做安全的人常被问一句「我们主要防谁」，答不上来就只能堆设备。这篇把威胁来源拆成几类可操作的口径：外部攻击、内部人员、供应链与第三方、以及技术本身的脆弱性。每一类给出识别线索、误判边界，以及第一步该去哪个页面拉数据对照。
做安全的人常被问一句「我们主要防谁」，答不上来就只能堆设备、堆告警，最后谁也不知道该先处理哪一条。把威胁按来源分门别类，不是学术分类，而是为了排优先级：不同来源对应不同的排查入口、不同的责任人和不同的处置节奏。
这篇给四类来源的可操作口径：面向公网的外部攻击面、内部人员与账号滥用、供应链与第三方、以及技术自身的脆弱性。每一类都给出识别线索、判断标准和排除误判的边界，最后给一套排优先级的方法。要强调一句：来源分类是用于分工和排序的，不是用来下结论的，具体到某个团队的权重必须结合自己业务形态判断。
第一类来源：面向公网的外部攻击面
外部攻击面的核心不是「有没有被攻击」，而是「有多少东西可以被摸到」。先把暴露面按类型归档：对外站点、API 网关、远程运维入口、邮件与账号体系。每一类对应的攻击手法不一样，归档之后才知道该盯哪份日志。
- 对外站点：关注上传接口、管理后台路径、错误页泄露的框架信息
- API 网关：关注未鉴权接口、批量枚举、异常大的返回体
- 远程运维入口：关注登录来源地、失败次数、非工作时间的成功登录
- 邮件与账号体系：关注批量重置、异常设备登录、转发规则被悄悄新增
识别线索要看日志侧症状，而不是单看有没有告警。批量探测、试探性请求集中在同一路径、异常登录地，这些属于「行为模式」，比单条告警更有判断价值。如果团队只做了告警没做日志留存，第一步应该是先把关键入口的日志留下来，否则后面全是猜。
第二类来源：内部人员与账号滥用
内部来源常被误解成「有人在使坏」，实际情况里，大部分是流程缺失造成的顺手越界：权限给多了、共享账号没人收、离职交接有空白期。先按三种情形分类，再看对应线索。
- 越权访问
- 岗位职责之外的数据或系统被访问到，常见于权限继承和共享账号
- 离职交接空档
- 人走了但账号、密钥、第三方授权还没回收，属于典型时间窗风险
- 凭据扩散
- 凭据被写进公开位置、聊天记录或代码仓库，扩散范围往往没人算得清
排查顺序建议先账号后行为：谁有什么权限、最近谁在非工作时间调用、哪台设备长期在线。判断标准可以简化成三条——权限与岗位不匹配、存在共享账号、多人共用一个凭据，命中任意一条就按高风险线索处理，先记录再确认，不要边查边改。
边界说明：内部威胁不等于恶意。对话要留出「流程没设计好」这个解释空间，否则一线会开始藏着问题不报，反而更难发现。
第三类来源：供应链、第三方与外包环节
这一类的特点是：你控制不了对方，但风险会落到你头上。先把对象列清：云服务商、SaaS 工具、AI 中转与调用平台、外包开发与运维、开源依赖。列清之后才有得谈。
- 画链路把数据从哪进、经过谁、留在哪画成一条线，一步写一行
- 标红环节链路上一环问不到口径就标红，不要因为「对方是大厂」就跳过
- 回收授权把第三方访问你系统的账号、Token、回调地址统一登记，登记完再谈回收
- 定期复核每次换供应商或换外包方，链路图必须重新过一遍，旧图作废
识别线索很直接：对方无法说明日志留存多久、访问主体是谁、下线之后数据怎么处置。这三个问题答不上来，就该把这一环的风险等级上调。适用提醒：小团队不需要一步到位做严格尽调，先按「能不能问到答案」分级就够了。行业里常见的第三方风险对比，可以到 /tools 的工具目录里看同类工具在覆盖范围上的差异，具体怎么选要结合自己的链路。
第四类来源：技术自身的脆弱性与配置错误
这一类最容易被低估，因为不涉及「有人攻击」。实际情况里，最常见的不是漏洞被利用，而是默认配置没改、开放端口忘了关、测试环境直接对外、日志里混进敏感字段。这些属于自己给自己留的门。
| 排查对象 | 第一步看什么 | 常见坑 |
|---|---|---|
| 对外可访问端口 | 当前对外开放的端口清单与用途 | 历史项目遗留端口无人认领 |
| 权限配置 | 谁能读写哪些资源 | 继承来的宽权限没人收 |
| 日志 | 是否写入敏感字段、留存多久 | 调试日志上线后没关 |
| 备份 | 是否加密、恢复流程是否演练过 | 有备份但从没验过能不能恢复 |
判断标准可以简化成一条：任何「先上线后补配置」的项，都当成待确认项列进台账，不要靠口头记。台账里写清责任人和下次确认时间，否则一个月后没人记得这回事。这一步和站内上线前自查类的思路是配套关系，先自查再谈威胁模型。
分清来源之后，怎么排优先级
来源分完了，不等于优先级分完了。建议用三个维度排序：发生可能性、影响范围、可观测程度。其中可观测程度最容易被忽略，也最重要——越不可观测的来源，优先级应该越高，因为真出事了你也发现不了。
- 高优先级：不可观测 + 影响范围大，先补日志和权限清单
- 次高：可观测但影响范围大，靠告警和演练控制
- 中优先级：可观测 + 影响小，例行处理即可
- 低优先级：发生可能性低且影响可控，写进台账定期回看
落地动作：按来源列一张表，每行写清风险名、责任人、下一次确认时间。只写风险名不写责任人的表，基本会在两周内变成摆设。误判排除也要写一句：媒体报道的热点不等于你司的主要来源，行业与业务形态不同，权重完全不同。要对比不同行业的实际风险分布和判断口径，到 /sites 看同类站点与服务的对照信息，再到 /rankings 看当前的可信度排序，具体数字以页面当时展示为准。
下一步把上面四类来源对照自己的资产过一遍，列一份带责任人和确认时间的清单；需要看第三方工具和服务的可信度对照时，去 /sites 和 /rankings 核对当时的公开信息，再回来调整自己的优先级。→常见问题
我们公司规模不大，需要把所有来源都防一遍吗？
不需要。小团队按「暴露面」排：有对外服务的先管外部攻击面和账号，用第三方工具的再管供应链。没有对外业务的，把精力压在账号权限和配置错误上，收益最高。全都防一遍的结果通常是每样都做了一半。
怎么判断威胁是来自外部还是内部？
看两点：一是凭据是否合法登录，二是行为是否超出该账号的历史模式。合法账号做异常的事，多半是内部或凭据泄露；来源不明的扫描与试错，多半是外部。两者会串在一起，所以别急着归因，先把证据链留住再判断。
威胁来源清单多久更新一次比较合适？
跟着变化走，不跟着日历走。新增对外服务、接入新的第三方工具、有人离职、换云厂商，这四类事件发生时就必须重看一遍。业务稳定的团队每季度过一遍也够。具体节奏可以对照站内安全分区里的相关速查页。
