网站安全测试：哪些指标适合判断进展
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /e846e2dbe386.html
📄
网站安全测试：哪些指标适合判断进展
判断网站安全测试的进展，不能只看“扫出了多少个漏洞”，而应看风险是否被真实收敛：高危问题是否减少、修复是否可复测、攻击面是否缩小、检测覆盖是否扩大。下面给出可执行清单，每项说明查什么、怎么查、结果说明什么。
指标一：高危与严重漏洞的存量变化
查什么：按严重级别统计未修复漏洞数量，重点看高危和严重两项。
怎么查：用同一套扫描规则、同一扫描范围，在修复前后各跑一次，导出报告按级别计数。若使用不同工具或不同规则，必须记录差异，不能直接对比。
结果说明什么：高危存量下降，说明修复动作有效；若总量下降但高危不变，说明只在处理低风险项，进展有限。适用条件是扫描范围和规则保持一致，否则数字波动不能归因于修复。
指标二：修复闭环率与复测通过率
查什么：已确认漏洞中，有多少完成修复并通过复测。
怎么查：建立漏洞台账，字段至少包含发现时间、级别、责任人、修复状态、复测结果。复测必须针对原漏洞路径重新验证，不能只看开发说“已改”。
结果说明什么：闭环率高，说明流程能落地；复测不通过，说明修复未触及根因。若同一类问题反复出现，应检查是否缺少统一修复规范或代码审查环节。
指标三：攻击面与暴露端口的变化
查什么：对外暴露的域名、子域名、IP、端口和服务数量。
怎么查：先梳理已知资产清单，再做被动信息收集与授权范围内的主动探测，对比历史记录。新增资产要确认是否经过审批和测试。
结果说明什么：暴露面缩小，通常意味着风险入口减少；若资产数量增加，即使漏洞数不变，整体风险也可能上升。注意：资产发现结果受网络环境和授权范围影响，不能一次扫描就认定完整。
指标四：检测覆盖与测试深度
查什么：测试覆盖了哪些环节：认证、授权、输入校验、会话管理、文件上传、接口权限等。
怎么查：对照测试用例清单，标记已覆盖、未覆盖、不适用。对核心业务接口，检查是否同时做了未授权访问和越权访问验证。
结果说明什么：覆盖率提升说明测试更全面，但不等于没有漏洞。若覆盖率高而高危仍多，说明问题集中在已覆盖环节的修复质量上。
指标五：从发现到修复的响应时间
查什么：不同级别漏洞的平均修复时长和中位数。
怎么查：用台账中的发现时间和复测通过时间计算。区分“确认时间”和“修复时间”，避免把沟通等待算进修复。
结果说明什么：高危问题响应时间缩短，说明处置优先级有效；若低危问题长期积压，可接受，但要有明确的风险接受记录。适用条件是团队有稳定的排期机制，否则时间指标会受资源波动干扰。
可执行检查清单
- 固定扫描范围和规则，修复前后各跑一次，记录高危存量变化。
- 为每个确认漏洞建立台账，修复后必须复测并记录结果。
- 定期对比资产清单，确认新增暴露面是否经过授权和测试。
- 用测试用例清单核对覆盖环节，标出未覆盖项。
- 按级别统计修复时长，高危优先，低危可记录风险接受。
下一步：选一个当前项目，先固定扫描范围和规则，跑一次基线，再按上述五项指标建立第一版记录。之后每次修复只更新对应字段，用两到三轮数据判断进展，而不是凭单次扫描结果下结论。
