核心要点（TL;DR）

• 漏洞扫描的价值在闭环：资产准、策略稳、报告会读、修复必复测。
• 先做资产发现与端口识别，再扫描，可显著减少漏报与无效告警。
• 报告优先级看可利用性、暴露面与业务影响，不只看CVSS分数。
• 修复后必须复测并留存证据，否则漏洞等于未修。

很多团队并不缺扫描器，缺的是把扫描结果变成风险收敛的流程：资产清单过期导致漏扫，策略过猛扫挂业务，报告几百条没人认领，修完不复测下次照样出现。本文按资产发现→端口与服务识别→扫描策略配置→报告解读→修复与复测的顺序，给出可直接复制的命令和检查清单，目标是让每一轮漏洞扫描都能闭环。

一、资产发现：先把扫描范围弄准

漏洞扫描的第一原则是范围准确。范围小了会漏报，范围大了会误伤。先确认网段、域名和云上资源，再与CMDB、云厂商资源清单比对，差异部分就是影子资产。

# 存活主机发现（不发包扫描端口，速度快）
nmap -sn 192.168.10.0/24 -oG alive.txt
# 从结果中提取存活IP
grep Up alive.txt | awk '{print }' > targets.txt
# 域名资产：子域枚举后解析确认
for d in $(cat subs.txt); do getent hosts $d; done | awk '{print }' | sort -u

• 检查清单：网段是否覆盖办公、生产、测试环境；云上安全组暴露的公网IP是否登记；域名是否包含历史遗留子域。
• 产出物：targets.txt（IP清单）、资产归属表（负责人、业务系统、环境）。

二、端口与服务识别：决定扫什么、怎么扫

端口识别决定后续扫描的插件选择。全端口扫描耗时长，建议先扫常见端口，再对关键主机做全端口。

# 常见端口快速识别 + 服务版本
nmap -sS -sV -T4 -p 21,22,80,443,3306,6379,8080,8443 -iL targets.txt -oX ports.xml
# 关键主机全端口
nmap -sS -p- -T4 --min-rate 1000 10.0.0.15 -oN full.txt

三、扫描策略配置：稳比快重要

生产环境扫描优先保证业务稳定。建议先用低强度策略试扫核心资产，确认无异常后再扩大范围；对登录爆破、拒绝服务类插件默认关闭。

# OpenVAS/Greenbone 命令行示例（低强度模板）
gvm-cli --gmp-username admin --gmp-password pass \
  create_task --name "prod-web-scan" --target targets.txt \
  --config "Full and fast" --scanner OpenVAS
# Nuclei 轻量验证（只跑指定模板，控制并发）
nuclei -l urls.txt -t cves/ -c 10 -rl 50 -severity critical,high -o nuclei_result.txt

• 扫描窗口：安排在业务低峰，提前通知值班人员，准备快照与回滚。
• 认证扫描：能提供只读账号的尽量做认证扫描，漏报更少。
• 频率：公网资产每周一次，内网每月一次，重大变更后加扫。

四、报告解读：按可利用性排序，而不是按分数

报告里几百条漏洞，先看三类：公网可达、无需认证即可利用、已有公开EXP。CVSS分数只是参考，暴露面和业务影响才是排序依据。

解读时重点核对：漏洞对应的端口是否真实开放、版本号是否被误判、是否存在WAF或网络隔离等补偿措施。误报要记录，避免下轮重复分析。

五、修复与复测：没有复测等于没修

修复动作要落到变更单，复测要用与首次相同的策略和工具，确认漏洞条目消失，并留存证据。

1. 按P0/P1分配责任人，明确修复方案（升级、配置、下线、加防护）。
2. 修复后先自测：curl -I https://target 看版本头，nmap -sV -p 端口 确认服务版本变化。
3. 用原扫描任务复扫，导出对比报告，确认条目关闭。
4. 归档：复测截图、变更单号、豁免说明统一入库。

防护建议：在修复验证环节，可结合AegisX的主机与Web防护能力做补偿控制，例如对暂无法升级的资产先加虚拟补丁和访问控制，降低被利用窗口，再排期彻底修复。

六、落地清单：每轮扫描照着做

• 扫描前：资产清单更新、扫描窗口确认、快照与回滚预案、通知值班。
• 扫描中：监控业务指标，异常立即暂停任务。
• 扫描后：报告去重、误报标注、P0/P1分派、复测排期。
• 周期复盘：统计修复率与平均修复时长，更新资产与策略。

行动建议：本周先用nmap把资产清单跑一遍，与现有台账比对差异；下一轮扫描固定使用同一策略模板，并把复测写进变更流程。漏洞扫描不是一次性任务，而是持续收敛风险的日常动作。

常见问题（FAQ）

漏洞扫描会不会把业务扫挂？怎么降低风险？

有可能，主要风险来自高并发扫描、脆弱插件和登录爆破类检测。建议在业务低峰执行，先用低强度策略试扫核心资产，关闭破坏性插件，对老旧设备与工控系统做白名单排除；生产环境优先采用只读验证与版本比对，必要时在预发布环境复现。扫描前做好快照与回滚预案，并通知值班人员。

资产发现用nmap还是用现成资产平台？

两者互补。nmap适合小范围精准探测与验证，速度快、结果可控；资产平台适合持续盘点、自动发现影子资产。实操建议先用nmap对已知网段做存活与端口探测，再与CMDB、云厂商资源清单比对，差异部分就是需要重点确认的未知资产。定期重跑并保留历史快照，才能发现新上线未登记的资产。

扫描报告漏洞几百条，先修哪个？

按暴露面、可利用性和业务影响排序，而不是只看分数。优先处理公网可达、可直接利用、无需认证的高危漏洞，其次是有公开EXP的中危；内网低危可排入常规迭代。建议建立统一评级表：公网+可利用=立即修，内网+可利用=本周修，其余按版本升级节奏处理，并记录豁免理由。

修复后怎么验证才算真的修好？

必须复测并留存证据。用与首次扫描相同的策略和工具复扫，确认该漏洞条目消失；对配置类问题，用命令或配置比对确认生效，例如检查服务版本、关闭的端口、删除的默认页面。复测结果、截图、变更单号一并归档，形成修复证据链。若无法立即修复，应记录补偿措施与复审时间。

没有预算买商业漏扫，能做好漏洞管理吗？

可以，开源工具组合足够覆盖多数场景。用nmap做资产与端口发现，用Nuclei或OpenVAS做漏洞检测，用配置基线脚本做加固核查，配合表格或缺陷系统做跟踪闭环。关键是流程稳定：固定扫描周期、统一评级标准、明确修复责任人与复测机制。工具只是手段，闭环管理才是核心。