之前我们都是全量扫描， 经过报告分析，开发人员或者自己分析后发现有些漏洞，其实是误报，或者不涉及测试的产品，该怎么办？还有些同学说了如果只关心敏感信息泄露或者是XSS攻击，该如何扫描？今天我们就分别介绍下各种设置。

一. 主动扫描策略

1.入口

从如下位置打开扫描策略。Analyse-- Scan Policy Manager……

扫描策略对话框

2.设置含义

在主动扫描时可以启用或者禁用某一类规则。不想扫描的Category，直接设置阈值为Off，就可以直接忽略该Category.

注意:被动扫描规则不再通过这个对话框管理，而是通过Options Passive Scan Rules(选项---被动扫描规则)管理。

Policy：策略名称。

Default Alert Threshold：默认告警阈值。级别越高，告警越少。表示只会上报高级别的告警，其他告警会忽略。

Default Attack Strength: 默认攻击强度。 强度越高，破坏性越大。

Apply XX Threshold to All Rules：表示应用XXXX阈值到所有规则。

Apply XX Strength to All Rules: 表示 应用XX 强度到所有规则。

点击Go 才能生效。

3. 阈值

这控制了ZAP报告潜在漏洞的可能性。

如果选择“关闭”，那么将不会使用这一类规则。

如果你选择低，那么更多的潜在问题将被提出，这可能会增加误报的数量。

如果您选择高，那么将提出更少的潜在问题，这可能意味着一些真正的问题被错过(假阴性)。

4. 强度

控制ZAP将执行的攻击数量。如果你选择低，那么只会做更少的攻击，速度也快，但可能会错过一些问题。如果你选择高，那么会做更多的攻击，这可能会发现更多的问题，但将花更长的时间。Insane（疯狂关卡）通常只适用于应用程序的一小部分，因为它可能会导致大量攻击，这可能需要相当长的时间。

请注意，在扫描强度方面使用Insane (“疯狂”)一词只是为了代表扫描强度的极限。不包含任何人身攻击或者敏感词汇。

二. 被动扫描策略

1.入口。

Tools---Options----Passive Scan Rules

通过上面界面，可以配置被动扫描规则。如果不想扫描该规则，Threshold直接设置关闭即可。

2. 阈值

这控制了ZAP报告潜在漏洞的可能性。

如果选择“关闭”，那么将不会运行此规则ding。

如果你选择低，那么更多的潜在问题将被提出，这可能会增加误报的数量。

如果您选择高，那么将提出更少的潜在问题，这可能意味着一些真正的问题被错过(假阴性)。

3. Passive Scanner 设置含义

Only scan messages in scope:(只扫描作用域内的消息):

设置是否只对作用域中的消息执行被动扫描。

Include traffic from the Fuzzer when passive scanning（被动扫描时包括来自Fuzzer的流量）：

设置是否应该对Fuzzer生成的消息执行被动扫描。

Max alerts any rule can raise（任何规则都可以触发的最大告警数）：

设置被动扫描规则应引发的最大警报数。由于线程的原因，可能会稍微超过这个值。这个设置通常只对自动扫描有用。超过这个值的扫描规则将被禁用，并且在启动新的会话时需要手动启用。

Max body size in bytes to （以字节为单位扫描的最大Body尺寸）：

设置被动扫描器将扫描的请求或响应主体的最大大小(以字节为单位)。如果被动扫描规则在扫描非常大的请求或响应时花费的时间太长，就可以使用这种方法。如果设置了忽略的请求和响应的数量，将分别使用keys stats.pscan. reqbodytoobig和stats.pscan. respbodytoobig记录在统计数据中。

学习完今天的设置，是不是知道了如何定制扫描策略了？

如果今天的内容，对你有启发，欢迎点赞告诉阿萨。