暴露面管理是什么
暴露面管理回答的是「我们在互联网上露出了什么」：把域名、IP、端口、证书、云资源与影子资产汇成一张清单，核查每一项的鉴权状态与暴露程度，然后按业务必需原则收敛，并从外部视角验证结果。它与漏洞管理互补——漏洞管理解决「已暴露的服务有哪些缺陷」，暴露面管理解决「哪些服务本就不该暴露」。实践中收敛的收益往往更直接：入口关掉之后，后面服务的补丁节奏可以重新排期。
基本信息
| 管理对象 | 域名、IP 与端口、证书、云资源、对外接口与影子资产 |
|---|---|
| 核心闭环 | 发现→核查→收敛→验证→记录 |
| 数据来源 | 自建台账、DNS 记录、证书透明度日志、云资源清单 |
| 验证方式 | 外部视角实测可达性与鉴权状态 |
| 发布节奏 | 新资产上线前评估，存量资产按周期滚动复核 |
| 关键指标 | 未鉴权暴露数、管理入口暴露数、平均收敛时长 |
典型场景
- 新业务上线前核查其对外暴露端口与鉴权状态
- 定期复核云上安全组与负载均衡监听，确认无临时放行残留
- 排查影子资产：测试环境、离职人员遗留系统、历史域名
- 事件驱动复核：收到通报或情报后确认本单位是否可达
- 季度汇报：用暴露清单与收敛进度说明治理成效
- 关联漏洞管理：把暴露范围内的资产优先纳入扫描与修复
收敛闭环
收敛闭环
1. 发现：域名/IP/证书/云资源/影子资产
2. 核查：端口、服务、鉴权状态、版本信息
3. 收敛：关闭、限制来源、加鉴权、更换方案
4. 验证：外部视角复测 + 定期回归
5. 记录：暴露清单与变更历史（谁在什么时候移除了什么）
# 闭环的关键是『记录』：没有台账，下一轮又从零开始收敛优先级口径
| 类型 | 示例 | 优先级 |
|---|---|---|
| 未鉴权管理面 | Redis/ES/Docker API 公网可达 | 紧急 |
| 管理入口暴露 | SSH/RDP/控制台对公网 | 高，转接入通道 |
| 信息泄露 | 目录列举、备份文件、报错页 | 中高，随版本治理 |
| 指纹与版本 | Server 头、默认页 | 中低，批量处理 |
暴露面收敛常比逐个修漏洞见效更快：入口关掉后，入口后的补丁节奏可以从容安排。
资产发现的难点在「未知的已知」：自建台账之外，还要用证书透明度日志与 DNS 解析记录反向找出被遗忘的域名与地址。