网络安全格局瞬息万变，由快速开发周期、影子IT、并购活动和AI加速创新驱动的不断扩大的攻击面是其主要特征。对于首席信息安全官（CISO）和安全工程师而言，维护组织风险的全面且经过验证的视图已成为一个棘手的挑战。最近的事件分析中观察到的一个反复出现的模式揭示了一个显著的盲点：通过传统审计持续存在的漏洞经常被众包安全竞赛发现。
发生了什么
在各个行业中，仅依赖传统渗透测试和内部审计的组织发现自己面临风险。这些事件通常涉及存在于以前被认为是安全的系统、应用程序或网络中的关键漏洞。共同点是，这些缺陷随后在众包安全竞赛中被识别并利用，揭示了感知安全态势与实际安全态势之间的脱节。这种模式强调了即时合规性的局限性以及持续、以人为本的进攻性验证的必要性。
众包安全，包括漏洞赏金计划和众包渗透测试，不再是一个实验性概念。许多组织现在将这些计划作为其安全策略的核心组成部分。这种方法反映了行业日益认识到利用全球道德黑客池的有效性。
为什么这种模式会反复出现
这种模式持续存在的主要原因在于传统安全评估固有的局限性。这些方法通常只提供一个时间点快照，随着攻击面的演变很快就会过时。此外，内部团队和数量有限的外部审计师，无论多么熟练，都拥有有限的能力和视角。他们常常受到范围、时间和预算的限制，难以有效覆盖整个持续变化的攻击面。
由于蔓延、影子IT和快速开发周期，新资产不断出现，攻击面扩展的速度快于安全团队的跟踪速度。现有安全工具通常各自为政——这里是发现，那里是扫描，其他地方是攻击性测试。这种碎片化阻碍了对组织真正拥有什么以及面临什么风险的统一、可操作的视图。如果没有来自多样化、以人为本的攻击性测试的持续验证，仅凭可见性不足以降低风险。
传统审计虽然对于合规性是必要的，但通常缺乏在快速演变威胁环境中识别复杂漏洞所需的广度、深度和持续性。
攻击者的逐步策略
在众包安全后来发现漏洞的场景中，典型的攻击者策略通常始于侦察。这包括绘制目标的外部攻击面，识别面向公众的资产，并了解其技术堆栈。攻击者利用自动化工具，但关键是将其与手动分析相结合，以发现自动化扫描器遗漏的细微配置错误或逻辑缺陷。然后，他们转向识别潜在的入口点，通常侧重于Web应用程序、API和网络服务。
一旦识别出潜在漏洞，攻击者就会制作特定的漏洞利用。此阶段需要创造力和对漏洞利用技术的深入理解，通常超越常见的CVE，以发现尚未广为人知或修补的零日或N日漏洞。最后一步是利用，获得未经授权的访问，并展示影响，这可能从数据泄露到完整的系统入侵。这种有条不紊、通常是持久的方法与许多传统安全评估的有限范围和持续时间形成鲜明对比。
防御者错过了什么
在这些情况下，防御者主要错过了众包安全提供的持续、全面和多样化的攻击性视角。他们通常依赖内部审计或传统渗透测试，这些测试虽然有价值，但在范围和持续时间上固有地受到限制。这些传统方法经常未能考虑到攻击面的动态性质，即每天都有新资产和配置引入新漏洞。
此外，许多安全工具的孤立性质意味着安全团队花费宝贵时间手动协调库存，并试图在没有单一、可信视图的情况下确定风险优先级。这导致了一种被动的态势，即关键漏洞只有在事件发生后，或者在这种模式下，通过更彻底的外部攻击性安全工作才能被发现。缺乏持续保障，取而代之的是即时合规性，留下了显著的空白。
实用的防御清单
为了减轻传统审计遗漏漏洞的风险，CISO和安全工程师应考虑以下行动：
- 实施持续攻击面管理： 定期发现和映射所有外部资产，包括影子IT。
- 整合众包渗透测试： 通过持续的众包项目补充传统渗透测试，以利用全球道德黑客池。
- 建立漏洞赏金计划： 激励独立研究人员在恶意行为者之前发现并报告漏洞。
- 优先处理可操作的情报： 专注于验证真正可利用的内容，而不仅仅是识别潜在暴露。
- 打破工具孤岛： 努力建立一个统一的平台，整合发现、扫描和攻击性测试结果，以获得全面的风险视图。
- 采取主动的风险降低策略： 超越被动响应，转向持续的、以人为本的攻击性安全验证。
- 定期审查和更新安全策略： 确保策略反映威胁格局的动态性质，并纳入现代攻击性测试方法。
现代攻击性测试本可以如何发现这一点
现代攻击性测试，特别是通过众包模型进行的测试，旨在解决传统审计的缺点。与传统方法不同，众包渗透测试利用了全球多样化的道德黑客和安全专家池。这种多样性为组织的系统、应用程序和网络带来了更广泛的技能、视角和专业知识。
提供具有可执行概念验证（PoC）的自主攻击性测试平台代表着下一次演进。例如，一个平台将持续攻击面监控与以人为本的攻击性测试功能相结合。这种方法使安全团队能够持续监控其外部攻击面，扫描潜在暴露，并且至关重要的是，通过以人为本的攻击性测试验证真正可利用的内容。这提供了持续保障，超越了仅仅的可见性，达到了可操作的情报，使组织能够根据真正重要的事情确定风险优先级，并发现审计可能遗漏的漏洞。
接下来关注什么
众包安全趋势正在加速。众包渗透测试市场预计将实现显著增长。组织越来越认识到众包安全是经过验证的，而非实验性的，并正在将漏洞赏金计划作为其安全策略的核心层。重点将进一步转向将持续攻击面情报与以人为本的攻击性测试相结合。赋能安全团队持续监控、扫描和验证可利用风险的解决方案正变得越来越重要。攻击性安全的未来将涉及自动化以实现规模和人类智慧以实现深度的结合，确保组织能够领先于不断演变的威胁格局并主动降低风险。
