Bitdefender推出GravityZone Exposure Management，绘制攻击路径并降低风险

暴露在外的服务、尚未安装补丁的工作站，以及权限过大的账户，在安全团队的待办队列中看起来可能是彼此独立的问题。但对攻击者而言，它们可能共同构成一条通往同一关键系统的路径。Bitdefender推出了GravityZone Exposure Management，以梳理这些关联。这项新产品于10月27日公布，整合了内部和外部暴露面发现、攻击路径分析及自适应加固功能。

这项产品面向需要确定优先修复哪些弱点、又不想增加一套管理控制台的安全团队。它以GravityZone平台为基础，将漏洞发现、了解漏洞可能造成的后果，以及减少攻击者可利用的机会结合起来。

从弱点清单到攻击者可能循行的路径

传统的漏洞管理通常从一份包含大量发现项的清单入手。严重性评分有助于整理清单，但仅凭评分并不能说明某个弱点是否会让攻击者访问重要资产，也无法说明它是否会与环境中其他位置的身份问题相互作用。

GravityZone Exposure Management整合了操作系统和第三方应用程序漏洞、不安全的配置以及高风险用户行为。其外部攻击面管理功能还将视野扩展至面向互联网的资产，包括暴露的子域名、配置错误的服务和影子IT。

攻击路径组件会梳理这些发现项之间的关联。它映射暴露面、身份和关键资产，帮助防御人员分析攻击者最初取得立足点后，可能如何抵达影响更大的目标。实际需要回答的问题是，采取哪项修复措施能够切断这条路径，而不只是哪个单独警报的评分最高。

Bitdefender对Attack Path的技术说明介绍了一种利用现有GravityZone遥测数据构建的图谱。账户和设备以相互连接的节点呈现，并附有说明，介绍哪些技术可能使攻击者得以在它们之间横向移动。最短路径视图有助于分析人员找出直接路径，同时保留其他分支供后续调查。

这些图谱呈现的是潜在暴露风险，并非攻击者当前正在网络中活动的证据。这一区别很重要：有用的路径模型可以指导预防工作，而事件检测和响应仍需要各自的证据与工作流程。

行为加固，针对合法工具遭滥用的问题

仅发现风险并不能消除风险。这项新产品还集成了PHASR，即Bitdefender的主动加固与攻击面缩减技术。该技术能够学习正常活动模式，并据此指导限制措施。

这项功能旨在应对一个棘手的防御难题：攻击者经常使用管理员同样依赖的工具。例如，PowerShell既可用于必要的维护，也可能帮助入侵者执行命令。在所有地方封禁某种工具可能干扰运营；而在所有地方都不加限制，则会留下可供滥用的机会。

PHASR利用行为基线识别哪些情况下必须使用这类工具，以及哪些情况下可以减少访问权限。根据Bitdefender的PHASR文档，配置文件针对特定的用户—设备组合。管理员可以在Direct Control模式下查看建议，也可以使用Autopilot自动应用这些建议。学习通常需要30至60天，不过，现有的EDR历史数据可以缩短这一周期。

如何开展运营具有重要影响。团队可以先审查拟议的限制措施，并测试其对重要工作流程的影响，再逐步提高自动化程度。行为学习有助于做出这一决策，但要成功部署，仍需明确应用程序的责任归属并处理例外情况。

精简的安全团队为何难以将可见性转化为行动

Bitdefender将此次发布的重点放在发现弱点与持续修复弱点之间的差距上。公告引用的一项公司调查针对1,200名网络安全从业者，其中38%的人表示，维护加固规则和例外情况所需的额外工作是一项挑战。担心运营受到干扰的比例为35.4%，另有34.6%的人提到资源受限。

这些调查结果有助于解释为何将发现、优先级排序和加固整合到同一工作流程中具有吸引力。团队可能早已知道某个账户权限过大，或某台服务器需要处理。更难的是决定先做什么、由谁负责，以及限制措施是否会妨碍正常工作。

Bitdefender Business Solutions Group总裁兼总经理Andrei Florescu在公告中表示，AI和自动化扫描让攻击者更容易发现未安装补丁的服务器，或可能为其提供立足点的权限过大用户。Bitdefender提出的应对方式，是将更全面的暴露面视图与能够随活动变化而调整的加固措施结合起来。

对买家而言，这种组合的价值取决于它能否减少可被利用的攻击路径，并加快修复速度。不断增加的发现项只有在团队能够将其转化为可验证的改动时才有用。

部署、许可与捆绑方案的局限

发布公告称，该产品目前面向新老客户提供 Windows 版本，并计划增加对其他操作系统的支持。Bitdefender 将该产品作为 GravityZone Business Security Enterprise 及更高版本的附加组件提供，也提供独立版本，可与现有的端点安全解决方案搭配使用。

其暴露面管理部署文档将 PHASR、风险管理和外部攻击面管理列为包含的功能，并将攻击路径和统一身份标记为抢先体验功能。组织应区分整体产品的使用权限，以及各个组件的成熟度和可用性。

同一份文档还说明了另一项值得注意的区别：AI 可视性与控制以及补丁管理是单独的附加组件。发现缺失的补丁、建议修复措施和部署补丁是彼此相关的工作，但买家应确认所选许可证实际支持哪些操作。

更互联的预防性安全方法

GravityZone Exposure Management 体现了更广泛的趋势：在具体情境中评估弱点。设备的安全重要性部分取决于它能够访问什么；账户的重要性则取决于其权限能够实现什么。综合考虑这些关系，有助于更有针对性地开展预防工作。

最适合使用该产品的，是那些发现项已经多到难以妥善处理、需要更清晰的处置优先顺序的安全团队。攻击路径分析有助于说明应从何处着手干预，而行为强化则可以限制沿这些路径可用的工具和权限。衡量成效的标准是：这些干预能否在保障业务必要工作的同时降低暴露风险。