漏洞扫描服务

扫描的层次

主机漏洞扫描：系统补丁、开放端口、服务版本漏洞（Nessus 是行业标杆，OpenVAS 免费替代）；Web 漏洞扫描：OWASP Top 10 视角（SQL 注入、XSS、文件上传、越权——AWVS、绿盟 WebScan）；基线核查：配置是否合规（密码策略、日志开启、默认账户——等保基线检查工具）；弱口令专项：SSH/RDP/数据库/后台的弱密码爆破检测（每年攻破事件一半起点是弱口令）。扫描 ≠ 渗透测试：扫描是自动化广度体检，渗透是人工深度的定向攻击模拟——等保和监管要求的是扫描+渗透配合。

执行节奏与闭环

节奏：新系统上线前必扫、每月常规扫、重大补丁发布（如 Log4j 这类核弹级漏洞）专项紧急扫、渗透测试半年到一年一次。闭环管理是灵魂：扫描报告→漏洞定级（CVSS 评分+业务影响评估）→修复排期（高危 7 天内、中危 30 天）→修复验证（复扫确认）→报告归档。只扫不修是自欺欺人——很多企业买扫描服务交差，报告躺在邮箱里当装饰，漏洞一直在。修复优先级技巧：暴露在公网的高危 > 内网高危 > 公网中危——「能被外面直接打的」永远先修。

工具与实操坑

工具矩阵：付费（Nessus、AWVS、绿盟 RSAS）+免费（OpenVAS、Nuclei、Xray 社区版）组合用。实操坑：①扫描会打挂脆弱系统（老旧应用被扫描请求打崩——生产扫描用「安全模式」低强度+业务低峰）；②误报 handling（扫描器报的漏洞 30%~50% 需人工确认，盲改配置反而出故障）；③授权边界（扫自己的系统，扫别人=违法——刑法 285 条不是玩笑，委托渗透测试必须有书面授权）。云厂商的免费午餐：阿里云/腾讯云的安全中心基础版提供主机漏洞检测+基线核查，中小企业先用起来。