公司网站只是起点
企业的外部攻击面包括公开可访问的网站、门户及其他服务。网站迁移后，旧活动地址或测试门户可能仍然存在。资产清单能够说明哪些服务仍有必要，以及由谁决定是否保留。
域名和数字证书也应纳入清单。英国 NCSC 建议持续更新记录，并结合多个信息来源核对。对于服务数量较少的企业，定期维护的一份清单就可能足以满足需求。 [1]
发现一个地址不等于发现漏洞
新发现的子域名首先是需要核实的事项。它可能对应必要服务、重定向或历史引用。安全评估需要可靠的归属、观察日期及具体技术证据。发现了多少个地址，本身并不能说明应采取什么行动。
应分别记录观察结果与处理决定。“在公开来源中发现此地址”描述的是证据；“服务商确认此服务属于我们的账户”记录的是归属；“由业务负责人决定是否下线”明确的是下一步。任何一项单独来看，都不能证明存在可利用漏洞。
让记录能够转化为行动
对于规模较小的组织，我们建议先建立简明的工作台账。从已知服务开始，再加入需要核实的新发现。由企业内部一名负责人协调，具体信息可向代理机构、IT 支持商或服务提供商确认。
每条记录至少包含下列信息。对于尚不明确的内容，指定负责人及完成日期。写明“未知”比猜测更有用，避免猜测在后续被误认为已确认事实。
- 系统：准确地址、关联服务及业务用途。
- 负责人：企业内部有权决定其使用及变更的人员。
- 服务商：供应商、客户账户参考信息及负责人；不记录密码。
- 证据：来源、日期，以及实际观察到或确认的内容。
- 下一步：保留、核实或批准下线，并明确期限。
- 完成情况：谁核查了变更，以及确认记录存放在哪里。
取消合同不会自动清理 DNS
DNS 类似地址目录，将名称对应到预期的技术目标。更换服务商时，应明确询问哪些记录属于原服务。取消合同并不能回答这个技术问题。
微软记录了一类特定的 Azure 风险：当 DNS 仍指向已删除的资源时，在某些条件下可能发生子域名接管。应同时检查 DNS 映射及其目标；单独一条旧引用并不能证明已发生或可以发生接管。 [3]
外部视角能够说明什么
外部安全评估可以将可观察的服务及配置问题整理成有用的概览。现有公开信息与直接、低影响的 DNS、TLS 或 HTTP 请求，应在项目约定及发现中明确区分。“外部”并不自动等同于“完全被动”。
所述 Level 1 范围在不登录应用的前提下，提供有记录的评估起点。用户角色是否正确隔离，或登录后的访问是否符合预期，需要另行约定评估，并准备适当的测试账户。
NCSC 同样区分了对互联网可访问资源的外部观察与对内部风险的检查。能够从外部观察到什么，决定了这种视角可以回答哪些问题。 [2]
完成事项后继续维护记录
下一次审查可从三个具体任务着手：核实不明确的归属、将闲置服务提交给负责人决定，并跟踪约定的变更。更换代理机构、上线营销活动或结束项目后，也应重新检查台账。
下线资产时，NCSC 建议事先考虑依赖关系、核查结果并保留证据。要求确认技术工作已经完成，然后更新相应记录。 [4]
相关阅读
资料来源与延伸阅读
发布于:
原始资料核查日期：29.09.2026。
文章中注明了资料来源及适用边界。