Nessus这个东西做安全的人基本都碰过。它自带的扫描策略模板数量不少什么基础网络扫描、Web应用测试、PCI合规模板都能直接选但我在真实项目里很少直接套用默认模板。原因很简单默认模板为了照顾不同行业的用户往往要么扫得又重又慢要么检测方向跟当前资产类型不匹配最后交付给你的是一堆需要二次人工过滤的报告。这些痛点叠加在一起就是我写这篇实战指南的出发点——把Nessus的自定义扫描策略模板真正握在自己手里。文章不聊安装步骤、不聊激活那些官方文档写得比我详细这里只讲策略模板编写的完整思路和可落地的参数。版本以Nessus 10.9.4为例界面和10.x其他版本基本一致。适合刚接手漏洞扫描、想减少误报、想把企业基线固化成可重复扫描策略的人。1. 为什么自写Nessus策略而不是直接套模板1.1 Nessus里的模板、策略和扫描任务到底是什么关系先把概念理清楚。Nessus 10.9.4左侧菜单里能看到两个容易混的东西Policies和Scans。Policies是策略也就是一组扫描配置的集合Scans是引用策略去实际执行的任务。创建策略时Nessus会让你从一组Template官方模板出发你可以选中某个模板直接保存也可以把它复制下来接着改。所以理解上可以用一个类比模板是官方给的半成品菜谱策略是你按自己的口味调好的那份菜谱扫描任务是真正按菜谱做出来的菜。很多人刚接触时直接在Scans里选一个模板就跑其实这样跑出来的结果策略成分很弱没法复用于下一次。正确做法是先进Policies用模板新建后按目标资产特性调整保存成一个自有策略之后每次扫描都引用这个策略。这样你才能在同一套基准下反复去扫不同批次的机器报告的横向可比性才谈得上。1.2 默认模板的三个真实痛点痛点一目标假设过于宽泛。默认模板为了让各种类型目标都能扫会把很多插件族同时打开。你拿去扫一个Windows域环境它会花同样多的时间去跑Linux和网络设备相关检查最后的报告里一半是无效的噪声。尤其在资产多的内网里这种无效检测会直接拉长扫描周期让运维同学等得焦虑。痛点二误报治理成本高。默认模板不关心你业务上能接受什么、不能接受什么。比如内网打印机SNMP弱口令扫出来一堆业务方说没条件改这种问题在默认模板里每次必报整治起来很麻烦。自定义策略可以通过插件过滤把这些已知误报提前处理掉让评审会变成讨论真实风险而不是解释同一条假告警。痛点三无法沉淀企业自身基线。默认模板没有你的端口白名单、中间件清单和基线要求。策略一旦自研就可以把合规要求、排除项、关键资产指纹固化进去每一次扫描都在企业的真实上下文里做判断报告一致性会好很多。时间久了这套策略本身就是一份资产新人来了也能照着策略看懂团队的安全口径。1.3 什么时候该自写策略什么时候用默认就好不是每个场景都需要从零写策略。如果你只是做一个快速确认比如某台新机器有没有可疑开放端口默认模板也能胜任。需要自写的典型场景有四类一是内网全资产摸底需要自定义端口范围来平衡速度二是Web应用上线前专项检测需要单独挑Web相关插件和爬行深度三是季度性合规基线检查需要固定一套基准并上传审计文件四是授权范围内的渗透测试前置扫描需要控制扫描广度避免在还没有摸清目标的时候就把目标系统压垮。多说一句安全边界自定义策略再怎么精细也只能在授权范围内运行。渗透测试也好漏洞扫描也好拿到目标授权是前提。这篇文章讲的是技术方法不是教你拿Nessus去扫别人的网络。做安全的人边界感比任何扫描技巧都重要。2. 策略模板的骨架拆解七个配置入口2.1 新建Policy时你会看到哪些配置块Nessus 10.9.4的策略编辑器除去顶部的模板选择核心配置基本由七块组成Basic基本设置、Discovery发现、Assessment评估、Report报告、Advanced高级、Credentials凭据、Plugins插件。初次打开容易感觉有点乱其实思路很清晰先定义这台目标长什么样、怎么跟它说话再决定执行哪些检测最后决定怎么输出。Basic管策略的元信息和强度Discovery管扫描怎么发现主机和端口Assessment管用什么方式评估比如是否做Web应用扫描、是否做合规检查、上传什么审计文件Report管报告内容Advanced管并发和超时Credentials管登录凭据Plugins管具体启用哪些插件。这七个入口不是每处都必须动但写策略时至少要过一遍否则容易漏掉影响结果的关键开关。比如很多人只顾着改端口范围完全没看Assessment里的Web应用开关结果扫完报告出来才发现目标Web服务上的潜在漏洞没有做深层次检查。2.2 Basic设置扫描强度的取舍Basic页里有个Scan Strength扫描强度选项通常可选宽松、标准、深度。它的本质是提前帮你分组好一批插件和Web爬行策略宽松对应快速但粗糙标准适合常规资产深度对应慢而全。很多人的第一反应是扫描强度拉到深度觉得这样最稳。我试过几次后不这么干深度会让扫描时间膨胀两三倍尤其在资产数量多的时候而且深度模式下很多插件会尝试更激进的请求目标安全设备容易误判为攻击行为。更合理的是按场景选内网普通服务器用标准Web专项在Assessment里单独开Web应用扫描而不是依赖强度如果目标环境很敏感用宽松加白名单也可以。这里有个经验策略参数一定要写在纸上、记录下理由。否则三个月后回头改策略你根本想不起来当时为什么把强度从标准调成深度只能重新试错。2.3 Discovery设置端口与服务探测决定你能看到什么Discovery页的Port Scan部分决定了Nessus会碰哪些端口。这里有个常见误区默认全端口1-65535听起来全面但如果你扫的是对外Web服务器全端口扫描除了慢还会触发目标安全设备的告警得不偿失。反过来内网资产摸底时如果你只扫默认常用端口那些跑在高端口的业务就会直接漏掉这种漏报有时候比误报更危险因为你会误以为那台机器是干净的。端口范围支持逗号和短横线混用比如 80,443,8080-8090,8443语法很直观。实操上我会这样定对外Web和API服务器只扫80/443/8080/8443加上业务已知端口内网服务器先看资产台账把主要服务端口列进去内网全面摸底用1-65535配合SYN扫描。Discovery页还需要考虑服务扫描、操作系统识别。这些选项决定了Nessus能否准确识别端口背后的服务类型也决定了后续插件选择的准确性。打开这些开关更耗时间但报告里的资产指纹会更准对中大型网络来说这笔时间值得花。3. 插件族裁剪策略质量的分水岭3.1 插件族选择总表与适用场景插件是Nessus检测能力的基本单位插件族是一组同类插件的集合。很多策略写不好根本原因是在Plugins页把所有插件族都勾上了。正确姿势是按目标类型选插件族。我做策略模板时一般会按照下面这张表来打底目标类型建议启用的插件族可选的补充插件族Windows主机Windows、Windows : Microsoft Bulletins、本地审计相关General、SMB toolsLinux/Unix主机Linux Local Checks、Default Unix Accounts、UnixGeneral、BackdoorsWeb应用Web Servers、CGI abuses、Web Application TestsSQL Injection、XSS网络设备Firewalls、RoutersSNMP相关插件族通用脆弱项General、Backdoors、Malware根据业务补充插件族名字在不同版本里可能略有出入但分类逻辑差不多。选择时不要贪多一个大原则是插件族数越少扫描越快误报越可控插件族数越少覆盖面越窄漏报风险越高。你需要根据目标使用场景做平衡。比如扫一台只跑数据库的Linux机器就没必要把所有Web相关插件族都打开那只会白白增加扫描时间和噪音。3.2 从插件族到插件ID细粒度过滤Nessus支持在Plugins页直接按插件ID或插件名搜索然后勾选或取消勾选具体插件。这个功能在做误报管理时特别有用。举例来说你有一套老的内部系统某个Nessus插件每次都会报“SSL Self-Signed Certificate”业务方已经确认这是内部测试证书风险可接受。你就可以搜索插件ID把该插件在这个策略里禁用。注意禁用插件等于主动承担漏报风险。我通常会在策略说明里写清楚禁用了哪些插件ID以及禁用原因避免下次评审时说不清。插件级过滤是在策略里静态配置的如果你希望不同时间看到不同检测选项不如建多套策略分别对应不同场景。比如“外网Web策略”和“内网Web策略”分开误报规则完全独立后续维护也更清晰。3.3 用审计文件把策略做得更深合规扫描场景往往不满足于Nessus内置检查还需要你自己的制度要求。比如你要求Linux系统sshd_config里必须设置PermitRootLogin noNessus内置审计文件不一定覆盖这个细节就需要自定义审计文件。在Assessment Compliance里可以上传.audit文件它本质上是一个XML描述结构类似这样audit_control custom1/custom typeFILE/type line file/etc/ssh/sshd_config/file nameSSH PermitRootLogin/name valueno/value /line /audit_control这个例子只是一个片段说明格式audit文件告诉Nessus要检查哪个文件、哪个配置项、期望值是什么。你可以维护一个自己的audit库把公司安全基线和Nessus的合规模块解耦。审计文件上传后策略就多了一档定制能力。如果你不想从零写audit文件也可以从CIS的benchmark导出对应的脚本再按企业环境做微调。这样比依赖内置模板的合规项灵活很多至少不会因为内置基准太严格导致报告里全是“不符合”。4. 三类高频实战策略模板写法4.1 Web应用专项扫描策略聚焦业务入口Web应用扫描是我平时配得最多的策略。目标是有限的域名和URL不是整个网段所以策略重心要从“端口探测”转向“应用层爬取与检测”。第一步Discovery里只扫80、443、8080、8443这些Web端口UDP扫描全部关掉。第二步Assessment里打开Web Application Scan设置合理的爬行深度一般2到3层够用于上线前检查如果目标有登录页面把测试账号填到Credentials的HTTP表单认证里。第三步Plugins页只勾选Web Servers、CGI abuses、Web Application Tests还有SQL注入和XSS相关插件族。这样跑出来的报告基本每条结果都跟Web应用相关不会再混入大量SNMP、SMTP之类的网络层告警。唯一要注意的是爬行器和登录表单之间偶尔会互相干扰出现循环登录、验证码弹窗遇到这种目标建议先人工登录拿会话再配合Nessus做补充检测。还有一点Web扫描的爬行深度和你给策略的扫描时间上限要匹配深度设太高Nessus可能在时间耗尽时只爬到一半报告反而不完整。4.2 Windows主机基线合规策略以固定标准反复核查做基线核查通常目标是干净利落地回答两个问题补丁装到哪个月了关键安全配置项是否符合要求所以策略要围绕凭据和合规模块设计。Discovery建议只扫常用端口比如139、445、3389、5985等因为拿到凭据后Nessus会通过WMI或SMB收集信息不需要把所有端口都打开。Credentials页里配置一个有权远程读取注册表和补丁信息的账号。Assessment页的Compliance里选择Windows CIS基准或你上传的audit文件。很多人在这一步忘了勾选本地检查相关插件。如果你没有勾选Local checks即使配置了凭据Nessus也可能只用远程探测方式结果会少掉大量补丁审计项。配好后可以先拿一台测试机跑一次对比有凭据和无凭据的结果差异你会明显看到信息量完全不一样。基线策略的稳定性很重要同一个CIS基准下每季度扫出来的结果应该可以直接对比变化所以策略的版本管理要跟上。4.3 内网主机渗透测试快速策略先出优先级再深挖授权渗透测试的前期拿到一个网段或一批IP第一步要快速知道哪台机器最值得深入。这个阶段我通常会配一个“快速面扫描”策略。Discovery用全端口TCP SYNPlugins尽量精简勾上General、Backdoors、Default Unix Accounts、Windows相关和远端文件访问相关插件族不启用Web应用深爬也不启用合规检查。Advanced里把每主机并发调到10到15全局并行数控制在2到3避免把目标网络打崩。跑完后按CVSS分数和端口开放情况做资产排序对分数高的目标再用更重的策略做二次验证。这套流程比一次性把Nessus所有功能开满要实用毕竟渗透测试的窗口期通常有限。要说风险就是快速策略会漏掉需要深度交互才能发现的漏洞所以它的定位是资产面梳理不承担最终报告依据。5. 凭据配置让扫描从门外走向屋里5.1 有凭据和无凭据的差距到底有多大无凭据扫描Nessus只能通过端口和服务响应推断漏洞很多检查结果停留在“可能”层面有凭据扫描则相当于拿到钥匙进屋检查它可以通过操作系统命令收集补丁、账号、权限、文件系统状态这对降低误报、提升漏洞检出率是决定性的。如果你的策略里有Windows本地审计或Linux本地检查相关插件却没配凭据那些插件会一直处于未运行或退化状态。你可以通过查看扫描结果里的Plugin Output判断很多条目会提示需要认证才能进一步检测。我在实际项目中见过不少团队配好策略后直接扫报告出来一堆“需要认证”的灰色条目结果是因为账号权限不够或者凭据没填对。这种浪费很可惜因为凭据配置本身不复杂关键是提前测试。5.2 Windows凭据WMI、SMB与权限要求在Credentials页的Host下面选择Windows类型填域账号或本地账号。认证方式一般有SMB、WMI等优先级取决于目标开了哪个通道。域环境里建议用普通域账号加本地管理员权限不要上来就塞域管理员权限过大会增加账号风险。账号必须能在目标主机上执行远程管理操作至少要能访问注册表、WMI和SMB共享。如果账号权限不够结果就是扫描报告里补丁信息大量缺失但扫描本身不会报错容易误导人。配好之后点击Test Credentials看到成功的返回再去跑扫描。这个测试动作很重要因为Windows目标有时候会临时锁账号测试会发现密码过期、账号锁定这些问题。5.3 Linux凭据SSH私钥比密码更省心Linux目标推荐用SSH密钥而不是密码。在Credentials Host SSH里选择认证方式为私钥上传RSA或OpenSSH格式的私钥文件填上用户名。需要确保该用户能通过SSH远程登录如果需要读取/etc/shadow之类的高权限文件还得有sudo权限。Nessus执行本地审计时会尝试通过sudo运行高权限命令。如果sudo配置成了默认不执行或需要密码扫描就会报权限错误。稳妥的做法是在目标上为扫描账号单独配置sudoers只允许它运行Nessus需要的命令权限颗粒度可以控制。这里要注意NTP时间不同步会导致Kerberos认证失败域账号扫描Windows时尤其明显同时扫描账号密码过期、被锁定也是常见的测试失败原因。5.4 凭据失效的排查速查现象常见原因解决方向Authentication failed账号密码错误、密码过期、账号锁定重置账号、确认有效期Login timeout防火墙未放通SSH/WMI/SMB端口检查网络ACL和端口连通性Sudo error扫描账号缺少sudo权限配置sudoers白名单No supported authentication methodsSSH私钥格式不支持转换密钥格式或改用密码扫描结果中大量局部检查缺失凭据未生效或权限不足查看认证测试结果提升权限扫码之前一定先做凭据测试。我的习惯是每一批目标扫之前拿一台机器试一下认证确认凭据能用了再批量扫省掉后期返工的痛苦。6. 性能参数与误报治理让策略稳定可交付6.1 影响扫描速度的5个关键参数策略跑得慢很多人第一反应是机器性能不够实际上更常见的是并发和超时参数不合理。Advanced页有几个参数值得重点调Max simultaneous checks per host决定单个主机上同时跑多少检查Max checks per host决定一个主机上插件并发上限Network receive timeout决定等待目标响应的超时时间Max hosts per scan限制一次扫描任务里同时处理多少主机全局的并发任务数也会影响整体排队。参数之间是联动的。并发开得太大目标主机CPU被打满Nessus自己的扫描引擎也会因为瓶颈而变慢并发开得太小一个有几千台的网段要跑几天。一般建议从每主机10到20开始遇到交换机或老服务器下调到5。超时时间不要拉太长几秒已经够用目标响应慢时宁可先跳过等下轮扫描再补。还要结合Discovery页的扫描方式SYN扫描比TCP Connect快很多但不能用于所有网络环境渗透测试时注意防火墙行为。6.2 误报治理三步让报告干净起来误报不是Nessus的专利任何自动化扫描器都有。遇到一个可疑结果先别急着禁用插件按三步走。第一步点开结果详情看Plugin Output里的证据不少误报从证据文本就能判断比如版本号匹配但操作系统实际并不受影响。第二步人工验证如果你扫的是Web服务可以直接curl过去看响应头如果是主机漏洞可以登录目标查询补丁或配置文件。第三步确认是误报后再到Plugins页禁用对应插件ID并在策略说明里记录原因。有个经验误报治理应该沉淀成一份团队共享的False Positive清单。清单里写清楚插件ID、目标范围、判定依据、处理动作这样每次扫描报告评审时不用重新争论同一个问题。误报治理不是一次性的插件库更新后之前禁用的插件可能会被重新激活或者行为变化所以策略里的插件过滤要定期审查。6.3 报告输出怎么配合第三方平台Report页里除了报告语言、格式还要注意“Include remediation solutions”和“Show missing patches”这类选项。如果你们的漏洞数据要导入工单系统通常建议导出CSV并且在策略里把报告按CVSS排序方便直接映射到风险等级。不太建议把Nessus原始HTML报告直接作为最终交付物信息太杂。我一般会在策略层面先把风险等级阈值设好只让中危以上进正式报告信息级别结果留档备查。报告输出的稳定性也是策略设计的一部分。如果你每次扫描的报告字段顺序、排序规则不一致下游的漏洞管理平台处理起来会很痛苦。策略里Report页的设置要作为固定配置管理起来不要随个人习惯乱改。7. 策略模板的复用、管理与排错实录7.1 策略导出导入的坑Nessus支持在My Policies列表里把策略导出成策略文件换到另一台Nessus时再导入。这里有个容易踩坑的地方插件库版本不一致时策略导入后会自动对插件ID做映射但如果你原来的策略里有某个插件ID在新版里被合并或下线了可能被静默忽略。所以跨版本迁移策略时导入后不要直接跑先到Plugins页看一眼插件总数和启用列表抽查几个关键插件ID还在不在。如果是同一版本的内网迁移问题不大。多套Nessus之间同步策略时最好写一个脚本定期同步策略文件避免各台机器上的策略漂移。7.2 模板库命名与版本管理建议当你维护的策略超过三套命名就变得很重要。我推荐的命名格式是[场景]_[目标类型]_[版本]_[日期]例如web_external_v1.2_20250601。版本号每次改动策略时递增日期记最后一次修改时间。更进一步的建议是建一个策略变更记录表字段包括策略名、版本、改动内容、修改人、适用资产范围。这个动作在团队多人共用Nessus时省心很多不然一个策略被谁都改一下最后没人知道线上跑的是什么版本。变更记录本身也会成为合规评审的审计证据回答“这条规则为什么加了排除项”这类问题时非常有用。7.3 常见问题排查速查表症状常见原因处理方法扫描结果为空端口范围未覆盖目标服务、插件族选择过少、目标网络隔离先做连通性测试再检查策略配置扫描速度异常慢插件族过多、并发太低、目标网络丢包精简插件族适度提高并发扫描任务中途中断磁盘空间不足、内存不足、目标数量过大查看系统日志清理空间分批扫描报告里大量信息级噪声Discovery页服务探测开关开得过多关闭不需要的服务发现选项插件库过期从未更新插件定期更新插件库内网可用离线包导入部分结果显示“需要认证”凭据未配置或未生效回到Credentials页做认证测试排错的时候别忘了看Nessus后台日志和扫描任务详情很多时候“扫描失败”其实是目标主机自己把连接重置了策略本身没问题。先看连通性再看插件最后才怀疑策略配置。最后聊点我做策略模板编写这几年的体会。Nessus自带的策略模板是很好的起点但真正好用的扫描策略一定是自己一点点调出来的。我每次拿到一批新资产都会先顺着Basic、Discovery、Assessment、Report、Credentials、Plugins、Advanced过一遍缺什么补什么。Nessus 10.9.4版本的功能已经非常稳定策略配置习惯可以沿用很多年。策略模板编写的核心不在于界面点得多熟练而在于你对目标资产、业务边界和风险容忍度的理解。把这份理解换成可复用的策略文件Nessus才算真正变成了你手里的工具而不是一个只会吐报告的扫描器。