如何对 Web 应用扫描器告警做漏洞分级与降噪

当收到 DAST/SAST 扫描器（Burp、ZAP、Semgrep 等）大量告警时，用 OWASP 风险评级法确认真实漏洞、剔除误报并排定修复优先级。

适用场景

解决思路

1. 按 OWASP Top 10 2021 对发现项分类：建立 CWE 到 OWASP 类别的映射表（如 CWE-79/89/78→A03 注入，CWE-352/22→A01 访问控制，CWE-200/327→A02 加密失败，CWE-287→A07 认证失败，CWE-918→A10 SSRF，CWE-502→A08 完整性失败，CWE-611→A05 配置错误），据此归类每条告警。
2. 区分真/假阳性：对标题含常见信息性提示（如未设置 Content-Security-Policy、缺少 X-Content-Type-Options、Cookie 无 SameSite）且严重级别为 info/low 的，判为误报；若扫描器给出 evidence 且 confidence 为 certain，判为真阳性；SAST 来源且 CWE 为注入类（CWE-89/78/79）的，标记为需人工代码审查；其余标记为需人工验证。
3. 按 OWASP 风险评级法计算风险分：Risk = Likelihood × Impact。Likelihood 取 8 个因子（攻击者技能、动机、机会、规模；漏洞发现难度、利用难度、知名度、入侵检测可能性）的平均值；Impact 取 8 个因子（机密性、完整性、可用性、可追溯性；财务损失、声誉损失、合规、隐私）的平均值，各因子按 0-9 打分并结合应用上下文（是否联网、是否启用 WAF、是否处理支付/PII、是否在 PCI 范围等）。
4. 按风险分映射等级：≥42 为 Critical，≥24 为 High，≥12 为 Medium，≥3 为 Low，其余为 Note，用于排定修复优先级。
5. 用脚本批量处理扫描结果：运行 python3 scripts/process.py --input zap_results.json --format zap --app-context app_config.json --output triage_report.json，将 DAST/SAST 结果与应用上下文一起跑过分级流水线，输出分级报告。
6. 人工验证 SQL 注入：用单引号测试参数（GET /search?q=test'），再用布尔盲注（AND 1=1-- 与 AND 1=2-- 对比响应差异），必要时用时间盲注（WAITFOR DELAY '0:0:5'）确认。
7. 人工验证 XSS：用反射型载荷（<script>alert(document.domain)</script>）测试，检查输出是否被编码；用属性逃逸载荷（"><img src=x onerror=alert(1)>）测试；对 DOM 型 XSS 测试 URL fragment（/page#<img src=x onerror=alert(1)>）。
8. 将确认后的发现项录入 DefectDojo 等缺陷管理系统，交给开发团队按风险等级修复。

适用边界 · 注意事项

• 没有 DAST/SAST 扫描结果或无法进行人工验证（如无 Burp Pro/ZAP）时，无法完成真伪判定。
• 缺少应用业务上下文（是否联网、是否处理支付/PII、是否在 PCI 范围）时，Impact 因子无法准确打分，风险等级会失真。
• 纯信息性/低危头部缺失类告警不必走完整评级流程，直接归为误报或低优先级即可。