影子资产是什么
影子资产指未纳入正式管理流程的信息系统与资源：业务部门自采的软件、个人注册的云账号、品牌活动搭建的临时页面、研发为演示开的公网端口。它们的特点是『存在但不被知道』，因而既不在补丁流程里，也不在任何人的巡检清单上。发现手段的核心思路是交叉比对：把云账单、证书记录、DNS 变更、单点登录授权清单与实际流量日志放在一起看，差异就是线索。
基本信息
| 常见来源 | 业务自采系统、个人云账号、活动临时页面、研发演示环境 |
|---|---|
| 发现渠道 | 云账单、证书透明度日志、DNS 变更记录、SSO 授权清单、出口日志 |
| 治理原则 | 先确认业务价值，再纳入管理或迁移，避免直接封禁 |
| 根治方式 | 把正规申请通道做快，降低绕开流程的动机 |
典型使用场景
- 季度资产复核时用账单与证书记录交叉比对，找出未登记资源
- 自查企业账号授权过的第三方应用，清理不再使用的集成
- 市场活动上线前把临时页面纳入流程，事后再走下线清单
- 分析出口流量中访问未知云服务的记录，顺藤摸瓜找到使用方
- 访谈市场、销售、人事等部门，收集不在册的工具清单
发现渠道清单
发现渠道清单
1. 云账单与发票：新出现的云账号、服务与区域
2. 证书透明度与 DNS：新域名与新增解析记录
3. 单点登录与 OAuth 授权页：企业账号授权过的第三方应用
4. 网络出口日志：访问未知云服务与存储服务的流量
5. 采购与报销记录：绕过 IT 采购的系统与服务
6. 人员访谈：市场、人事、销售等部门使用的工具清单
# 节奏：季度扫描 + 年度全员调研处置与政策
| 环节 | 做法 | 注意 |
|---|---|---|
| 确认归属 | 核实使用部门与实际用途 | 避免只看技术特征下结论 |
| 纳入管理 | 补登记、补补丁流程与访问控制 | 给出合理整改时间 |
| 迁移整合 | 能合并到现有平台的优先合并 | 需要业务方参与评估 |
| 政策配套 | 发布云资源与域名申请流程 | 把审批时间压到可接受范围 |
影子 IT 的根因常常是流程太慢：只做清理不改流程，半年后会以同样的方式重新长出来。
发现影子系统后直接断网会造成业务停摆，团队后续更倾向隐瞒新系统，反而让发现难度变大。