漏洞扫描配置实例

上周三晚上十一点，漏洞我正打算关电脑，扫描实例运维群突然炸了。配置有人贴出一张截图——某台公网服务器的漏洞Nginx版本老了三个大版本，CVE-2019-11043的扫描实例利用脚本已经在GitHub上被fork了上千次。那一刻我意识到，配置漏洞扫描这事，漏洞光靠“装了就行”的扫描实例心态，迟早要出事。配置

那次之后，漏洞我把扫描配置彻底重写了一遍。扫描实例拿Nessus举例，配置默认策略其实挺“温吞”的漏洞——它只做基础端口探测，很多高危项被静态CVSS评分压成了中危。扫描实例真正该改的配置第一处是扫描模板里的“深度”选项。把“safe checks”关掉，启用“web application tests”，代价是单台主机扫描时间从四分钟拉到半小时，但换来的是能抓到Tomcat管理后台的弱口令，而不是只报告“8080端口开放”。

配置里最容易被忽视的是凭据。很多人跑扫描器用的是匿名模式，这就像隔着毛玻璃看房间——能看到人影，看不清脸。我给Linux服务器配了SSH密钥，Windows主机塞了域管理员账户。效果立竿见影：之前漏报的sudo配置错误、未打补丁的KB编号，全浮出来了。有个细节，凭据里的密码别用明文，用Nessus自带的“credential encryption”功能，存成加密blob。不然扫描报告一旦泄露，等于把服务器钥匙直接递给攻击者。

再说调度。别设成每天半夜全量扫，那纯属给自己添堵。业务高峰期扫数据库主机，CPU跑满，监控告警能吵死你。我的做法是分三组：核心业务系统每周日凌晨两点扫，只开深度web测试；内网办公区每两周扫一次，关掉暴力破解模块，免得把打印机的SNMP服务搞崩；公网出口设备每天凌晨扫，但只做端口和版本检测，不碰漏洞验证——因为公网环境稍微激进点，防火墙就可能把扫描器IP拉黑。

有个坑必须提：扫描模板里的“超时时间”默认是30秒，但对某些老旧IIS服务器，一个请求要等90秒才响应。结果就是大量误报“服务不可用”。我把超时调到120秒，误报率降了七成。还有并发数，默认10线程扫内网没问题，扫云上弹性IP段，一开并发，对方云厂商的安全组立刻触发告警，封IP封得干脆利落。现在云上扫描我固定用单线程，慢是慢点，但至少不会被反制。

最后说报告。扫描器生成那份PDF别直接甩给领导。挑出真正能被打通的路径，比如“Weblogic反序列化+内网横向移动”这种组合，配上复现步骤和修复建议。上周我提交的报告里就附了段Python脚本，证明某台测试机上的Elasticsearch未授权访问能直接读数据库备份文件。领导看完当天就批了防火墙整改的预算。

扫描配置不是一次性的。每季度得回头看看，哪些策略已经失效，哪些新增的资产没纳入范围。上个月新上线的K8s集群，我漏了给API server配扫描凭据，结果报告里干干净净，吓得我赶紧补了个RBAC只读账号。工具是死的，配置是活的。你偷的每一次懒，都可能变成应急响应时流的汗。