扫描凭据也是敏感资产
认证扫描需要登录态或系统账号，凭据本身就成了高敏感资产。规范做法是四件事：使用专用扫描账号，独立于个人与业务账号；按最小权限授予，能读就不要写；限定生命周期，扫描窗口内启用、结束后禁用或轮换；在扫描平台侧加密保存，并避免凭据进入命令行历史与工单正文。
基本信息
| 凭据类型 | 登录会话 Cookie、应用账号、系统账号、API Token |
|---|---|
| 账号要求 | 专用且命名可识别（如 scan_audit），独立于个人账号 |
| 权限底线 | 只读优先，禁止数据库写权限与系统管理组 |
| 生命周期 | 扫描窗口内启用，结束后禁用或轮换 |
| 存储要求 | 平台加密保存，不写入命令行历史与工单正文 |
| 传播控制 | 报告与截图不含凭据，样本文件按敏感数据管理 |
凭据管理要点
| 环节 | 要求 | 原因 |
|---|---|---|
| 账号创建 | 专用账号，命名可识别 | 便于审计与快速吊销 |
| 权限授予 | 只读优先，最小权限 | 限制泄露后的影响面 |
| 生命周期 | 扫描窗口内启用 | 缩短暴露时间窗 |
| 存储 | 平台加密保存 | 避免明文落盘 |
| 传输 | 不进命令行历史与日志 | 进程列表与历史文件可被读取 |
| 吊销 | 有明确责任人与流程 | 事件发生时能立即止损 |
凭据管理要点
凭据管理要点
1. 专用扫描账号：独立于个人与业务账号，命名可识别（如 scan_audit）
2. 最小权限：只读权限优先，禁止数据库写权限与系统管理组
3. 生命周期：扫描窗口内启用，结束后禁用或轮换
4. 存储：扫描平台加密保存，禁止写入扫描命令历史与工单正文
5. 传播控制：报告与截图不包含凭据，样本文件按敏感数据管理命令层面的注意
命令层面的注意
# 避免凭据进入 shell 历史与进程列表
# 优先使用凭据文件或环境变量注入（按工具官方支持的方式）
export SCAN_COOKIE="$(cat /etc/scan/cookie)" # 文件权限 600
# 实验环境示例：nuclei -H "Cookie: session=..." 仅限受控测试
# 生产扫描使用受控凭据文件，并确认输出与日志不含凭据典型使用场景
- 认证扫描能力建设时的安全评审
- 凭据泄露事件后的复盘与整改
- 扫描平台接入第三方工具时的凭据交付
- 外包扫描团队的账号授权与回收
- 定期核对专用账号是否仍在有效期
- 审计举证：账号清单与授权范围说明
扫描器流量里的凭据等同于账号口令。扫描日志、代理抓包文件都要按敏感数据处理，报告与截图里也不要出现凭据内容。
用管理员账号做认证扫描，凭据一旦泄露损失面就是整个系统。权限越大，扫描平台的存储与访问控制要求就必须越严。