External Risk Monitor：监测哪些内容

服务简介

该产品在已批准的资产边界内，将被动研究与有限度的主动侦察相结合。被动工作可使用公开的 DNS、证书、注册和服务信息；有限度的主动检查会限制速率，并仅针对约定的域名和 IP 段。评审范围可包括域名、子域名、IP 段、开放端口、可公开访问的服务、HTTP 和 HTTPS 界面、证书、DNS 状况、暴露的管理面板、被遗忘的资产、公开存储迹象以及可见的配置问题。它会记录观察到了什么、何时观察到，以及为何可能值得关注。它采用被动研究和有限度的主动检查；漏洞利用和更深入的测试属于单独授权的渗透测试。发现结果会附带严重程度背景和修复优先级进行归类，以便团队决定哪些需要核实、关闭、监测或移交给其他负责人。

适用对象

External Risk Monitor 适合以下团队：

• 在业务增长、供应商变更、云环境变更或长期运营之后，需要更清晰的对外资产清单
• 希望在被遗忘的域名、服务、证书、管理面板或公开迹象变得更难管理之前将其识别出来
• 需要可供产品、基础设施、安全和管理层团队共同评审的证据和变更记录
• 希望获得定期的外部可见性，与渗透测试和内部安全职责形成互补

帮助厘清的问题

监测有助于厘清：

• 哪些约定资产可被公开观察到，以及哪些服务或配置信号显得处于暴露状态
• 哪些域名、DNS、证书、存储、管理面板或服务方面的变化需要负责人或核实步骤
• 哪些观察结果已有足够背景可据此安排修复优先级，哪些需要进一步调查
• 哪些问题超出外部可见性范围，需要单独的应用、云、渗透测试或运营范围

包含内容

• 书面范围确认，涵盖已批准的域名、子域名、IP 段、频率、速率限制和排除项
• 在约定的公开资产边界内开展被动侦察和有限度的主动侦察
• 资产清单，在可获得时包括域名、服务、证书、端口、HTTP/HTTPS 界面和可见迹象
• 针对相关对外观察结果的变更记录和证据留存
• 基于观察到的状态，提供严重程度背景和按优先级排列的修复指导
• 可选的分析师讲解，涵盖发现结果、责任归属问题和后续步骤

不包含内容

• 完整的渗透测试、漏洞利用、使用凭据、无限制扫描或超出已批准边界的访问
• 实时检测、持续托管运营、全天候 SOC 值守或紧急事件响应
• 对发现所有资产、消除所有暴露面、阻止未来变化或证明系统安全的任何承诺
• 内部配置评审、应用代码评审、云迁移或修复工作（除非另行界定范围）
• 法律、合规、认证或监管层面的保障

适用时机

当团队需要对已批准的互联网暴露资产获得可重复的外部视图，并希望在决定处理哪些问题之前先掌握证据时，可选择 External Risk Monitor。它适用于域名或基础设施变更之后、上线之前、责任归属不明确时，或作为更广泛安全评审节奏的一部分。如果核心问题是某个特定应用能否抵御漏洞利用，则不太适合；此时专门的应用评估或渗透测试范围可能更为合适。当组织能够确认资产边界、为发现结果指定负责人，并约定如何评审观察结果时，该产品效果更好。

我们的方法

我们首先确认可以观察什么以及如何观察。约定的范围会设定域名、IP 段、速率限制、频率、排除项和证据要求。我们收集公开信号和有限度的主动信号，然后将观察到的迹象与经核实的内部原因区分开来。发现结果会附带足够的背景记录，使负责人能够理解相关资产、证据、可能的隐患和务实的下一步。每个结果都会附带其证据和置信度进行报告，使其对风险和可利用性的意义一目了然。交接时，团队会获得一份资产清单和决策记录，可用于支持修复、进一步核实或单独界定范围的评审。这样能让产品保持实用、聚焦且边界清晰。

常见问题

相关文章