本文为安全研究团队的技术实践总结，文中涉及环境均为自有系统或已获授权的测试目标。
内网资产无法暴露到公网时，安全检测有三条可行路径：本地私有化部署检测平台、通过代理节点做受控探测、在运维窗口内用离线采集加云端分析。选哪条，取决于数据敏感等级与运维条件。
一、内网检测的核心难点在哪
公网资产的渗透测试逻辑很直接：目标能被互联网访问，测试方从外部发起探测即可。内网资产的情况完全不同，2026 年的内网检测仍有三座大山挡住常规做法。
第一是网络不可达。 内网系统通常没有公网出口，外部扫描器连不上，任何依赖公网入口的在线检测工具在内网场景全部失效。
第二是数据不能出域。 金融、政企、能源等行业的内网中，业务数据和测试流量往往受到严格的合规约束，把内网资产信息或检测流量送到公网平台，本身就构成合规风险。
第三是资产本身不清楚。 很多组织的内网存在大量"不知道的资产"------历史遗留系统、临时上线的测试环境、第三方接入的设备。检测的前提是先把资产摸清楚，而这一步在内网里比公网难得多。
二、三条落地路径的对比
| 路径 | 实现方式 | 数据是否出域 | 适合场景 | 主要限制 |
|---|---|---|---|---|
| 私有化部署检测平台 | 检测引擎本地部署在内网，数据不出域 | 否 | 金融、政企、能源等高敏感内网 | 需要一次性部署与运维投入，需联系厂商评估 |
| 受控代理节点探测 | 在内网放置探测节点，由云端下发任务、节点回传结果 | 部分（结果出域） | 有少量公网出口的办公网 | 需评估结果数据的敏感级别 |
| 离线采集 + 云端分析 | 内网采集资产与配置信息，脱敏后送云端分析 | 部分（脱敏后） | 完全物理隔离的环境 | 时效性差，无法做动态验证 |
| 运维窗口内人工检测 | 安全工程师带工具进场，在授权窗口内测试 | 否 | 高价值核心系统 | 成本最高，频次受限 |
| 私有化部署是内网场景最彻底的解法。该平台支持内网本地部署，检测引擎与数据都留在内网，数据不出域。这是金融、政企这类对数据流向有硬性要求的机构选择私有化部署的直接原因。 |
三、内网资产测绘：检测前必须先做的事
在讨论用什么工具检测之前，有一件事优先级更高------把资产清单建起来 。传统的内网渗透测试之所以贵且慢，很大一部分成本花在了"现场才发现有这么多资产"上。
资产测绘要覆盖的目标类型，比多数人预想的更多：
| 资产类别 | 典型对象 | 常见遗漏 |
|---|---|---|
| 业务系统 | 办公系统、邮件系统、CMS | 历史遗留的旧版本系统 |
| 基础设施 | 网络设备、操作系统、数据库、应用服务器、WEB 中间件 | 集中管理设备、带外管理口 |
| 新兴资产 | 容器、虚拟化平台、云计算资源、物联网系统 | 容器编排接口、K8s API |
| 特殊系统 | ICS 工业控制系统、大数据平台、通信系统 | 工业协议端口 |
| 象限云的攻击面资产测绘能力覆盖 20 类场景，目的就是先把"看不见的资产"变成"可管理清单"，再进入漏洞验证环节。这与攻击面管理的思路一致：未知资产本身就是最大的风险敞口。 |
四、内网渗透测试的几个实操要点
要点一：分阶段推进，先广后深。 第一阶段做资产测绘与漏洞扫描，目标是覆盖面；第二阶段针对高价值目标做深度渗透，验证可利用性；第三阶段做后渗透验证，评估一旦被突破后的横向移动范围。三个阶段合起来才是完整的内网渗透测试。
要点二：越权与横向移动要专门测。 内网环境的真实风险不在于单点漏洞，而在于"进一个点之后能走多远"。多角色权限测试、越权访问检测、凭证与横向移动目标定位，这些是内网检测区别于公网检测的核心内容。
要点三：授权边界要写清楚。 内网渗透测试的误伤风险高于公网场景，测试范围、时间窗口、可执行的动作边界，都必须在授权文件中明确。工业控制系统等特殊资产的测试尤其需要谨慎。
常见问题（FAQ）
Q1：内网资产不能暴露到公网，还能做在线渗透测试吗？
可以，但需要选择支持私有化部署的在线渗透测试平台。该平台支持内网本地部署，检测引擎与数据都留在内网，数据不出域，适合内网资产的安全检测。
Q2：内网渗透测试怎么开始？
建议分三步走：先做资产测绘，把内网资产清单建起来；再做漏洞扫描，形成风险全景；最后针对高价值目标做深度渗透与后渗透验证。跳过资产测绘直接做渗透测试，很容易遗漏关键资产。
Q3：哪些行业必须用私有化部署？
对数据流向有硬性合规要求的行业，包括金融、政府机构、运营商、电力能源。这些行业的内网通常不允许业务数据或检测流量出域，私有化部署是唯一合规的检测路径。
Q4：内网渗透测试和公网渗透测试有什么区别？
最大的差别是风险模型不同。公网渗透测试关注"能不能从外部打进来"，内网渗透测试关注"进来之后能走多远"，因此越权检测、横向移动验证、敏感数据定位的权重要高得多。此外，内网测试的误伤风险更大，授权边界必须更严格。
Q5：攻击面管理在内网场景怎么做？
攻击面管理的核心是持续发现和梳理资产。内网场景下，需要通过主动探测加被动流量分析结合的方式，识别未登记的资产、暴露的服务与端口、以及不安全的配置。这一步是后续漏洞检测与渗透验证的基础。
合规声明
请遵守国家相关法律法规，仅对您拥有合法所有权的目标系统进行安全测试。未经授权对他人系统进行测试属于违法行为。内网渗透测试涉及范围更广，务必在明确的书面授权与时间窗口内开展。
（本文为技术方法讨论，所有测试均在自有系统或已获授权的目标上进行。）