当今的威胁形势要求企业安全团队突破传统网络安全措施的局限，传统措施往往过于被动和滞后，在大多数情况下，无法有效应对新兴威胁和复杂的威胁行为者。重视网络安全意味着实施更主动、自适应且可执行的措施，这些措施协同工作，才能有效应对那些对业务影响最大的威胁。

理想情况下，这些措施应包括实施持续威胁暴露管理（CTEM）计划、漏洞管理和攻击面管理（ASM），这些措施虽各不相同，但存在重叠之处。对于CTEM、漏洞管理和ASM而言，并非哪一个 “更好” 或 “更有效” 的问题，因为它们以独特的方式相互补充。通过采用这三种措施，安全团队能够获得持续的可见性和相关背景信息，进而主动加强防御，使其在与威胁行为者的对抗中占据优势。

继续阅读，了解CTEM、VM和ASM三者结合如何成为注重安全的企业的最佳投资选择。

什么是漏洞管理（VM）？

漏洞管理是指在组织的信息技术生态系统中识别、分析、修复和管理网络安全漏洞的过程。明确的漏洞管理流程对于在攻击者利用漏洞之前主动识别并解决漏洞至关重要，从而更好地保护组织免受常见的网络攻击。

漏洞管理是一个持续的过程，通常包括以下阶段：

• 漏洞发现
• 漏洞评估与优先级排序
• 漏洞修复
• 重新评估
• 持续改进

什么是攻击面管理（ASM）？

攻击面管理（简称ASM）是指持续识别组织攻击面上最关键的攻击者可能作为切入点的资产，并对其进行优先级排序的做法。它与漏洞管理（VM）类似，二者都旨在发现、分析、修复和监控组织攻击面内的漏洞。

然而，攻击面管理（ASM） 采用了更广泛、更全面的企业安全方法。因此，漏洞管理（VM）的主要目标是识别和管理已知资产中的已知漏洞，而ASM旨在发现和管理攻击者所有潜在的切入点，包括那些未知的切入点。

此外，攻击面管理（ASM）使组织能够在漏洞被利用之前识别并解决它们。ASM工具十分智能，因为它们不仅可以发现暴露的资产，还能针对这些资产及其关键的攻击者切入点提供深入的上下文洞察。通过在整个攻击面上提供更深入的上下文洞察，ASM对漏洞管理（VM）形成补充，并有助于强化安全防御。

与漏洞管理（VM）一样，攻击面管理（ASM）是一个持续的循环过程，通常包括多个相互重叠的阶段：

• 资产发现
• 资产盘点与分类
• 漏洞识别与风险评估 
• 资产优先级排序与风险评分
• 漏洞修复与报告

什么是持续威胁暴露管理（CTEM）？

持续威胁暴露管理，通常简称为 CTEM，是一种用于发现、确定优先级、验证和应对安全暴露的系统性方法。CTEM 计划为现代组织提供了所需的结构和框架，使其能够主动且持续地监控其外部攻击面，评估这些攻击面中的漏洞，并调动应对措施和跨职能资源以降低安全风险。

有效的、持续的CTEM是一个五阶段的过程。这些阶段包括：

• 确定网络安全威胁的范围（确定内部和外部攻击面）
• 发现资产并为每项资产建立风险概况
• 根据紧迫性、安全性和风险程度对威胁进行优先级排序
• 通过真实世界的攻击模拟来测试和验证漏洞
• 调动资源修复漏洞和应对威胁

CTEM 、VM和ASM ：重叠且互补的安全方法

需要明白的是，CTEM并非一个独立的工具或单一的基于技术的解决方案。相反，它是一种全面、主动且迭代的安全方法，利用多种工具和技术来实现更好的安全效果。

正如我们所见，持续威胁暴露管理（CTEM）的生命周期始于识别组织的攻击面。这正是基于风险的攻击面管理（ASM）解决方案和漏洞管理（VM）工具发挥作用的地方。漏洞管理工具有助于识别漏洞并确定其优先级，而攻击面管理工具则能让所有暴露的资产（包括已知和未知资产）及其相关风险变得可见。

最有效的持续威胁暴露管理（CTEM）计划融合了漏洞管理（VM）和攻击面管理（ASM）技术及工具。它们还纳入了其他主动防御安全技术，如渗透测试服务、红队演练以及对抗暴露验证（AEV）。

这些技术相互强化，以识别风险并进行补救，管理组织的攻击面，并加强其安全态势。它们共同助力打造一个全面的网络威胁暴露管理（CTEM）计划，该计划能够：

• 通过资产和风险暴露的实时可见性，以实现持续保护
• 基于上下文和风险的漏洞优先级排序，以实现更有效的资源分配和修复
• 模拟现实世界中的漏洞，突出已识别漏洞在现实世界中被利用可能产生的影响
• 集中式洞察和可行建议，用于管理整个数字环境中的安全风险。

* 本文为小眼儿编译，原文地址：https://thehackernews.com/2025/07/ctem-vs-asm-vs-vulnerability-management.html
注：图片均来源于网络，无法联系到版权持有者。如有侵权，请与后台联系，做删除处理。

英伟达深夜再发文：芯片没有后门、终止开关和监控软件

日前，国家网信办就H20芯片存在后门风险一事约谈英伟达公司引发行业广泛关注。今天凌晨，英伟达官方再次发文回应，称“英伟达芯片不存在后门、终止开关和监控软件”。

文中提到，为了降低误用风险，一些专家和政策制定者提出需要在硬件中设置“终止开关”或内置控件，以便在用户不知情和未经同意的情况下远程禁用GPU。有人怀疑这种情况已经实际存在，但英伟达GPU并不存在、也不会设置终止开关和后门。

英伟达在申明中还表示，公司会始终支持开放、透明的软件，在用户知晓并征得其同意的情况下，帮助客户充分利用其GPU驱动的系统（包括诊断、性能监测、错误报告和及时修补）。

参考链接：

https://mp.weixin.qq.com/s/UUjiz03k-za3lwCrlPYi7g

网易多款游戏突发大面积宕机，内部人士回应：系机房网络故障

8月5日上午，网易旗下《阴阳师》《第五人格》《七日世界》《一梦江湖》等多款游戏突发登录异常，“网易游戏崩了”话题迅速冲上微博热搜。有大量玩家反馈，游戏界面卡死在登录环节，“重启设备”、“切换网络”、“删了重装”均无效。

对此，有网易内部人士回应称：“内部办公系统popo也出现一点问题，可以收发消息，但有些业务办不了了。宕机大概率是网易内部服务器问题。”网易内部很快也发布公告证实了这一观点，“由于机房网络故障，导致POPO部分服务（云空间、任务、工作台、开放平台等）……运维团队正在紧急处理。”

这是网易游戏今年第二次发生大面积崩服事故。上一次是在今年3月，当时经过大面积排查后发现，系背后运营商中国移动的网络故障，经网易技术部与中国移动紧急沟通后修复。

参考链接：

https://mp.weixin.qq.com/s/mXNakYpCdMFjNdR4Yc1HuQ

文章来源：数世咨询、安全牛