概述
暴露面管理服务是一个主动的风险管理服务，旨在根据企业的授权，通过一系列脆弱性发现、威胁监测等工具对企业资产的暴露面及潜在威胁进行挖掘分析，借助攻击模拟等手段进行攻击路径验证，动态评估企业在数字和物理资产的可访问性、暴露面及可利用性，帮助企业降低漏洞利用风险，优化运营流程。
本章节介绍的暴露面管理服务 API 接口均为 API 3.0 接口。
您可以调用 API 对暴露面管理服务进行操作，例如创建企业、启动扫描任务、查询资产和风险等。
暴露面管理服务支持的所有接口信息，请参见 API 概览。
术语表
暴露面管理服务 API 接口的常见术语请参见下表：
| 术语 | 描述 |
|---|---|
| 企业架构 | 指从业务和组织视角绘制的企业逻辑关系图，它体现了企业的组织架构关系。 |
| 主域名 | 指企业官方的主要互联网域名（例如 company.com），是品牌和线上业务的核心标识。 |
| 子域名 | 子域名（Subdomain）指同一站点下的各级子域名。例如 三级域名 www.example.com 就是站点 example.com 的子域名。 |
| 主机资产 | 指企业分配有 IP 地址并连接到网络的物理设备或虚拟设备，如服务器、工作站、网络设备等。 |
| 端口服务 | 指企业主机资产上开放的网络端口及其上运行的服务（如 SSH 的22端口、Web 服务的80/443端口）。 |
| 网站资产 | 指企业名下可通过 Web 浏览器访问的、提供 Web 服务的资产，包括官网、业务系统、内容管理系统等。 |
| 影子资产 | 也称为未知资产或暴露面影子资产，是指一个组织拥有但却未被其安全团队正式登记、管理或监控的互联网资产。这些资产由于处于管理的盲区，往往存在严重的安全漏洞，极易成为攻击者的突破口，是当前企业安全防护中最主要的风险之一。 |
| App | 指企业开发的移动应用程序（Android 和 IOS），包括版本、包名、开发者信息等。 |
| 微信小程序 | 指企业名下的微信小程序资产。 |
| 微信公众号 | 指企业名下的微信公众号信息。 |
| 后台识别 | 指企业对外暴露的后台管理系统、管理控制台或登录入口。 |
| 漏洞信息 | 指在资产中发现的已知安全漏洞。这些漏洞需要根据严重等级优先进行修复。 |
| 弱口令 | 弱口令（Weak Password）通常指容易被别人猜测到或被破解工具破解的口令。 |
| 目录爆破 | 指系统检测到的存在被爆破风险的资产。 |
| 信息泄露 | 指因配置错误或程序缺陷，导致本应保密的敏感信息（如代码、数据、邮箱）被意外公开暴露在互联网上的风险数据。 |
| 文库网盘泄露 | 指在公开的文档分享平台或网盘中，发现由员工等内部人员无意上传的、包含企业敏感内容的文件。 |
| 敏感信息泄露 | 指密码、APIKEY、邮箱、手机号登敏感信息在公开的平台泄露的风险数据。 |
| API 安全 | API 安全特指由企业所有对外开放的 API 共同构成的攻击面。由于其直接处理敏感数据且必须被互联网访问，已成为现代企业最关键的安全边界。 |
| 黑名单 | 指系统禁止扫描的资产。设置以后系统在扫描任务中，不会扫描这些域名或 IP 等资产。 |
使用限制
- 仅限制扫描企业自身的资产。
- 对于 API 接口的参数限制，请参考各接口文档中的参数说明。
API 快速入门
您可以使用 API Explorer 工具在线调用 API。
本文以创建扫描任务为例，通过 API Explorer 工具调用 API 接口的步骤如下：
- 进入 API Explorer 工具页面。更多 API Explorer 工具使用信息，请参见 使用 API Explorer。
- 调用CreateCustomer接口，创建要扫描的企业。
- 调用CreateJobRecord接口，创建扫描任务并启动。
- 调用DescribeJobRecords接口，查看扫描进度。
- 调用DescribeDomains接口，查看发现的主域名资产。
