带凭据扫描多看到什么
无凭据扫描只能看到开放端口与服务版本，属于隔着网络做判断；带凭据扫描（SSH、远程管理等）才能读到包版本与配置文件，判断变成可核实的结论。代价是扫描器手里多了一套高价值凭据，所以账号权限要最小化、访问要审计、轮换要定期，这套凭据的管理水平决定了扫描本身是否安全。
基本信息
| 加固项 | 扫描深度 |
|---|---|
| 适用平台 | 企业级扫描器 |
| 凭据类型 | SSH 密钥或只读账号、Windows 远程管理 |
| 权限要求 | 只读为主，禁止使用 root 或域管账号 |
| 基线模板 | CIS 与等保类模板需要裁剪 |
| 风险等级 | 低 |
典型使用场景
- 关键资产核查：确认补丁状态与配置基线
- 合规检查：基线模板的扫描输出作为证据归档
- 应急响应：确认某组件在哪些主机上以什么版本存在
- 资产比对：扫描结果与台账交叉找出漏登主机
- 整改验证：修完复扫，用结果证明问题已消除
扫描账号准备
扫描账号准备
# 专用扫描账号：不可登录的 shell，避免被当作入口使用
useradd -m -s /sbin/nologin scanuser
# 只授权只读的查询命令，禁止使用 root 或域管账号做扫描凭据
echo 'scanuser ALL=(root) NOPASSWD: /usr/bin/rpm -q*, /usr/bin/dpkg -l*' > /etc/sudoers.d/scan-ro
chmod 440 /etc/sudoers.d/scan-ro
# Windows 侧：使用专用只读账号，并限制其登录来源扫描方式的可见范围
| 扫描方式 | 能看到 | 看不到 |
|---|---|---|
| 无凭据扫描 | 开放端口与服务版本 | 包版本、配置文件、本地账号 |
| 带凭据扫描 | 包版本与配置基线 | 仍需人工判断的业务例外 |
| 基线模板扫描 | 合规项的通过情况 | 模板未覆盖的自定义要求 |
| 结果与台账比对 | 与台账的差异 | 未纳管主机的归属关系 |
带凭据扫描使用的凭据本身就是高价值资产，需要集中保管、定期轮换、访问有审计。
扫描账号权限过大又缺审计，等于给扫描器开了一个后门，这条常被忽略。
基线模板需要裁剪：直接套用会把业务特性判为不合规，要维护例外清单并说明原因。