技能介绍

要解决什么

漏洞扫描跑完，报告里列出一长串 IP 和端口，但接下来的问题没人答得上来：这台机器属于哪个部门？跑的是核心业务还是测试环境？能不能直接重启？很多企业的资产管理停留在半年前的表格里，IP 早已变更，负责人早已转岗。文档把这类问题归结为三个典型痛点：

影子资产：未登记的服务器、测试环境和僵尸系统长期游离在台账之外，形成攻击面盲区。
归属不清：资产没有明确的责任部门，出事找不到人，整改工单推不动。
信息过时：清单半年没更新，扫描目标错位，应急响应时甚至定位不到受影响资产。

技能如何工作

资产按四层模型组织，上层依赖下层，管理从下层做起：

物理层：服务器、网络设备、终端、机房设施，靠台账与现场盘点。
网络层：IP 地址、域名、端口、网络分段，靠扫描与流量分析。
系统层：操作系统、数据库、中间件，靠 Agent 采集或主动探测。
应用层：业务系统、API 接口、微服务，靠应用发现与代码仓库关联。

资产发现分三种路径：主动发现（Nmap 适合网络层探测，Masscan 适合大规模网段，Shodan 适合互联网暴露面）、被动发现（流量分析、日志关联、从 CMDB 导入）以及 Agent 采集（Osquery、Wazuh 或自研 Agent）。

发现结果最终汇入 CMDB，并与漏洞管理绑定。关键字段包括 资产ID、责任人、业务等级、网络位置、系统类型——漏洞扫描器的目标从这里来，扫描结果关联到责任人；SIEM/SOC 用资产上下文丰富告警；应急响应平台靠它快速定位受影响资产；工单系统据此自动派发整改任务。数据质量方面，文档给出必填字段校验、多源交叉验证、定期自动化更新、标准化规范四条对策。

适用边界与注意点

这套方法的前提是数据能持续更新。如果 CMDB 本身没人维护，资产发现做得再勤也只是一时快照，漏洞关联和应急定位都会打折。主动扫描需要网络权限，内网隔离严格或云环境复杂的场景要提前评估可达性。Agent 采集覆盖更细但需要部署条件，无权限的主机只能靠被动发现补位。工具选型细节见 references/cmdb_tools.md，资产发现实战见 references/asset_discovery.md。