网络安全暴露面是什么意思

暴露在攻击者视线范围内，可以被利用进行入侵的系统、设备、信息等，都属于暴露面。虽然大多数企业都认识到暴露面的风险所在，并想方设法来减少暴露面；但不幸的是，并非所有暴露面都是显而易见的，大量的暴露面都潜藏在不容易被发现的暗处，很容易因为资产排查不彻底、人员疏漏等问题被忽略。互联网暴露面资产直接面向外部攻击者的威胁。相对于企业内部资产，所面临的安全风险更高。

网络攻击面管理技术有以下因素：

• 对外开放的IP、端口、服务：这是大家都很重视的攻击面，因为其最容易被攻击者利用，所以安全人员也比较重视。

• 对内开放的IP、端口、服务：是比较容易忽略的环节，曾经很多人认为在内网就不存在安全问题了，但近年来高级持续性威胁（Advanced PersistentThreat，APT）的概念被不断炒热，大家对内网的控制也越来越严。由于曾经开放度太高，收紧策略的执行还是很复杂的。需要注意的是，对于打印机、摄像头或类似IoT的设备是最容易被忽略的。

• 域名：与上述资产一样有内部与外部之分，内部域名同样需要提高重视。但对域名资产的管理是一个比较麻烦的问题，下文将展开探讨。

• 应用程序接口：虽然API不像IP和域名那样很容易被人发现，但许多重大数据泄露问题，其幕后原因都在于API遭到破坏、泄露或攻击。近年来一些企业将API也纳入资产管理的范围中，这是非常明智的做法。

• 数据：严格意义来说，数据属于资产，并不能算攻击面，但近年来数据对企业和个人来说越来越重要，所以也成了吸引黑客的重要因素。我们在分析攻击面的时候需要从数据的层面再次思考攻击面的收敛问题。

• Wi-Fi：如果公司没有Wi-Fi，估计很多人会崩溃。几乎所有企业都有无线网络的部署，这成了黑客入侵的一个重要渠道。

• 物理环境：安全管理工作一般提到物理环境，都是指机房的管控，以及两地三中心这种高可用设计。除此以外办公区域、公司的大堂或者门外的公共区域都是我们需要关注的攻击面。

• 人：网络安全本质上还是人与人的博弈，我们在保护信息系统的同时，也要考虑到对人的保护，这包括了员工、与企业有合作的相关方人员，甚至包括企业产品的用户。

• 第三方协作：如果我们的网页上嵌入了第三方的JS（JavaScript），页面的展示效果就不完全由我们自己做主；如果我们的系统部署在公有云上，系统服务的连续性就不由我们完全控制。所以，与第三方协作开发的软件和放到第三方平台上的业务系统都是容易忽略的攻击面暴露的部分。