术语“安全态势”用于描述组织的整体安全和响应准备状态。正在出现多种解决方案，这些解决方案汇总调查结果以提供企业安全风险的整体视图。
安全态势也可以被视为确定安全工作优先级的一种方式，帮助您回答“我们下一步应该做什么？”的问题。基于通过分析上下文数据并权衡所需的补救措施来平衡风险。
但是所需的上下文数据从哪里来？是否需要新的扫描仪？ “推倒重来”的策略是否合理？我们不这么认为； ASPM 是一种新型风险管理工具，最好构建在已经适用于您的企业的工具之上。
ASPM
2023 年 5 月，Gartner将应用程序安全态势管理定义为安全态势管理市场的最新部分，并将其定义为“通过收集、分析整个软件生命周期的安全问题并确定其优先级来持续管理应用程序风险的系统”。
ASPM 解决方案汇总应用程序问题，以帮助您进行风险影响分析。这些问题包括硬编码机密、未经身份验证的 API、未加密的数据流、PII 数据问题以及多种类型的应用程序漏洞。这是一个快速扩张的市场，参与者包括 ArmorCode、Bionic（CrowdStrike 公司），Cider Security（Palo Alto Networks 公司），以及 Kondukto。
您的安全状况取决于您的数据
虽然 ASPM 解决方案并不是灵丹妙药，但它们可以提供一种快速获得有价值见解的新方法。但与任何技术一样，也有一些陷阱需要警惕。
误报
如果安全工具具有较高的信噪比，并且存在大量误报，则会影响您清楚了解正在发生的情况的能力。如果这些工具生成未标记或未评分的事件报告，则很难区分关键问题和低风险问题。虽然所有工具都会随着时间的推移不断提高其准确性，但并非所有工具都经过了相同程度的考验。
漏报
没有警报并不一定意味着一切都很好；这可能意味着系统没有检查正确的事情。配置错误的工具可能会报告测试通过，但实际上并未执行检查。认为没有问题可能意味着不会注意到日益严重的问题，直到它变得具有破坏性和代价高昂。
解决方案复杂性
由于 ASPM 解决方案的性质，需要从多个来源和扫描仪获取数据，因此该方法具有固有的复杂性。如果您只管理极少量的应用程序，那么 ASPM 的成本可能会超过收益。 ASPM 并不是一种万能的解决方案。
修复是关键
ASPM 还应该为已识别的问题提供修复路径。在权衡分类列表中的各种任务时，需要认真考虑解决问题所需的工作量。如果修复需要一些时间才能实施并且可以显着降低风险，那么这就是一个简单的“立即修复”。如果修复需要数周时间但风险较低，您可能会积压该任务以供未来的冲刺使用。
此外，不是替代品
最近，一位安全工具分析师表示，“如果在此过程中不牺牲有用的功能，我认识的安全专业人员都会乐意放弃所有旧工具，转而使用更好的工具。” （强调我的）。
现实情况是，即使“一体化”安全工具在实用性上可以与解决特定安全问题的工具相媲美并且性能优于解决特定安全问题的工具，但对于大多数人来说，“推倒重来”的解决方案可能是行不通的。企业。用“有前途的”新工具取代现有的工作技术所需的成本和政治意愿将会很高。
为未来的风险做好准备
安全态势管理市场的演变标志着安全行业的演变。企业不能再依赖互不关联的测试结果集和大量安全报告。我们必须摆脱信息孤岛。现代企业的风险管理需要更积极、更全面的方法。任何 ASPM 方法的背后都需要良好的数据和清晰的修复路径。