威胁测评：别踩这几坑
威胁测评最容易被做成一份漂亮但没用的报告：风险矩阵五颜六色，结论全是“建议加强管理”。真正有价值的测评，应该能告诉你哪些威胁正在逼近、哪条链路最脆、明天先修什么。下面用问答拆坑。
Q1：威胁测评是不是扫漏洞？
不是。扫漏洞只是威胁测评的一部分，而且常常只是入口。威胁测评要看的是“攻击者能不能利用这些点打出结果”。一个中危漏洞如果在核心外网系统上，可能比内网高危更急。
靠谱做法是把资产、漏洞、暴露面、攻击路径、业务影响放一起看。只交一张漏洞列表，不叫测评，最多叫扫描结果。
Q2：为什么测评报告看起来很专业，却落不了地？
常见原因是结论太虚。比如“建议加强访问控制”，这句话等于没说。可落地的写法应该是：关闭A系统公网SSH；B后台接入MFA；C数据库只允许应用服务器访问；负责人和截止时间写清楚。
我看报告最先翻整改清单。如果清单里没有系统名、证据截图、优先级、验证方式，这份报告大概率只能用来归档。
Q3：测评时最容易漏掉什么？
第一是影子资产，比如临时测试站、老域名、外包搭的活动页。第二是账号链路，尤其是离职员工、共享管理员、第三方运维账号。第三是数据出口，比如对象存储桶、网盘同步、邮件转发。
攻击者不一定从最硬的系统进来，往往挑没人看的角落。威胁测评如果只盯核心生产系统，漏掉边缘资产，就像正门上三把锁，后窗开着。
Q4：怎么判断测评结果优先级？
别机械按高危中危低危排。更实用的排序是：外网可达优先、无需认证优先、已有利用代码优先、影响核心数据优先、修复成本低优先。这个排序能让团队先解决最可能爆的点。
举个例子：一个外网后台弱口令，可能比内网组件高危更该马上修。因为它路径短、成本低、收益高，攻击者最爱这种“白给入口”。
Q5：做完威胁测评后该看什么效果？
看三个数：高优先级问题关闭率、外网暴露资产减少量、关键告警响应时间。再加一个硬指标：随机抽查整改项是否真的修好，而不是截图糊弄。
威胁测评的坑，说到底是把“发现问题”当终点。真正的终点是风险下降。报告写得再漂亮，问题还挂在公网，都是纸面安全。
常见问题
威胁测评主要测什么？
主要测资产暴露、可利用漏洞、攻击路径、账号风险、数据泄露可能性和业务影响，不只是跑漏洞扫描器。
威胁测评多久做一次合适？
普通企业建议半年到一年一次；互联网业务、频繁上线系统建议季度做，重大系统上线前也要做一次专项测评。
威胁测评报告怎么看质量？
看是否有证据、资产定位、攻击路径、优先级、具体整改方法和复测结果。只有笼统建议的报告价值很低。