，提高攻防对抗的效率和精度。这种灵活性和自动化能力对于在不断变化的威胁环境中保护组织的网络和信息安全至关重要。