内容摘要：Nessus跑起来第一件事不是点扫描，是先把目标IP段和端口范围填对。我见过太多人拿着默认配置去扫，结果扫了三天三夜，报告出来全是噪音——真正暴露在公网的RDP端口反而被漏掉了。这工具不蠢，蠢的是用工

Nessus跑起来第一件事不是何使点扫描，是行系先把目标IP段和端口范围填对。我见过太多人拿着默认配置去扫，统漏结果扫了三天三夜，洞扫报告出来全是何使噪音——真正暴露在公网的RDP端口反而被漏掉了。这工具不蠢，行系蠢的统漏是用工具的人。

先说说安装。洞扫Windows下装个nessus跟装QQ似的何使，一路下一步就行。行系但Linux上你得注意，统漏它依赖的洞扫libssl版本可能跟你系统自带的有冲突。我上次在Ubuntu 22.04上装，何使直接报错缺库，行系折腾了半小时才搞定——后来发现官方文档里写着要装个额外的统漏依赖包。这种坑，官方文档写得含糊，社区论坛里倒是一堆人骂。

真正上手扫描，我建议你先做“Discovery”模式。别急着用Full Scan，那玩意儿扫一个C段能跑一整晚。Discovery模式只探测存活主机和开放端口，几分钟出结果。拿到结果后，把那些明显是打印机、摄像头、智能电表的IP先剔除掉——这些设备扫出来一堆中危漏洞，全是唬人的。你要关注的是那几台Windows Server和Linux数据库服务器。

扫描策略选“Basic Network Scan”就够用。除非你明确知道自己在干嘛，否则别碰那些“PCI DSS Compliance”或者“Offline Audit”模板。前者会触发大量合规性检查，扫出来的结果一半是“未配置密码复杂度策略”这类废话；后者压根不主动发包，适合做离线配置审计，但你得先有系统配置文件。

扫描过程中有个细节容易被忽略——并发线程数。默认设置是10个并发，对普通内网够用。但你扫公网IP时，带宽受限，并发太高会把目标机器搞死，太低又慢得让人抓狂。我一般设成5，稳当。有一次我图快设了20，结果把客户的一台老旧的Windows Server 2003直接扫蓝屏了。那场面，客户脸都绿了。

等扫描跑完，报告才是重头戏。Nessus把漏洞按严重程度分Critical、High、Medium、Low四档。你打开报告，先只看Critical和High。别被几百条Medium吓着，里面至少一半是“SSL证书即将过期”或者“SMB签名未启用”这种无关痛痒的。真正要命的是那种“Remote Code Execution”加“CVSS 9.8”的条目——这种漏洞一旦被利用，等于把服务器钥匙交到黑客手上。

报告里每个漏洞都有“解决方案”和“参考链接”。别偷懒直接复制官方补丁链接发给运维。你得看具体版本号是否匹配。上个月我扫出一个Apache Struts2的远程代码执行漏洞，报告说版本2.5.30受影响，但客户机器上跑的是2.5.31。我仔细一查，原来是2.5.31的某个补丁没打全，实际上还是存在漏洞——这种细节，报告不会告诉你，你得自己比对CVE描述和实际环境。

扫描完了，修复完了，还得再扫一遍验证。这一步很多人省了，觉得“补丁打了就行”。但实际情况是，有些补丁会导致服务起不来，或者端口被防火墙误伤。我遇到过最典型的一次：客户打了MS17-010（永恒之蓝补丁）之后，SMB服务直接罢工，文件共享全挂了。要不是我复查了一遍，他们整个部门第二天上班都得抓瞎。

最后唠叨一句：Nessus不是扫一次就完事的。漏洞是动态的，新的CVE每周都在出。你上个月扫出来是安全的系统，这个月可能就暴露在新漏洞下。保持一个固定的扫描周期——我习惯是每周日凌晨跑一次内网全扫描，周一早上看报告。这样既不影响工作日业务，又能及时发现问题。别等到被黑了才想起来扫，那时候报告上写的就不是“漏洞”而是“事故”了。