> ## Documentation Index
> Fetch the complete documentation index at: https://help.gorelo.io/llms.txt
> Use this file to discover all available pages before exploring further.

# 神秘资产

> 了解当防病毒沙箱运行代理安装程序时，为什么未知资产会出现在 Gorelo 中，如何识别测试机器，以及如何安全地删除它们。

如果你看到意外的资产出现——即使你没有在那些端点上安装 Gorelo RMM Agent——这可能有点令人担忧。但在大多数情况下，无需担心。

## 实际发生了什么？

这通常归结于防病毒和其他安全工具的工作方式。许多现代安全产品会自动将不熟悉的可执行文件（如 Gorelo RMM Agent 安装程序）上传到基于云的沙箱环境进行分析。当该沙箱运行可执行文件时，代理就会被安装并显示在你的资产列表中。

## 如何识别由沙箱创建的资产

当未知资产出现时，它们通常是反恶意软件供应商在沙箱环境中测试 Gorelo RMM Agent 的结果。遗憾的是，这些供应商并未公布其测试机器的命名约定，因此识别它们并不总是简单。

也就是说，有一些常见迹象表明资产是在自动化 AV/EDR 测试期间创建的：

### 需要查找的内容

| 需要查找的内容          | 描述                                       | 示例/原因                                                              |
| ---------------- | ---------------------------------------- | ------------------------------------------------------------------ |
| 奇怪或通用的主机名        | 不符合你网站常规命名标准的任何内容。                       | `John-PC`、`Wilbert`、`Cuckoo`、`CWS` 或 `ABC`                         |
| 外部 IP 地址与你的环境不匹配 | 查找该 IP。                                  | 解析到类似以下内容：<ul><li>Microsoft</li><li>AWS</li><li>安全软件提供商</li></ul>  |
| 缺失或极少的审计数据       | 这些测试资产通常不会做太多事情。有些可能显示完整的审计，但大多数信息很少或没有。 |                                                                    |
| 资产仅签入过一次         | 在创建时在线，但此后再未上线。                          | 沙箱执行的典型行为。                                                         |
| 硬件规格低            | 资产可能显示运行 Windows 或报告的任何操作系统所需的最低硬件。      |                                                                    |
| 通用用户名            | 测试机器上典型的用户名。                             | <ul><li>`Administrator`</li><li>`User`</li><li>`Johndoe`</li></ul> |

即使你的防病毒或 EDR 解决方案不使用异地沙箱测试，如果有人将 Gorelo RMM Agent 安装程序上传到在线恶意软件扫描程序，神秘资产仍可能出现。

例如，**VirusTotal** 等工具允许你上传文件以在数十个防病毒引擎中扫描。如果团队成员、安全供应商或任何有权访问你的安装程序的人这样做，可能会触发代理在沙箱中运行——这可能会创建一个新资产。