第1章 暴露路径识别与风险评估课程概述

1.1 这门课到底讲什么？

说白了，这是一门教你怎么把风险找“全”的课。

我在这行干了十五年，见过太多风险评估报告——数据详实、公式严谨，可最后复盘时发现，真正导致事故的那条路径，压根没被纳入分析范围。为什么？因为大家习惯盯着“资产”和“威胁”看，却忽略了它们之间那条暴露路径。

暴露路径是什么？你想想看，一个漏洞本身并不可怕，可怕的是攻击者能顺着某条路摸到你的核心资产。这条路，就是暴露路径。这门课的核心，就是教你系统化地识别这些路径，然后对它们做风险评估。

课程内容覆盖五个核心环节：

• 资产与业务梳理——搞清楚你要保护什么
• 威胁与脆弱性分析——谁可能攻击你、从哪里下手
• 暴露路径绘制——把攻击者能走的路画出来
• 风险量化评估——给每条路径算个“危险分”
• 风险处置与监控——决定堵哪条路、怎么堵

嗯，这里要注意，这五个环节不是串行做完就结束的。我在项目中遇到过好几次这样的情况：处置完一个风险，发现原来的路径变了，又得回头重新梳理资产。所以它是个迭代循环，不是一锤子买卖。

1.2 为什么暴露路径识别如此关键？

传统的风险评估方法，比如ISO 27005或者NIST SP 800-30，通常从资产识别直接跳到风险评价。中间缺了关键一步——路径分析。这就像你只检查门锁够不够结实，却不看窗户是不是开着。

我举个例子。几年前我参与过一个金融机构的安全评估。他们的核心数据库在内部网络，安全团队觉得“外网隔离了，风险很低”。可实际上，攻击者通过钓鱼邮件拿下一台办公PC，然后通过运维跳板机一路摸到了数据库。这条路径上有三层隔离，但每一层都有配置漏洞。如果只做传统风险评估，这个数据库的风险等级会是“低”。但把暴露路径画出来一看——实际风险是“高”。

为什么会这样？因为暴露路径把孤立的风险点串成了攻击链。一个低危漏洞加上另一个低危配置，组合起来可能就是致命危险。

1.3 课程核心框架：从识别到评估

下面这张图，就是我们这门课的核心逻辑。我习惯把它叫做“五步两阶段”框架。你把它记住，整门课的结构就清楚了。

你看，整个流程分两个阶段。左侧是暴露路径识别阶段，包含资产梳理、威胁分析、路径绘制三步。右侧是风险评估与管理阶段，包含量化评估和处置监控两步。

我个人习惯把这条从3到4的斜线称为“关键一跃”——从定性分析跳到定量评价。这一步最容易被忽略，也最容易出错。

1.4 你能从这门课带走什么？

这门课不是纯理论，也不是纯工具操作。它是一套可落地的方法论。我把学习目标整理成了表格，你对照着看，心里就有数了。

知识模块	核心内容	学习目标
暴露路径识别基础	概念、术语、与风险评估的关系	能独立完成暴露路径的初步识别
资产与业务建模	资产分类、依赖关系图、数据流分析	能画出完整的资产依赖拓扑图
威胁建模方法	STRIDE、攻击树、MITRE ATT&CK映射	能针对具体场景选择并应用威胁建模方法
暴露路径绘制技术	路径枚举、条件概率、路径聚合	能绘制出可量化的暴露路径图
风险量化与评价	风险矩阵、FAIR模型、蒙特卡洛模拟	能对暴露路径进行风险量化排序
风险处置策略	降低、转移、规避、接受	能基于路径分析制定有针对性的处置方案

1.5 我的几点建议与避坑提醒

最后，分享几条我个人的经验。算不上什么大道理，但都是真金白银换来的。

• 别贪快。暴露路径识别最忌讳“想当然”。我见过有人半天画完一张路径图，结果漏掉了最关键的第三方接口。慢一点，细一点，后面省的功夫远比你想象的多。
• 跟业务方聊透。技术团队常犯的毛病，是坐在工位上“猜”资产之间的依赖关系。我曾经为了搞清楚一个支付系统的数据流，蹲在业务部门喝了三天茶。结果发现他们有个线下手工对账的环节，系统图上根本看不出来。
• 别假设“对方不会那么做”。做威胁分析时，很多人会不自觉地过滤掉“太复杂”的攻击路径。我在项目中吃过这个亏——觉得没人会绕三层代理来攻击，结果人家真的就这么干了。威胁分析要相信数据，不要相信直觉。

嗯，说了不少了。这门课的内容很实在，每一章都能直接用在你的实际工作中。希望你能带着问题来学，带着方案去用。