4. 终端资产管理与可见性
终端安全运营的第一道门槛不是检测能力，而是“我到底有哪些终端”。如果资产台账缺失或失真，EDR 覆盖率、补丁合规率、告警归属、责任人都无从谈起。资产管理与可见性要解决的核心问题是：让每一台终端在发现、登记、分类、基线、画像、同步、监控这条链路上持续可查、可归属、可判断。本节按这条链路展开，并给出可落地的字段与判断依据。
一、资产发现：先解决“漏”和“重”
资产发现的目标是尽可能完整地枚举终端，并识别未纳管对象。常见发现手段有三类：主动扫描（如对办公网段做 ICMP/ARP/TCP 探测）、被动流量识别（镜像口或 NetFlow 中提取 DHCP、DNS、HTTP User-Agent、TLS SNI 等特征）、端点代理上报（已装 Agent 的终端定期上报自身信息）。三者互补：主动扫描覆盖未装 Agent 的设备，被动流量能发现短暂在线或跨网段设备，Agent 上报提供最准确的硬件与软件信息。
发现结果需要去重。同一台终端可能因多网卡、多 IP、DHCP 续租、虚拟机克隆而产生多条记录。去重主键建议采用“硬件指纹 + 主机名 + 主 MAC”组合，硬件指纹可取主板序列号、磁盘序列号或 SMBIOS UUID。示例：某终端在 10.20.3.15 与 10.20.7.22 两个网段各出现一次，但 SMBIOS UUID 相同，应合并为一条资产记录，保留两个 IP 作为历史地址。
二、清点与分类：把资产变成可运营对象
清点不是简单列表，而是为每台终端建立稳定标识与属性。建议最小字段集包括：资产唯一 ID、主机名、主 MAC、SMBIOS UUID、操作系统及版本、所属部门、使用人、责任人、终端类型、网络区域、纳管状态、首次发现时间、最近在线时间。其中“纳管状态”用于区分已装 Agent、未装 Agent、已停用三类，是后续覆盖率统计的基础。
分类决定策略与优先级。可按终端类型（办公 PC、研发工作站、服务器、虚拟机、移动设备、网络设备）、业务重要性（核心、重要、一般）、数据敏感度（高、中、低）三个维度打标签。例如研发工作站因常装编译工具与调试端口，基线可放宽开发端口但必须强制磁盘加密；财务办公 PC 则需更严格的补丁与外设管控。分类结果应写入资产属性，供策略引擎按标签下发。
三、基线配置：让“合规”可计算
基线是终端必须满足的最小安全配置集合。常见检查项包括：操作系统补丁级别、磁盘加密状态、防火墙启用、屏幕锁定超时、本地管理员组成员、高危端口监听、EDR Agent 运行状态与版本、病毒库更新时间。每项基线应有明确的期望值、检查方法、判定结果三要素。
以“屏幕锁定超时”为例，期望值为 ≤ 600 秒；检查方法可读取注册表 HKCU\Control Panel\Desktop\ScreenSaveTimeOut 或通过 Agent 采集；判定结果为合规/不合规/未知。合规率计算公式为：合规终端数 ÷ 应检终端数 × 100%。若某部门 200 台终端中 186 台合规，则合规率为 93%。基线结果应保留历史快照，便于观察整改趋势。
四、资产画像与 CMDB 集成
资产画像是在清点与基线之上，把静态属性、动态行为、风险信号聚合到同一终端视图。画像内容可包括：基础身份（主机名、使用人、部门）、软件清单（已安装应用及版本）、开放端口与服务、近期告警、补丁缺口、外设使用记录、登录异常。画像的价值在于让运营人员在一个页面判断“这台终端是否可信、是否需要处置”。
CMDB 集成解决资产数据的权威来源问题。通常以 CMDB 为记录系统，终端管理平台将发现与变更同步至 CMDB，同时从 CMDB 回读责任人、部门、业务系统等字段。集成方式可采用 API 定时同步或事件驱动。同步时需处理冲突：以 CMDB 为权威字段（如责任人、部门），以终端平台为权威字段（如操作系统版本、Agent 状态）。建议每次同步记录差异日志，便于排查“台账与实机不一致”。
五、持续监控：让可见性不退化
资产数据会随时间漂移：新设备入网、旧设备报废、Agent 被卸载、IP 重新分配、责任人变更。持续监控要围绕“变化”设计告警规则。建议至少覆盖以下场景：
- 新增未纳管终端：发现平台出现新资产且纳管状态为“未装 Agent”，超过 24 小时未处理则升级。
- 离线超阈值：终端连续 7 天未上报心跳，标记为疑似停用，触发人工确认。
- 基线漂移：某终端从合规变为不合规，例如磁盘加密被关闭或防火墙被禁用，立即告警。
- Agent 异常：Agent 服务停止、版本落后超过两个大版本、病毒库超过 72 小时未更新。
- 台账不一致：CMDB 与终端平台在责任人、部门、操作系统版本上出现差异，生成差异工单。
监控指标建议以周为单位统计并保留趋势。示例：某企业 5000 台终端，第一周纳管覆盖率 91%，基线合规率 88%，台账一致率 95%；经过两周整改，覆盖率提升至 97%，合规率 94%，一致率 98%。这些数字属于示例性目标，实际应以自身环境基线为准。判断是否达成目标，可设定阈值：覆盖率 ≥ 95%、合规率 ≥ 90%、一致率 ≥ 98%，低于阈值则进入专项整改。
六、可执行的最小资产台账字段示例
以下字段可直接作为台账模板或 CMDB 同步映射的参考。字段粒度以“能支撑覆盖率、合规率、归属判断”为准，不追求大而全。
| 字段 | 示例值 | 用途 |
|---|---|---|
| asset_id | EP-2024-000381 | 唯一标识，不随 IP 变化 |
| hostname | FIN-PC-0231 | 人工识别与工单引用 |
| smbios_uuid | 4C4C4544-0037-... | 去重主键 |
| os_version | Windows 11 23H2 | 补丁与基线判断 |
| department | 财务部 | 归属与整改责任 |
| owner | 张三 | 责任人 |
| asset_type | 办公 PC | 分类策略 |
| criticality | 重要 | 优先级 |
| managed_status | 已纳管 | 覆盖率统计 |
| last_seen | 2024-06-12 09:31 | 在线判断 |
| baseline_result | 不合规 | 合规率统计 |
落地时建议按“发现→去重→确认→分类→基线→画像→同步→监控”的顺序推进，但不必等前一环节完美再进入下一环节。实际运营中，可先用主动扫描与 Agent 上报建立初始台账，再逐步补齐分类与基线，最后通过 CMDB 集成和持续监控形成闭环。资产可见性不是一次性项目，而是需要持续校准的运营能力。