工具清单附录是什么
工具清单记录本次测试用了哪些工具、什么版本、做什么用途、关键参数是什么、从哪里执行。它的第一用途是让客户安全团队在收到告警时能对照判断流量来源；第二用途是审计与误报溯源——客户半年后质疑某个结论，靠清单和版本号才能还原当时的执行环境。
基本信息
| 字段 | 名称、版本、用途、关键参数、执行位置 |
|---|---|
| 格式 | 表格化，便于逐行核对 |
| 用途 | 告警核对与合规审计 |
| 同步 | 工具变更或增补时更新清单 |
| 关联 | 与执行日志、时间线互相印证 |
典型使用场景
- 客户安全团队核对告警，确认流量由哪个工具产生
- 误报溯源：对应到具体版本与模板规则
- 复测时复用同一工具版本，保证结论可比
- 合规审计：证明测试过程的工具与参数可追溯
- 跨成员协作：统一工具版本，避免结果差异
清单示例
清单示例
| 工具 | 版本 | 用途 | 执行位置 |
| nmap | 7.94 | 端口与服务识别 | 跳板机 172.16.0.9 |
| nuclei | 3.x | 模板化检测 | 跳板机 172.16.0.9 |
| sqlmap | 1.7.x | 注入验证（单点） | 跳板机 172.16.0.9 |
| Burp | 2026.x| 接口验证与证据留存 | 测试终端 172.16.0.20 |
备注：插件与自定义模板版本单独登记，见附录 B-1字段填写要求
| 字段 | 要求 | 常见缺失 |
|---|---|---|
| 名称 | 与发行名一致 | 写内部简称无法对应 |
| 版本 | 具体到小版本 | 只写最新版，无法溯源 |
| 用途 | 一句话说明做什么 | 笼统写安全测试 |
| 参数 | 关键参数与速率限制 | 漏记限速造成误解 |
| 执行位置 | 出口 IP 或跳板机 | 缺失导致告警无法归属 |
版本号要写具体：误报溯源时能对应到具体模板与规则版本，只写最新版等于没写。
清单与执行日志不一致会被直接质疑：信度受损比少写几行更严重，发布前做一次交叉核对。