漏洞扫描工作全景是什么
扫描只是流程中的一环，完整闭环是：资产确认 → 发现 → 扫描 → 人工研判 → 修复 → 复测关闭。缺任一环节数据都会失真：没有资产确认就永远扫不到未登记资产，没有研判就会把误报当结论，没有复测就无法证明修复有效。未认证扫描与认证扫描（带凭据登录）结论差异明显，报告需注明扫描方式与范围。
基本信息
| 适用对象 | 内部漏洞管理、等保测评前期自查、供应商交付验收 |
|---|---|
| 输入 | 资产清单、扫描策略、凭据（认证扫描） |
| 输出 | 漏洞清单、优先级、工单、复测证据 |
| 关键原则 | 扫描结果必须经人工研判后才能作为结论 |
典型闭环
典型闭环
1. 资产范围确认（域名/IP/端口/系统清单，与台账对齐）
2. 未认证外网视角扫描 + 内网认证扫描（两条线都要跑）
3. 结果研判：去重、误报剔除、优先级排序、资产匹配
4. 派单修复 → 按 SLA 跟踪，无法修复的走例外
5. 原路径复测，留存证据后关闭
6. 周期性回归，重点关注新增资产与新增端口扫描方式对比
| 方式 | 能看到什么 | 主要局限 |
|---|---|---|
| 未认证 | 暴露面、版本指纹、已知问题 | 看不到登录后功能与逻辑缺陷 |
| 认证 | 补丁缺失、配置项、依赖版本 | 需妥善保管凭据，仍有漏检可能 |
典型使用场景
- 月度常规扫描：固定范围、固定策略，保证两期数据可比
- 重大漏洞应急：先按情报确认受影响版本范围，再定向扫描而不是全网盲扫
- 上线前检查：把扫描纳入发布流程，避免带病上线
- 供应商交付：用扫描结果作为验收依据之一
- 取证与整改证明：扫描报告与复测证据是整改闭环的凭据
常见失真原因
| 原因 | 表现 | 对策 |
|---|---|---|
| 资产不全 | 关键系统从未出现在结果里 | 先做资产对账再扫 |
| 只看扫描器结论 | 误报被派单，真问题被漏 | 人工研判与抽样验证 |
| 策略与范围不一致 | 两期数据无法比较 | 固定策略版本与范围 |
| 扫描与修复脱节 | 清单一期比一期长 | 扫描频率与修复 SLA 匹配 |
把扫描器输出直接当结论是常见误区：版本识别偏差、WAF 拦截、网络丢包都会影响结果，人工研判不可省略。
扫描范围要包含「不该开放的服务」这一类检查：很多真实事故来自暴露面本身（多余的管理端口），而不是某个具体的软件漏洞。