- EASM（External Attack Surface Management｜ 外部攻擊面管理 ）：從「外部視角」盤點你在網路上可被看見、可被連到、可能被利用的資產與風險，並把它整理成可管理、可追蹤的清單。
- 弱點掃描（Vulnerability Scan｜弱點掃描）：針對特定主機/系統/網站去找已知弱點（例如版本漏洞、常見設定問題）。
- 滲透測試（Penetration Test｜滲透測試）：在約定範圍內模擬攻擊路徑，驗證「能不能真的打進去」、影響到哪裡。
您可以把它們想成三個不同問題的答案：
- EASM 回答：「外面看得到什麼、哪些地方最危險？」
- 弱掃回答：「這些系統有哪些已知弱點？」
- 滲透回答：「真的能攻破嗎？攻破後會造成什麼影響？」
▌EASM 外部攻擊面管理 是在做什麼的？
EASM 不是在做單一系統的深入測試，而是先把「外部攻擊面」盤出來：您的公司在網路上有哪些入口、有哪些對外服務、哪些資產（網域、子網域、IP、雲端對外資源、郵件、DNS、憑證、網站設定等）可能被掃描到、被誤用或被利用。
EASM 特別適合用在這些情境：
- 你有很多 子網域、活動站、臨時站、外包代管範圍，資產常常不小心漏掉。
- 你需要把風險整理成「可交辦、可追蹤」的清單（而不是一份看完就放著的報告）。
- 你想先建立「外部曝險」的底圖，再決定哪些系統要進一步做弱掃或滲透
▌弱點掃描、滲透測試分別在做什麼？
弱點掃描（Vulnerability Scan｜弱點掃描）
弱掃多半是用工具針對目標系統找「已知弱點」或「常見配置問題」，重點在效率與覆蓋面。它擅長產出一份弱點清單與修補建議，但通常不會幫你證明「是否真的能被利用到什麼程度」。
滲透測試（Penetration Test｜滲透測試）
滲透測試會更像「攻擊情境演練」，在合規與授權前提下，驗證攻擊鏈能走到哪裡、能取得哪些權限、可能造成什麼影響。它的價值在「證據」與「真實可利用性」，但因為是深度工作，通常範圍不會像 EASM 那麼大。
▌EASM、弱點掃描、滲透測試三者差異比較表
| 面向 | EASM（外部攻擊面管理） | 弱點掃描（Vulnerability Scan） | 滲透測試（Penetration Test） |
|---|---|---|---|
| 視角 | 外部（像攻擊者看到的樣子） | 以弱點檢測為主（版本/配置/已知漏洞） | 模擬攻擊路徑（可利用性驗證） |
| 範圍 | 大範圍盤點對外資產與曝險 | 特定主機/系統/網站 | 特定範圍、深度驗證 |
| 產出 | 資產清冊、外曝風險清單、分類與優先序、追蹤基礎 | 弱點清單、修補建議、風險分級 | 可利用性證據、攻擊鏈、影響評估與修補建議 |
| 最擅長回答 | 我們外面曝露了什麼？優先修哪裡？ | 這些系統有哪些已知弱點？ | 真的能被打進去嗎？會造成什麼影響？ |
| 適合時機 | 盤點治理起點、外包多/資產多/變動多 | 定期弱點管理、維運節奏 | 重大上線前、高風險系統、稽核或資安強化專案 |
▌企業常見的正確搭配順序
以「可管理、可交付」為目標，建議用這個順序：
- 先做 EASM：把對外資產與外曝風險盤清楚
先避免「資產不完整」導致後續弱掃/滲透只做了局部、漏了重要入口。
- 再針對高風險資產做弱點掃描：建立修補清單與週期
讓修補工作能進入維運節奏（例行化）。
- 最後針對最關鍵系統做滲透測試：驗證攻擊鏈與影響
把「真的能打到哪裡」這件事說清楚，降低未知風險。
相關文章：
- 想看政策與稽核視角、外部曝險為什麼被放在前面：https://blog.cloudmax.com.tw/easm-external-attack-surface-2026-audit/
- 想了解面對勒索相關攻擊來自「第三方」，企業是如何用 Domain 監測降低風險：https://blog.cloudmax.com.tw/easm-reduce-supply-chain-risks-through-domain-monitoring/
- 想知道為什麼「單次」通常建議做到「二次（含複測驗收）」：https://blog.cloudmax.com.tw/easm-why-two-rounds-retest/
- 想快速了解 EASM 常見問題、怎麼做、怎麼選方案：https://blog.cloudmax.com.tw/easm-faq-guide/
- 想先用外部視角快速盤點目前曝險狀況，Line@ 快速諮詢 https://lin.ee/gIHKvJh，立即進行「11 大類別外部曝險健檢」
歡迎轉載！請見：轉載原則。
Image by Adobe Firefly
