安全运营漫谈04：不同资产管理系统之间的对比与关系

目前很多单位已经建设了固定资产管理系统、CMDB系统，这些系统与安全运营中的资产管理系统相比的侧重点有什么不同？这些系统之间有什么的相互关系？我们做一个简单的对比说明。

不同资产管理系统之间的区别

我们从使用用户、服务职能、资产范围、资产颗粒度与资产属性五个维度进行一个简单的对比，对比描述如下：

▼▼固定资产管理系统：

• 使用用户：固定资产管理人员、财务人员
• 服务职能：固定资产生命周期管理、固定资产折旧及成本核算
• 资产范围：一般为外部购买的具有财务价值的一切资产，资产范围大于信息资产的范畴，但一般不包括应用、源代码等非购买资产。
• 资产颗粒度：资产颗粒度较粗，一般颗粒度以单个实物为主。

• 资产属性：包括固定资产属性以及财务属性，如购买时间、使用部门、资产类型、折旧价值等。

▼▼配置管理数据库（CMDB）系统：

• 使用用户：IT运维人员
• 服务职能：IT运维中的资产配置管理以及资产运行状态监控
• 资产范围：一般为生产环境中在线运行的各种IT资产，但一般不包括开发与测试环境资产以及源代码等静态资产。
• 资产颗粒度：资产颗粒度一般，硬件设备、操作系统颗粒度较细，应用系统颗粒度普遍较粗。

• 资产属性：包括运维管理属性以及性能属性，如使用部门、运维责任人、IP地址、配置信息（CPU、内存、存储等）、系统版本等。

▼▼网络安全资产管理系统：

• 使用用户：安全管理人员、安全运营人员
• 服务职能：支撑资产漏洞识别与处置，辅助安全风险与事件处置
• 资产范围：纳入安全管理与防护的所有资产，包括互联网资产与内网资产，包括生产环境资产与开发环境资产，同样包括源代码等静态资产。
• 资产颗粒度：资产颗粒度较细，应用系统、硬件设备、操作系统、数据库、应用组件都需要识别。

• 资产属性：除了包含CMDB、固定资产中的基本属性外，还包括域名、服务端口、URL、组件版本、管理后台等。

不同资产管理系统之间的关系

由以上的对比内容可以看出，固定资产管理系统、配置管理数据库（CMDB）系统无论从使用用户、服务职能还是资产管理的范围、颗粒度和属性都难以满足网络安全运营与管理的需求，现存的固定资产管理系统、配置管理数据库（CMDB）系统无法代替网络安全资产管理系统。

▼▼不同系统间的数据融合

虽然固定资产管理系统、配置管理数据库（CMDB）系统不能代替网络安全资产管理系统，但其天然与业务职能贴合紧密、管理流程性强的特点，使其所包含的资产所属部门、责任人、IP地址等数据相对比较准确，可以为网络安全资产管理系统提供精准的数据输入。

同时，网络安全资产管理系统通过探针能够自动识别很多资产属性数据，如域名、端口、URL等资产属性数据通常在资产管理、IT运维过程中也可能需要，也可以使固定资产管理系统、配置管理数据库（CMDB）系统数据更加丰富。

▼▼资产是安全运营的基础

除了资产属性数据的差别外，网络安全资产管理系统最大的优势是能够进行资产、安全漏洞、安全告警之间的关联。比如应用系统与所对应的服务器、数据库、中间件等资产进行关联；比如资产与安全漏洞、安全告警之间进行关联。这些无疑给日常安全管理与运营工作带来了极大的便利，可以说网络安全资产管理系统是高质量安全管理与运营的基础。

扩展  ·  本文相关链接

· CIS Controls中关于资产管理都有哪些条款

· 推动漏洞修复路上的二三事儿（下）

· 推动漏洞修复路上的二三事儿（上）

· UEBA如何在企业有效地应用与落地

· 安全运营的定义与核心目标

·SOAR还面临着一条很难跨越的鸿沟

·网络安全成熟度与投入产出比