乐乐彩 - 乐乐彩

【动画】带你了解，何为网络安全“攻击面管理”******

　　【2022年国家网络宣传周系列科普】

　　近年来，新兴技术迅速发展带动了网络资产边界快速拓展，也增加了企业资产暴露面，而基于供应链的新型攻击则大大降低了攻击成本。在多重因素的驱动下，网络安全防御策略也在与时俱进，攻击面管理也开始被行业所关注。让我们一起了解一下攻击面管理的小知识吧。

　　什么是攻击面？

　　近日发布的《中国攻击面管理市场研究报告》（以下简称研究报告）指出，攻击面是指未经授权即能访问和利用企业数字资产的所有潜在入口的总和。

　　其中，包括未经授权的可访问的硬件、软件、云资产和数据资产等，同样也包括人员管理、技术管理、业务流程存在的安全弱点和缺陷等，即存在可能会被攻击者利用并造成损失的潜在风险。

　　但不是所有资产暴露面都可以成为攻击面，只有可利用暴露面叠加攻击向量才形成了攻击面。

　　什么是攻击面管理？

　　攻击面管理是一种从攻击者的角度对企业数字资产攻击面进行检测发现、分析研判、情报预警、响应处置和持续监控的资产安全性管理方法，其最大特性就是以外部攻击者视角来审视企业所有资产可被利用的攻击可能性。

　　主要包含外部攻击面管理（EASM）、网络资产攻击面管理（CAASM）、数字风险保护服务（DRPS）等内容。

　　什么是攻击面管理框架体系？

　　攻击面管理框架体系自下向上分别为基础技术、安全能力和应用场景。基础技术为支撑攻击面管理的技术能力集合，多种技术组合形成攻击面管理的能力体系，根据不同的业务场景需求采用不同的能力组合，形成不同的应用场景下的攻击面管理解决方案，为用户提供有针对性的攻击面闭环管理能力。

　　什么是攻击面管理成熟度模型？

　　研究报告中还提到了建立攻击面管理的成熟度模型，主要是工具阶段的被动防御、平台阶段的主动防御、流程化阶段的对抗防御、先知阶段的优先防御四个层级；提出了暴露面获取、脆弱点发现、攻击面挖掘、情报获取能力等攻击面管理要具备的12个能力域，从检测发现、分析研判、情报预警、响应运营的闭环管控过程分解了响应的29个能力子项，从子能力的具备和完善情况来评价攻击面管理的有效性。

　　发展前景怎么看？

　　目前，国内外厂商如华云安、360政企安全、Mandiant、CyCoginito、等一大批传统网络安全团队，正在进入攻击面管理创新领域。未来攻击面管理将从传统场景扩展到新兴技术场景，并提供跨领域、跨技术平台的数字资产及其攻击面管理能力，更关注企业内部业务风险和第三方风险的管理，为用户提供统一的攻击面管理入口，并提供一致的安全运营体验。

　　光明网、华云安 联合出品

　　监制：张宁、李政葳策划：孔繁鑫制作/配音：雷渺鑫

网络募捐不能违背公序良俗******

　　□ 金泽刚

　　近日，江秋莲与刘暖曦(曾用名：刘鑫)生命权纠纷案在山东省青岛市中级人民法院迎来终审宣判：驳回上诉，维持原判，刘暖曦需赔偿江秋莲各项经济损失49.6万元及精神损害抚慰金20万元。从法律上讲，该案已画上了句号，但案结事未了。随后刘暖曦通过微博就赔偿款发起网络募捐，引发很多网友愤慨。目前刘暖曦账号已被禁言。这起事件也引发了公众对网络募捐所涉法律问题的关注。

　　根据我国慈善法相关规定，慈善募捐，包括面向社会公众的公开募捐和面向特定对象的定向募捐。由于慈善的公益特性，决定了自然人主体并不具备慈善募捐的资格，因此个人在微博就赔偿款进行募捐，呼吁网民进行打赏不属于慈善募捐的范畴。此类行为在性质上可定义为通过网络的个人求助行为。

　　对于他人发起的求助，社会大众或出于同情、怜悯等缘由而给予其物质帮助，这在性质上归属于民事赠与，对此，法律并未禁止。当然，民事法律行为应当遵循诚实信用等基本原则，求助人不得采取欺诈等方式向他人求助，以获得捐款，还应当遵照事先说明的用途使用募捐款项，否则构成民法上的“欺诈”，即诈捐，诈捐是要承担相应法律责任的。

　　与此同时，我国民法典规定，民事主体从事民事活动，不得违反法律，不得违背公序良俗，违背公序良俗的民事法律行为无效。就此案来说，法院的判决已明确了其中的是非曲直，也尊重了人民群众朴素的公平正义观念。司法判决弘扬的是人间正气，呼唤的是社会良知，热心助人者应该得到补偿和认同，自私冷漠者必须得到批评和惩罚。这不只是司法判决的法理所在，也是社会公序良俗的必然要求。

　　2021年最高人民法院在《关于深入推进社会主义核心价值观融入裁判文书释法说理的指导意见》中指出，各级人民法院应当深入推进社会主义核心价值观融入裁判文书释法说理，将社会主义核心价值观作为理解立法目的和法律原则的重要指引，即司法判决就应彰显公平正义，鞭挞丑恶自私。由此案说开，如果其他案件的当事人也因违背社会主义核心价值观与中华传统美德的行为，对他人造成伤害而被法院判处承担赔偿责任，但又就赔偿款进行网络募捐，那么这一行为其实就是在向社会公序良俗发起挑战，在向社会主流价值观发起挑战，对此，相关网络平台要严格依据《网络信息内容生态治理规定》《关于切实加强网络暴力治理的通知》等相关规定，承担起相应的法律义务和社会责任，对相关当事人的一些偏激言论，乃至后续的网络募捐行为作出必要的限制和监管。

　　同现实生活中的“讨要”不同，网络属于虚拟空间，在网络上的“求助”不仅求助对象广泛，明显带有社会公共属性，而且便于美化自身角色，从而容易博取同情，进而获利。因此，对网络平台上的求助行为，特别是网络打赏等经济活动的监管亟待加强。对于是否将个人募捐求助纳入慈善法的规制范畴，值得进一步探讨。如果立法条件尚不成熟，亦可考虑在目前的《社会救助暂行办法》中增设关于“网筹型个人求助”的内容，因为完备的社会保障制度和慈善制度在外延上应当包括个人求助制度，个人求助的核心在于个人求助权利得到保障和实现。

　　无论如何，从目前的法律规定来看，不是什么钱都能在网上“讨要”。网络求助同样应当遵循民事行为的基本准则，而且，网络求助应当留给那些真正需要帮助的人，不能让网络平台为违法担责者博取同情、获取财物提供帮助。

　　(作者系同济大学法学教授，上海市嘉定区法学会副会长)

　　（文图：赵筱尘 巫邓炎）