评估机与办公环境隔离
评估机是承载扫描流量与客户数据的专用主机，它决定了测试行为会不会外溢到办公网、客户数据会不会落在个人设备上。通行做法是一台单次授权专用的笔记本或云主机，配固定出口 IP、进场前快照、工具容器化运行，退场时还原快照或销毁实例。
基本信息
| 宿主 | 单次授权专用的笔记本或云主机，不做日常办公 |
|---|---|
| 网络 | NAT 出口加固定源 IP，提前报备并加入客户白名单 |
| 快照 | 进场前建基线快照，退场还原或销毁实例 |
| 工具 | 尽量容器化运行（docker run --rm），宿主少装敏感工具 |
| 介质 | 导出数据登记存放位置，按合同期限销毁并留记录 |
典型使用场景
- 外包评估进场：客户要求提供固定源 IP 以便加白，独立出口的评估机可直接满足
- 多目标并行测试：不同客户的工具与数据放在不同容器或实例，避免证据交叉污染
- 需要干净复现：基线快照支持把环境快速回滚到未污染的初始状态
- 设备交接与离场：归还前还原快照，确保工具与客户数据不随机器带走
- 长期项目：每次评估的导出目录按项目隔离，便于按合同期限统一清理
环境准备与容器运行
环境准备与容器运行
# 云主机进场前建基线快照，记录快照 ID 与时间到项目记录
# 容器内运行工具，退出即删除，不给宿主留残留
docker run --rm -it --network host scanimage/nmap:latest -sV 10.0.10.5
# 需要原始套接字权限的探测才用 --network host，其余保持默认网络隔离
# 退出前把授权范围内的证据集中导出到加密目录
# 退场：还原快照或销毁实例，登记执行时间与执行人常见风险与处置
| 风险项 | 后果 | 处置 |
|---|---|---|
| 接入办公无线网 | 扫描流量与资产线索混入办公网络 | 只用独立出口或客户指定网络 |
| 宿主留存导出数据 | 超出合同期限仍可被读取 | 加密目录保存并按期销毁留痕 |
| 镜像来源不明 | 引入被植入后门的扫描器 | 只用可信来源镜像并记录版本 |
| 快照未还原 | 下个项目复用带残留的环境 | 项目结束执行还原并核对快照 ID |
评估机不接办公无线网，客户数据不落个人设备；留存期限与销毁方式写进合同或授权书。
容器化不是万能的：需要原始套接字或链路层能力的探测要提权或使用宿主网络，此时宿主本身必须已经是隔离环境。