关于 AYAsec

大多数外部攻击面工具都会通过推理来计算出您所拥有的内容。他们读证书透明度日志、被动 DNS 和命名模式，并确定哪些主机可能属于您。这会发现没人记得的事情，这确实很有用。它还会将不属于您的主机放入您的报告中 - 共享地址范围、相似的名称、您碰巧与其他人共有的托管提供商。

我们认为贸易比看起来更糟糕。基本正确的清单是有用的发现提要和库存很差，因为你无法捍卫其中的任何一行 - 你无法说出为什么该主机在列表中或谁决定它是你的。当工程师第一次在报告中发现别人的服务器时，其中的所有其他发现都成为可能。

因此，AYAsec 可以从您已控制的 DNS 区域 获取该列表，并且在您证明您控制某个域之前，它不会扫描该域。

那第二部分对我们的限制比对你的限制还要多。这意味着我们无法在您注册之前向您展示您自己公司的概况 - 不会在冷冰冰的电子邮件中提供未经请求的报告，也不会在电话中实时演示您的基础设施。这是我们在这一类别中最简单的销售举措。我们认为，根据请求扫描任何域的工具是侦察服务，而不是安全产品，我们宁愿放弃演示，也不愿争论这种区别。 此论点的较长版本位于我们的攻击面管理指南 中。