3、评估流程总览：评估准备、信息收集、威胁建模、漏洞分析、报告撰写、整改复测的完整生命周期

安全评估并非一次性的“找漏洞”活动，而是一个覆盖系统全生命周期的闭环管理过程。本流程将评估划分为六个核心阶段，确保从启动到收尾的每一步都有章可循、有据可查。

3.1 评估准备

本阶段是评估工作的基石，主要明确评估目标、范围、资源与规则。通过签署授权书、确定评估团队、制定项目计划，确保后续工作合法合规、有序开展。

3.2 信息收集

通过主动扫描与被动侦察相结合的方式，全面获取目标系统的网络拓扑、开放端口、服务版本、域名信息、员工邮箱等关键数据。信息收集的广度与深度直接影响后续威胁建模的准确性。

收集类型	常用工具/方法	关键产出
域名信息	Whois、DNS枚举、子域名爆破	子域名列表、IP映射关系
网络拓扑	Nmap、Masscan、路由追踪	存活主机、开放端口、服务指纹
应用信息	浏览器开发者工具、爬虫、Wappalyzer	CMS类型、前端框架、API端点
人员信息	搜索引擎、社交媒体、GitHub	员工邮箱、组织架构、技术栈线索

3.3 威胁建模

基于收集到的信息，识别系统面临的潜在威胁、攻击向量及资产价值。常用方法包括STRIDE模型、攻击树分析、数据流图（DFD）等。本阶段旨在回答“哪里最可能被攻击”以及“攻击会造成多大影响”。

3.4 漏洞分析

结合自动化扫描工具与人工渗透测试，对目标系统进行深度安全检测。发现漏洞后，需进行验证、评级（如CVSS评分）并分析其可利用性与影响范围。

• 自动化扫描：使用Nessus、OpenVAS、AWVS等工具进行快速漏洞发现。
• 人工验证：对扫描结果进行去重、误报剔除，并尝试利用漏洞确认危害。
• 漏洞评级：依据CVSS 3.1标准，从攻击向量、复杂度、权限要求、影响程度等维度打分。
• 关联分析：分析多个低危漏洞组合利用是否可形成高危攻击链。

3.5 报告撰写

将评估过程、发现、风险评级及修复建议系统化地整理成文档。报告需兼顾管理层与技术人员的阅读需求，做到结论清晰、证据充分、建议可行。

报告核心结构示例：
1. 执行摘要（面向管理层）
2. 评估范围与方法
3. 漏洞统计概览（图表+表格）
4. 高危漏洞详情（含复现步骤、截图、POC代码）
5. 风险等级分布
6. 整改建议（分紧急、高、中、低）
7. 附录（工具版本、扫描策略、原始数据）

3.6 整改复测

评估的最终目的是推动安全改进。本阶段跟踪开发团队对漏洞的修复情况，通过复测验证修复有效性，并对未修复或修复不彻底的问题进行二次通报，直至风险关闭。

复测状态	定义	处理方式
已修复	漏洞被彻底修复，复测通过	关闭工单，归档记录
部分修复	修复不完整，仍存在风险	返回整改，重新复测
未修复	未采取任何修复措施	升级风险等级，上报管理层
误报	经确认非真实漏洞	更新报告，标注为误报

---

总结： 六个阶段环环相扣，形成“准备→发现→分析→报告→修复→验证”的完整安全评估生命周期。任何阶段的缺失都可能导致评估效果大打折扣。