漏扫不是漏洞流程打开工具点一下“开始”就完事。上个月我帮一家做跨境电商的扫描客户排查，他们的漏洞流程安全工程师在扫描器里填了目标网段，跑完报告显示“无高危漏洞”。扫描三天后，漏洞流程数据库被拖走。扫描问题出在哪？漏洞流程扫描策略选的是“仅Web应用”，而数据库端口压根没进扫描范围。扫描流程图的漏洞流程第一笔，不是扫描画框，是漏洞流程搞清楚“扫什么”。

资产梳理这一步，扫描很多人用Excel糊弄。漏洞流程我见过最离谱的扫描，是漏洞流程运维把测试环境的IP段直接复制到生产扫描任务里，结果扫出一堆误报，团队花两天排查，最后发现是台报废的虚拟机还在DNS里挂着。所以流程图的起点应该有两个箭头：一个指向CMDB，一个指向网络拓扑图。两者对不上，扫描就是盲人摸象。

选扫描器也有讲究。Nessus、OpenVAS、AWVS、xray，各管一摊。Web漏洞用AWVS扫得细，但主机层漏洞它基本瞎。内网渗透测试前，我习惯先用Nmap快速探活，把开放端口列出来，再喂给Nessus做深度检测。这一步像做菜前备料——你不能把整颗白菜扔锅里。流程图上这里应该画个菱形判断：目标类型是Web、主机还是工控？选错工具，后面全白干。

扫描策略配置是最容易埋雷的地方。默认策略往往跳过“低危”漏洞，但很多高危利用链的起点恰恰是低危信息泄露。我自己的习惯是：第一轮全量扫，不勾选“跳过低危”；第二轮针对第一轮结果做验证扫描。时间窗口也得卡死，有次客户生产环境跑扫描，没限制并发连接数，直接把负载均衡打挂了。流程图里得加个注释框：扫描前确认业务低峰期，设置速率限制。

扫描执行阶段，别傻等进度条。盯着日志看有没有“连接超时”“认证失败”。去年一个项目，扫描器显示扫了2000个IP，实际有效响应不到300个。为什么？防火墙做了ICMP限速，扫描器以为主机下线。这时候得手动补Ping扫描，或者换TCP SYN方式。流程图在这里应该有个反馈环：扫描结果异常→检查网络策略→调整扫描参数→重新执行。

拿到报告才是真正干活的开始。漏扫报告里的“高危”未必真高危。比如一个Apache Struts2漏洞，如果目标系统根本没跑Struts2，那就是误报。我通常让团队先做人工验证：用POC脚本打一下，看是否回显。确认存在的漏洞，按CVSS评分和业务重要性排优先级。一个对外暴露的Redis未授权访问，比内网一台打印机的SMB漏洞紧急十倍。流程图末端应该分出两条线：一条去修复工单系统，一条去知识库更新指纹规则。

修复完不是终点。复扫必须用同样的策略和参数，否则结果不可比。有次客户修复后换了个扫描器复扫，漏洞数从50降到5，团队欢呼。我一看，新扫描器没开“深度爬取”，漏了一半页面。复扫确认后，还得做回归测试——确保修复没把业务功能搞崩。最后把整个流程的耗时、误报率、修复周期记下来，下次调整扫描频率。流程图不是挂在墙上的装饰，是每次漏扫后要回来改两笔的活文档。