用途
scanner-tuning 是一个面向安全工程师的漏洞扫描器调优技能，目标是在检测覆盖率、准确性与扫描性能之间取得平衡。它用于降低误报、优化扫描策略、提升结果准确性，并处理扫描器严重性评级与实际风险不一致的情况。
适用场景包括：扫描结果误报过多；为新环境配置或重新配置扫描策略；评估使用认证扫描还是非认证扫描；扫描器严重性评级与实际风险不符；引入新扫描器或对比多个扫描器的结果；优化扫描性能（时长、资源消耗）。
不适用场景：对扫描输出中的具体 CVE 进行分诊（应使用 cve-triage）；从修复待办中排定补丁优先级（应使用 patch-prioritization）；分析软件成分（应使用 sbom-analysis）。
主要能力
该技能基于 CVSS 4.0（FIRST.org）与 CWE（MITRE）框架，覆盖以下环节：
-
误报识别与分类：系统化识别并分类扫描结果中的误报，建立调优优先级。常见误报模式包括基于版本的检测未经验证、基于横幅的检测、协议级检测未验证利用、操作系统/平台误识别、继承/容器基础镜像发现、信息性发现被提升为漏洞、以及被补偿控制缓解的漏洞。
-
扫描策略配置：配置或优化扫描策略，涵盖插件/检查选择、扫描强度与性能、排除项与范围管理。
-
认证与非认证扫描：评估并配置基于凭证的认证扫描以提升准确性，包含对比矩阵与凭证配置最佳实践。
-
严重性覆盖标准：当扫描器分配的严重性评级不反映实际组织风险时，定义覆盖标准，基于 CVSS 4.0 环境指标进行论证。
-
跨扫描器结果关联：使用多个扫描器时，关联结果以提升置信度并识别覆盖缺口。
使用方式
该技能以流程化步骤执行，输出包括调优后的扫描策略配置、误报分析、严重性覆盖文档和跨扫描器关联报告。若通过参数提供目标，则将审查聚焦于该目标。
开始前需收集或确认：扫描器平台（如 Qualys VMDR、Tenable Nessus/IO/SC、Rapid7 InsightVM/Nexpose、OpenVAS/Greenbone、Snyk、Trivy、Grype、Nuclei）；当前扫描策略；扫描范围；认证状态；误报示例；扫描频率；结果量级；合规要求；多扫描器上下文。
流程步骤：
-
步骤 1：误报识别与分类。对每个疑似误报执行复现、分类、记录、处置。提供误报记录模板，包含扫描器、插件/检查 ID、CVE ID、CWE、受影响资产、扫描器严重性、误报模式、证据、验证方法、处置。
-
步骤 2：扫描策略配置。涵盖插件/检查选择（如启用全部漏洞检查、禁用纯信息性插件、启用合规检查、本地安全检查、危险/侵入性检查、Web 应用检查）、扫描强度与性能（最大并发主机数、每主机最大检查数、网络超时、端口范围、CGI 扫描、彻底/偏执模式）、排除项与范围管理（主机排除、插件排除、基于时间的排除、凭证排除）。
-
步骤 3：认证与非认证扫描。提供对比矩阵（检测准确性、误报率、检测范围、凭证管理、性能影响、风险、合规）与凭证配置最佳实践（使用服务账户、轮换凭证、保险库集成、按平台凭证、凭证验证）。提供认证配置模板。
-
步骤 4：严重性覆盖标准。列出合法覆盖场景（面向互联网的系统、气隙或分段系统、高价值数据系统、非生产环境、补偿控制完全缓解），并给出覆盖规则（不得凭直觉覆盖、记录原始与覆盖后严重性、每季度审查、覆盖范围限定于特定 CVE+资产组合）。提供严重性覆盖记录模板。
-
步骤 5：跨扫描器结果关联。方法包括规范化标识符（以 CVE ID 为主关联键，无 CVE 时使用 CWE+受影响组件+漏洞描述组合键）、严重性规范化（以 NVD 的 CVSS 4.0 基础评分为权威）、置信度评分（高/中/低/冲突）、覆盖缺口分析（网络扫描器、容器扫描器、DAST 扫描器、SCA 扫描器的典型优势与弱点）。提供跨扫描器关联摘要模板。
适用场景
- 扫描结果误报过多，需要系统化识别与分类。
- 为新环境配置或重新配置扫描策略。
- 评估认证扫描与非认证扫描的取舍。
- 扫描器严重性评级与实际风险不符，需要定义覆盖标准。
- 引入新扫描器或对比多个扫描器结果。
- 优化扫描性能（时长、资源消耗）。
限制
- 不用于对扫描输出中的具体 CVE 进行分诊。
- 不用于从修复待办中排定补丁优先级。
- 不用于分析软件成分。
- 严重性覆盖必须基于具体 CVSS 4.0 环境指标调整或有记录的业务上下文，不得凭直觉。
- 覆盖范围限定于特定 CVE 与资产组合，不全局适用于所有资产。
- 插件排除需至少 3 个扫描周期的误报证据，并每季度重新评估。
- 主机排除需风险接受文档与替代评估方法。
- 凭证排除需记录原因并接受降低的检测准确性。
- 该技能的具体收费、价格、平台支持情况暂未提供。