监控与运维系统暴露面是什么
监控系统把全网的指标、拓扑与采集器凭据聚合在一处，因此它的暴露价值远高于普通业务页面：仪表盘上有主机名、内网 IP、服务依赖关系，指标端点甚至可能包含凭据与查询语句。治理原则是对内开放、加认证、可审计；确有公网大屏需求时，用只读代理加脱敏数据与鉴权收窄入口。
基本信息
| 常见系统 | Prometheus、Alertmanager、Grafana、Zabbix、日志平台 |
|---|---|
| 收敛原则 | 入口限定监控网段或 VPN，关闭匿名访问 |
| 指标端点 | /metrics 仅对内部采集器开放 |
| 大屏需求 | 只读代理 + 脱敏数据 + 鉴权，而不是直接暴露原系统 |
常见入口
| 系统 | 端口 | 暴露内容 |
|---|---|---|
| Prometheus | 9090 | 指标、目标列表（含内网拓扑） |
| Alertmanager | 9093 | 告警与静默规则 |
| Grafana | 3000 | 仪表盘与数据源 |
| Zabbix 前端 | 80/8080 | 主机与拓扑 |
收敛动作
收敛动作
curl -s --max-time 3 http://<内网IP>:9090/api/v1/targets | head -c 200 # 确认是否允许未认证访问
curl -sI http://<内网IP>:3000/login | head -3 # 确认匿名仪表盘是否开放
# 收敛：入口限定监控网段/VPN；加认证并审计登录；关闭匿名与公开仪表盘
# 公网大屏需求：只读代理 + 脱敏数据 + 鉴权典型使用场景
- 季度暴露面复核：确认监控入口是否仍限于内网
- 大屏改造：为对外展示建设只读脱敏入口，替代直接暴露
- 采集通道治理：核对 /metrics 端点是否被非授权来源抓取
- 账号治理：清理共享账号，接入统一身份与操作审计
- 事件排查：确认监控系统是否曾被用于信息收集
仪表盘是攻击者的地图：主机名、内网 IP、业务拓扑一应俱全，暴露价值极高，定级应接近生产系统而不是内部工具。
Grafana 等系统的插件与数据源配置常内嵌凭据：未授权访问仪表盘，往往等同于获得后端数据库或云资源的访问入口。