被动式资产发现<\/strong><\/p>

被动式资产发现是指在网络运维或安全监控过程中，不主动向目标网络或系统发送探测数据包，而是通过收集和分析网络中已存在的流量或数据，来识别和清点资产的技术方法。<\/p>

基础概念：<\/strong>
与主动扫描相对，被动式发现的核心是“监听”而非“询问”。它不产生额外的网络流量，因此不会被目标资产的安全设备（如入侵检测系统）轻易察觉，也不会对目标系统造成性能负担或干扰。其工作原理是部署传感器（如网络分光器、流量镜像端口或主机代理），收集流经网络的原始数据包、流量日志、应用日志等。<\/p>

关键数据源与分析方法：<\/strong><\/p>

网络流量分析<\/strong>：这是最主要的数据源。通过分析流量中的元数据（如IP地址、MAC地址、端口号）和应用层协议交互（如HTTP请求头中的User-Agent、服务器标识，TLS\/SSL握手信息中的证书主体名等），可以识别出通信主机的IP、开放服务、设备类型、操作系统及运行的应用。<\/li>
日志分析<\/strong>：收集和分析防火墙、路由器、交换机、Web服务器、域名系统（DNS）、动态主机配置协议（DHCP）等设备或服务生成的日志。这些日志包含了丰富的资产连接、IP分配、域名解析等信息。<\/li>
流量内容元数据<\/strong>：深度包检测（DPI）技术可以非侵入式地从流量中提取更精细的指纹信息，例如特定软件版本独有的通信模式、API调用特征等。<\/li> <\/ol>
技术实施步骤：<\/strong><\/p>

传感器部署<\/strong>：将网络流量镜像到专用的分析设备，或在关键网络节点、云环境虚拟网络内部署流量采集探针。<\/li>
数据采集与聚合<\/strong>：持续捕获原始数据包或流量日志，并进行归一化处理，将不同来源的数据整合为统一的格式。<\/li>
特征提取与关联<\/strong>：运用预定义的指纹规则库（如与“资产指纹识别”技术结合），从数据中提取能够标识资产的各类特征。随后，将来自同一资产（如一个IP地址）的不同特征（如从HTTP流量、DNS查询、NetFlow记录中提取的信息）进行关联和聚合。<\/li>
资产画像与入库<\/strong>：将关联后的信息形成资产画像（包括IP、MAC、主机名、服务、应用、可能的操作系统等），并存入“资产数据库”进行持续更新和维护。<\/li> <\/ol>
优势与局限性：<\/strong><\/p>

优势<\/strong>：隐蔽性强，不影响目标系统；能发现那些仅响应而不主动监听的服务；可以实时或近实时地发现资产及其变化；能观察到资产间的实际通信关系。<\/li>
局限性<\/strong>：依赖于网络流量，如果资产不产生网络通信（如离线或处于静默期）则无法发现；对于未流经传感器部署路径的流量可能会遗漏；通常无法获取资产的深度配置细节（如精确的补丁级别）。<\/li> <\/ul>
在安全体系中的位置：<\/strong>
被动式资产发现是“资产发现与清点”体系中至关重要的一环，它与主动扫描互为补充。被动发现擅长构建一个基于真实通信行为的、动态变化的资产视图，尤其适用于监控网络内部资产和检测未经授权的设备接入（如违规上线的“影子IT”）。结合主动式发现，能够形成更完整、更准确的资产清单，为漏洞管理、攻击面管理和安全事件响应提供坚实的基础。<\/p>