第三方漏洞扫描服务流程是怎样的？从委托到出报告要几步

很多人第一次找第三方做漏洞扫描，心里默认的流程是这样的：今天签合同，明天来人扫，后天出报告。

实际走下来，他们通常会很惊讶：中间居然有这么多步是我没想到的。

倒不是我们故意拖。真实情况是，一份报告从你开口问到拿到手，真正花在“扫描”上的时间，往往只占整个周期的两三成。剩下的全耗在另外几件事上：确认到底要扫什么、把环境打通、等人签字、等你开账号、等网络策略放行、核对误报、改稿子、走盖章流程。这套流程跑完，快的话三五个工作日，慢的话两周往上，关键看你的系统有多大、问题有多少、配合得顺不顺。

漏洞扫描

今天把漏洞扫描从委托到出报告的完整流程拆开讲清楚。

第一步：前期沟通与授权

漏洞扫描跟渗透测试不一样，它是非侵入式的，一般不会对系统造成直接影响。但“一般不会”不等于“绝对不会”。高并发扫描把带宽跑满、弱口令爆破触发账户锁定，这些事真发生过。

所以第一步不是急着开扫，是确认范围和授权。

你要告诉机构：要扫哪些资产？IP段、域名、还是整个子网？有没有不能扫的系统？扫描时间有没有限制，比如业务高峰期不能扫？

机构会给你一份《扫描授权书》，上面写清楚扫描范围、时间窗口、双方责任。你签字盖章，机构才动手。没这个授权书，正规机构不会碰你的系统。

第二步：环境确认与工具选型

授权签完了，第二步是确认技术细节。

机构会跟你确认：你的系统是什么架构？Web应用还是C/S架构？有没有WAF？有没有CDN？这些信息决定了扫描策略怎么定。

工具也不是随便选的。综合型漏洞扫描用Nessus，Web应用漏洞扫描用AWVS或Burp Suite，弱口令检测用Hydra，端口和服务识别用Nmap。不同工具擅长不同的场景，专业机构通常组合使用。

第三步：信息收集与资产发现

扫描之前，先得知道你的系统“长什么样”。

机构会做一轮被动信息收集：通过公开渠道和主动扫描，发现你的域名、子域名、开放端口、运行的服务版本。这一步不碰漏洞，先把资产清单摸清楚。

这一步有个容易被忽略的点：很多企业自己都不知道自己有多少资产暴露在公网上。扫描过程中经常会发现“这个旧系统还在跑”“这个测试环境忘了关”之类的问题。

第四步：扫描执行与实时监控

扫描正式启动。工具自动对目标发起扫描请求，检测已知漏洞、配置错误、弱口令等问题。

但“启动扫描”不等于“坐在旁边刷手机”。正规机构会全程监控：带宽跑满了吗？有没有系统出现异常响应？有没有触发安全设备告警？一旦发现可能影响业务的迹象，立即暂停。

扫描的时间窗口通常选在业务低峰期。如果你说“随便什么时候扫”，机构反而会追问一句“你确定？”

第五步：人工复核与误报剔除

工具扫完了，出来的是一份原始清单，动辄几百上千条告警。这份清单直接发给你，除了让你焦虑之外没有任何用处。

专业机构在这一步做的事是：逐条人工复核。

“这个漏洞标签看起来存在，但结合你的业务逻辑，实际不可利用”——标记为误报。“这个告警需要进一步手工验证”——安排人工渗透测试确认。“这个漏洞是真高危”——保留并标注复现步骤。

这一步是区分“扫描”和“审计”的分水岭。一份没有经过人工复核的扫描报告，内行翻两三页就看出来了。

第六步：风险定级与修复建议

复核完了，接下来是对确认的漏洞进行风险定级和给出修复建议。

风险等级通常按CVSS评分划分：高危、中危、低危。报告里要写清楚每个漏洞的具体位置、影响范围、复现步骤，以及可落地的修复方案。

“建议加强输入校验”这种废话没人要看。开发拿到报告想知道的是：改哪个文件、哪个函数、改成什么写法。

第七步：复测验证

漏洞修复完了，你得让机构再扫一遍，确认问题真的解决了。这个环节叫复测，也叫回归验证。

行业惯例是第一次复测免费。湖北省电子信息产品质量监督检验院的收费标准里写得清清楚楚：“本收费标准为单次测试费用，第一次回归测试免费。”正规机构的合同里也会写明“含一次免费复测”。

复测通过，漏洞才算真正闭环。没有复测记录的报告，在验收和审计场景中说服力很弱。

第八步：报告出具与交付

所有测试完成、缺陷闭环之后，机构编制正式报告。

报告要经过三级审核：测试工程师、审核人、授权签字人逐级签字确认。然后加盖CNAS章、机构公章和骑缝章，正式交付。

验收测试报告

常规周期五到十个工作日。加急的话三到五天，但加急费通常加收30%到50%。

拿到报告之后，建议你做两件事：登录全国认证认可信息公共服务平台，输入报告编号核实真伪；核对报告上的软件名称和版本号是否与交付版本完全一致。

漏洞扫描不是“跑个工具就完事”，它是一条从授权到复测的完整闭环。 走完这八步，报告才经得起查，图省事跳过任何一步，后面验收环节都得补回来。

标签：漏洞扫描、验收测试