网站安全扫描工具：工具换数据源后历史曲线是否还能连接
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /c3251f399d8e.html
📄
网站安全扫描工具：工具换数据源后历史曲线是否还能连接
能不能连，取决于新旧数据源是否共享同一套“漏洞定义口径”和“资产标识口径”。如果两者都一致，历史曲线通常可以延续；只要其中一项变了，曲线就会出现断点或虚假的跳变，此时更稳妥的做法是分段展示，而不是把两段硬拼成一条线。
先判断断点是“真变化”还是“口径变化”
换数据源后曲线突然上升或下降，最常见的解释不是站点安全状况真的变了，而是统计口径变了。可以从三个可区分的证据入手：
- 同一批资产的数量是否变化。如果扫描目标没变，但被统计的资产条目数明显增减，说明资产标识规则变了，属于口径问题。
- 同一类漏洞的判定是否变化。同一个已知问题，旧源记为“中危”，新源记为“低危”或直接不计入，严重度分布自然会平移。
- 扫描覆盖范围是否变化。新源若纳入了子域、API 端点或第三方组件，分母变大，历史点位与当前点位本就不可比。
这三项里只要有一项成立，历史曲线就不该直接连接。反过来，如果资产清单、漏洞分类、严重度分级都对齐，仅底层引擎换了，曲线连接是合理且可用的。
保留：什么条件下可以把两段接成一条线
保留并连接的前提是“可比性”成立，具体要满足：新旧源对同一资产使用稳定且一致的标识（例如固定的资产 ID 或规范化后的域名+端口组合）；漏洞分类映射表已经建立并逐条核对过；严重度分级采用同一标准，或已做归一化换算。
满足这些条件时，可以执行一个实际动作：先跑一段重叠期，即让新旧两个数据源同时采集一到两个扫描周期，把重叠期的两组数值放在同一坐标里比对。如果重叠期内两条线的走向基本一致，说明口径已对齐，可以合并历史；如果重叠期就出现系统性偏移，说明映射还没做完，此时合并只会把偏移伪装成安全趋势。
这个动作的结果直接决定下一步：重叠期吻合就继续保留历史曲线，不吻合就先修映射表，再决定是否合并。
改写：更常见的折中做法
多数情况下无法做到完全对齐，这时“改写”比“保留”更现实。改写指不删除历史数据，但在图表上做明确切分：用一条竖线标注数据源切换点，切换点之前标注旧口径，之后标注新口径，并给出两套口径各自的定义说明。
改写适合的场景是：资产标识基本稳定，但漏洞分类或严重度分级有部分变化。此时可以只对受影响的那部分指标分段，未受影响的指标（例如资产总数、开放端口数）继续用一条连续曲线。这样既保住了历史可追溯性，又不会让读者误读趋势。
需要注意，改写不是把旧数据按新口径重新计算一遍就完事。如果旧源的原始明细已经丢失，重算本身就会引入猜测，这种情况下宁可保留旧口径原值并标注，也不要强行换算。
退出：什么时候应该放弃连接历史
当新旧数据源的资产模型差异过大，例如旧源以 IP 为单位、新源以应用或业务单元为单位，两者之间不存在稳定的映射关系，那么连接历史曲线在方法上就不成立。此时合理的做法是：把切换点作为新的基线起点，历史数据仅作为存档保留，不再进入趋势图。
判断是否该退出的一个实用信号是：你无法用一句话说明新旧两套数据在统计同一件事。如果连“这条曲线到底在数什么”都说不清，连接只会制造误导。
一个注明假设的短例子
假设某工具旧源按“每个 IP 一条记录”统计漏洞，新源按“每个域名+路径一条记录”统计。切换后记录数从 200 变成 800，曲线陡增。这里假设资产实际未变，那么 800 与 200 不可比，直接连接会得出“风险暴增”的错误结论。正确动作是先按域名聚合新源数据，看聚合后是否接近 200；若接近，说明只是粒度差异，可改写后连接；若仍差很多，说明覆盖范围也变了，应退出连接、另起基线。
换数据源后能不能连历史曲线，本质是先做口径对齐、再做曲线决策。对齐成本低于重算成本时优先改写，对齐不可行时果断退出连接，比维持一条看似连续实则失真的曲线更有价值。
