扫描为什么也要留痕
扫描能力本身也是一种敏感能力：谁在何时、对什么范围做扫描，源 IP 与授权依据是什么，都要留下可审计的记录。这既是合规要求，也能在事故溯源时自证清白——当业务方反馈「我们的系统被扫描或攻击了」，能立刻拿出对应的授权工单与扫描参数，是最有效的解释方式。
基本信息
| 留痕字段 | 任务 ID、申请人、授权依据、目标清单、扫描源 IP、工具与版本、参数、起止时间、结果文件路径 |
|---|---|
| 记录方式 | 扫描封装脚本统一写入任务日志，避免各人各记 |
| 保存要求 | 结果文件与日志按公司制度保留，含敏感内容按密级管理 |
| 主要用途 | 合规举证、事故溯源、资源统计与复盘 |
| 关联流程 | 授权审批与任务派发，任务 ID 与工单号相互引用 |
| 检查节奏 | 季度抽查记录完整性与权限设置 |
留痕字段与用途
| 字段 | 说明 | 用途 |
|---|---|---|
| 任务 ID | 唯一编号 | 与工单和结果文件关联 |
| 申请人 | 发起人与所属团队 | 责任追溯 |
| 授权依据 | 工单号或审批记录 | 证明扫描有据 |
| 目标清单 | 域名、网段或资产列表 | 界定扫描边界 |
| 扫描源 IP | 实际出口地址 | 与目标侧日志比对 |
| 工具与参数 | 工具名、版本与实际参数 | 判断影响范围，便于复现 |
| 起止时间 | 开始与结束时间 | 与业务告警时间对齐 |
留痕字段
留痕字段
任务ID / 申请人 / 授权依据（工单号）/ 目标清单 / 扫描源IP /
工具与版本 / 参数 / 起止时间 / 结果文件路径 / 复核人日志样例
日志样例
# 在扫描任务封装脚本中统一记录元数据
cat >> /srv/scan-audit/tasks.log <<EOF
$(date -Is) task=SCAN-20261012-01 target=192.0.2.0/28 tool=nmap args="-sT -sV" operator=sec-audit
EOF
# 结果文件与日志放在同一目录，便于一并归档与检索典型使用场景
- 被业务方投诉扫描行为时提供自证材料
- 合规审计中的操作记录举证
- 事故溯源时与目标侧日志按时间对齐
- 扫描资源使用情况的统计
- 外包扫描团队的过程管理
- 复盘时还原当时的参数与目标范围
结果文件与日志的留存期限按公司制度设定。含敏感内容（内网拓扑、接口清单、凭据）的结果要按密级管理访问权限，不要放在共享目录。
没有审计留痕的扫描，在目标侧日志上与攻击流量无法区分。被安全运营或监管问询时缺少自证材料，只能被动解释。