做网络安全相关的工作，有时候会遇到需要对某个系统或网站进行漏洞扫描的情况。比如公司新上线了一个后台管理平台，领导让你跑个扫描看看有没有明显的问题。这时候你可能犹豫：这事儿要不要先跟对方打个招呼？
不打招呼直接扫，风险不小
有些人觉得，既然是内部系统，或者自己有权限，那就直接上工具开扫。但实际操作中，这种做法容易惹麻烦。比如你用 Nessus 或者 AWVS 对一个正在运行的生产环境发起扫描，短时间内大量请求涌进去，可能导致服务器负载飙升，页面变慢甚至短暂宕机。
想象一下，财务部门正在上传月度报表，结果系统卡住了，一查日志发现是你在扫描——哪怕你是好意，也容易被当成“捅娄子”的那个。
内部协作，沟通是基本礼仪
在企业内部，哪怕你是安全团队的人，提前发个邮件或在群里说一声也是必要的。比如简单写一句：“计划于今晚8点对OA系统做一轮漏洞扫描，预计持续30分钟，期间可能影响响应速度，请相关部门知悉。” 这样大家心里有数，也不会误判为攻击事件。
对外部系统更得谨慎
如果是第三方系统的扫描，比如你受委托给客户做个安全评估，那就必须签授权书。没有书面许可的情况下擅自扫描，轻则被拉黑，重则可能涉及法律问题。国内就有过因为未经授权扫描银行系统而被警方带走的案例。
哪怕只是想测试下自家注册的域名下的服务，也要确认清楚扫描范围是否完全属于你可控的资产。有时候一个子域名可能指向合作方的测试环境，误扫了就不好收场。
自动化任务也别忘了留痕
有些公司会部署定期扫描任务，比如每周日凌晨自动跑一次。这种更应该提前备案，把扫描IP、时间、频率都记录下来，并通知到运维和开发团队。避免某天凌晨报警系统突然响了，值班人员以为遭攻击，紧急回call一堆人。
说到底，漏洞扫描不是炫技，而是为了提升安全性。既然是为了保障系统稳定，那过程本身也得讲究方式方法。打个招呼，花不了几分钟，却能避免很多不必要的误会和后果。