fleet-cve-scanner

一个轻量开源、单脚本的CVE扫描器，专为RMM管理的设备集群而设计。纯PowerShell 7，无需代理、无需设备、无需许可费用。

对于您管理的每台终端上的每款软件，它只回答一个问题：已安装的版本是否已知存在漏洞，以及紧急程度如何？ —— 通过将RMM的软件清单与免费、权威的安全数据源进行关联：

• NIST NVD —— 已知CVE及受影响的版本范围
• CISA KEV —— 实际在野外被利用（绕过评分阈值）
• EPSS —— 未来30天内被利用的概率
• CISA SSVC —— 操作/关注/跟踪优先级决策
• MSRC —— 证明微软补丁已覆盖该发现
• endoflife.date —— 将不会再收到补丁的软件

输出：每设备的CSV报告、带SLA时钟和逐周变化事件的SQLite历史记录、自包含的HTML Dashboard，以及可选的Markdown暴露报告。

状态

v1.0.0。 引擎已从曾在生产环境中针对Windows设备集群每周运行的扫描器以干净室方式移植（参见 docs/HISTORY.md）。在此版本发布之前，两者针对同一生产设备集群运行并逐行比较：在数万个两者都看到相同（设备, 软件, 版本）的发现中，所有计算字段——状态、CVSS、严重性、KEV标志、SSVC决策、修复版本——完全一致。

该比较覆盖了判定逻辑。它并未测试历史/SLA层，也不能替代在您自己的环境中验证该工具。在信任它之前，请阅读 docs/known-limitations.md —— 它诚实而非奉承。

快速开始

您需要 PowerShell 7（pwsh）。有两种运行方式：

A. 实时 NinjaOne 扫描

cp config.example.json config.json
# 编辑 config.json：填写 ninjaone.client_id / client_secret / base_url，
# 设置 output.report_dir，并（推荐）nvd.api_key
pwsh -File fleet-cve-scan.ps1

B. 离线模式 —— 任意RMM、SCCM或Intune（无需API访问）

将您的清单导出为包含列 hostname, software, version（可选 device_id, os）的CSV，然后：

cp config.example.json config.json   # 此处只需 output.report_dir
pwsh -File fleet-cve-scan.ps1 -InputCsv inventory.csv

-InputCsv 使得零次 NinjaOne 调用 —— 无OAuth、无API。它仍会查询NVD和其他公共数据源，因此您仍需在 config.json 中提供 nvd.api_key 和有效的 output.report_dir。有关输入合同和针对不同RMM的导出方法，请参见 docs/rmm-adapters.md。

安装先决条件

• PowerShell 7 —— macOS: brew install powershell；Windows: winget install Microsoft.PowerShell；Debian/Ubuntu: 从Microsoft包仓库安装（packages.microsoft.com）。
• sqlite3（可选，支持历史/趋势）—— macOS: 预装或 brew install sqlite；Debian/Ubuntu: apt-get install sqlite3；Windows: 从sqlite.org下载SQLite “tools” 包，并将 sqlite3.exe 放在 PATH 或脚本旁边。没有它扫描仍会运行；first_seen 将回退为运行日期。

要求

• PowerShell 7（推荐7.4+）。并行扫描需要7.0+。
• sqlite3 —— 可选；启用历史数据库、趋势和SLA的 first_seen 跟踪。缺失 = 这些功能跳过，扫描仍完成。
• 网络出站 至 NVD、CISA (KEV)、epss.empiricalsecurity.com（EPSS批量评分主机——FIRST已将EPSS数据托管移至此处）、MSRC、endoflife.date和GitHub原始内容（CVE Program cvelistV5）——此外在实时模式下还需访问NinjaOne API。
• 凭据 —— 实时模式需要NinjaOne OAuth2客户端ID/密钥；离线模式仅需一份清单CSV。NVD API密钥在技术上可选，但在设备集群规模下实际上必需：NVD允许有密钥时每30秒50次请求，无密钥时仅5次/30秒。扫描器会检测您使用的是哪种并相应地节流，因此无密钥的运行是正确的但大约慢10倍——对少量产品尚可，对真实设备集群不切实际。 密钥免费申请。

配置参考

配置是一个JSON文件（默认位于脚本旁边的 config.json；可用 -ConfigPath 覆盖）。从 config.example.json 开始。扫描器读取的每个键、省略时的默认值以及作用说明：

ninjaone（实时模式）

nvd

扫描与评分

缓存与速率限制

nvd_min_spacing_ms、nvd_rate_limit 和 parallel_throttle 会被扫描器读取，但未出现在 config.example.json 中 —— 仅当需要调整时才添加它们。参见 docs/rate-limiting.md。

丰富化与SLA

output

输出

以下所有内容均放置在 output.report_dir 中。

• vuln-report-YYYY-MM-DD.csv —— 逐发现项的报告。共28列（模式见下文）。
• vuln-history.db —— SQLite历史数据库（需要 sqlite3）：runs（每次运行的汇总）、findings（按 (device, software, cve) 的开放发现项历史，包含 first_seen / last_seen / resolved_date / epss_score），以及 changes（带类型的逐周变化事件）。
• cve-dashboard.html —— 自包含的HTML Dashboard（图表库内联，无外部请求）。可选复制到 output.dashboard_share。
• eol-report-YYYY-MM-DD.csv —— 当检测到已终止支持的产品系列时写入。

CSV 模式（28列）

列集是固定的，并通过发布门禁进行强制。按顺序：

调度

Run-WeeklyScan.ps1 是用于计划运行的封装脚本：它从自身目录运行扫描器，将所有输出流捕获到 <脚本目录>/logs/ 下的带日期的日志中（可用 -LogDir 覆盖），并传递扫描器的退出码，以便调度器看到失败。

Windows 任务计划程序：

schtasks /Create /TN "CVE-Scan-Weekly" ^
  /TR "pwsh -NoProfile -File C:\path\to\Run-WeeklyScan.ps1" ^
  /SC WEEKLY /D SUN /ST 22:00 /RU SYSTEM

cron（Linux/macOS）：

0 22 * * 0  pwsh -File /path/to/Run-WeeklyScan.ps1

Dashboard 托管

cve-dashboard.html 完全自包含——直接打开它，放到任何静态主机或文件共享上，或通过 output.dashboard_share 在每次运行时自动复制。对于需要访问控制的主机，dashboard-auth/ 目录提供了一个最小的ASP.NET主机，集成Microsoft Entra（Azure AD）认证；详见其 README 和 RUNBOOK。

诚实的局限性（在信任之前请阅读）

• CPE匹配本质上是模糊的。 典型清单中有40–60%没有NVD条目而被跳过（已记录日志，绝不静默）。基于名称的CPE选择可能选错产品；之所以存在抑制工作流，是因为必须如此。这是免费NVD方法的天花板——具有精选检测目录的付费扫描器会更准确。该工具的价值在于免费、透明和可审计。
• UNKNOWN（未知）是一等的判决结果。 当扫描器无法证明有漏洞或已修补时，它会如实声明而不是猜测。
• 仅针对 NinjaOne 验证过。 扫描引擎与RMM无关（输入仅为设备+软件+版本）；-InputCsv 模式允许任何RMM/SCCM/Intune导出来提供数据，但只有NinjaOne适配器在生产中运行过。

完整的、不加粉饰的清单——CPE跳过率、去重键掩码、第一页 totalResults、MSRC取代漏洞、以及更多——在 docs/known-limitations.md 中。

设计说明

一些看似非常规的结构性选择是有意为之的：

• 单文件，而非模块。 扫描热路径在 ForEach-Object -Parallel 内部运行，而这些运行空间无法看到外部作用域的函数——这就是为什么在并行块内有意重复了少数辅助函数。按函数拆分的模块布局并不会消除这种重复（并行主体仍然需要在每个运行空间中注入源码）；它只会增加一个构建步骤并破坏“复制一个文件即可部署”的模式。如果项目将来超出单文件范围，打包将是v2形状的变更，而不是补丁。
• [PSCustomObject] 记录，而非类。 发现记录在并行运行空间内产生，然后封送回主运行空间。PowerShell 类实例无法可靠地穿越该边界；[PSCustomObject] 可以，并且CSV列合同通过发布门禁而非类型系统来强制。
• 纯PS7测试脚本，而非Pester。 tests/ 中的套件是无依赖的脚本，带有退出码断言，可在任何有 pwsh 的地方运行——包括扫描服务器——无需安装任何东西。CI在Windows和Ubuntu上运行所有这些脚本。

文档

• docs/how-it-works.md —— 扫描管道的逐阶段说明、判定逻辑、缓存纪律以及故障降级合同。
• docs/known-limitations.md —— 扫描器可能出错的每种已知方式及其原因。
• docs/rate-limiting.md —— 作为操作指南和调整表的NVD速率限制经验。
• docs/rmm-adapters.md —— 输入合同、两个内置清单路径以及如何添加原生适配器。
• docs/HISTORY.md —— 压缩、消毒的版本历史以及每个版本背后的工程经验教训。

贡献

欢迎PR——尤其是RMM适配器。参见 CONTRIBUTING.md 了解基本规则和安全方向要求（状态逻辑只能朝着 更多 可见性方向出错，绝不能无声地朝向 PATCHED）。

数据源与归属

该工具的有效性依赖于它所关联的免费、权威数据源。每次扫描都会查询以下每个来源；如果您在此基础上构建，请尊重它们的条款。

• NIST National Vulnerability Database (NVD) —— 通过NVD API提供的CVE记录和受影响的版本范围。本产品使用NVD API，但未经NVD认可或认证。https://nvd.nist.gov/
• CISA Known Exploited Vulnerabilities (KEV) Catalog —— 已知在野外被利用的CVE的权威目录。https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• CVE Program — cvelistV5 —— CVE记录以及CISA ADP贡献的SSVC / vulnrichment数据。CVE® 是 MITRE Corporation 的注册商标。https://github.com/CVEProject/cvelistV5
• SSVC (Stakeholder-Specific Vulnerability Categorization) —— 本工具中的操作/关注/跟踪决策逻辑源自CERT/CC SSVC（卡内基梅隆大学软件工程研究所）和CISA SSVC协调员决策树，版本2.0.3。需注明CERT/CC和CISA。https://www.cisa.gov/ssvc · https://github.com/CERTCC/SSVC
• FIRST.org EPSS (Exploit Prediction Scoring System) —— 未来30天内被利用的概率。EPSS数据由FIRST提供。参见 Jay Jacobs、Sasha Romanosky、Benjamin Edwards、Michael Roytman、Idris Adjerid（2021）,《Exploit Prediction Scoring System》, Digital Threats: Research and Practice, 2(3)。https://www.first.org/epss/
• Microsoft Security Response Center (MSRC) —— CVRF API，用于确认Microsoft安全更新是否已覆盖某个发现。© Microsoft Corporation。https://api.msrc.microsoft.com/ · https://msrc.microsoft.com/
• endoflife.date —— 将永远不会再收到补丁的软件的生命周期终止和支持终止日期。数据由 endoflife.date 项目提供。https://endoflife.date/

许可

Apache-2.0 —— 参见 LICENSE。