Armis

Armis软件平台是一款基于无代理（Agentless）架构的企业级全域资产可见性与零信任安全管理平台，专注于发现、识别、监控所有联网资产（包括传统IT设备、物联网（IoT）设备、运营技术（OT）设备、医疗物联网（IoMT）设备及云资产等），并通过实时风险评估、异常行为检测与动态访问控制，帮助企业构建零信任安全体系，防范未授权访问、漏洞利用及高级威胁攻击。平台核心目标是解决企业在数字化转型中面临的“资产看不见、风险摸不清、攻击防不住”的痛点，为企业提供全面的资产安全治理能力。

一、核心定位与整体架构

Armis平台的核心理念是“全域可见、动态防护、零信任执行”。与传统依赖代理的安全工具不同，其无代理架构确保了对所有类型设备的覆盖，尤其是无法安装代理的IoT/OT/IoMT设备；同时，通过实时网络流量分析与行为建模，实现对资产风险的持续监控与动态响应。

• 全域可见：打破传统安全工具的资产覆盖盲区，实现对企业内网、外网、云环境中所有联网设备的发现与分类，包括已知和未知资产。
• 动态防护：基于资产的实时状态（风险等级、行为模式、合规性）调整安全策略，而非静态规则，确保防护措施与业务变化同步。
• 零信任执行：遵循零信任“永不信任、始终验证”原则，基于资产身份、上下文环境与安全状态实施细粒度访问控制，最小化攻击面。

平台的逻辑架构分为以下五层：

1. 资产发现与数据采集层：通过被动网络监听、主动轻量级探测及第三方数据源集成，收集所有联网设备的属性、通信行为与状态数据。
2. 数据处理与分析层：对采集到的数据进行清洗、关联与建模，包括资产身份识别、行为基线建立、风险评估与威胁检测。
3. 策略引擎层：基于零信任原则与企业安全政策，制定并执行访问控制、风险响应与合规检查策略。
4. 可视化与操作层：提供仪表盘、报告、告警中心及操作界面，支持管理员实时监控资产态势、处理安全事件与配置策略。
5. 集成与扩展层：通过开放API与第三方安全工具（SIEM、防火墙、SOAR等）及业务系统（CMDB、AD等）集成，实现安全能力的扩展与协同。

二、核心功能模块详解

1. 全域资产发现与分类

资产发现是安全管理的基础，Armis平台通过多维度技术手段实现对所有联网资产的全面覆盖，消除资产盲区。

• 无代理资产发现技术：
  • 被动流量分析：通过网络镜像端口或TAP设备收集全网流量，分析DHCP、ARP、SNMP、MDNS、SSDP、MQTT等协议数据包，提取设备的IP、MAC地址、操作系统、服务端口、应用类型、厂商型号等属性，无需在设备上安装任何软件，避免影响设备性能或稳定性。
  • 主动轻量级探测：针对被动分析无法识别的未知设备，发送非侵入式探测包（如ICMP echo、TCP SYN扫描），获取设备响应信息以补充资产属性；对于OT设备，采用定制化探测策略，避免发送可能干扰生产的数据包（如不扫描PLC设备的特定端口）。
• 多类型资产覆盖：
  • 传统IT设备：服务器、台式机、笔记本、交换机、路由器、打印机、移动设备（手机、平板）等。
  • IoT设备：智能摄像头、门禁系统、智能照明、智能音箱、工业传感器等。
  • OT设备：可编程逻辑控制器（PLC）、 Supervisory Control and Data Acquisition（SCADA）系统、分布式控制系统（DCS）、人机界面（HMI）等。
  • IoMT设备：磁共振成像（MRI）设备、输液泵、心电图机、患者监护仪等医疗设备。
  • 云资产：AWS EC2实例、Azure虚拟机、Google Cloud实例、云存储桶等，通过云API集成实现发现与监控。
• 自动分类与标签化：
  • 基于设备属性（厂商、型号、协议、服务）自动分类，例如将“Axis Communications”生产的设备标记为“IoT摄像头”，将“Siemens S7”系列设备标记为“OT PLC”。
  • 支持自定义标签，管理员可根据业务需求（如部门、位置、重要性等级）为资产添加标签，便于后续风险评估与策略制定。
• 资产详情与关系图谱：
  • 每个资产的详情页面包含设备基本信息、运行状态、开放端口、安装的应用、关联用户、通信的其他设备等数据，帮助管理员全面了解资产情况。
  • 生成资产关系图谱，展示设备之间的通信路径与依赖关系，例如PLC设备与SCADA服务器的连接、IoT摄像头与NVR的通信，为威胁溯源与攻击路径分析提供支持。

2. 实时风险与漏洞管理

Armis平台通过持续监控资产的漏洞状态、配置错误与异常行为，实现对风险的实时评估与优先级排序，帮助企业优先处理高风险问题。

• 漏洞扫描与评估：
  • 集成全球漏洞数据库（CVE、NVD、MITRE、厂商漏洞公告），实时更新漏洞信息，对发现的资产进行漏洞匹配。
  • 基于CVSS评分（Common Vulnerability Scoring System）与资产的业务重要性（如是否为核心OT设备、是否处理敏感数据）计算风险优先级，生成风险评分（高、中、低），帮助管理员聚焦关键风险。
  • 支持漏洞详情查看，包括漏洞描述、影响范围、修复建议与参考链接，便于管理员快速采取修复措施。
• 配置错误检测：
  • 检测资产的不安全配置，例如弱口令（如设备默认密码未修改）、开放不必要的端口（如PLC设备开放SSH端口）、未加密的通信协议（如使用HTTP而非HTTPS）、权限配置过宽等。
  • 针对OT设备，检测不符合行业标准（如ISA/IEC 62443）的配置，例如SCADA系统允许匿名访问、PLC设备启用远程调试功能。
• 异常行为检测：
  • 建立资产的正常行为基线（如通信的IP范围、端口、协议、流量大小、访问频率等），当设备行为偏离基线时触发告警，例如IoT摄像头突然访问内部数据库服务器、OT设备向外部未知IP发送数据。
  • 支持自定义异常规则，管理员可根据业务需求设置特定的行为监控规则，例如禁止医疗设备访问互联网、禁止PLC设备在非工作时间通信。
• 风险仪表盘与报告：
  • 风险仪表盘展示企业整体风险态势，包括高/中/低风险资产数量、漏洞趋势、配置错误分布、异常行为事件等，支持按资产类型、部门、位置筛选查看。
  • 生成风险评估报告，包含资产清单、风险分布、优先级排序及修复建议，可导出为PDF或CSV格式，用于内部审计或合规报告。

3. 零信任访问控制

Armis平台基于零信任架构，实现对资产访问的细粒度控制，确保只有授权的设备、用户与应用能访问敏感资源，最小化攻击面。

• 资产身份管理：
  • 为每个资产分配唯一身份标识（基于MAC地址、IP地址、设备型号、证书等组合），建立资产身份库，确保身份的唯一性与不可伪造性。
  • 支持身份验证机制，例如对IoT设备采用证书认证、对IT设备采用AD域认证，验证资产身份的合法性。
• 细粒度访问策略：
  • 基于资产身份、上下文环境（如设备位置、网络分区、时间）与安全状态（如是否存在高危漏洞、是否有异常行为）制定访问策略，例如：
    • 仅允许HR部门的PC访问员工数据库服务器；
    • 仅允许SCADA服务器在工作时间访问PLC设备；
    • 禁止存在高危漏洞的IoT设备访问内部网络；
  • 支持微分段（Micro-segmentation），将网络划分为多个小的安全域，限制域间的通信，防止攻击横向扩散，例如将OT网络与IT网络隔离、将IoMT设备与办公网络隔离。
• 动态策略调整：
  • 根据资产的实时状态自动调整访问策略，例如当某设备被检测到存在高危漏洞时，自动限制其访问敏感资源；当漏洞修复后，恢复正常访问权限。
  • 支持策略的生命周期管理，包括策略的创建、审核、发布、更新与下线，确保策略的有效性与合规性。
• 集成第三方控制工具：
  • 与防火墙（如Palo Alto、Cisco ASA）、软件定义网络（SDN）控制器（如VMware NSX）、零信任网络访问（ZTNA）工具集成，将Armis的策略转化为实际的网络控制规则，例如当检测到异常设备时，自动在防火墙上添加规则阻止其通信。

4. IoT/OT/IoMT专项安全

针对IoT、OT、IoMT设备的特殊性，Armis平台提供定制化的安全功能，确保在不影响业务运行的前提下实现安全防护。

• OT设备安全：
  • 非侵入式监控：采用被动流量分析与轻量级主动探测，避免对OT设备的正常运行造成干扰（如不发送可能导致PLC重启的数据包）。
  • OT协议支持：识别并分析常见的OT协议（如Modbus、DNP3、S7Comm、EtherNet/IP），检测协议中的异常行为（如未授权的写操作、非法指令）。
  • OT合规性检查：符合ISA/IEC 62443标准，检测OT网络的安全配置是否满足行业要求，生成合规报告。
• IoMT设备安全：
  • HIPAA合规支持：检测IoMT设备是否符合HIPAA隐私规则，例如是否加密患者数据、是否限制未授权访问。
  • 医疗设备行为监控：建立医疗设备的正常行为基线（如MRI设备的网络通信模式、输液泵的操作频率），检测异常行为（如医疗设备向外部发送患者数据）。
  • 漏洞管理：针对医疗设备的特有漏洞（如FDA公告的漏洞）进行监控与修复建议。
• IoT设备安全：
  • 默认密码检测：识别IoT设备使用的默认密码（如摄像头的admin/admin），提醒管理员修改。
  • 固件版本监控：检测IoT设备的固件版本是否过时，是否存在已知漏洞，提供固件更新建议。
  • 异常通信检测：监控IoT设备的网络通信，检测是否存在与恶意IP的通信、是否发送大量垃圾数据（如DDoS攻击）。

5. 威胁检测与响应

Armis平台通过行为分析、威胁情报整合与自动化响应，实现对高级威胁的快速检测与处置，减少攻击造成的损失。

• 基于行为的威胁检测：
  • MITRE ATT&CK for IoT框架支持：检测IoT/OT设备的常见攻击行为，如命令注入、固件篡改、横向移动、数据 exfiltration等。
  • 异常行为关联分析：将多个异常行为事件关联起来，识别高级威胁，例如某IoT摄像头被攻陷后，尝试访问内部服务器并下载恶意软件，平台会将这两个事件关联为一个攻击链。
• 威胁情报整合：
  • 集成全球威胁情报源（如MISP、AbuseIPDB、MITRE），实时更新恶意IP、域名、哈希值等信息，检测资产是否与恶意实体通信。
  • 支持自定义威胁情报导入，管理员可上传内部威胁情报数据，增强威胁检测能力。
• 自动化响应：
  • 预定义响应动作：支持自动执行响应动作，如隔离异常设备（通过防火墙或SDN）、关闭开放端口、发送告警通知等。
  • SOAR集成：与SOAR平台（如Demisto、Phantom）集成，实现复杂威胁事件的自动化处置流程，例如当检测到OT设备被攻击时，自动触发应急响应流程，包括隔离设备、通知运维团队、记录事件日志等。
• 事件溯源与分析：
  • 生成威胁事件的详细报告，包括攻击时间、攻击源、受影响资产、攻击路径、使用的技术手段等，帮助管理员了解攻击过程。
  • 支持事件的钻取分析，管理员可查看事件的原始数据（如流量包、日志），进行深入调查。

6. 可视化与报告

Armis平台提供直观的可视化界面与丰富的报告功能，帮助管理员快速掌握资产安全态势，满足审计与合规需求。

• 实时仪表盘：
  • 资产概览：展示资产总数、各类资产占比、新增资产数量等。
  • 风险态势：展示高/中/低风险资产数量、漏洞趋势、配置错误分布等。
  • 威胁事件：展示最近发生的威胁事件、事件类型、受影响资产等。
  • 合规状态：展示符合/不符合合规要求的资产数量、合规率等。
  • 支持自定义仪表盘，管理员可添加或删除组件，调整布局，满足个性化需求。
• 自定义报告：
  • 合规报告：生成符合PCI DSS、GDPR、HIPAA、ISA/IEC 62443等法规的报告，包含合规检查结果、不符合项及修复建议。
  • 风险评估报告：包含资产清单、风险分布、优先级排序及修复计划。
  • 威胁事件报告：包含最近发生的威胁事件详情、处置结果及预防措施。
  • 支持报告的定时生成与自动发送，例如每周生成一次风险评估报告并发送给安全团队。
• 数据导出：
  • 支持将资产数据、风险数据、威胁事件数据导出为CSV、Excel或PDF格式，便于后续分析或与其他系统集成。

7. 集成与API

Armis平台通过开放API与第三方工具集成，实现安全能力的协同与扩展，提升企业整体安全防护水平。

• 安全工具集成：
  • SIEM集成：与Splunk、Elasticsearch、IBM QRadar等SIEM工具集成，将Armis的资产数据、风险数据、威胁事件发送到SIEM平台进行集中分析。
  • 防火墙集成：与Palo Alto Networks、Cisco ASA、Fortinet等防火墙集成，实现策略的自动同步与异常设备的隔离。
  • SOAR集成：与Demisto、Phantom、Splunk Phantom等SOAR平台集成，实现威胁事件的自动化处置。
  • EDR/XDR集成：与CrowdStrike、SentinelOne、Microsoft Defender for Endpoint等EDR/XDR工具集成，共享资产与威胁信息，增强端点防护能力。
• 业务系统集成：
  • CMDB集成：与ServiceNow、BMC Remedy等CMDB系统集成，同步资产数据，确保CMDB的准确性与完整性。
  • AD/LDAP集成：与Active Directory、LDAP集成，同步用户信息，实现基于用户的访问控制。
  • 云平台集成：与AWS、Azure、Google Cloud集成，发现并监控云资产，同步云安全组规则。
• 开放API：
  • 提供RESTful API，支持资产数据查询、风险数据查询、威胁事件查询、策略配置等操作，便于企业进行二次开发或与内部系统集成。
  • 提供API文档与SDK，降低集成难度。

三、技术特点与优势

• 无代理架构：无需在设备上安装任何软件，覆盖所有类型的联网设备（尤其是无法安装代理的IoT/OT/IoMT设备），避免影响设备性能或稳定性，降低部署与维护成本。
• 全域资产覆盖：实现对传统IT、IoT、OT、IoMT、云资产的全面发现与监控，消除资产盲区，为企业提供完整的资产视图。
• 实时性与准确性：通过持续的网络流量分析与行为建模，实时发现新资产、异常行为与威胁事件，确保数据的准确性与时效性。
• 低误报率：基于资产的业务上下文与行为基线进行分析，减少误报，提高威胁检测的准确性，降低管理员的工作负担。
• 可扩展性：支持大规模部署，可管理上万台设备，适应企业业务的快速增长；通过分布式架构，确保系统的稳定性与性能。
• 合规支持：满足PCI DSS、GDPR、HIPAA、ISA/IEC 62443等多种行业法规的要求，提供合规报告与检查功能，帮助企业通过审计。
• 零信任原生：基于零信任架构设计，提供细粒度的访问控制与动态策略调整，帮助企业构建零信任安全体系。

四、典型应用场景

• 制造业OT安全防护：

  某汽车制造企业拥有大量OT设备（PLC、SCADA、HMI），传统安全工具无法覆盖这些设备，存在严重的安全盲区。通过部署Armis平台，企业实现了对所有OT设备的发现与监控，检测到多台PLC设备存在高危漏洞与默认密码问题，及时采取修复措施；同时，通过微分段将OT网络与IT网络隔离，防止攻击从IT网络扩散到OT网络，保障了生产系统的稳定运行。

• 医疗行业IoMT安全治理：

  某大型医院部署了大量IoMT设备（MRI、输液泵、患者监护仪），这些设备处理敏感的患者数据，需要符合HIPAA法规。Armis平台帮助医院发现了所有IoMT设备，检测到部分设备存在未加密通信与弱口令问题，及时修复；同时，监控IoMT设备的行为，防止患者数据泄露，生成符合HIPAA的合规报告，通过了监管部门的审计。

• 企业IoT安全管理：

  某互联网公司在办公区域部署了大量IoT设备（智能摄像头、门禁系统、智能照明），这些设备容易成为攻击入口。Armis平台发现了多台未授权的IoT摄像头连接到内部网络，这些摄像头存在高危漏洞，平台自动通过防火墙隔离了这些设备；同时，检测到部分摄像头使用默认密码，提醒管理员修改，避免设备被劫持。

• 金融行业支付终端安全：

  某银行拥有大量POS终端与ATM设备，这些设备处理敏感的支付数据，需要符合PCI DSS法规。Armis平台帮助银行发现了所有POS终端与ATM设备，检测到部分设备存在漏洞与不安全配置，及时修复；同时，监控设备的通信行为，防止数据泄露，生成符合PCI DSS的合规报告，确保支付系统的安全。

• 云环境资产安全监控：

  某科技公司使用AWS与Azure云平台，存在大量未授权的云实例与存储桶，导致数据泄露风险。Armis平台通过云API集成，发现了所有云资产，检测到多台未授权的云实例与公开的存储桶，及时关闭或加密；同时，监控云资产的通信行为，防止恶意访问，保障云环境的安全。

总结

Armis软件平台作为一款无代理的全域资产可见性与零信任安全管理平台，通过全面的资产发现、实时的风险评估、动态的访问控制与快速的威胁响应，帮助企业解决数字化转型中的资产安全痛点。其无代理架构确保了对所有类型设备的覆盖，尤其是IoT/OT/IoMT设备；零信任原生设计支撑企业构建安全的网络环境；丰富的集成能力实现与现有安全工具的协同，提升整体防护水平。无论是制造业、医疗行业、金融行业还是互联网企业，Armis平台都能提供定制化的安全解决方案，帮助企业防范高级威胁，满足合规要求，保障业务的稳定运行。

点击链接，了解更多产品详情：

登录后查看

https://www.armis.com/" rel="noopener noreferrer" target="_blank" style="color: rgb(230, 0, 0, null, null, null, null, null, 9, null, 0, 0, null, 0, null, 0, null, 0, 0, null, 0);">https://www.armis.com/