扫描结果为什么要研判
扫描器输出的是“可能的线索”，不是结论。研判流程是去重、复现、定级、归类四步：同因不同点的条目合并，能用最小步骤复现的留存证据，按暴露面与业务影响重新定级，无法确认的标注状态而不是删掉。把扫描器严重级直接抄进报告是质量问题的主要来源。
基本信息
| 输入 | 扫描器报告、基线核查工具输出、人工发现的线索 |
|---|---|
| 流程 | 去重 → 复现 → 定级 → 归类 |
| 状态标记 | 已确认 / 疑似 / 误报 / 无法验证 |
| 定级依据 | 暴露面、可利用条件、业务影响，而非扫描器等级 |
典型使用场景
- 接手他人扫描结果并整理成可交付报告
- 批量漏洞扫描后的降噪与优先级排序
- 基线核查工具报出大量配置项时的取舍
- 复测阶段核对上期问题的修复状态
- 给整改方出具带复现步骤的问题清单
研判清单
研判清单
去重：同因不同点合并（同接口、同组件、同配置项），保留影响面最大的条目
复现：保存脱敏的请求与响应片段，标注时间戳与账号来源
误报：核对版本、配置与探测原理后写明误报原因，而不是直接删除
定级：结合网络暴露、认证前提与数据敏感度，形成 CVSS 与业务定级两个结果
状态：无法当场验证的条目保留为“疑似”并列出验证前置条件状态与后续动作
| 状态 | 含义 | 后续动作 |
|---|---|---|
| 已确认 | 已复现且影响明确 | 进入整改清单并排期 |
| 疑似 | 现象存在但条件未满足 | 列出验证前置与责任人 |
| 误报 | 探测原理或版本不匹配 | 记录误报原因，回馈扫描规则 |
| 无法验证 | 环境或授权限制 | 写清限制条件与替代判断 |
| 已修复 | 复测确认 | 附复测证据与时间点 |
难以复现的条目建议保留为“疑似”并写明原因：删除线索会让同类问题在后续评估中反复出现，也无法向客户解释为何遗漏。
复现过程同样受授权约束：不要在复现时扩大影响面（如对生产环境执行会中断服务的验证），必要时改为提供条件分析与替代证据。