漏洞掃描≠一次性掃描報告。它是持續、自動化、全覆蓋的安全衛生習慣。本文依據專家實踐，梳理掃描分類、工具選型、運營流程與避坑指南。
為什麼要持續掃描？
- 網絡是動態實體：新系統上線、舊系統下線、補丁安裝、配置變更、新漏洞每日披露（CVE 日均 50+）。
- 內網同樣需掃描：內部威脅（惡意員工、受感染終端）、錯誤配置、影子 IT、未授權服務。
- 合規要求：等保 2.0、PCI-DSS、GDPR、ISO 27001 均要求定期漏洞評估。
三大掃描器類別與代表工具
| 類別 | 用途 | 代表工具 | 適用場景 |
|---|
| 網絡掃描器 | 發現存活主機、開放端口、服務版本、配置弱點、缺失補丁 | Nessus、OpenVAS、Qualys、Rapid7 InsightVM、GFI LanGuard、Retina、SAINT | 全網資產發現、合規基線檢查、補丁管理驗證 |
| 端口掃描器 | 快速探測目標開放端口、服務 Banner、作業系統指紋 | Nmap (跨平台)、SuperScan (Win)、Masscan (高速)、Unicornscan、ZMap | 滲透測試偵察、防火牆規則驗證、暴露面管理 |
| Web 應用掃描器 | 針對 Web 應用業務邏輯、輸入驗證、認證授權、會話管理等漏洞（OWASP Top 10） | Burp Suite Pro、OWASP ZAP、Acunetix、Invicti (Netsparker)、AppScan、Nikto、w3af | 上線前/定期 Web 應用安全測試、DevSecOps 流水線集成 |
漏洞掃描全生命週期運營流程
- 規劃與授權：簽署授權書、確定範圍/時間窗/頻率/緊急停止條件、通知業務方。
- 資產發現與分組：被動/主動發現 → CMDB 同步 → 按業務關鍵度分級（核心/重要/一般）。
- 策略配置：
• 認證掃描（SSH/WinRM/SNMP/資料庫/應用登入）→ 深度檢測補丁/配置/弱口令。
• 非認證掃描 → 僅暴露面視角。
• 插件/腳本更新至最新。
• 排除脆弱系統（老舊設備、醫療設備、工控系統）或掃描窗口隔離。
- 執行掃描：分批次、分時段、限速（避免業務影響），記錄掃描日誌。
- 結果分析與去偽存真：
• 按 CVSS≥7.0/可利用性/業務影響分級。
• 手工驗證高危/關鍵漏洞，排除誤報。
• 關聯威脅情報（是否有 EXP/在野利用/勒索軟體關聯）。
- 修復追蹤閉環：
• 生成工單分配至資產擁有者，SLA：Critical 24h、High 72h、Medium 2 周、Low 30 天。
• 驗證修復：重掃驗證、補丁日誌、配置審計。
• 例外管理：業務不可修復風險 → 風險接收簽署、補償控制措施、定期複審。
- 報告與度量：高管摘要（風險趨勢、合規狀態）、技術報告（明細、修復建議）、KPI（平均修復時間 MTTR、漏洞重開率、覆蓋率）。
- 持續改進：納入新資產、更新掃描模板、優化誤報規則、整合 CI/CD (SAST/DAST/SCA)。
專家避坑指南
- ❌ 只掃一次、掃完不管 → ✅ 納入例行運營（周/月/季），變更觸發增量掃描。
- ❌ 僅依賴非認證掃描 → ✅ 核心資產 100% 認證掃描，才能看到缺失補丁/弱配置。
- ❌ 掃描器版本/插件舊 → ✅ 掃描前必更新插件庫，否則最新 CVE 全盲區。
- ❌ 報告堆積不修復 → ✅ 建立 SLA + 負責人 + 自動化工單流程，MTTR 納入 KPI。
- ❌ 工具替代人腦 → ✅ 工具發現漏洞，專家研判風險、業務影響、修復優先級、補償措施。
- ❌ 忽略內網/雲/容器/物聯網 → ✅ 全資產覆蓋：內網分段掃描、雲資產 API 同步掃描、容器鏡像掃描 (Trivy/Clair)、IoT 協議掃描。
工具選型決策樹（簡化版）
需要掃描 Web 應用業務邏輯漏洞？
├─ 是 → Burp Suite Pro (專家手工+自動) / Acunetix / Invicti (自動化優) / ZAP (免費開源)
└─ 否
需要全網資產發現、補丁合規、配置基線？
├─ 是 → Nessus (商業標杆) / OpenVAS (開源) / Qualys/Rapid7 (SaaS/雲原生)
└─ 否
僅需快速端口/服務探測？
├─ 是 → Nmap (瑞士軍刀) / Masscan (極速)
└─ 否 → 明確需求再選型
漏洞掃描器是「體檢儀」，醫生是你。善用工具、精準研判、推動修復、度量效果，才是安全團隊的核心價值。