用途：Defender EASM 以“由外向内”的方式持续构建并维护组织互联网暴露面的资产清单，并在这些资产上呈现风险，包括过期 SSL 证书、暴露的管理接口、生命周期终止的 Web 技术和已知 CVE，全程无需代理或凭据。适用于缺乏完整互联网资产清单、并购前快速发现目标公司足迹、子公司与影子 IT 发现，以及证书到期、暴露服务、废弃软件的持续监控。不适用于内部资产态势、终端漏洞管理或通用 SOC 狩猎。
主要能力：从种子（已知域名、IP、ASN、WHOIS 联系人、组织名称）出发，沿 DNS、WHOIS、证书透明度日志、ASN 数据和网页爬取向外发现关联资产。发现结果分为已批准清单（确认属于自己、计入计费）、候选（待审核批准或忽略）、依赖（被使用但非自有，如 CDN、第三方 API）、仅监控（跟踪但非自有）。攻击面洞察按优先级呈现：互联网 IP 上暴露的敏感服务（RDP/3389、SMB/445、数据库端口）、30 天内过期或已过期的 SSL 证书、生命周期终止软件、带已知利用的高危 CVE、未批准的云资产。
使用方式：先选 5–10 个高置信度种子（主品牌域名、前 2 个 ASN、关键邮箱域 WHOIS 联系人），避免用通用 CDN 域名作种子。初始发现运行 24–72 小时，首月每周审核候选，批准真实资产、带原因忽略误报。按业务单元、区域、关键性打标签分组。可与 Defender for Cloud、Defender XDR、Sentinel（通过 REST API 拉取数据到 watchlist）集成；并购场景在尽调期添加目标公司种子并导出候选清单作为风险登记册，交割前不要批准入清单；每季度重新基线化种子。
限制：每次批准即计费资产，按资产/月计费并有月度免费额度，需先理解计量再批量批准 CDN 依赖。EASM 是检测而非响应，关闭端口需在网络/防火墙侧完成。不要用竞争对手域名作种子。不检测零日漏洞，仅基于公开 banner 匹配已知 CVE，剥离 banner 会隐藏风险，需配合内部漏洞扫描。WHOIS 数据质量因注册商和隐私保护而异，部分资产无法归属，需接受人工批准工作量。重新发现周期以天计而非分钟，无法捕捉 1 小时暴露窗口。常见反模式包括批准所有候选、种子包含已剥离资产、把 EASM 当唯一漏洞扫描器、跳过标签、把发现当 SOC 告警分诊、用内部资产名作种子。
参考：https://learn.microsoft.com/azure/external-attack-surface-management/ ；定价：https://azure.microsoft.com/pricing/details/defender-external-attack-surface-management/