对于大型企业来说，网络资产数量多、风险暴露面大是网络安全防护中最头疼的点。近年来，近年来，为落实国家提出的网络强国战略，提升整体网络安全实战化水平，实战攻防演习行动规模越来越大，攻防演练模式、规则愈加新颖，打击范围更加广泛，在应对网络防护做得相对良好的企业时，红队更偏向于通过利用该企业的信息泄露问题来组织针对性的攻击。 

早在2020年CIS网络安全创新大会上，关于攻防演练部署工作总结探讨专场中，互联网敏感信息泄露（包括源码泄露、未备案网站等）排查被列入防守方实战攻防演练，准备阶段中的关键一环。

很多小伙伴可能对敏感信息的概念不是很清楚，在此举两个比较有代表性的例子：

一是互联网源代码泄露，这个是各企业的开发职员为图工作便利或者其他原因，私自将开发项目的源码上传至github、gitee等平台并对外公开，如开发系统上线后源码被他人利用，可以很大程度上提供攻击者组织针对性的攻击依据，对企业网络资产安全形成极大风险隐患；

二是企业未备案网站，这里的未备案网站并不是单纯指没有在工信部备案的网站，严格来说是企业中的员工因为各种原因，私自搭建并存放着该企业数据资料的对外开放的系统，且不在企业的网络结构内，也未曾告知企业相关部门，此类网站因没有专业的安全防护措施，亦无持续开展安全测试工作，一旦被攻破，将会导致大量公司数据泄露，或被人利用进行各项针对性攻击，该情况在大型国企、央企尤为常见。

上述此类高风险、高隐患的互联网资产信息暴露情况，无法依赖传统安全防护设备解决，目前市场上也还没有专门针对源码泄露、企业未备案排查的产品，部分源代码扫描类工具只能用于扫描与发现，无法实现对敏感信息暴露事件的实时监测，亦无法对历史事件进行有效的管理及重复过滤。假如某工作人员今天根据某个关键字词扫描出2万余起疑似事件，该名人员花一个月的时间完成全部的事件分析后再进行扫描仍然是2万余起，宛如大海捞针，极大增加了人力负担与时间成本。