Заголовок:
Как в отчёте отсеять мусор и не пропустить реальные дыры?

Текст:
Короче, недавно писал отчёт после скана, там полный завал мусора - куча false positive, даже не понять с чего взяться. Везде будто дыры, но понятно, что часть уже пофикшена или это просто баг сканера, а кое-что реально требует внимания. Пытался сравнивать результаты с разными тулзами и разными версиями – толку мало, они часто по-разному одно и то же показывают.

Чтобы пореже наступать на грабли, начал вводить фильтры на уровне сканера – отключал категории уязвимостей, которые явно неактуальны для нашего софта. Параллельно запускал ручной анализ по подозрительным точкам: HTTP-заголовки, конфиги, паки с разрешениями. Писал небольшие скрипты на Python, чтобы автоматически сверять свежий отчёт с прошлым, и вычленять новые реально потенциально опасные вещи - хотя и тут упирался в то, что разные версии сканеров меняют формат и сами находки.

Особенно задолбало, что некоторые false positive связаны с нестандартными конфигурациями или нестабильными модулями, которые сканер просто не понимает. Пробовал расшаривать свои шаблоны исключений, но они не всегда компонуются с автоматикой. Короче, приходится тащить отчёт руками, прогонять ещё через пару средств, перепроверять руками. Если бы кто подсказал, как автоматизировать хотя бы часть этого на нормальном уровне - был бы признателен.