4、资产发现能力：工具如何自动发现网络资产、云资产、容器镜像、Web应用

在漏洞管理生命周期中，资产发现是第一步，也是最关键的一步。如果工具无法全面、准确地识别组织内的所有资产，后续的漏洞扫描与修复将存在盲区。现代企业环境已从单一的网络服务器扩展到混合云、容器化部署和微服务架构，因此选型时必须评估工具对以下四类资产的自动发现能力。

▲ 图1：资产发现引擎覆盖四大核心资产类型

4.1 网络资产发现

传统网络资产（服务器、工作站、网络设备、打印机等）是漏洞管理的基础。优秀的工具应具备以下能力：

主动扫描：通过 ICMP Ping、TCP/UDP 端口扫描、SNMP 协议探测等方式，自动发现子网内的存活设备。
被动监听：通过监听网络流量（如 DHCP、DNS、NetFlow）识别新接入的设备，无需主动发包，适合高安全环境。
操作系统与指纹识别：通过 TCP/IP 栈指纹、Banner 抓取等技术，自动识别设备类型、操作系统版本及开放服务。
集成 CMDB：与现有配置管理数据库（CMDB）同步，避免重复录入，并标记已授权与未授权资产。

▲ 图2：网络资产发现典型流程（主动扫描与被动监听双模式）

4.2 云资产发现

随着企业上云，AWS、Azure、GCP、阿里云等环境中的资产（虚拟机、存储桶、负载均衡、数据库实例等）必须被自动纳入管理。关键能力包括：

云平台	API 集成方式	自动发现资产类型示例
AWS	AWS Config / Resource Explorer	EC2、S3、RDS、Lambda、ELB
Azure	Azure Resource Graph	VM、Blob Storage、SQL Database、AKS
GCP	Cloud Asset Inventory	Compute Engine、Cloud Storage、GKE
阿里云	Cloud Resource Manager	ECS、OSS、RDS、ACK

选型要点：工具应支持 多云统一视图，通过云厂商 API 定期拉取资源清单，并自动检测配置变更（如新开安全组、新增磁盘快照）。同时需具备 标签继承 能力，将云资源标签同步至漏洞管理平台，便于按部门、环境、项目进行资产分组。

4.3 容器镜像发现

容器化部署（Docker、Kubernetes）使得资产粒度从主机变为镜像和 Pod。工具需要深入容器生态：

镜像仓库扫描：自动连接 Harbor、Docker Hub、Amazon ECR、Azure ACR 等仓库，拉取镜像列表并分析其分层结构。
运行时容器发现：通过 Kubernetes API 或 Docker Socket 获取当前运行的容器列表，识别镜像名称、标签、Pod 归属。
镜像层漏洞分析：对每一层文件系统进行软件包清单提取（如 dpkg、rpm、apk），并与 CVE 数据库比对。
不可变基础设施支持：支持 CI/CD 流水线集成，在镜像构建阶段即触发扫描，阻断含高危漏洞的镜像推送至生产。

▲ 图3：容器镜像发现双路径——仓库扫描与运行时监听

4.4 Web应用发现

Web 应用（包括 API、微服务、前端应用）是攻击面最广的资产。工具应具备以下自动发现机制：

URL 爬取与目录枚举：基于种子 URL 自动爬取站点结构，发现隐藏路径、备份文件、管理后台等。
API 端点发现：通过分析 JavaScript 文件、Swagger 文档、网络请求模式，自动提取 RESTful/gRPC API 端点。
证书透明度日志：利用 Certificate Transparency (CT) 日志，发现与域名关联的 Web 资产，包括子域名和通配符证书。
搜索引擎与 DNS 枚举：通过 Google dork、DNS 反向查询、Zone Transfer 等方式，发现暴露在公网的 Web 服务。

▲ 图4：Web应用资产发现四大技术模块协同工作

4.5 选型对比总结

下表从四个维度对比不同工具在资产发现方面的表现（评分 1-5 星）：

能力维度	传统网络扫描	云 API 集成	容器镜像扫描	Web 应用爬取
覆盖广度	★★★★☆	★★★★★	★★★★☆	★★★☆☆
实时性	★★★☆☆	★★★★★	★★★★☆	★★☆☆☆
深度识别	★★★★☆	★★★☆☆	★★★★★	★★★★☆
配置复杂度	低	中	中高	中

4.6 关键代码示例：资产发现 API 调用（伪代码）

以下示例展示如何通过云厂商 API 自动拉取资产清单，并整合至漏洞管理平台：

# 伪代码：多云资产发现调度器
def discover_all_assets():
    assets = []
    
    # 1. 网络资产：主动扫描
    network_assets = nmap_scan("192.168.1.0/24")
    assets.extend(network_assets)
    
    # 2. 云资产：AWS API
    aws_client = boto3.client('resource-explorer-2')
    aws_resources = aws_client.search(query="region:us-east-1")
    for resource in aws_resources['Resources']:
        assets.append({
            'type': 'cloud',
            'provider': 'AWS',
            'id': resource['Arn'],
            'tags': resource['Tags']
        })
    
    # 3. 容器镜像：Harbor API
    harbor_images = requests.get("https://harbor.example.com/api/v2.0/projects/library/repositories")
    for image in harbor_images.json():
        assets.append({
            'type': 'container',
            'repository': image['name'],
            'tags': [tag['name'] for tag in image['tags']]
        })
    
    # 4. Web应用：爬虫发现
    web_apps = crawl_web("https://example.com", max_depth=3)
    assets.extend(web_apps)
    
    return deduplicate_and_normalize(assets)

💡 选型建议：优先选择支持 统一资产模型 的工具，能够将网络、云、容器、Web 四类资产归一化为标准格式（如 IP、域名、镜像 ID、URL），并支持 自动关联（例如：某台云主机上运行了哪些容器？该容器使用了哪个镜像？镜像中是否存在漏洞？）。同时，工具应提供 资产变更通知 功能，当新资产出现或资产属性变化时，主动触发重新扫描。

📚 课程目录