微隔离覆盖盲区：装不上客户端的资产

结论先行：覆盖率被高估，多数不是算错了，而是分母不完整。剩余盲区通常集中在装不上客户端的资产上——老旧系统、工控上位机、网络设备与第三方托管环境。可行做法是：先统一覆盖率口径，把盲区按成因分四类，为每一类配补偿控制与责任人，再把豁免做成有期限、需签字的事项，而不是长期挂在台账里的说明文字。

覆盖率为什么会被高估

常见的算法是"已纳管工作负载数 ÷ 台账内资产总数"，这个算法本身没问题，问题在两个输入：台账是否包含了全部在网资产，以及"已纳管"是否真的在生效。

实践中常见的偏差来源有三个：临时环境、灾备环境与边缘站点没有进入台账；纳管成功但策略长期处于观察态，实际未生效；容器实例的生命周期短于统计周期，按固定时点统计会漏掉一批。

四类常见盲区

四类盲区的处置方式不同，混在一起统计会导致责任不清：前两类通常可以通过排期升级或变更窗口解决，后两类大概率长期存在，需要靠补偿控制兜底。

补偿控制怎么配

对于确实无法纳管的资产，不建议什么都不做，也不建议直接认为"风险可接受"。可以按粗粒度到细粒度逐层补位。

• 网络侧收敛：在汇聚或网关设备上按网段做访问控制，把这台资产的可达范围压到最小。
• 入口限制：只保留必要的管理通道与业务端口，其余一律关闭，并登记开放理由。
• 增强监测：对该网段的流量做镜像或日志采集，弥补无法在主机侧采集的不足。
• 访问关系定期复核：由于无法自动学习，改为按季度人工核对一次实际访问，确认没有新增依赖。

补偿控制的强度可以低于主机侧管控，但必须明确写出来是哪几项、由谁维护，否则审计时无法说明这些资产如何受控。

豁免要有期限和签字

盲区最终会落到一张豁免清单上。清单建议至少包含五列：资产标识、豁免原因、补偿控制措施、责任人、复核到期日。

到期日是关键。没有期限的豁免会永久留存，随着人员变动，后来的运维既不敢取消也不知道为什么存在。建议按季度复核一次，复核结论要么续期并写明理由，要么转为纳管计划并排期。

落地清单

• 先与资产台账对账，确认分母完整，临时环境与灾备环境一并纳入统计。
• 覆盖率按"已纳管且策略生效"计算，观察态资产单独列出，不计入达标。
• 盲区按成因分类，每类指定责任人与处置路径，不要混在一张表上。
• 无法纳管的资产必须配补偿控制，并在台账中写明具体措施。
• 豁免清单带到期日，按季度复核，复核记录留档备查。

三个常见坑

• 只统计纳管数量，不统计策略生效状态，覆盖率虚高。
• 盲区清单建了之后无人跟进，成为长期存在的默认状态。
• 容器与弹性实例按固定时点统计，短生命周期资产反复漏算。

如果您正在规划相关建设，欢迎预约咨询，奇摩技术团队可结合现网情况给出可落地的清单与口径建议。