互联网协议（IP）地址及其背后的设备、网络服务和云资产是现代企业的生命线。但公司经常积累数千个数字资产，无序的状态给IT和安全团队造成了无法管理的混乱。如果不仔细地加以检查，一个被遗忘、遗弃或未知的数字资产对于公司来说就是网络安全定时炸弹。

为什么查看和管理网络中的每个数字事物都应是重中之重？这当中存在一种可能：它们是您组织基础设施中增长最快的部分。有效的数字资产管理——包括IP地址可见性——是您阻止攻击者对网络资产发动攻击的最基础也是最有效的途径。

在过去的二十年里，安全团队一直专注于解决内部资产风险。面向公众的数字资产和IP地址是“非军事化区”的一部分，“非军事化区”是一个防御的强化但非常有限的周边地区。但在全球大流行和随之而来的居家办公趋势的推动下，数字化转型随之而来，网络边界变得不再清晰，都需要让位于当今一切托管服务的现代架构。

数字资产：死亡、遗忘和危险

过去两年的业务数字化转型引发了一场新的网络应用程序、数据库和物联网设备的海啸。他们为威胁组织创造了一个巨大的新攻击面，其中包括复杂的云原生IT基础设施。可能暴露的是数千个API、服务器、物联网设备和SaaS资产。

管理不善的数字资产是一颗定时炸弹。例如，在网络应用程序中存在巨大风险。在最近的CyCognito调查中，我们发现Global 2000组织平均每个组织有5000个暴露的Web界面，占其外部可能受到攻击表面的7%。在这些Web应用程序中，我们发现不乏开源JavaScript漏洞库问题，如jQuery、JQuery-UI和Bootstrap。SQL注入、XSS和PII暴露漏洞也不短缺。

任何面向外部的资产未知或管理不善，都可以被视为邀请对手破坏您的网络的机会。然后，攻击者可以窃取数据、传播恶意软件、破坏基础设施并实现持续的未经授权访问。

当我们与公司谈论他们的攻击面时，我们很少听到他们对掌握数字资产表示信心。许多公司仍然通过Excel电子表格跟踪IP地址，并反过来连接资产。这种措施是否高效？事实上这仅适用于最小的组织。ESG在2021年的一项研究发现，73%的安全和IT专业人士依赖他们。

数据安全是头等大事，这也是贵公司的皇冠珠宝。我认为，保护IP地址和连接资产应该采取更现代的管理方法，这样就可以在问题出现之前解决这些问题。

善意可能会出错

但即使是善意的公司也可能犯错误。假设企业服务台创建的内部票务系统只能通过内部URL访问。对手可能会利用URL的基础IP地址，并通过添加“:8118”来打开网络后门（或端口）。这就是为什么IP地址，包括端口、域和证书等相关技术，可能带来巨大的安全和声誉风险。

其结果可能是数字资产软点的墓地，这些软点经常成为对手的切入点，例如被遗忘或管理不善的DevOps或SecOps工具、云产品和设备Web界面。

在当今复杂的企业中，系统管理员通常只能看到他们负责管理的设备子集。如果资产不在您的雷达屏幕上，您将无法真正地降低风险。

为什么管理IP连接的资产就像养猫一样

在过去的12个月里，通过对CyCognito的客户群观察调研，我们看到组织内IP地址（和相关数字资产）的数量增长了20%。这一增长至少部分归功于云的采用以及对居住在公司网络的连接设备和Web应用程序的依赖。但经常被忽视的是，当公司增长或萎缩时，基础设施会蔓延。

例如，在绕过IP地址管理方面，合并和收购（并购）活动通常会让企业保持平稳。假设酒店集团收购了较小的竞争对手。当这种情况发生时，它还继承了一个由未管理和未知的IP地址和域组成的潜在雷区。

死亡域名和被遗忘域名——一种不同类型的数字资产——经常成为所谓的悬垂DNS记录的牺牲品，对手可以通过重新注册来接管被遗忘的子域名。这些子域以前连接到公司资源，但现在完全由不良行为者控制，然后可用于改变公司的网络流量，造成数据丢失和声誉损害。

同样，子公司的剥离可能导致基础设施被遗弃，成为孤儿数字资产和相关网络应用程序。这些被遗忘的资产经常被IT团队忽视，但绝对不会被机会主义黑客忽视。

更糟糕的是，不安全的端口使设备可以进行默认凭据攻击。毕竟，对于对手来说，要扫描和查找开放的端口，他们需要管理不善的云服务或IP连接的硬件。

最后，通过收购获得的不受管理的IT基础设施和资产可能会浪费宝贵的时间。考虑一下管理不善的IP地址如何向IT安全团队发送高度戒备状态，以了解为什么公司资产在它不开展业务的国家/地区被使用。

为了保护关键数据，阻止恶意软件感染并防止漏洞，部分答案是进行有效的数字资产管理以及提高IP地址可见性。太多的系统管理员仍然受制于这个过时的基于电子表格的资产管理系统。

此外，忽略攻击载体并仅检测已知资产中CVE的遗留扫描仪无法评估与公司内部大量数字资产相关的风险。例如，在之前的内部票务系统中——通过URL https://X.X.X.X[:]8118意外暴露在互联网上——该IP上的端口扫描充其量只能找到HTTP服务。扫描仪肯定不会理解曝光的背景和关键性。公司拥有的云资产上意外打开目录也是如此，尽管这些目录可能包含员工凭据和TB的敏感数据。