“资产清、家底明”——传统信息化管理最坚实的基础

0x01 网络安全保护什么

谈到网络安全，其实有个非常朴素的问题：网络安全到底保护什么？一定会有一个标准答案，完整性，保密性，可用性。单从网络安全攻防的角度，我个人个人认为这个答案应该是保护资产。如果把网络安全体系比作一座大厦，那么"资产"就是这座大厦的地基，它不是安全的一部分，而是安全的前提。
就像网络安全中最大的风险是意识不到风险的存在一样，网络安全中也同样无法保护你不知道但是确实存在的东西，这句话在网络安全行业被说了一遍又一遍，但真正做到资产全量可见难度非常大。所以在网络安全管理中，往往认为攻击面是一个闭合的圆，但实际上圆的边界上布满了自己都知道的缺口。

0x02 资产问题为什么总是被轻视

1、安全系统建设是有形的、可见的、有明确里程碑，可以被汇报、被展示、被验收。而基础数据的治理是无形的、缓慢的、难以量化的，很难变成一份漂亮的汇报材料，也很难成为检查中的加分项。
2、我们倾向于相信技术可以解决一切问题，认为只要系统足够先进、数据自然会变好，但是忽略了一个基本事实：先进系统只能高效地处理好的数据，它无法自动把坏数据变成好数据。
3、理清家底本质上是一个跨部门、跨系统的协调工作，它要求打破信息壁垒、建立统一标准、形成共识机制——每一项都是组织能力的硬仗。

0x03 网络安全资产管理，到底要清什么

结合网络安全场景，"家底明"至少包含以下几层：
第一层：资产发现与识别。 不只是服务器和网络设备，还包括物联网设备、云上实例、第三方SaaS账号、API接口、证书资产、域名资产等，现在的攻击面已经远远超出了传统IT资产的边界。
第二层：资产分类与分级。 哪些是核心业务资产？哪些是一般资产？核心资产的损坏或泄露会造成什么级别的影响？这决定了安全投入的优先级，也决定了响应时的处置顺序。
第三层：资产与脆弱性的关联。漏洞、配置缺陷、弱口令这些每一种脆弱性都要绑定到具体的资产上。没有这个绑定，安全管理就是一本糊涂账。
第四层：资产变更的实时感知。 新增资产、下线资产、资产归属变更，这些变化如果不能被及时发现，资产清单就会迅速老化。

0x04 走向"家底明"的路

一是找到最小可行的切入点。 一次性理清所有资产基本不现实。找到当前安全风险最突出、数据最混乱、影响最大的那一个领域，集中力量做深，比如从互联网暴露面资产开始，从核心业务系统的资产台账开始。
二是建立持续运营的机制。资产清、家底明不是"清一次就完了"的事，业务在变化，资产在增减，环境在演进，没有持续的治理机制，清过的家底会在几个月后重新变浑。资产发现工具的持续运行、CMDB的实时更新、数据质量监控，这些机制才是让"家底明"持续运转的保障。

0x05 结语

在网络安全的世界里，"资产清、家底明"不是一个管理最佳实践，而是一条铁律，而资产清单是网络安全的起跑线。