我的评价是攻击面管理属于最（在企业内部）吃力不讨好的事

哪怕不少有丰富安全管理经验的老人也还执着于黑盒测绘+人力渗透+资产登记那套

抛开安全不说，CMDB跟资产（和各种虚拟化平台上资产统计的接口）咬合都很困难了

我有一个猜想，领导和绝大多数人的网络安全认知模型 be like：
第〇层：根本不考虑安全
第一层：+防火墙ACL和杀毒软件
第二层：+安全测试和安全意识培训
第三层：+态势感知和基线漏洞管理
第四层：+流量分析和网络测绘
第五层：+安全左移和SOAR之类
第六层：上面说的所有组件联动CMDB和hypervisor之类的做攻击面管理

我见过的多数管安全的领导在第三层

意识比较好的可能做到第四第五层

第六层没做过攻击队且脑内复盘推演过整个机房从发展到被打的脉络的话，是体会不到的

真要做好攻击面管理，需要：
甲方的经理
1、了解防御方法论
2、了解攻击方法论
3、了解技术人员的行为
4、有上级的充分支持（包括预算）
乙方的经理：
1、有覆盖面够广的测绘设施，不只是互联网测绘，流量、hypervisor、硬件配置、系统、组件、SBOM甚至可能API都要考虑
2、对甲方的网络架构和开发行为认知都比较到位
3、没想到

怎么老是你
https://mp.weixin.qq.com/s/hiGI_fQmXOHdkPqn6x00Jw

《七夕坂梦幻能》剧情观感：天然异能人士失踪深山老林 普信物理学家打砸人文古迹

莲子：异界的尽头是什么！
梅莉：主将证明自己，七月七日早上十点钟，整个梅莉都将为你闪烁

莲台野至今喜欢露营不带帐篷是吧

莲子小片段喜欢
---
曲子观感：《梦幻能》《独自一人常陆行路》《毕竟不是夜晚也有妖怪》好好听啊，其他的有点实验性，等一个同人演绎
正作的几首的重新混音都很好听

破案了，叮当贝尔不等式的锅碗瓢盆节奏是跟着贝斯敲的，从前奏开始你跟着贝斯听就顺耳了（可能需要较好的播放设备）
Tinker Bell（字面义）

说到后渗透，我的一些观察：

网络：我是想到一个绕NTA的狠招，但因为太狠了我不说。但近些年来，甲方/蓝队的活儿淹没了我，只能等一个有缘人和我合拍开发出来了。

主机和服务：相较之下绕主机安全就比较恶心，我感觉政企B侧Java一统江山的大方向下，还是得把内存马做精做深。
这种时候一方面得考虑跟钩子嗯挂的RASP玩gadget捉迷藏，另一方面很多红队开发/RTI都不注重的一点是拟态，红队总喜欢把马做小，我觉得其实是走了弯路。之前实战时的尝试感觉是，你越像业务接口越好。
免杀更是玄学，我曾经测某免费杀软时现场五分钟从零写了个直白socket的简单c2马，然后让杀软静态动态都扫了遍，居然没扫出来问题。

容器：理论上按照nday和不当配置逐项排查的思路就是CDK一把梭，实践上B侧有一些胖容器、单元化之类的服务治理策略暴露出的面儿也值得探究一下。从甲方视角看感觉开发人员基本盘在容器安全方面的卫生程度好比当年一堆人写PHP的时代。

云：打Endpoint、偷Metadata、偷授权三件套，然后就开始内网逛街偷产品数据。目前感觉大的态势还停留在挖云厂商内部API或者客户不当隔离不当授权的情况，没啥有意思的部分，好些组搓点API利用工具都能在GitHub上集到好多赞。我是用来布局白盒攻击面检测的，有些idea内部使用不方便开源。这方面sangf○r其实有产品，阿里云最近也上线了类似服务。云+攻击面其实值得单开一个话题，不知道有没有厂商做军火化。好多厂商好像这块意识稍微差点，缺少有战术意识的安全产品经理。

怎么有人在自动化测试里掺真实木马测文件上传接口的，血压高了