老牌的弱點掃描工具Tenable Nessus，持續以協助企業預防攻擊為目標，實作技術不斷地擴展，更建構了Tenable One雲端平台，讓企業藉此掌握資安曝險。
Tenable One曝險管理範疇橫跨IT、OT與物聯網（IoT）資產，以及雲端資源、容器環境、網頁應用程式、身分的曝險相關資料，結合來自Tenable Research的威脅情資，讓企業把資產、弱點、威脅情資相關的技術資料，轉化為簡單明瞭的業務洞察與可採取行動的資訊，供IT或資安管理者運用。
準確地發現、評估、排定修復處理順序，可說是曝險管理的關鍵要務。Tenable ASM能讓企業深入洞察並管理其廣泛的網路資產，基於網頁的資產清單，使用DNS記錄、IP位址、ASN來識別資產，並包含180多列元資料（Metadata），企業可用來識別已知或未知可透過Internet存取的資產，進而識別與追蹤攻擊面的變更，持續進行監控，以即時發現與應對潛在風險。
如今Tenable ASM已完成整合至Tenable One曝險管理平台，搭配內建Nessus技術的Tenable Vulnerability Management雲端服務，以及地端部署的Tenable Security Center，讓企業IT或資安管理者透過單一的Tenable One，掌握攻擊面風險態勢，以快速判別、調查企業最關鍵的資產和弱點，並排定優先處理順序。
補強識別未知資產排除資安盲點
近年來受到企業青睞的ASM（攻擊面管理）或曝險管理，相較於Tenable過往提供的漏洞掃描或弱點管理解決方案，主要差異在於偵測範圍擴及企業尚未識別或未列入管理清單的資產。Tenable台灣區技術顧問李元勛說明，傳統的漏洞掃描與弱點管理，主要針對已知的主機和網站，以確認這些對外服務的網站是否隱藏潛在風險。然而，ASM可進一步探索和發現那些未知或被忽略的資產，這些往往是安全盲點，極可能成為攻擊者的入侵點。
實際上，曝險管理實作方法大多採用市場上成熟的技術，只是近幾年企業開始重視資安風險才成為熱門議題。李元勛指出，在資安治理方法論中，首要步驟是盤點現有資產，然後根據應用系統或機敏資料的重要程度，確定適當的控管措施。問題是，過去一次性的盤點已難以滿足現代企業動態的應用需求，須持續地更新才足以確實掌握數位資產與識別安全風險。
至今仍有企業認為攻擊者不太可能直接接觸到內部的關鍵任務系統或資料庫，因為這些主機通常受到防火牆、入侵偵測系統等資安技術的保護。李元勛指出，去年（2023）共享汽機車平台iRent的資料外洩事件凸顯了當一台主機，尤其是資料庫，未經加密就直接暴露於公開網路時所面臨的風險。儘管已經建立了多層式防護機制，只要一個配置不當、錯誤配置的疏失，攻擊者就可以利用自動化工具，輕易地利用弱點發動攻擊。由此可發現，定期從外部角度監控資安風險，成為及時發現問題以預防資安事件的有效手段。
攻擊手段的多樣化，也推動了資安領域持續發展，例如針對可從公開網路直接存取的監控攝影機等聯網裝置，這些裝置的便利性往往也為攻擊者提供了可乘之機。曝險管理範疇亦逐步擴展到OT、IoT應用場域，以攻擊面為核心，提高了可視性，並計算出風險指數，以科學化數據執行弱點修復任務。
嚴加管控Active Directory風險
李元勛表示，Tenable One是一個全面整合的雲端原生平台，採用以分析為導向的方式來管理曝光風險，它結合了Tenable產品組合的豐富功能，涵蓋漏洞管理、雲端安全、身分安全、外部攻擊面管理等不同領域，並在統一的平台中彙集相關資料，以人工智慧（AI）應用運行分析，幫助維運團隊根據風險嚴重等級作出更好的決策。
根據Tenable委託Forrester Consulting進行的一項研究，全球接受調查的IT和資安人員中有一半（50%）表示，他們缺乏將使用者權限資料整合到漏洞管理的方法。此問題的關鍵在於，Active Directory系統仍是目前企業內部身分識別與權限控管的核心。勒索軟體等惡意程式入侵，只要竊取Active Directory系統的管理權限，即可以合法方式取得商業機密、個資等機敏資料，最後再同時間引爆勒索軟體發作破壞端點運行，趁亂把機敏資料遞送回到中繼站。
Tenable One曝險管理平台已納入的身分安全模組，可持續地進行Active Directory系統風險評估、即時攻擊偵測，由AI驅動的曝險優先順序設定以及修復指導。身分風險評分是由Tenable的人工智慧（AI）和資料科學引擎（Data Science Engine），結合資產的漏洞、暴露和身分權限，來量化資產風險的分數。
同時也可保護公有雲和混合雲採行的Azure Active Directory，以便企業可跨環境進行統一身分驗證，並使用特定於Azure Active Directory的暴露指標來管理雲端身分風險。
ExposureAI輔助提高緩解風險效率
值得一提的是，Tenable One曝險管理平台日前發布ExposureAI，借助生成式AI的能力，讓企業IT或資安人員能夠向AI助理提問，快速總結最新威脅情資中與自身產業相關的攻擊手法，並獲得緩解風險的建議指引，以免遭到攻擊者覬覦與利用來滲透。ExposureAI的生成式AI驅動搜尋和聊天應用程式，運用的是Google Cloud的技術，在Vertex AI提供的Gemini多模態模型所設計。
當前企業面臨攻擊者採以複雜的手法、工具技術與執行程序（Tactics、Techniques與Procedures，簡稱TTP），試圖滲透攻擊面，根據國際非營利組織ISC2（資訊系統安全認證聯盟）去年（2023）年底發布的統計數據，全球資安行業的勞動力已達到550萬人，較2022年增加了8.7%，這是ISC2有史以來記錄的最高勞動力水平。然而，2023年的ISC2資安勞動力研究也顯示，需求仍在超越供給。資安領域的人才缺口達到了史高，需要4百萬專業人員來充分保護數位資產。資安解決方案紛紛納入生成式AI輔助，有助於緩解人才短缺可能引發的資安維運風險。
Tenable台灣區技術顧問李元勛認為，基於弱點掃描起家的Tenable，在攻擊面管理更具優勢。不僅擁有成熟技術與豐富情資，可掌握企業內外數位資產潛在風險，亦可藉由ExposureAI輔助解釋、搜尋與行動，快速緩解高風險。
Attack Path Analysis（攻擊路徑分析）是Tenable One平台的關鍵功能之一，結合了來自漏洞管理、雲端安全、網路應用程式、身分暴露的洞察，使企業能夠從攻擊者的角度理解潛在風險，並且制定針對性的防護策略，提高防護有效性。
此外，Attack Path Analysis亦可利用ExposureAI的生成式AI能力，幫助彌合效率和生產力差距。例如，使用生成式AI摘要攻擊路徑，提供潛在風險和漏洞的概覽。即使非資安領域專家，都能有效地理解和應對威脅，賦予企業加強防禦的能力。