攻击面台账如何区分共享与自有资产

同一个业务域名指向的入口，未必就是企业可以独立测试的资产。攻击面台账区分“自有”与“共享”，关键不是看域名写了谁的名字，而是确认谁控制入口、谁承担探测影响，以及授权是否覆盖实际承载它的基础设施。归属判断不清时，把资产标成“自有”会放大测试权限；直接删掉，又会掩盖真实的暴露入口。

自有资产应有可核对的控制与授权依据，例如资产已列入授权清单，且目标方能够确认其管理责任。多个业务域名落在同一个反向代理或负载均衡上，则要进一步核实是否共用承载资源：针对一个域名的路径探测，可能影响同一设施上的其他租户。第三方托管入口也不能仅凭“为本企业提供服务”就归为自有。业务使用权不等于基础设施测试权。

台账宜分别记录资产标识、归属类别、暴露方式、发现来源、授权依据和当前验证状态，而不是只留一个“归属”标签。证书透明度日志中的域名可以作为发现线索，却不足以单独证明现时归属；解析记录与响应信息可以帮助识别承载关系，但出现授权清单之外的地址或第三方组织标识时，应标记为待确认，并停止该入口的主动操作。

分类结果最终要约束行动。已确认的自有入口可按授权条件进入验证；共享或第三方托管入口先保留记录，默认只做被动收集，主动验证须另行确认。暂时无法判定的对象也不应硬塞进两类之一，应写明缺少哪项证据、由谁确认。这样台账既保留攻击面线索，也让每一次验证都有清楚的权限边界。