文章总结： 本文系统阐述了攻击路径分析（APA）与攻击面管理（ASM）的核心价值。APA通过可视化攻击者利用漏洞链的完整路径，帮助安全团队识别关键风险并优化修复优先级，而非孤立看待单个漏洞。ASM则是一个持续循环过程，旨在发现、监控并缩减组织的物理、数字及社会工程攻击面。两者共同将安全策略从被动响应转向主动防御，通过模拟攻击者视角，聚焦于真正构成威胁的薄弱环节，从而高效分配资源，提升整体安全防御能力。 综合评分： 94 文章分类： 安全建设,漏洞分析,解决方案,云安全,威胁情报

---

攻击路径分析介绍

Rapid 7 Wiz

安全行者老霍

2025年12月17日 09:00 北京

写在前面：本文介绍了两个厂家对于攻击路径和攻击面管理的理解。这都是行业内最优秀的厂家之一，也希望能从多个厂家的角度来介绍这个概念。花四篇文章来介绍这些内容，是希望打造统一威胁管理的概念，把这几类产品都包含进来，整合成人工安全服务的下一代服务平台。和大模型结合，持续的发现资产、暴露面评估、攻击路径呈现，持续验证、修复计划排序、暴露面和攻击面的管理、漏洞管理、攻击阻断、业务相关威胁情报总结。动态可视化的掌握系统暴露面的状态和防御强度，主动管理组织面临的威胁和合理分配资源。

什么是攻击路径分析？

Rapid

攻击路径分析采用概括性的可视化方式，展示攻击者渗透进您本地和云端环境可利用的途径。攻击者能通过这些不同“路径”获取敏感信息，并利用存在漏洞的配置或资源实施攻击。在大型企业，存在大量潜在攻击路径。

通过攻击图研究这些数据，可更便捷地掌握实时风险态势，识别被入侵资源间的关联性及其对整体网络的潜在影响。为此，多数安全团队正高效发现攻击路径并采取负责任的修复措施。数据显示约75%的暴露面最终被证实为攻击者无法利用的死胡同。

瓶颈点指潜在攻击路径汇聚的节点，是通往敏感数据和资产的重要门户。其关键特性也使其成为识别异常活动的理想位置，并能精准定位需要调查的对象。在此处集中管理日志并设定基准行为，团队就能明确识别通过瓶颈点时哪些行为属于正常范畴，哪些则不然。

1. 攻击路径 vs 攻击向量 vs 攻击面

这几个术语不仅与“攻击路径”发音相似，其定义和功能也存在重叠。下面我们来看看这些术语之间的关键区别。

1.1 攻击路径

攻击路径是攻击者为获取敏感数据或利用系统访问来利用漏洞所采取的具体行动轨迹的可视化呈现。通常以路径图呈现，能据此揭示每条攻击路径的来源、目标及严重程度。

1.2 攻击向量

攻击向量本质上是攻击者入侵系统的突破点。攻击者由此出发，沿攻击路径获取目标信息或资源。以恶意软件为例，有三类攻击向量：木马、病毒和蠕虫，利用电子邮件等常规通信渠道。其他典型向量包括系统入口点，如遭窃取的凭证、勒索软件、钓鱼攻击以及利用错误的云配置。

1.3 攻击面

攻击面是指整个网络（本地与云端）中所有可供攻击者入侵的脆弱攻击向量集合。单个攻击向量仅形成微小突破口，但所有入口点的组合将形成更大漏洞，使普通网络演变为动态攻击面。攻击面包含所有向量，攻击者通过这个路径可通往敏感资产和数据。

2. 攻击路径分析操作过程

攻击路径分析通过帮助安全团队可视化IT环境中的实时风险来发挥作用。在探索潜在危险组合的过程中——这些组合原本是为网络内部功能而构建的——团队开始了解当前网络的整体健康状况。当前状态是否使组织和业务面临更高风险？还是发现实际处于相对安全的环境？

以身份与访问管理（IAM）为例说明攻击路径管理与分析的运作机制。在安全团队毫不知情的情况下，该环境是否存在账户接管风险？攻击者能否在毫无阻碍的情况下肆意横行？

登录凭证一旦被窃取，便可能被利用来获取客户信息或知识产权。若IAM系统遭入侵且凭证被盗，攻击者将获得所有权限。让我们看看具体步骤：

• 攻击者入侵IAM系统后窃取单个用户凭证。
• 利用这些凭证渗透至更大规模的安全或IT组织子集群。
• 进而获取海量凭证，借此在网络中横向移动并拓展攻击路径。
• 最终锁定目标：数千名客户的敏感财务数据，被迅速窃取外泄。

为更快检测此类攻击者活动，或在攻击启动前予以阻断，必须做到：

• 观察网络中的资源连接，并分析它们之间的关联关系。
• 审查可视化图表，使人员能够沿潜在攻击路径查看资源及其关联风险因素。
• 通过调整访问控制、安全配置等要素并修复漏洞，确定切断攻击路径链接的正确步骤。
• 配置自动通知机制，向相关资源所有者发出警报，并生成可同时向技术与非技术利益相关方传达信息的通告。

1. 攻击路径分析的重要性

在应对日益复杂的攻击手段时，攻击路径分析是保持安全优势的关键工具。它帮助安全团队理解，某些配置和连接在特定场景下虽具优势，却可能同时埋下待被利用的重大漏洞。

攻击路径分析应纳入全面的安全解决方案，重点在于快速绘制和识别攻击路径。它还能提升网络安全可见性，帮助团队在保障业务正常运行的同时优化防护策略。

风险优先级排序是上述要素的综合成果，其价值在于明确分析人员的工作重点，并针对新兴威胁采取主动防御措施。

3.1 以攻击者思维思考

攻击路径分析的最大价值是赋予可见性、速度与风险优先级，使安全团队能更好地模拟攻击者思维。威胁行为者在高暴露风险下往往追求行动速度，因此必须在发起攻击前预先规划若干潜在步骤。

当安全组织开始识别潜在路径，并主动思考攻击者获取敏感信息过程中可能采取的横向移动策略时，他们便真正理解了自身网络的独特性，以及如何最有效地抵御威胁。

4. 攻击路径分析应用场景

安全团队，尤其是依赖这些团队的非技术利益相关者，应深入了解攻击路径分析的具体应用场景，以及如何识别利用这些场景的机会。

• 理解攻击者如何访问敏感信息：通过直观可视化呈现存储敏感信息的资源可能被直接或间接访问的多种途径。
• 降低误报率并加速高危风险响应：通过定位攻击源头及其在系统中的传播路径，缩短风险优先级评估与响应时间。
• 优化修复优先级：助力安全团队可视化潜在攻击路径，对风险与威胁进行分级处理。它揭示了恶意行为者如何在环境中横向移动并获取敏感信息。
• 向非技术利益相关者清晰传达风险：通过图形化呈现攻击路径，能有效向高管或董事会成员等非技术人员阐释网络攻击的潜在风险与影响。
• 确保合规性：协助安全团队与审计人员识别、追踪并修复各类合规违规行为，尤其针对SOC 2等监管要求——该标准对管理客户数据设定了严格规范，而客户数据往往存在于众多潜在攻击路径之中。

https://www.rapid7.com/fundamentals/attack-path-analysis/

攻击路径分析介绍

Wiz  2025年10月11日

1. 攻击路径分析的核心要点：

• 攻击路径分析（APA）旨在绘制攻击者可利用的弱点顺序，这些弱点可被用于突破系统防御并触达关键资产。
• 它与攻击向量（即初始入侵点）的区别在于，详细描述了入侵后横向移动的完整链条。
• 攻击路径分析的核心价值在于主动风险管理，使团队能够优先处理构成可行攻击路径的漏洞，而非对所有警报一视同仁。例如2019年，攻击者利用云防火墙配置漏洞窃取了Capital One逾1亿客户数据，凸显单一漏洞引发重大泄露的风险。
• 有效的攻击路径分析依赖基于图的模型，可视化云环境中资源、权限与漏洞间的复杂关联。

1. 什么是攻击路径分析？

攻击路径分析是一种安全方法论，旨在识别并绘制攻击者可能利用的系统入侵路径。该方法超越了单点漏洞扫描，揭示了配置错误、弱访问控制和安全漏洞如何相互关联形成可利用的攻击通道。

通过分析这些相互关联的风险，攻击路径分析不仅帮助安全团队了解现有漏洞，更能识别哪些漏洞组合对关键资产构成最大威胁。

存在安全漏洞的应用程序攻击路径

3. 什么是攻击向量和攻击路径？

攻击路径代表攻击者为破坏系统并抵达高价值目标所遵循的完整步骤步骤。这些路径贯穿整个环境，将漏洞、配置错误和弱访问控制串联成可利用的攻击路线。

攻击向量则是攻击者初始入侵的入口点—例如恶意软件、未打补丁的软件或弱密码。可将向量视为大门，而路径则是穿过建筑物的路线。

攻击图通过映射不同组件的连接关系及威胁扩散路径，可视化呈现这些关联。它如同蓝图，揭示攻击者可能利用的所有潜在通道以抵达关键资产。

核心区别在于：攻击向量让攻击者得以进入，而攻击路径指引其下一步行动方向。

4. 攻击路径分析的过程？

攻击路径分析通过建模云环境中不同组件间的关联关系，识别潜在的漏洞利用链条。该过程通常包含几个关键阶段：

1. 资产与风险发现：首要步骤是全面掌握所有云资源的可见性，包括工作负载、身份认证、配置参数及数据资产。系统将扫描各类风险，如漏洞、泄露的机密凭证、配置错误及权限过度授予等问题。

2. 基于图的映射：识别风险后，将其映射至安全图示。该图示连接各类资源，展示不同风险间的关联性。例如，可揭示具有公共IP地址（网络暴露）且存在高危漏洞的虚拟机，如何与权限过高的身份认证相关联。

3. 路径识别：系统通过分析图示追踪攻击者可能采取的行动过程，重点识别“致命组合”—即多个看似低风险的问题串联后，形成通向关键资产（如敏感数据数据库或管理员账户）的高影响路径。

4. 优先级排序：最终根据潜在影响程度对识别出的攻击路径进行优先级排序。通向核心资产或赋予攻击者提升权限的路径将被标记为关键威胁，使安全团队能将修复精力集中于最重要威胁。

5. 攻击路径分析的收益

攻击路径分析通过揭示单个漏洞如何组合形成严重威胁，将被动安全转变为主动防御。团队无需管理数千个孤立的安全发现，而是能聚焦于真正关键的组合威胁。

云环境加剧了这一挑战。动态基础设施与互联服务构成了复杂攻击面，传统安全手段在此力有未逮。攻击路径分析通过映射真实攻击场景，不仅帮助团队识别存在缺陷的环节，更能洞悉实际可被利用的漏洞。

让我们深入剖析其核心优势：

| | | | — | — | | 收益 | 说明 | | 主动威胁管理 | 攻击路径分析是网络安全领域的一项重要利器，能够在安全事件发生前，预判潜在威胁与攻击路径。通过评估云资源配置、漏洞及访问控制情况，可在攻击者发现并利用系统弱点前，部署关键的安全防护措施。 | | 漏洞分级管理 | 借助攻击路径分析，可明确漏洞的优先修复顺序。处于攻击路径上、且指向核心资产的漏洞风险等级更高，需要立即处置。在动态变化的云环境中，攻击路径分析有助于打造贴合实际需求的漏洞管理方案。 | | 针对性防御 | 攻击路径分析可定位安全短板，即识别出最脆弱的系统及不安全的配置项。基于分析输出的信息，可针对性强化这些薄弱环节。例如，若某条攻击路径的核心手段是利用特定软件实现权限提升，即可部署额外控制策略或升级该软件，增加黑客的攻击难度。 | | 优化资源配置 | 面对大规模云资产或有限的安全资源时，需明确安全投入的优先级。攻击路径分析能够助力资源高效分配，优先解决最核心的安全问题，从而最大化网络安全投资的收益。 |

https://www.wiz.io/academy/detection-and-response/attack-path-analysis

什么是攻击面

Wiz 2025年3月15日

1. 攻击面核心要点：

• 攻击面涵盖威胁行为者可能利用的所有潜在入口点，包括物理资产、数字资产、人为漏洞及云端系统。组织IT环境越庞大，其攻击面就越广阔。
• 云端攻击面尤为复杂，API、第三方应用、数据库、代码库及AI工具等组件均存在安全隐患。配置错误与影子IT更进一步扩大了暴露面。
• 攻击者通过钓鱼攻击、恶意软件、凭证窃取、配置错误及API攻击等多重途径破坏安全防护。掌握这些攻击途径是降低风险的关键。
• 攻击面管理遵循分析、监控与减少的持续循环。组织必须绘制资产地图，实时追踪漏洞，并实施主动安全控制措施。

1. 什么是攻击面？

攻击面指攻击者可能利用的所有潜在入口点，以未经授权的方式访问系统、网络或数据。由于攻击向量可以是威胁行为者非法访问企业IT基础设施并窃取数据的任何途径或方法，因此企业IT环境中存在的攻击向量越多，其攻击面就越广。

2.1 攻击面类型

攻击面主要分为三类：

• 物理
• 数字
• 社会工程

组织的攻击面不仅涉及网络和软件系统，更延伸至物理资产乃至企业内部人员。理解不同类型的攻击面至关重要，因为每类攻击面都存在独特风险，需要定制化的风险评估与缓解策略。

2.2 物理攻击面

企业的物理攻击面涵盖计算机、移动设备、外部存储驱动器、笔记本电脑及物联网设备等硬件。此类攻击面可能通过内部人员攻击、设备失窃、报废硬件处置不当、远程团队疏忽等多种危险场景被利用。

2.3 社会工程攻击面

社会工程攻击面特指人为因素，包括组织内部人员易受操纵与欺骗的脆弱性。不同于常利用系统技术缺陷的物理攻击面与数字攻击面漏洞，社会工程攻击利用人类情感、认知偏见及安全意识缺失，诱骗用户破坏安全防护。

2.4 数字攻击面

另一方面，数字攻击面因云计算技术的全球普及而带来更复杂的风险。数字或云攻击面涵盖配置错误、身份访问管理（IAM）缺陷、公开暴露资源以及未经授权的影子IT资源。

3. 云攻击面包含哪些组成部分？

随着企业日益依赖云基础设施，理解其关键组成部分对识别漏洞和强化安全防御至关重要。云攻击面涵盖威胁行为者可在云环境中利用的所有入口点，包括：

3.1 应用程序接口（API）

API作为连接多种异构云应用的纽带，是云环境无缝运行的核心要素。

未加密且缺乏安全防护的API是企业攻击面的重要来源。例如：2023年本田电商平台的API漏洞导致客户数据、经销商记录及其他敏感文件遭泄露。

3.2 第三方应用程序

企业通过采用第三方应用程序和工具（如媒体播放器、网页浏览器及协作工具）扩大了攻击面。冗余或闲置软件可能引入安全漏洞，增加被利用风险。

企业不应完全杜绝第三方协作，而应认清其固有风险并采取主动措施加以缓解。这包括：审核供应商的安全合规性、实施严格访问控制、持续监测第三方集成中的漏洞。

3.3 数据库与存储桶

业务借助云服务提供商的存储方案进行数据仓储。尽管这些方案提供快速便捷的数据存储，但需考量其安全影响。

例如，企业需明确自身与云服务商各自承担的安全责任边界。若未能厘清责任归属，可能引发灾难性安全事件。例如，配置错误且公开暴露的存储桶极易引发数据泄露。

3.4 数据

企业攻击面几乎所有漏洞利用都旨在窃取数据。仅保障存储容器安全远远不够，数据本身也需防护以缩小攻击面。常见的数据层防护技术包括加密、基于角色的访问控制（RBAC）及备份机制。

3.5 容器与容器管理平台

容器及Kubernetes等容器编排系统正广泛应用于现代云端IT环境。

容器文化的兴起在Dockerfile、Kubernetes YAML清单和Helm图表等基础设施即代码（IaC）文件中埋下了诸多深层风险。容器环境虽带来诸多益处，但若缺乏管控将扩大企业攻击面。

3.6 用户

人们往往专注于云拓扑的复杂性，却忽略了操作这些空间的主体。无论是人类还是机器，用户或“数字身份”都是企业攻击面中动态且高风险的组成部分。

云环境中用户相关的风险包括过度特权访问、弱密码及凭证管理。网络犯罪分子可利用这些漏洞获取非法访问权限，在企业IT环境中横向移动，窃取数据并破坏内部系统。

3.7 代码仓库

高强度DevOps环境的兴起扩大了企业的攻击面。代码仓库可能成为威胁行为者利用的潜在途径，这既可能源于安全漏洞、影子代码以及机密凭证或敏感代码，也可能因在公共仓库中意外发布了早期迭代代码。

此外，未在软件开发生命周期（SDLC）早期整合安全措施的企业，往往面临更广阔的攻击面风险。

3.8 人工智能（AI）

AI正成为云运维不可或缺的组成部分，它能优化流程、提升效率。但AI工具、管道乃至影子AI都可能成为攻击者的入口，由此引入全新安全风险。

4. 什么是攻击面管理？

攻击面管理是一套结合工具、流程和实践的体系，用于评估、分析并修复组织攻击面中的潜在漏洞。该体系采用由外而内的视角，旨在理解威胁行为者如何利用组织攻击面中的薄弱环节实施恶意活动。

这种第三方视角至关重要，因为若不了解威胁行为者意图突破的边界、其行动计划以及侵入企业云环境后的目标，就几乎不可能构建最优防御体系。

4.1 常见攻击途径

攻击者利用各种方法利用组织的攻击面，通常瞄准安全防御中最薄弱的环节。了解这些常见攻击途径有助于企业主动加强云环境的安全防护并降低风险。

| | | | | — | — | — | | 攻击途径 | 描述 | 受威胁攻击面 | | 钓鱼攻击与社会工程学 | 攻击者通过欺诈性邮件、消息或电话，诱导人员泄露敏感信息或授予系统访问权限 | 终端、用户账户、邮件系统 | | 恶意软件与勒索软件 | 部署恶意软件入侵系统、加密文件或窃取数据，通常会以勒索赎金为目的 | 云工作负载、数据库、存储系统 | | 凭证窃取与暴力破解攻击 | 攻击者通过钓鱼、键盘记录或自动化暴力破解等方式，窃取或猜测登录凭证 | 用户账户、身份与访问管理（IAM）系统、云管理控制台 | | 利用配置错误 | 云服务、存储设置或身份与访问管理（IAM）策略中存在的安全缺陷，导致系统易遭未授权访问 | 云服务、存储桶、身份与访问管理（IAM）策略、数据库 | | 零日漏洞 | 攻击者利用未被发现或未打补丁的软件漏洞发起攻击，此时对应的漏洞修复方案尚未发布 | 操作系统、应用程序、云服务 | | 中间人（MITM）攻击 | 网络犯罪分子在不安全网络环境下，拦截并篡改用户与服务之间传输的数据 | 网络流量、应用程序编程接口（API）、用户会话、身份验证机制 | | 分布式拒绝服务（DDoS）攻击 | 攻击者通过大量流量冲击网络或应用，造成服务中断与系统宕机 | 网络基础设施、云服务、Web 应用程序 | | API攻击 | 利用存在缺陷或暴露在外的API，实现敏感数据访问、服务中断或权限提升等操作 | API端点、云平台、微服务 | | 供应链攻击 | 攻击者入侵第三方软件、依赖组件或持续集成/ 持续部署（CI/CD）流水线，以此渗透目标组织 | 软件依赖组件、持续集成/ 持续部署（CI/CD）流水线、供应商集成系统 | | 内部威胁 | 员工、承包商或被入侵的账户，有意或无意地造成敏感数据或系统泄露 | 内部系统、数据仓库、特权账户 |

5. 攻击面管理生命周期的关键步骤

典型的攻击面管理生命周期包含三个步骤：

5.1 攻击面分析

首先，您需要了解自身面临的风险。攻击面分析意味着绘制出攻击者可能利用的所有云资产——包括API、存储桶、第三方集成、AI工具、容器和数字身份。云环境的互联程度越高，潜在弱点就越多。

首先全面盘点IaaS、PaaS和SaaS服务，优先处理需紧急处置的高风险资产。这种可视化能力能帮助安全团队在攻击者找到突破口前强化防御体系。

5.2 攻击面监控

云环境持续变化，实时监控不可或缺。新工作负载、API更新和配置错误都可能引入新漏洞，因此持续关注攻击面至关重要。

运用活动日志记录、持续漏洞扫描及基于风险的优先级排序等工具，在潜在威胁升级前及时发现。切勿忽视第三方集成——若供应商安全措施不足，可能无意中扩大您的攻击面。

5.3 缩减攻击面

明确风险后，需着手缩减攻击面。这意味着清除冗余入口点、优化安全控制措施、精简API配置，并实施多因素认证（MFA）和即时访问（JIT）等零信任策略。

清除冗余账户、淘汰过时应用程序，并通过网络分段与加密技术限制暴露范围。鉴于攻击者战术持续演变，此步骤并非一次性修复——而是需要持续推进的防御强化过程。

6. 管理攻击面的六大策略

管理攻击面意味着领先于威胁，减少不必要的暴露，并保持对云环境的全面可视性。以下六大策略可帮助安全团队有效控制风险。

6.1 持续发现并分类所有资产

云环境瞬息万变——新工作负载、API和用户账户不断增减。若缺乏持续的资产发现机制，影子IT、废弃资源和暴露资产可能长期处于盲区。

自动化资产发现工具可绘制完整攻击面图谱，确保每项云资源均被纳入统计并按风险等级分类。

6.2 基于可利用性与影响程度分级风险

漏洞危险性存在差异——攻击者优先针对暴露最严重、防御最薄弱的环节。安全团队应聚焦高风险且易被利用的漏洞，避免分散精力。

运用MITRE ATT&CK等攻击者模拟框架及真实威胁情报，可帮助团队识别关键威胁并优化资源配置。

6.3 通过强制执行安全策略与控制措施最小化暴露风险

身份访问管理配置错误、用户权限过度授予及开放式网络访问都会扩大攻击面。安全策略应遵循最小权限原则（PoLP），仅授予必要权限并实施严格访问控制。

零信任认证、即时访问（JIT）及云配置持续审计可减少不必要暴露，阻碍攻击者的横向移动。

6.4 将攻击面情报融入安全运营

攻击面洞察应直接导入SIEM、SOAR和XDR平台以提升安全监控与响应能力。当攻击面数据与威胁情报关联时，检测响应时效将显著提升。

自动化修复工作流可快速弥补安全漏洞，降低人工干预依赖。

5. 主动监控并检测针对攻击面的威胁

威胁行为者持续寻找弱点，因此实时监控至关重要。行为分析、基于风险的警报和异常检测有助于在威胁升级前及时发现。

安全团队应追踪未授权访问尝试、异常API活动及配置错误——这些往往是攻击的早期征兆。

6.5 通过持续攻击模拟与测试验证防御体系

随着威胁演变，安全工具和策略可能过时。若缺乏定期测试，漏洞将长期隐匿。红队演练、渗透测试和攻击者模拟能抢在攻击者之前发现弱点。

模拟真实攻击场景可验证安全控制措施是否有效，识别配置错误，并强化事件响应策略。

https://www.wiz.io/academy/cloud-security/attack-surface

（完）

---

查看原文：《攻击路径分析介绍》