2026网络安全护网指南：5步摸清家底，90天倒排备战，小白也能看懂！收藏这份实战干货

文章指出，90%的网络安全失分来自企业自身“不知道还活着”的影子资产。随着攻击手法的APT化和AI辅助，攻击面收敛成为关键防线。文章提出5步资产盘点法和4步攻击面最小化法，并强调AI和云原生安全的重要性。最后，文章给出了90天倒排备战时间轴和五个致命盲区的防范建议，强调攻击面收敛是持续的安全能力，需要从战略高度重视。

去年护网复盘会上，某金融企业安全负责人盯着大屏幕上的攻击路径图，沉默了很久。红队突破的第一个入口，是一个三年前测试用的小程序——没人记得它还活着，但它直连生产数据库。

这不是个例。在过去几年参与的护网复盘中，反复看到同一个剧本：90%的失分，来自那些"自己都不知道还活着"的影子资产。测试环境没下线、离职员工的子域名没回收、合作方的灰度接口还挂在外网、GitHub上提交过密钥没人管——这些资产对业务不重要，但对攻击者来说，就是现成的后门。

2026年的护网规则又变了。攻击手法全面APT化，AI辅助钓鱼和自动化漏洞挖掘成为标配,考核范围新增AI安全和云原生安全两大领域。在这种背景下，攻击面收敛已经不是备战的"加分项"，而是决定生死的第一道防线。

90%

失分来自影子资产

30-50%

外部资产比CMDB多出

90天

倒排备战周期

一、2026年攻击面：不只是端口和服务了

往年做攻击面收敛，核心动作就是关端口、打补丁、收资产。这套打法在2026年不够用了。

今年的暴露面已经从传统的"端口+服务"清单，扩展成了一个多维立体的攻击入口集合。云原生弹性伸缩让暴露面秒级变化，AI智能体公网暴露成为新型突破口，API经济催生了大量影子API，零信任和远程办公让内外网边界彻底模糊。

2026年攻击面三大新特征动态化与碎片化云原生弹性伸缩Serverless临时实例AI Agent动态创建暴露面秒级变化AI双向赋能攻击方：自主侦察+漏洞挖掘4小时攻破FreeBSD内核防御方：实时测绘+自动响应AI对抗AI时代全域边界模糊零信任架构普及远程办公常态化多云混合部署间接暴露面成突破口

图1 / 2026年攻击面三大新特征

更棘手 的是，2026年新增了五类暴露面，每一类都是传统工具覆盖不到的盲区：

暴露面类型	2026年新增内容	实战风险
AI智能体暴露	公网AI实例、管理接口、插件供应链	41万+实例公网暴露，提示词注入接管
云原生暴露	容器、Serverless、K8s、镜像仓库	容器逃逸提权，多云配置不一致
API暴露	REST/GraphQL、AI推理API、数据管道	73%生产AI存在Prompt注入漏洞
IT/OT融合暴露	SCADA、物联网网关、边缘节点	通过OT网关入侵生产线
非人类身份暴露	服务账号、API Key、AI Agent凭证	凭证长期未轮换，横向移动跳板

这里有个核心认知需要转变：暴露本身不是罪，失控暴露才致命。云主机安全组误放全IP、AI Agent公网接口没鉴权、API密钥泄露在GitHub上——这些都是"失控暴露"，也是今年护网的高频突破点。

二、5步资产盘点法：把家底摸清楚

攻击面收敛的第一步，永远是"摸清家底"。在实战中总结了一套5步盘点法，核心思路是从内到外、从已知到未知，逐步逼近真实的暴露面。整体流程如下：

5步资产盘点法 / 从内到外逐步逼近真实暴露面1内部清单对账CMDB导出 + 业务自报财务云账号 + 路由表IP段产出：全量资产清单2外部测绘扫描FOFA/ZoomEye/CensysCT日志反查 + 子域名枚举产出：外部资产清单3代码泄露排查GitHub/Gitee搜索AccessKey/密码/内部域名产出：泄露清单+优先级4第三方接入梳理VPN账号 + 合作方专线SaaS供应商 + 外包驻场产出：接入清单+权限整改5云上资产盘点IP/存储桶/API网关IAM角色 + AccessKey记录产出：云资产+IAM建议差异分析 / 内部清单 vs 外部清单A类正常 · B类影子资产(立即处理) · C类待核实 · D类未知(优先最高)

图2 / 5步资产盘点法完整流程

第1步：内部清单对账

别一上来就开扫描器。先从企业内部已有的数据源交叉比对，能省掉大量后续工作：

CMDB全量导出 + 各业务线自报在用系统 + 财务侧"还在付费的云账号/域名/SSL证书" + 网络侧"还在路由表里的IP段"。

这步的关键产出是一张包含IP、域名、负责人、业务线、部署位置的全量清单。注意，是"全量"——别只导出"主资产"，测试环境、灰度环境、废弃系统全都要列出来。

第2步：外部测绘扫描

这步是站在攻击者视角，用互联网测绘平台反向查询企业资产，然后跟内部清单做差异比对。常用的工具各有侧重：

工具	核心能力	擅长场景
FOFA	40亿+资产，35万条指纹规则	国内Web资产首选
ZoomEye	设备指纹，端口服务扫描	网络设备、IoT
Censys	证书透明度日志，覆盖96% Shodan服务	证书反查子域名
CT Logs	证书透明度日志反查	发现遗漏子域名

见过最典型的情况：企业第一次拿到外部视角的资产报告，发现自己CMDB里没记录的资产比已知的还多30%到50%。这些多出来的，就是影子资产——也是红队最先下手的目标。

第3步：代码泄露排查

GitHub和Gitee是红队最爱的情报金矿。账号、密钥、内部域名，经常被开发随手提交到公开仓库。排查动作包括：以企业关键字搜索公开仓库，检查AccessKey和密码泄露，同步排查个人邮箱注册的"私人项目"。

# Google Hacking 搜索泄露的敏感配置 

site:github.com "yourcompany.com" password 

site:github.com "yourcompany.com" api_key  

# 搜索公网暴露的敏感文件 

site:yourcompany.com filetype:env 

site:yourcompany.com filetype:sql inurl:api/v1 key  

# 枚举子域名 

site:*.yourcompany.com -www

第4步：第三方接入梳理

第三方接入是护网期间最容易翻车的地方。VPN接入账号、合作方专线、SaaS供应商、外包驻场账号——每一类都可能成为攻击者从外部渗透内部的跳板。很多企业自身防护做得不错，但外包的笔记本中招后，攻击者顺着VPN就回来了。

第5步：云上资产盘点

云上资产是影子资产的重灾区。公有云账号下的所有IP、对象存储桶、API网关，所有IAM角色与策略，所有AccessKey的最近使用记录，多云环境下的跨云资源——都要逐项排查。今年还需要特别关注AI实例、GPU主机、Serverless函数这些新型云资源的暴露面。

差异分析：把差异变成行动清单

5步盘点完成后，最关键的动作是把"内部清单"和"外部清单"做差集，分四类处置：

A类 / 正常资产内部有、外部无纳入正式管理持续监控低风险B类 / 影子资产内部无、外部有立即处理关停/收敛/纳入高风险C类 / 待核实内部有、外部有信息不一致核实更新台账中风险D类 /未知资产代码/云上发现的未知资产优先级最高极高风险

图3 / 资产差异分析四象限——B类和D类必须优先处置

三、攻击面最小化：四步压缩暴露面

资产盘点搞清楚了，接下来是动手收敛。这套四步法的思路是从资产到端口、从权限到访问控制，层层递进，把暴露面压到最小。

1资产收缩从被动关闭到主动最小化· 下线非必要公网资产· 清理影子资产、废弃AI实例· 核心业务走零信任网关代理2端口与服务收缩关闭一切非业务必要端口· 关闭3389/22/6379等高危端口· 隐藏服务版本禁用危险方法· 收敛运维入口到堡垒机3权限与配置收缩最小权限原则贯穿全域· 强密码+2FA+SSO· 云资源IAM最小化、禁止公开· 非人类身份短期凭证自动轮换4访问控制加固零信任架构落地· 所有运维入口走堡垒机· 核心交换机ACL限制VLAN通信· WAF+EDR+零信任联动

图4 / 攻击面最小化四步法

端口收缩这一步，是攻击面收敛中见效最快的动作。以下整理了护网期间必须重点盯防的高危端口完整清单，按类别分为远程管理、文件共享、数据库、大数据与中间件、云原生与容器五大类：

远程管理类（公网零暴露）

端口	服务	风险	处置
3389	RDP远程桌面	暴力破解BlueKeep(CVE-2019-0708)	关公网，仅堡垒机+启用NLA
22	SSH	弱口令爆破、Hydra工具、密钥泄露	限制源IP，密钥认证，禁root直登
23	Telnet	明文传输、中间人攻击	直接禁用，替换为SSH
5900	VNC	弱口令爆破、远程控制	关公网，强密码+限制访问源

文件共享与网络服务类（公网全面封禁）

端口	服务	风险	处置
445	SMB	永恒之蓝(MSI7-010)、WannaCry勒索	公网全面封禁，仅内网使用
135	RPC	MS08-067冲击波蠕虫、DCOM攻击	公网封禁TCP+UDP
137-139	NetBIOS	信息泄露、中间人攻击、MS08-067	公网封禁
21	FTP	明文传输、匿名访问、暴力破解	替换为SFTP，关公网
873	Rsync	匿名访问、文件上传getshell	关公网，设认证，限制IP
2049	NFS	未授权访问、权限绕过	关公网，限制内网访问

数据库类（禁止公网直连）

端口	服务	风险	处置
6379	Redis	默认无认证、写文件getshell、提权	绑定本地IP设密码，关公网
3306	MySQL	root弱口令、SQL注入、数据泄露	关公网，强密码，删测试账号
1433	SQL Server	SA弱口令、SQL Slammer蠕虫	关公网，限制内网访问
5	PostgreSQL	未授权访问、弱口令	关公网，限制IP+认证
27017	MongoDB	默认无认证、大量数据泄露案例	启用auth认证，绑内网IP
1521	Oracle	弱口令、TNS爆破、数据泄露	关公网限制IP，强密码

大数据与中间件类（默认无认证高危）

端口	服务	风险	处置
9200	Elasticsearch	默认无认证、数据全量读取、RCE	关公网，启用X-Pack认证
11211	Memcached	未授权访问、内存数据泄露、UDP放大攻击	关公网，绑定本地，设认证
2181	Zookeeper	未授权访问配置泄露、环境信息暴露	关公网，限制内网访问
50070	Hadoop	未授权访问、大数据泄露、配置暴露	关公网，限制内网访问
8080	Tomcat/Jenkins	弱口令、Manager未授权、脚本执行	删默认应用，强密码，限制IP

云原生与容器类（2026重点新增）

端口	服务	风险	处置
2375/2376	Docker API	未授权访问、容器逃逸、集群接管	关公网，启用TLS认证
6443	K8s API	未授权集群接管、Pod执行	限制访问源，启用RBAC
10250	Kubelet	未授权执行命令、容器逃逸	关公网，启用认证
8888	Jupyter	token易猜、远程代码执行	关公网，绑本地IP+强密码

# 一键封禁高危端口 (iptables) 

iptables -A INPUT -p tcp --dport 23 -j DROP 

iptables -A INPUT -p tcp --dport 135 -j DROP 

iptables -A INPUT -p tcp --dport 139 -j DROP 

iptables -A INPUT -p tcp --dport 445 -j DROP 

iptables -A INPUT -p tcp --dport 3389 -j DROP 

iptables -A INPUT -p tcp --dport 6379 -j DROP 

iptables -A INPUT -p tcp --dport 27017 -j DROP 

iptables -A INPUT -p tcp --dport 9200 -j DROP 

iptables -A INPUT -p tcp --dport 2375 -j DROP 

iptables -A INPUT -p udp --dport 135 -j DROP 

iptables -A INPUT -p udp --dport 137:138 -j DROP  

# 保存规则（重启后生效） 

iptables-save > /etc/iptables/rules.v4

权限配置收缩方面，云资源是重灾区。建议对照这份检查清单逐项排查：

# IAM权限检查 

□ 删除 0.0.0.0/0 的安全组规则 

□ IAM角色权限最小化，删除过度授权 

□ AccessKey定期轮换（建议90天） 

□ 禁止长期静态密钥，启用短期Token  

# 存储桶权限检查 

□ S3/OSS桶禁止公开访问 

□ 检查存储桶策略中的通配符 

□ 启用存储桶加密 

□ 开启存储桶日志记录  

# 数据库检查 

□ RDS禁止公网访问 

□ 删除默认账号、测试账号 

□ 开启数据库审计日志

四、新型资产管控：AI和云原生不能漏

今年护网新增了AI安全和云原生安全两个考核领域。这两类新型资产的暴露面，传统工具基本覆盖不到，必须专项管控。

AI智能体方面，目前全球已有41万+智能体公网暴露，15.6万例存在泄露。提示词注入可以接管Agent，窃取核心凭证。管控要点是：禁止公网直接暴露AI实例，通过内部网关访问；关闭不必要的管理接口；限制插件来源；记忆模块加密；部署Prompt过滤和权限校验。

云原生安全四层防护体系第一层 / CI/CD流水线安全IaC扫描 → 镜像签名 → 漏洞扫描 → 部署前准入校验DevSecOps第二层 / 容器运行时安全逃逸检测 → 内核行为监控 → 进程权限控制 → 只读根文件系统Runtime第三层 / K8s编排安全RBAC最小权限 → API Server网络限制 → etcd加密 → Pod安全策略Orchestration第四层 / 云配置安全（CSPM）安全组最小放行 → 存储桶私有 → IAM审计 → 多云配置一致性CSPM

图5 / 云原生安全四层防护体系

API方面，2026年API攻击损失已超1000亿美元。一个实战技巧：通过访问首页及静态地址提取JS文件，解析Webpack打包文件中的API路由，能发现大量未登记的影子API。很多企业上线新功能时，旧的测试API忘了下线，就成了红队的突破口。

五、90天倒排备战时间轴

在过去几年协了大量央国企和金融机构备战护网，复盘下来一个共识：90%的失分来自准备阶段做错了事，而不是当天蓝队水平不行。

90天备战攻击面收敛完成度收敛完成度 (%)100%75%50%25%30%55%80%90%97%100%T-90T-60T-45T-30T-IS T-3战略准备实战体检高危整改联合演练最后冲刺临战

图6 / 90天备战各阶段攻击面收敛完成度

几个关键节点需要特别注意。T-90到T-60的战略准备期，最容易犯的错是资产盘点只算"主资产"，忽略了GitHub泄露的子域名和未注销的测试环境。T-45到T-30

线新功能时，旧的测试API忘了下线，就成了红队的突破口。

五、90天倒排备战时间轴

在过去几年协了大量央国企和金融机构备战护网，复盘下来一个共识：90%的失分来自准备阶段做错了事，而不是当天蓝队水平不行。

90天备战攻击面收敛完成度收敛完成度 (%)100%75%50%25%30%55%80%90%97%100%T-90T-60T-45T-30T-IS T-3战略准备实战体检高危整改联合演练最后冲刺临战

图6 / 90天备战各阶段攻击面收敛完成度

几个关键节点需要特别注意。T-90到T-60的战略准备期，最容易犯的错是资产盘点只算"主资产"，忽略了GitHub泄露的子域名和未注销的测试环境。T-45到T-30

想从事网络安全的同学，找工作最怕“理论都懂，实战发懵”。在面试中，HR和面试官更看重你对真实攻防场景的理解和动手能力。

为了帮大家搞定面试，我帮大家准备了一份 360智榜样学习中心独家《网络攻防知识库》。这份资料最大的亮点在于**“实战性”**：

知识库由360智榜样学习中心独家打造出品，旨在帮助网络安全从业者或兴趣爱好者零基础快速入门提升实战能力，熟练掌握基础攻防到深度对抗。

从零到精通完整闭环：基础攻防→渗透测试→应急响应→CTF实战，5大模块200+课时，比大学教材更贴近企业实战！”

• 涵盖 渗透测试案例分析 与 实战技巧，直接对应面试真题；
• 包含 CTF竞赛基础 与 HW行动攻防对抗 实录，丰富你的简历项目经验；
• 深入 十大安全漏洞 与 利用技巧，掌握这些高阶技能，实战SRC挖洞赚钱。

🎁 实战教学，专属靶场： 掌握这些高阶技能，谈薪更有底气。无论你是找渗透测试岗还是安全服务岗，这些项目都是加分项。

👇 点击下方链接，补齐实战短板，拿下心仪Offer：

**读者福利 |** *CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享 * **（安全链接，放心点击）**