资产梳理为什么每个系统要4小时？

之前公司一个同事给客户进行资产梳理，20个系统，他忙活2天共计10小时就搞完了，主要的资产就是从客户政务云上导出来填入资产表中，然后技术方面就是自己再goby扫描一下开放的端口。

所以，我认为20多个系统的资产梳理也就这个2人天的工时。

不过，今天问了一个同行，他说他们资产梳理工作的成本至少是按照4小时一个系统报价的。

我就有点惊到了。资产梳理为什么每个系统要4小时，需要做什么工作这么耗时？

难道我这20多个系统，需要80个工时，10天时间？那也太离谱了。

于是，我就细细请教了一下，为什么要按照4小时来算。

以下是他的娓娓道来和我自己的部分臆断：

以下从具体工作内容、流程细节、技术要求三个维度展开分析，解释为何需要这么久：

一、资产梳理的核心工作内容（单系统为例）

1. 资产信息收集（1.5~2 小时）

• 基础信息普查
• 收集系统名称、业务用途、部署架构（如服务器 / 客户端 / 数据库分布）、所属部门、负责人等基础信息。

示例参考：

一、互联网面向系统（以官网为例）

二、内部专用系统（以 OA 为例）

• 耗时点
  需跨部门沟通（如联系系统管理员、业务部门），部分老旧系统文档缺失，人员变动，需现场调研。
• 技术组件拆解
• 识别系统使用的硬件设备（服务器型号、网络设备、存储设备等）、软件组件（操作系统、数据库、中间件、开源组件等）、接口依赖（如调用其他系统 API、第三方服务）。
• 耗时点
  系统需通过工具扫描（如 Nmap、goby）和人工验证结合确认。

2. 资产风险初筛（1~1.5 小时）

• 暴露面分析
• 扫描系统对外开放的端口、服务（如 Web 服务、SSH、RDP），识别潜在攻击入口。
• 工具辅助
  使用漏扫工具（如 AWVS、Nessus）预扫描，人工分析结果（排除误报），确认是否存在高危端口未关闭、弱口令默认账户等风险。

3. 资产台账建档与校准（0.5~1 小时）

• 台账结构化录入
• 将收集的信息整理成标准化表格（包含资产 ID、名称、负责人、风险等级、合规状态等字段），部分企业需录入 CMDB（配置管理数据库）系统。
• 耗时点
  若系统间存在关联资产（如共享数据库、负载均衡设备），需标注依赖关系，避免遗漏。
• 多方确认与校准
• 与系统管理员、业务部门负责人交叉核对信息，确保台账准确（如确认某测试环境是否仍在使用，避免 “僵尸资产” 存在）。
• 耗时点
  协调多方时间可能产生沟通成本，尤其是跨部门资产（如多个业务线共用一套系统）需反复确认权责。

二、影响耗时的关键因素

1. 系统复杂度差异

• 简单系统
  （如单服务器部署的 OA 系统）：信息收集和风险初筛相对直接，耗时约 3~3.5 小时。
• 复杂系统
  （如分布式微服务架构、混合云部署的核心业务系统）：
• 需分析容器、K8s 集群、API 网关等组件，可能涉及云平台（AWS/Azure/ 阿里云）控制台资产导出，耗时可达 4.5~5 小时。
• 案例：某银行核心交易系统因涉及多地数据中心互联，资产梳理耗时达 6 小时 / 系统。

工具扫描仅能覆盖部分基础信息，比如通过资产扫描工具（如 Nmap、Zenmap、AWVS 、goby等）可以快速获取一些技术属性：

人工核查验证的耗时列表：

（还是以这个事业单位的20 个系统为例）

这样的话，应该就只需要3.5小时一个系统了吧。

不过，我感觉还可以把工作安排得更丝滑一些，于是又和他讨论了一下怎么优化效率。

三、如何优化资产梳理效率？

1. 预调研与模板标准化

• 提前向客户/业务方发放《资产信息采集表》，收集基础信息（如系统负责人、部署架构图），减少现场沟通时间。

2. 分层分类梳理

• 按资产风险等级（核心业务系统 / 边缘系统）、部署环境（内网 / 外网 / 云环境）分组，优先处理高风险、复杂系统。
• 例子：某企业先梳理面向互联网的 Web 系统（共 5 个），再处理内部办公系统（15 个），整体效率提升 40%。

3. 工具链整合

• 集成资产发现工具（如 Nmap+AWVS+CMDB 接口），实现 “扫描 - 采集 - 录入” 自动化流转，减少人工操作步骤。
• 例如：通过 Nmap 扫描 IP 段获取开放端口，自动关联 CMDB 中的资产负责人，生成待确认清单。

差不多了吧，纸上谈兵总觉浅，绝知此事要躬行，下次实践遇到问题再和大家讨论！

THE END

ps ：本人最近在学习网络安全运营平台SOC功能和相关技术，正在用相关平台的用户，或者研究开发过类似产品的朋友可以加我V：catfishfighting，务必备注SOC，我拉你进SOC群，大家一起交流学习。