扫描授权与范围控制是什么
授权与范围控制是扫描工作的前提条件，而不是形式流程：没有书面授权，扫描行为在法律上可能构成对他人系统的未授权访问；范围界定不清，则容易波及供应商系统、云服务商共享资源或生产环境。实践中的做法是把授权落成可核对的要素清单——目标清单、时间窗口、扫描源地址、双方联系人、数据处理方式，并在工作过程中坚持「只测授权目标、发现越界资产先报告不越界操作」的原则。
基本信息
| 核心要素 | 目标清单、时间窗口、扫描源、联系人、数据处理 |
|---|---|
| 授权形式 | 书面授权或正式工单，注明目标与有效期 |
| 常见越界 | CDN 回源地址、云共享资源、供应商托管系统、第三方接口 |
| 行为红线 | 不修改数据、不横向扩展、不触碰非授权目标 |
| 留存要求 | 授权文件、扫描记录与结果报告一并归档 |
| 法律风险 | 未授权扫描可能触及法律与合同责任 |
典型场景
- 外部暴露面扫描前，与资产方确认域名与 IP 归属关系
- 云环境扫描前确认服务商政策，部分服务要求提前申报
- 红队演练中明确攻击面边界与禁止操作清单
- 第三方渗透项目开始前核对委托书里的目标与时效
- 自动化周期扫描需要固定源地址，便于对方白名单放行
- 扫描中发现范围外可达资产时，转交归属方确认而不继续测试
授权要素清单
授权要素清单
1. 目标清单：域名/IP/端口段（精确到网段，禁止越界扩展）
2. 时间窗口：避开业务高峰与结算/发布时段
3. 扫描源：固定出口 IP，便于对端白名单放过
4. 双方联系人：变更窗口内的紧急叫停通道
5. 数据处理：扫描结果按敏感信息管理，最小范围分发
6. 授权文件：注明目标、有效期、允许的操作类型与禁止事项范围外资产的处理
范围外资产的处理
发现范围外可达资产（如供应商系统、CDN 回源 IP）时：
- 记录但不扫描，转交资产归属方确认
- 需要测试时另行补授权，不与本次合并执行
- 若发现高危暴露且无法联系归属方，走通报流程而非自行验证
# 边界之内做事：不确定是否在范围内时，按不在范围内处理越界类型与处理
| 越界类型 | 典型情形 | 处理方式 |
|---|---|---|
| 资产越界 | 共享 IP 上的其他业务、云资源 | 先确认归属，未确认不操作 |
| 时间越界 | 超出授权窗口仍在扫描 | 按窗口执行，超时停止并说明 |
| 行为越界 | 尝试写入、上传或提权验证 | 按授权限定的操作类型执行 |
| 数据越界 | 下载或留存业务数据 | 仅保留必要证据，按约定方式处置 |
云环境还需确认云服务商的安全测试政策，部分服务对扫描与压测有前置申报要求。