工具白名单与审批
渗透与评估工具大多具备双用途：用错范围或误用选项就可能越界。白名单机制的作用是在开工前把「用什么工具、什么版本、在什么范围、从哪台机器执行」书面固定下来，事后任何动作都能对得上记录。条目最少要写清工具名与版本、用途、授权目标范围、执行位置与出口地址；具备利用、取数或写入能力的工具还要单独写明禁用功能。执行过程同时留日志，作为审计与自证边界的依据。
基本信息
| 基本原则 | 仅在授权范围内使用，只做白名单约定的用途 |
|---|---|
| 清单维度 | 工具、版本、用途、目标、执行机、出口地址 |
| 双用途约定 | 写明禁用功能，如利用类、取数类、写入类模块 |
| 审计要求 | 执行日志留存，含时间、操作人与完整命令 |
典型使用场景
- 例行巡检：用扫描类工具做资产与暴露面确认
- 漏洞验证：用代理类工具做请求重放与参数测试
- 内网评估：用枚举类工具做只读信息收集
- 工具升级：版本变化可能改变默认行为，需重新报备
- 多方协作：评估方、客户接口人与运维三方对同一清单达成一致
白名单条目示例
白名单条目示例
tool: nmap 7.94
purpose: TCP 端口与服务识别
targets: 10.0.10.0/24（授权清单内）
run_from: 评估跳板机 172.16.0.9
exit_ip: 172.16.0.10 # 出口地址需与客户报备一致
disabled: 利用类脚本、写入与爆破模块
log_dir: /cases/2026-001/evidence/tool-logs/
change: 新增目标或升级版本须走书面变更白名单字段与作用
| 字段 | 作用 | 缺失后果 |
|---|---|---|
| 工具与版本 | 固定行为特征与命令用法 | 工具升级后行为与承诺不符，无法自证 |
| 目标范围 | 界定可动作范围 | 误扫授权外资产，构成越界 |
| 执行位置与出口 | 让客户侧日志可对应 | 客户无法验证流量来源与归属 |
| 禁用功能 | 明确不可用的模块 | 误用利用类模块造成业务影响 |
| 日志目录 | 支撑复核与争议回溯 | 事后无法复现当时的动作 |
白名单由客户安全接口人确认；工具升级或目标范围变化时走书面变更，而不是口头补充。
禁止用未报备的工具「顺手扫一下」：越界动作一经发现，整个评估过程的可信度都会受影响。