System Inventory 完全指南：建構 IT 資產清冊作為資安治理的單一事實來源

在資安事件發生的第一時間，你能立刻回答「受影響的系統有哪些？」嗎？System Inventory（系統資產清冊）正是讓這個問題有解的關鍵基礎建設。

什麼是 System Inventory？

System Inventory 是記錄組織內所有 IT 資產的集中式資料庫，涵蓋實體硬體、作業系統、應用軟體及虛擬化資源。它不只是一份靜態清單，而是動態維護的單一事實來源（Single Source of Truth）。漏洞管理、存取權限控制、合規稽核，三條治理主線都從這裡出發。沒有準確的資產清冊，資安團隊等同在黑暗中作業，無法確認攻擊面的真實範圍。

一份有效的清冊至少應涵蓋以下屬性：資產唯一識別碼、擁有者、作業系統版本、安裝軟體清單、網路位址與所在環境（Production / Staging）。這些欄位直接對應到後續的漏洞掃描比對與權限稽核需求。

如何將 System Inventory 整合進資安治理？

資安治理的核心挑戰在於資料孤島：CMDB、端點管理、雲端帳單各自為政。解法是建立統一的資產 ID 作為跨系統的關聯鍵，讓 CVE 掃描結果、IAM 權限記錄、Log 分析可以自動回溯到同一筆資產記錄。

實務上建議採用自動化探索（Auto-Discovery）搭配人工確認的混合策略。工具如 Ansible、AWS Config 或 Tenable.io 可定期掃描環境並更新清冊；人工確認則用於標記資產擁有者與業務影響等級（BIA）。合規框架如 NIST SP 800-171、ISO 27001 均明確要求維護此類清冊。

# 使用 Ansible 快速收集主機基本資產資訊
- name: Collect system inventory
  hosts: all
  tasks:
    - name: Gather facts
      ansible.builtin.setup:
        gather_subset: ['hardware', 'network', 'virtual']
    - name: Export to JSON
      ansible.builtin.copy:
        content: "{{ ansible_facts | to_nice_json }}"
        dest: "/tmp/inventory_{{ inventory_hostname }}.json"

💡 重點整理

單一事實來源：所有資安決策必須對應到同一份清冊，避免資料不一致。
動態維護：資產清冊須隨環境變動自動更新，靜態文件等於過期資訊。
跨系統關聯：以統一資產 ID 串接漏洞、權限、日誌，實現端到端可追溯性。
合規對齊：NIST、ISO 27001 等框架均將資產清冊列為基本控制項。

System Inventory 不是一次性任務，而是持續維運的治理基礎。清冊的準確度決定了整體資安防禦的上限。從今天開始建立，勝過等待完美時機。

📚 參考文獻

NIST SP 800-171 Rev. 3 — Protecting Controlled Unclassified Information，美國國家標準暨技術研究院官方文件，涵蓋資產清冊的合規要求。
https://csrc.nist.gov/publications/detail/sp/800-171/rev-3/final
C

烏魚子

搜尋此網誌