暴露面收敛的三个优先级
互联网上的攻击大多是自动扫描，暴露面越小，被命中的概率越低。收敛思路按优先级分三级：能不开公网的就不开，改用 VPN 或专线接入；必须开放公网的，限定来源地址范围；确实要面向全网发布的，叠加应用层防护、认证与限速。三级顺序不能颠倒，先做访问控制再谈检测手段更划算。
基本信息
| 第一优先 | 改用 VPN、专线或零信任接入，不向互联网发布 |
|---|---|
| 第二优先 | 限定来源地址范围（合作方专线、CDN 回源段） |
| 第三优先 | 必须全网发布时叠加 WAF、认证与限速 |
| 核查手段 | 从外部视角扫描本单位自有公网地址，与批准清单比对 |
典型使用场景
- 年度暴露面核查：整理公网地址与开放端口清单，与实际情况比对
- 系统下线后清理：业务停用但映射未删，是最常见的遗留暴露
- 测试与调试端口：上线后忘记关闭的调试页面与临时端口
- 第三方接入：合作方需要访问时优先走专线或限定来源
- 等保整改：边界防护条款要求最小开放并具备访问控制
自查流程
自查流程
1. 整理全部公网地址与已批准的开放端口清单，标明责任人与用途
2. 从外部云主机扫描这些地址的开放端口，形成实际清单
3. 与批准清单比对，未登记的端口立即挂起排查并限期处理
4. 处理结果登记回流，更新基线清单
5. 每季度重复一次，扫描来源与时间提前报备，避免被内部监控误判为攻击常见遗留暴露
| 类型 | 成因 | 处理方式 |
|---|---|---|
| 业务下线未删映射 | 停机流程缺一步 | 纳入下线检查单强制执行 |
| 调试页面未关 | 上线验收不完整 | 上线清单中加入此项 |
| 测试端口长期开放 | 临时开放被遗忘 | 开放申请设置有效期 |
| 管理端口暴露 | 图方便直接发布 | 改为经 VPN 或堡垒机访问 |
自检扫描仅针对本单位自有公网地址，属于正常的暴露面核查；发起前在内部报备时间与源地址，避免被自己的监测系统当成攻击。