开源漏洞管理平台Faraday部署与实战：从零构建安全运营中枢

1. 项目概述：为什么我们需要一个“漏洞管理中枢”？

在安全测试的日常里，我猜你和我一样，都经历过这样的混乱时刻：渗透测试、代码审计、漏洞扫描器、众测平台……各种工具轮番上阵，产出的漏洞报告格式五花八门，有PDF、有Excel、有JSON，甚至还有截图。这些报告散落在邮箱、聊天记录和本地文件夹里，光是整理、去重、分派给开发修复，就要耗费大半天。更头疼的是，修复进度跟踪全靠手动，一个漏洞从发现到闭环，中间状态全靠记忆和口头沟通，极易遗漏或延期。这种“工具孤岛”和“信息碎片化”的状态，不仅效率低下，更是安全运营中的巨大风险点。

这时候，一个统一的漏洞管理平台就显得至关重要。它就像一个“安全运营中枢”，能把所有漏洞信息汇聚一处，进行标准化、流程化管理。而Faraday，正是这样一个在安全圈内口碑极佳的开源选择。它不是一个扫描器，而是一个“指挥官”，能将Nessus、Burp Suite、Nmap、Metasploit等数十种主流安全工具的结果统一“收编”，进行关联分析、风险评级和全生命周期跟踪。简单说，有了Faraday，你就不再是面对一堆杂乱无章的“原材料”，而是拥有一张清晰、动态的“安全态势地图”。

这篇文章，我将从一个零基础使用者的角度，带你从Faraday的核心理念开始，一步步完成环境部署、核心功能配置、实战集成，并分享那些官方文档里不会写的“踩坑”经验和高效使用心法。无论你是刚入行的安全工程师，还是想优化团队流程的负责人，收藏这篇，足以帮你把Faraday从“听说过”变成“用精通”。

2. Faraday核心架构与设计哲学解析

在动手安装之前，理解Faraday的设计思路至关重要。这能帮助你在后续配置和排错时，清楚地知道“它为什么要这么做”。

2.1 客户端/服务器架构：协同工作的基石

Faraday采用经典的C/S（客户端/服务器）架构，这是其能实现协同工作和数据集中管理的核心。

• 服务器端 (Faraday Server)：这是大脑和数据库。它负责提供Web图形界面（GUI），存储所有项目、漏洞、主机、服务等数据，并处理来自客户端的API请求。所有用户都通过浏览器访问同一个Server，看到的是统一、实时的数据视图。
• 客户端 (Faraday CLI)：这是手脚和采集器。它是一个命令行工具，安装在你执行扫描或测试的机器上（比如你的Kali Linux）。它的核心工作是将各种扫描工具（如Nmap、Nessus）的原始输出文件（XML、JSON等），通过API“提交”或“同步”到Faraday Server。

这种设计带来了几个关键优势：

1. 数据集中化：所有测试结果汇聚一处，避免信息孤岛。
2. 团队协同：多个测试人员可以同时向同一个项目提交数据，实时看到彼此进展。
3. 与测试环境解耦：你可以在隔离的虚拟机里运行扫描，只需将结果文件通过CLI提交即可，无需直接访问生产数据库。

注意：很多新手会误以为Faraday CLI本身能执行扫描。它不能。它只是一个“翻译官”和“快递员”，负责将其他工具生成的报告“翻译”成Faraday能理解的格式，并“快递”到服务器。

2.2 插件化设计：强大的生态扩展能力

Faraday的强大，很大程度上源于其插件（Plugin）体系。它通过插件来支持各种各样的安全工具。

• 官方插件：Faraday团队维护了一系列针对主流工具（如Nmap, Nessus, Burp Suite, Metasploit, OWASP ZAP等）的解析插件。当你通过CLI提交一个nmap.xml文件时，对应的Nmap插件就会被调用，自动解析其中的主机、端口、服务、脚本信息，并结构化地存入数据库。
• 自定义插件：如果你的团队使用一些内部工具或小众扫描器，Faraday允许你使用Python编写自定义插件。你只需要按照模板，实现一个能解析你报告格式的类即可。这赋予了Faraday极强的适应性和生命力。

这种设计意味着，Faraday的能力边界是可以不断扩展的。只要你能拿到结构化的扫描报告，就能把它接入Faraday的管理体系。

2.3 漏洞全生命周期管理模型

这是Faraday的灵魂。它不仅仅记录漏洞，更管理漏洞的“状态流转”。一个漏洞在Faraday中通常会经历以下生命周期：

1. 发现 (Opened)：漏洞被工具发现并导入系统，初始状态。
2. 确认 (Confirmed)：安全工程师手动验证漏洞确实存在，排除误报。
3. 风险评级 (Risk Accepted/Rejected)：根据CVSS分数、业务影响等因素，对漏洞进行定级（如高、中、低）。
4. 分派 (Assigned)：将漏洞指派给具体的开发负责人或团队进行修复。
5. 修复中 (In Progress)：开发人员开始修复。
6. 已修复 (Fixed)：开发人员提交修复代码。
7. 复测 (Re-opened/Closed)：安全工程师进行复测。复测通过则关闭漏洞，不通过则重新打开。

Faraday的Web界面完美支持这个流程。你可以批量修改漏洞状态、添加备注、上传复测截图、设置截止日期。所有操作都有审计日志，确保流程可追溯。

3. 从零开始部署：两种主流方案详解

理论清晰了，我们开始实战部署。这里我推荐两种最主流、最稳定的方案，我会详细说明每一步的操作意图和避坑点。

3.1 方案一：使用Docker Compose部署（推荐新手和快速启动）

这是目前最简单、最不容易出错的部署方式。Docker Compose会帮你一键拉起Faraday Server及其依赖的PostgreSQL数据库和Redis缓存。

步骤1：环境准备确保你的Linux服务器（如Ubuntu 20.04/22.04）已安装Docker和Docker Compose。可以通过docker --version和docker-compose --version检查。

步骤2：获取部署文件Faraday官方在GitHub上提供了docker-compose.yml文件。我们直接使用它。

# 创建一个专门目录并进入 mkdir faraday-docker && cd faraday-docker # 下载官方的docker-compose配置文件 wget https://raw.githubusercontent.com/infobyte/faraday/master/docker-compose.yml # 下载环境变量示例文件 wget https://raw.githubusercontent.com/infobyte/faraday/master/.env.example -O .env

步骤3：关键配置修改不要直接启动！先修改.env文件，这是安全配置的关键。

# 编辑 .env 文件 nano .env

你需要重点关注并修改以下几个变量：

• POSTGRES_PASSWORD：为数据库设置一个强密码。
• FARADAY_ADMIN_USER和FARADAY_ADMIN_PASSWORD：这是你首次登录Faraday Web界面的管理员账号密码，务必修改，不要用默认的。
• FARADAY_SECRET_KEY：用于加密会话的密钥，建议用openssl rand -hex 32命令生成一个随机字符串替换。

步骤4：启动服务配置完成后，一键启动。

# 在后台启动所有服务 docker-compose up -d

使用docker-compose ps查看容器状态，当faraday-server和faraday-postgres的状态都是Up时，表示启动成功。

步骤5：访问与初始化在浏览器中访问http://你的服务器IP:5985。你会看到Faraday的Web界面。用你在.env文件中设置的FARADAY_ADMIN_USER和密码登录。 首次登录后，建议立即在系统设置里创建一个新的“工作空间”（Workspace）。工作空间是项目（Project）的容器，用于隔离不同团队或不同业务线的测试数据。

实操心得：使用Docker部署时，务必定期备份faraday-docker/postgres-data目录，这是你的数据库持久化存储位置。迁移或恢复时，整个目录拷贝过去即可。

3.2 方案二：手动安装（适合深度定制和开发）

如果你需要对Faraday进行深度二次开发，或者服务器环境无法使用Docker，可以选择手动安装。

步骤1：安装系统依赖与数据库

# 以Ubuntu为例 sudo apt update sudo apt install -y python3-pip python3-venv postgresql postgresql-contrib redis-server # 启动并设置PostgreSQL和Redis开机自启 sudo systemctl start postgresql redis sudo systemctl enable postgresql redis

步骤2：创建数据库和用户

# 切换到postgres系统用户 sudo -u postgres psql # 在PostgreSQL命令行中执行 CREATE DATABASE faraday; CREATE USER faraday WITH ENCRYPTED PASSWORD '你的强密码'; GRANT ALL PRIVILEGES ON DATABASE faraday TO faraday; \q

步骤3：创建Python虚拟环境并安装Faraday Server

# 创建目录和虚拟环境 mkdir ~/faraday-server && cd ~/faraday-server python3 -m venv venv source venv/bin/activate # 升级pip并安装faraday-server pip install --upgrade pip pip install faraday-server

步骤4：初始化配置与数据库

# 生成默认配置文件 faraday-manage initdb # 根据提示输入数据库连接信息，使用上一步创建的 faraday 数据库和用户 # 然后创建超级用户 faraday-manage createsuperuser

编辑生成的~/.faraday/config/server.ini文件，可以配置监听地址、端口、密钥等。

步骤5：启动Faraday Server

# 在前台启动，方便查看日志 faraday-server # 或使用nohup在后台启动 nohup faraday-server > faraday.log 2>&1 &

此时，Faraday Server应该运行在http://localhost:5985。

步骤6：安装Faraday CLI（在另一台机器或同一台机器的另一个终端）CLI的安装相对简单，通常在你的渗透测试机（如Kali）上进行。

# 创建虚拟环境（可选但推荐） python3 -m venv ~/faraday-cli-env source ~/faraday-cli-env/bin/activate # 安装faraday-cli pip install faraday-cli

步骤7：连接CLI与Server安装后，需要配置CLI，告诉它Server在哪里，以及你的登录凭证。

# 首次运行会引导你配置 faraday-cli # 按照提示输入： # Faraday Server URL: http://你的服务器IP:5985 # 用户名和密码：你在Server上创建的用户

配置信息会保存在~/.faraday/config目录下。

踩坑记录：手动安装时，最常见的错误是Python依赖冲突。尤其是系统中已存在多个Python版本或旧版本包时。强烈建议始终在全新的虚拟环境（venv）中安装，这是最干净的隔离方式。如果遇到libpq或psycopg2相关错误，可能需要安装系统级的开发包：sudo apt install -y libpq-dev python3-dev。

4. 核心功能实战：从数据导入到漏洞闭环

平台跑起来了，接下来我们看如何用它来解决实际问题。我会用一个模拟的渗透测试流程，串联起Faraday的核心操作。

4.1 工作空间与项目管理：建立你的安全“作战室”

登录Web界面后，第一件事不是导入数据，而是建立清晰的组织结构。

1. 创建工作空间：点击左侧导航栏的“工作空间”。例如，你可以创建内部红队演练、外部众测项目、月度漏洞扫描等不同工作空间，实现数据隔离。
2. 创建项目：进入一个工作空间，点击“新建项目”。项目是针对某个具体目标（如一个Web应用、一个移动APP、一个网络范围）的测试容器。项目名称要规范，我建议使用目标名称_测试类型_日期的格式，例如ExampleCorp-WebApp_PenetrationTest_20231027。
3. 项目设置：在项目创建页面，可以设置描述、严重性等级（用于后续漏洞的默认过滤）、以及关联的Jira或GitLab项目（用于集成，后面会讲）。这一步是为后续的流程自动化打基础。

4.2 数据导入：将扫描结果“喂”给Faraday

这是Faraday的日常高频操作。我们以最常见的Nmap和Burp Suite为例。

场景一：导入Nmap扫描结果假设你对192.168.1.0/24网段进行了扫描，并保存了结果scan.xml。

# 在已配置好faraday-cli的测试机上执行 faraday-cli tool run \"nmap扫描内网\" --hosts 192.168.1.0/24 -w \"内部红队演练\" -p \"ExampleCorp-内网资产发现_20231027\" --input-file scan.xml

• tool run：告诉CLI要运行一个工具报告导入。
• \"nmap扫描内网\"：为这次导入任务起个名字，便于在Web界面追溯。
• -w和-p：指定目标工作空间和项目。如果项目不存在，CLI会自动创建。
• --input-file：指定扫描报告文件。

执行后，CLI会解析XML文件，并将主机、开放的端口（如22/SSH, 80/HTTP, 443/HTTPS）、服务版本等信息上传到Server。在Web界面的“主机”和“服务”视图下，你能立即看到一个清晰的资产列表。

场景二：导入Burp Suite漏洞报告Burp通常导出两种格式：XML和HTML。Faraday官方插件主要支持XML。

1. 在Burp的Dashboard或Target站点地图中，右键选择“扫描问题”或“站点地图”，选择“报告问题”。
2. 选择报告格式为XML，并保存文件，如burp_issues.xml。
3. 使用CLI导入：

faraday-cli tool run \"Burp被动扫描\" -w \"外部众测项目\" -p \"ExampleCorp-WebApp_20231027\" --input-file burp_issues.xml

导入后，Burp中发现的所有漏洞（如SQL注入、XSS）都会在Faraday的“漏洞”视图中列出，并自动与之前导入的主机和服务信息关联。

注意事项：不同工具的报告质量参差不齐。Nmap、Nessus这类标准化工具解析效果最好。一些自定义工具的报告可能需要调整。如果导入后发现数据缺失或错乱，第一反应是去检查Faraday的官方插件列表，看是否完全支持该工具版本。必要时，需要查看CLI的详细日志faraday-cli ... --debug。

4.3 漏洞管理与协同：从“发现”到“关闭”

数据导入后，真正的管理工作才开始。假设我们导入了一个“SQL注入”漏洞。

1. 漏洞确认与信息丰富：

   • 在“漏洞”列表中找到它，点击进入详情页。
   • 验证状态：如果漏洞是扫描器自动报告的，你需要手动验证（比如用SQLmap复现一下）。验证属实后，将状态从Opened改为Confirmed，并在“备注”中记录验证步骤和结果。
   • 补充信息：在“描述”字段补充更详细的攻击路径、POC（Proof of Concept）代码、请求/响应示例。可以上传截图或文本文件作为附件。信息越详细，开发人员修复的效率越高。

2. 风险评估与分派：

   • 严重性：Faraday会根据CVSS分数（如果报告中有）给出一个建议等级，但你可以根据业务实际情况调整。例如，一个高危的SQL注入点在外网登录接口，和一个同等级的在需要管理员权限的内网接口，业务风险是不同的。
   • 分派：在“指派给”下拉框中，选择或输入开发负责人的名字（需要该用户已在Faraday中注册）。系统会自动发送邮件通知（需配置邮件服务器）。
   • 设置截止日期：根据SLA（服务等级协议）或项目计划，设置一个合理的修复截止日期。

3. 修复与复测闭环：

   • 开发人员修复后，将漏洞状态改为Fixed，并可能在备注中提交修复的Commit ID。
   • 安全工程师收到通知，进行复测。复测通过，将状态改为Closed，并备注复测方法。复测不通过，则改为Re-opened，并说明原因，重新指派给开发。
   • 整个流程的所有状态变更、备注、附件，都会完整记录在漏洞的“活动日志”中，责任清晰，全程可追溯。

4.4 报表与仪表盘：一目了然的安全态势

管理者最关心的是整体情况。Faraday的“仪表板”和“报告”功能就是为此而生。

• 仪表板：首页的仪表板可以自定义组件，比如“按严重性统计的漏洞数量”、“最近一周新增漏洞趋势”、“各修复责任人未关闭漏洞数量”等。让你对整体安全状况和团队工作量一目了然。
• 生成报告：在项目视图或工作空间视图，点击“导出报告”。Faraday支持生成PDF、Word、Excel等多种格式的报告。报告模板可以自定义，通常包括执行摘要、测试范围、漏洞统计、详细漏洞列表（含POC和修复建议）等。在每次渗透测试或周期性扫描结束后，生成一份这样的报告，是交付给业务方或管理层的标准动作。

5. 高级集成与自动化：释放平台全部潜力

基础功能用熟后，可以通过集成将效率提升一个量级。

5.1 与GitLab/GitHub集成：关联代码与漏洞

这是实现DevSecOps的关键一步。配置后，可以在Faraday的漏洞详情中直接看到相关的代码仓库、文件甚至提交记录。

1. 在Faraday中配置：进入“系统设置” -> “集成”，添加GitLab。
2. 填写信息：需要提供GitLab实例的URL、一个具有仓库读取权限的Access Token。
3. 关联项目：在具体项目的设置中，选择关联的GitLab项目。
4. 效果：当开发人员在修复漏洞时，可以在Faraday中直接点击链接跳转到出问题的代码文件。安全人员在复测时，也可以通过Commit ID快速定位修复代码。

5.2 与Jira/ServiceNow集成：融入企业工单流

如果开发团队使用Jira管理任务，那么将漏洞直接同步为Jira Issue，能极大减少沟通成本。

1. 配置Jira连接：同样在“集成”页面，配置Jira服务器的地址、API Token和项目密钥。
2. 漏洞同步：在漏洞的详情页，点击“创建Jira Issue”。Faraday会自动将漏洞标题、描述、严重性、POC等信息填充到新的Jira Issue中，并建立双向链接。
3. 状态同步（可选）：可以配置Webhook，当Jira Issue状态变更（如“已解决”）时，自动同步回Faraday，更新漏洞状态。

5.3 自动化流水线集成：CI/CD中的安全卡点

对于自动化程度高的团队，可以将Faraday CLI集成到CI/CD流水线中。

场景：每次代码构建后，自动进行SAST（静态应用安全测试）和DAST（动态应用安全测试），并将结果导入Faraday的一个临时项目。如果发现高危漏洞，则自动失败构建并通知负责人。

示例GitLab CI.gitlab-ci.yml片段：

stages: - test - security faraday-import: stage: security image: python:3.9-slim script: - pip install faraday-cli - faraday-cli tool run "CI/CD DAST扫描" -w "CI/CD流水线" -p "$CI_PROJECT_NAME-$CI_PIPELINE_ID" --input-file dast_report.xml # 可以添加脚本，检查本次导入是否引入了新的高危漏洞，并决定是否让任务失败 only: - main - merge_requests

这样，安全左移就不再是一句空话，每一个提交和合并请求都经过了安全门禁的检查。

6. 常见问题排查与性能调优实录

即使部署顺利，在实际使用中也会遇到各种问题。下面是我和团队踩过的一些坑以及解决方案。

6.1 数据导入类问题

问题1：CLI导入报告时卡住或报解析错误。

• 排查思路：
  1. 检查报告格式：首先确认你的报告文件是否完整，没有损坏。尝试用文本编辑器打开XML/JSON文件看看结构。
  2. 检查插件支持：运行faraday-cli plugin list查看已安装的插件。确认你导入的工具在列表中，且版本匹配。例如，Nessus的.nessus文件格式在不同版本间有差异。
  3. 查看详细日志：使用--debug参数运行CLI命令，会输出更详细的解析过程，错误信息通常会指向具体哪一行解析失败。
• 解决方案：
  • 对于已知的格式不兼容，有时需要先用工具自带的导出功能，将报告转换为另一个版本或格式（如Nessus v2格式）。
  • 如果是一个小众工具，考虑为其编写自定义插件。

问题2：导入后，Web界面看不到数据，或者数据不完整（例如只有主机没有漏洞）。

• 排查思路：
  1. 确认工作空间和项目：首先检查CLI命令中的-w和-p参数是否正确。登录Web界面，去对应的工作空间和项目下查看。
  2. 检查导入任务状态：在Web界面的“活动”或“后台任务”栏目（不同版本位置可能不同），查看刚才的导入任务是否成功完成，还是有警告/错误。
  3. 检查网络和权限：确认CLI所在的机器能正常访问Faraday Server的API端口（默认5985），并且使用的账号有向目标工作空间写入数据的权限。
• 解决方案：最常见的错误是项目名写错，导致数据导入到了一个新建的、你没去查看的项目里。使用faraday-cli workspace list和faraday-cli project list命令核对。

6.2 平台性能与使用类问题

问题3：当导入大量扫描数据（如全端口扫描结果）时，Web界面加载变慢。

• 原因分析：Faraday的“主机”视图默认可能会加载所有主机的所有详细信息。当主机数量成千上万时，对数据库和前端都是压力。
• 性能调优：
  1. 数据库索引：确保PostgreSQL数据库表上的索引正常。可以请DBA或查阅文档，对host、service、vulnerability等核心表的常用查询字段（如ip、port、name、severity）建立索引。
  2. 分页与过滤：养成使用过滤器的习惯。在主机或漏洞列表，立即使用IP段、严重性、状态等条件过滤，而不是浏览全部数据。
  3. 定期归档旧项目：对于已经完结很久的项目，可以将其“关闭”或导出备份后，从活跃数据库中移除。Faraday支持将项目导出为压缩包存档。

问题4：团队多人使用时，如何管理权限？

• Faraday的权限模型：
  • 全局角色：管理员、分析师、只读用户等，在“用户管理”中设置。
  • 工作空间权限：这是更细粒度的控制。管理员可以将用户添加到某个工作空间，并赋予“管理员”、“编辑”、“查看”等不同权限。例如，你可以让外包的测试人员只有权访问“外部众测项目”工作空间，并且只能编辑自己创建的漏洞。
• 最佳实践：根据团队结构创建对应的工作空间，并通过工作空间权限来控制访问，而不是给所有人全局管理员权限。

6.3 集成与API类问题

问题5：配置了Jira集成，但创建Issue失败。

• 排查步骤：
  1. 检查网络连通性：从Faraday Server所在机器，尝试curlJira的REST API地址，看是否能通。
  2. 验证API Token：确保在Jira中创建的API Token具有创建Issue和修改Issue的权限，并且没有过期。
  3. 检查项目密钥：确保在Faraday中填写的Jira项目密钥（如SEC）完全正确，且当前用户有在该项目下创建Issue的权限。
  4. 查看Faraday日志：Faraday Server的日志（Docker部署查看容器日志，手动安装查看运行日志）通常会记录集成调用的详细错误信息。

问题6：想通过API批量操作漏洞，该如何做？

• Faraday提供了完整的REST API，文档通常位于http://your-faraday-server:5985/api/v2/docs。你可以使用Python的requests库、curl命令或Postman来调用。
• 常见用例脚本示例（Python）：

  import requests import json FARADAY_URL = "http://localhost:5985" API_KEY = "你的API密钥" # 在Web界面用户设置中生成 WORKSPACE_ID = "你的工作空间ID" session = requests.Session() session.headers.update({'Authorization': f'Token {API_KEY}'}) # 示例：获取所有高危漏洞 response = session.get(f'{FARADAY_URL}/api/v2/ws/{WORKSPACE_ID}/vulns?severity=critical') vulns = response.json() for vuln in vulns: print(f"漏洞ID: {vuln['id']}, 名称: {vuln['name']}, 状态: {vuln['status']}") # 可以在这里编写逻辑，例如批量修改状态 # if vuln['status'] == 'opened': # update_data = {'status': 'confirmed'} # update_resp = session.patch(f'{FARADAY_URL}/api/v2/ws/{WORKSPACE_ID}/vulns/{vuln["id"]}', json=update_data)

  通过API，你可以实现复杂的自动化工作流，比如定期同步外部漏洞情报源的数据到Faraday。

7. 个人实战心法与进阶建议

用了几年Faraday，它已经成为我们团队安全运营不可或缺的一部分。最后分享几点超越官方文档的实战心得：

1. 命名规范是高效协作的前提。混乱的项目和漏洞名称是灾难的开始。我们团队强制要求：

• 工作空间命名：[团队/业务线]-[环境]，如CloudTeam-Prod,AppTeam-Dev。
• 项目命名：[目标系统]-[测试类型]-[日期]，如PaymentGateway-APISecurityTest-20231027。
• 漏洞标题：尽量使用[漏洞类型]@[位置]的格式，如SQLi@/api/v1/user/login,XSS-Reflected@/search?q=。这样在列表视图一目了然。

2. 善用“标签”功能进行多维分类。除了严重性、状态这些固定字段，Faraday的“标签”功能非常灵活。我们用它来标记：

• 攻击路径：如initial-access,privilege-escalation。
• 技术栈：如java-spring,nodejs-express。
• 合规要求：如PCI-DSS-6.5.1,GDPR。
• 冲刺周期：如sprint-22。 后期可以通过标签快速过滤出所有与“Spring框架特权提升”相关的漏洞，用于专项分析或复盘。

3. 建立团队的“漏洞知识库”。Faraday的“漏洞模板”功能常被忽略。对于常见的、反复出现的漏洞类型（如某框架特定的配置错误），不要每次都从头编写描述、复现步骤和修复建议。可以创建一个详细的漏洞模板，包含标准的POC、参考链接、修复代码示例。下次再遇到同类漏洞，直接应用模板，效率提升不止一倍，也保证了交付给开发人员的修复建议质量一致。

4. 定期进行数据“健康度”检查。每隔一个季度，可以花点时间看看：

• 僵尸漏洞：有没有状态一直是Opened但无人问津超过SLA时限的漏洞？需要重新评估或升级。
• 数据一致性：由于多次导入，是否存在重复的主机或服务记录？可以适当清理。
• 用户活跃度：哪些账号很久没登录了？权限是否需要回收？
• 集成有效性：Jira、GitLab的Token是否即将过期？集成是否还正常工作？

这些维护工作能让Faraday这个“中枢系统”长期稳定、高效地运转，真正成为提升团队安全水位和运营效率的利器，而不是另一个被遗忘的软件。从零开始，把它用起来，再根据你的团队工作流慢慢打磨，你会发现管理漏洞这件事，终于变得清晰、有序且可控。