📍 WDQWDWQD987AAAAA:216.73.216.189
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /7f749177457e.html
📄

网站安全评估，哪些指标适合判断进展

判断网站安全评估的进展，不能只看“扫出了多少个漏洞”，而要看风险是否被持续收敛。更实用的指标包括：高危问题关闭率、修复周期、复测通过率、暴露面变化、同类问题复发率，以及关键资产覆盖率。这些指标能回答一个核心问题：风险是在减少，还是只是被暂时记录。

常见误解：漏洞总数下降就等于安全提升

漏洞总数受扫描范围、规则更新、资产新增影响很大。今天扫出 30 个，明天扫出 20 个，可能是修复了，也可能是扫描器规则变了，或者某个子域暂时不可访问。因此，总数只能当背景值，不能单独当进展结论。

更可靠的判断方式是看“同一批资产、同一类风险”的变化。比如把评估范围内的域名、IP、端口、应用版本固定下来，再比较两次结果。若高危项从 8 个降到 2 个，且剩余 2 个有明确修复计划，这种进展比“总数从 50 降到 40”更有意义。

适合跟踪的六类进展指标

• 高危与中危关闭率：按严重级别分别统计。高危关闭率应优先看，因为它直接反映最需要处理的风险是否在减少。
• 平均修复周期：从确认问题到复测通过的时间。周期缩短，说明响应流程在生效；周期变长，即使漏洞总数少，也可能意味着积压。
• 复测通过率：已标记修复的问题中，复测真正通过的比例。它能识别“改了口径但没改根因”的情况。
• 关键资产覆盖率：纳入评估的域名、应用、接口、后台入口占实际关键资产的比例。覆盖不全时，漏洞少不代表安全。
• 同类问题复发率：例如同一类注入、越权、敏感信息暴露在修复后是否再次出现。复发率高，说明修复停留在表面。
• 暴露面变化：对外开放端口、过期证书、废弃子域、测试环境入口的数量变化。暴露面收窄，通常比单次扫描分数更有参考价值。

怎么执行：用一张对照表判断进展

可以按下面步骤做一次可复现的进展检查：

1. 固定评估范围：列出本次纳入的域名、IP、应用和接口，记录排除项及原因。
2. 记录基线：保存首次评估的高危数、中危数、低危数，以及每项的责任人和发现时间。
3. 设定复测条件：明确什么算“已修复”。例如接口越权问题，需要普通账号无法访问他人数据，并保留复测记录。
4. 比较同一范围：第二次评估只和同一范围、同一严重级别比较，不混入新上线资产。
5. 输出判断：高危关闭率上升、平均修复周期缩短、复测通过率提高，三者同时改善，才适合判断为“进展良好”。

假设某次评估发现 10 个高危问题，两周后复测关闭 6 个，剩余 4 个中 3 个有明确修复排期，1 个因业务依赖暂缓。此时可以判断为“有进展但未完成”，而不是“已经安全”。若高危关闭率为 0，但低危问题减少很多，也不能视为有效进展。

检查项与适用条件

指标要配合条件使用。资产频繁变动的业务，应更关注关键资产覆盖率和新增暴露面；版本迭代快的产品，应更关注复测通过率和同类复发率；外包开发较多的团队，应更关注修复周期和责任归属。若扫描范围本身不稳定，任何比率都会失真，此时先固定范围，再谈进展。

另外，不要把网页搜索收录、平台推荐量或付费广告数据混入安全评估指标。它们属于不同环节，不能用来证明漏洞是否被修复。

下一步，可以选取最近一次评估结果，按“同一范围、同一严重级别、同一责任人”整理一张复测对照表，先算出高危关闭率和平均修复周期，再决定是否需要扩大评估范围。