影子资产的记录与上报
影子资产指未登记在客户台账中的系统：可能是业务部门自行上线的服务，也可能是早已废弃但仍在对外提供访问的老系统。它可能是风险最高的一类系统，也可能毫无价值——在客户确认归属之前，唯一正确的动作是记录与上报，不做任何深入测试。
基本信息
| 记录内容 | 资产标识、发现方式、关联线索、存活状态 |
|---|---|
| 上报节奏 | 当日同步给固定对接人，不拖延到阶段末 |
| 处置分支 | 确认属客户则补授权纳入，否则加入排除清单 |
| 禁止动作 | 在上报确认前做漏洞扫描与深入探测 |
| 留档要求 | 记录发现时间与客户回复，形成变更记录 |
典型发现来源
- 证书日志与测绘平台暴露的未登记子域
- 资产台账与实测存活结果比对后的差异项
- 前端资源中引用的历史域名与测试环境入口
- 旧版系统升级后未下线的外部入口
- 业务部门自行申请的云资源与存储桶
记录表示例
记录表示例
# 资产标识：legacy.example.com（解析指向 203.0.113.21）
# 发现方式：证书日志线索 加 抽样存活验证
# 关联线索：与主站同证书组织字段，疑似历史系统
# 状态：待客户确认（暂不测试，不做漏洞扫描）
# 处置：客户确认归属后再决定补授权或加入排除发现来源读法
| 来源 | 线索强度 | 核实方式 |
|---|---|---|
| 证书日志 | 中，仅说明曾签发证书 | 抽样存活与归属核对 |
| 测绘平台 | 中，数据可能滞后 | 实测可达性与页面标题核对 |
| 前端资源引用 | 高，与实际系统强相关 | 核对路径与响应特征 |
| 台账比对差异 | 高，有内部数据支撑 | 与业务方核对用途与状态 |
影子资产的上报节奏很重要：拖到阶段末才提出，客户往往来不及确认，项目只能带着未决项收尾。
对影子系统做漏洞扫描属于越界测试：系统归属未确认前，任何主动探测都可能作用于第三方资产。