周期性扫描是什么
扫描节奏决定问题被发现的及时性。固定周期扫描提供稳定覆盖与可对比基线，事件驱动扫描弥补周期之间的空档：新系统上线、重大变更、高危漏洞公告之后立即做定向核查。两者结合，既能在预算与人力可预期的前提下持续覆盖，又能在风险窗口内快速响应。节奏一旦定下就应固化到自动化流程里，靠人记住往往会先被忙季挤掉。
基本信息
| 组成 | 固定周期扫描 + 事件驱动扫描 |
|---|---|
| 固定周期 | 公网暴露面按周、内网按月的常见组合 |
| 事件触发 | 上线、变更、重大公告、并购或外包接入 |
| 产出 | 扫描原始输出存档 + 变化项待办 |
节奏示例
| 频率 | 范围 | 重点 |
|---|---|---|
| 每周 | 公网暴露面（域名与端口） | 新增端口、证书到期、安全响应头 |
| 每月 | 内网主机认证扫描 | 补丁缺失、安全基线偏离 |
| 每季 | 全量资产复核与账号审计 | 影子资产、僵尸账号、过期令牌 |
| 事件驱动 | 重大公告或重大变更后 | 对应组件定向核查与回归 |
典型使用场景
- 新系统上线后立即做一次定向扫描，与上线检查单同时归档
- 重大漏洞公告当天按组件筛选资产，优先核查公网可达主机
- 每月扫描结束后与上月结果做差异对比，只处理变化项
- 季度复核扫描范围本身：确认新增业务与域名已纳入覆盖
- 审计前用历史扫描记录证明持续监测，而不是临时补一次扫描
回归对比要点
回归对比要点
# 每次扫描保留原始输出，便于日后回溯
nmap -sV -p 1-10000 192.0.2.0/24 -oX weekly-$(date +%F).xml
# 对比维度：端口变化、版本变化、模板命中变化
# 变化项自动生成待办，未变项仅存档
# 差异对比可用文本 diff 工具，也可导入资产平台做基线比对扫描结果要留存原始输出而非只有汇总报表：真实争议出现在『上个月这台机器是不是也开着这个端口』这类问题上，只有原始记录能回答。
只在系统稳定期做扫描会错过问题高发窗口：上线与变更之后的一两周，才是配置漂移与暴露新增的集中期。