| 目标 | 资产图谱、访问路径、敏感面 |
|---|---|
| 产出 | 资产台账 + 权限矩阵 + 风险清单 |
| 原则 | 只验证到现象，不扩展影响 |
评估主线
评估主线
1. 资产：主机、服务、设备、应用
2. 路径：网段间可达性与认证方式
3. 敏感面：数据存储、备份、管理面
4. 支撑：日志与检测覆盖内网评估常与合规检查重叠：资产与权限数据可直接沉淀为长期台账。
内网评估的目标与交付
内网评估回答三个问题：内网有什么、谁能到哪、哪里能直达敏感数据；交付物是资产与权限地图加风险清单，而非入侵结果。
易错点
- 把内网评估做成扫描竞赛，忽略台账沉淀
- 验证动作超出授权窗口与网段
数据来源与参考
- PTES（内网测试章节）
- NIST SP 800-115（技术安全评估指南）