眾所周知，如果沒有完整的、詳細的主機資產清單，安全運維團隊就無法確保組織的安全，因為任何人都無法保護“未知”東西的安全。雖然在過去很長一段時間內，在定義網絡邊界后，在封閉的IT環境中，對所有硬件、軟件和網絡元素進行統計和監視還是可控的。

不幸的是，那已經屬于過去時。隨著云計算、移動設備、物聯網等技術的快速發展，傳統網絡邊界已經不復存在。因此，編制一份完整的資產清單并使之保持最新狀態變得更加困難和復雜。隨著那些資產盲點在網絡環境中成倍增加，黑客入侵、數據泄露、惡意軟件感染以及不合規的風險也在成倍增加。

這也是為什么互聯網安全中心(CIS)在新發布《20大安全控制》報告中，將“授權和未授權設備及軟件的清點”放在前兩位。互聯網控制(CIS)在報告中表示，如果采用下述這五種控制方式，組織可以將遭受的網絡攻擊風險概率降低85%。在報告中排名前5的控制項分別是：

硬件資產庫存與控制;

軟件資產庫存與控制;

持續的漏洞管理;

控制管理員權限的使用;

保護移動設備、筆記本電腦、工作站和服務器上軟硬件的配置。

換句話說，使IT資產清單保持正確是至關重要的。上文CIS控制項1和控制項2，表明對網絡上設備的全面了解，是減小公司攻擊面的第一步，資產清點是夯實公司系統安全最關鍵的一步。畢竟，如果不知道自家網絡上都有些什么，也就談不上跟蹤這些資產了。主機作為資產最豐富集中地，確保能夠實時、清晰地了解其資產整體情況更是不容忽視。

主機環境的完全可見性

系統必須為自己組織的所有主機資產(包括硬件和軟件)提供全面的可見性。如果沒有這種廣闊的全景視圖，就無法正確地保護主機的安全。比如自己企業組織中有哪些服務器，分別運行什么軟件，它們是如何打補丁的?如果你不知道自己擁有什么，就很難回答上述這些基本問題。主機資產的可視化為主機環境、應用脆弱之處、部署防御等都提供了堅實的基礎。

目前國內已經有一些領先安全廠商在資產清點方面做出了令人驚喜的成績。例如青藤資產清點，只需要在主機上安裝輕量級Agent，就可以持續主動地從主機中收集各種數據，并將其提供給安全引擎進行分析。在這個平臺上，這些信息被聚合、索引、關聯和分析。

青藤的資產清點擁有強大的搜索引擎，能夠在幾秒鐘內解決簡單或復雜的查詢，幫助客戶輕松了解主機上資產情況，比如：

機房中有多少臺主機來自某個品牌 ?

有哪些主機資產受到特定漏洞的影響?

哪些主機安裝了特定的軟件?

……

除此之外，搜索中使用多個條件的組合可以在更窄的范圍內進行運行查詢，如下圖所示，通過篩選可以看到有多少臺主機部署在機房7-313機房中，以及在Mary名下的主機數量。

資產的深度可視化

當然上述這種持續的數據收集和發現過程僅是實現主機資產清單流程的第一步，如果收集的數據都很淺顯，那么擁有完整的主機資產列表也是遠遠不夠的。信息安全團隊需要深入了解主機資產，包括硬件規格、已安裝的軟件、已批準的賬戶、root權限和安裝包等。青藤資產清點系統為這些數據點建立索引，可以組合其中幾個數據點進行查詢，從而獲得與資產清單相關的特定問題的答案。

深度的資產可視化為組織提供了每個資產的多維視圖。當然如果要編譯這樣詳細的資產清單，就必須通過自動化方式收集整合所有的主機資產信息：

1. 主機基本信息：包括主機名，主機IP等，還包括主機管理信息(業務組，負責人，機房位置，標簽)、固定資產編號;

2. 系統硬件清理：包括系統內核，CPU，內存，硬盤，磁盤使用分布等各類硬件信息;

3. 所有安裝的軟件：包括應用程序、驅動程序、實用程序和插件以及各自的版本;

4. 虛擬環境細節，包括鏡像

5. 批準的用戶帳戶，并記錄他們的登錄狀態

6. 開放的端口

提供資產關聯能力

如果無法對資產數據與風險發現和入侵檢測關聯，那么資產列表的價值也是有限的。因為每天都有新的漏洞被發現，舊的漏洞可能會在某個時刻變得更加危險，例如它們包含在黑客的攻擊工具包中。

研究表明，黑客入侵風險在一周內達到中等水平，而當一個關鍵系統的漏洞持續存在一個月或更長時間時，這種風險就會變得很高。SANS研究所在最近一項關于持續監控實踐的研究中指出，關鍵的漏洞最好在一天或更短的時間內得到補救。青藤的產品以資產清點作為數據支撐平臺，為每項資產提供完整視圖，與青藤自適應平臺中的風險發現和入侵檢測系統全面關聯，實現一鍵查看，幫助機構組織快速查詢，并在幾秒鐘內獲得關于其安全性和合規性整體情況。

與此同時，如果某臺主機感染了惡意軟件或安裝未經批準的軟件，該主機可能很快就會從安全狀態變為不安全狀態，因此盡快標記這些主機，這樣能為后續采取必要的行動來保護主機安全或者滿足合規要求埋下伏筆。

有效彌補 CMDB 缺失信息

青藤資產清點另一個關鍵功能是能夠與CMDB連接，并不斷地向其提供新鮮、詳細的數據。盡管許多CMDB實際上充當其企業的IT資產清單，但事實是，它們的信息常常是過時的。因為CMDB產品初衷是為編譯初始資產清單而設計的，并不是為持續更新而設計的，對于安全運維人員來說，更新它是一件費時費力的事情。

青藤資產清點系統，能夠不斷檢測關于新資產和更改資產的細粒度的數據，與 CMDB 系統關聯，有效補充缺失的數據，提高管理者對整體資產把控能力。當CMDB的信息總是最新且全面的時候，它就能夠更好地說明和映射IT資產之間的層次結構和依賴關系。這使得IT部門能夠更有效地完成各種關鍵任務，例如變更管理、服務請求、事件響應、系統修復和影響分析。