數(shù)據(jù)顯示,已知系統(tǒng)資產(chǎn)數(shù)量占比資產(chǎn)總數(shù)分別為:
可見,即使是資產(chǎn)管理方面做得最好的211/985院校,已知資產(chǎn)數(shù)量也僅占所有資產(chǎn)的55%, 仍然有45%的資產(chǎn)是未知的。進一步研究發(fā)現(xiàn),這些未知資產(chǎn)的構成主要為:
(1) 高端口資產(chǎn)占10%(就是做了端口轉換的資產(chǎn)):高端口是防火墻或者部分實驗室做了端口轉換的業(yè)務系統(tǒng)、網(wǎng)站等。
(2) 業(yè)務系統(tǒng)占11%:這些業(yè)務系統(tǒng)由教學、教輔系統(tǒng)組成,部分使用域名訪問,部分沒有進行備案登記。比如,常出問題的高校迎新管理系統(tǒng)、OA系統(tǒng)、就業(yè)管理系統(tǒng)、圖書館管理系統(tǒng)等等。
(3) 網(wǎng)絡設備/網(wǎng)絡安全設備占3%:分別是機房管理系統(tǒng)、交換機、路由器、網(wǎng)絡防火墻、上網(wǎng)行為管理、流控設備、計費系統(tǒng)等。
(4) 中間件占2%:指安裝了中間件系統(tǒng),但是默認頁面可以對外訪問的資產(chǎn)。這類默認頁面常常會造成信息泄露,從而導致安全問題。
(5) 疑似業(yè)務系統(tǒng)占10%:對這類系統(tǒng)分別訪問和確認,發(fā)現(xiàn)由打印機、攝像頭、電梯管理系統(tǒng)、門禁卡管理系統(tǒng)、大屏控制系統(tǒng)等物聯(lián)網(wǎng)設備組成。隨著高職院校、普教等機構的數(shù)字化校園的不斷推廣,這部分占比極高。
基于對教育行業(yè)抽樣調(diào)研和統(tǒng)計數(shù)據(jù)可知,廣域網(wǎng)網(wǎng)絡資產(chǎn)不清造成的危害是極其嚴重,也是極其棘手的:要知道,目前安全管理和技術手段已經(jīng)層層疊加,但仍然還會有大量未知資產(chǎn)的存在,這不得不讓我們警惕。
盛邦安全經(jīng)過詳細的技術分析,認為主要原因有:
1) 業(yè)務多
業(yè)務部門眾多,導致需求不一致,記事本模式的資產(chǎn)管理方式不能及時跟進系統(tǒng)變化。
2) 新技術
云平臺、虛擬化的大量使用,數(shù)據(jù)中心變化成為常態(tài),沒有新的資產(chǎn)管理方式。
3) 突發(fā)性
因為某個活動而建立的系統(tǒng),當活動結束后,系統(tǒng)沒有及時退運。
4) 管理員制度
當管理員更替時,交接不徹底,或者多次交接,導致系統(tǒng)變?yōu)榻┦到y(tǒng)。
解決以上問題的關鍵,最終還是要回歸到是否能夠做到對自身網(wǎng)絡資產(chǎn)”知根知底”,是否能夠真正做到可知、可控、可管,快速定位風險,并將威脅消滅在萌芽之中。網(wǎng)絡資產(chǎn)識別是網(wǎng)絡空間治理的基石,只有先把這步走好了,才能談得上后續(xù)對網(wǎng)絡空間的治理。
資產(chǎn)治理系列將分幾篇文章陸續(xù)分享,接下來還將為大家?guī)砭W(wǎng)絡資產(chǎn)管理的方法論以及資產(chǎn)管理如何與業(yè)務相結合的深度解讀。敬請期待。