等保测评为什么做漏洞扫描

《等保测评为什么做漏洞扫描》

去年帮一家三甲医院做等保复审，等保洞扫信息科主任老周跟我抱怨：“我们防火墙、测评WAF、做漏堡垒机全上了，等保洞扫渗透测试也过了，测评为什么测评机构还非要我扫漏洞？做漏这不是重复劳动吗？”我让他把最近一次漏洞扫描报告翻出来，指着其中一条Apache Log4j2的等保洞扫远程代码执行漏洞问他：“你这套系统里有个老版本的日志组件，防火墙拦得住HTTP请求，测评但拦得住JNDI注入吗？做漏”他愣了几秒，没再说话。等保洞扫

漏洞扫描在等保测评里从来不是测评可有可无的环节。等保2.0的做漏测评指标里，安全计算环境这一块明确要求“应能发现可能存在的等保洞扫已知漏洞，并在经过充分测试评估后，测评及时修补漏洞”。做漏这句话的潜台词是：你得证明自己有能力发现漏洞，而不是等别人来捅你。测评机构拿着扫描器跑一遍，出来的报告就是最直接的证据。没有这份证据，测评师没法判断你的系统到底是在“裸奔”还是穿了防弹衣。

很多人把等保测评和渗透测试混为一谈。渗透测试是模拟黑客攻击，靠的是测试人员的手法和经验，能挖出逻辑漏洞和业务缺陷；漏洞扫描是自动化工具批量比对已知漏洞库，拼的是覆盖面和时效性。两者互补，但替代不了。我见过一个电商平台，渗透测试报告写得天花乱坠，说“未发现高危漏洞”，结果漏洞扫描一跑，Struts2的S2-045漏洞赫然在列——渗透测试人员没往那个参数上打，扫描器却不会漏掉任何一个已知CVE。

等保测评的评分逻辑也决定了漏洞扫描必须做。测评结论分优、良、中、差，漏洞数量直接挂钩扣分项。一个高危漏洞可能就把“良”拉到“中”，整改周期从三个月变成一个月。更现实的是，很多单位做等保是为了过监管检查，而监管抽查时第一个看的就是漏洞扫描报告和修补记录。你拿不出最近三个月的扫描报告，人家默认你根本没在管安全。

还有个容易被忽略的点：漏洞扫描能暴露资产梳理的盲区。我接触过一家制造企业，信息科以为内网只有二十台服务器，扫描器一开，冒出来三十多台——有些是车间自己接的工控机，有些是离职员工留下的测试机。这些“影子资产”不在等保备案清单里，却连着生产网。测评师看到扫描结果直接开了不符合项，理由很简单：你连自己有多少资产都没搞清楚，谈何保护？

当然，漏洞扫描不是万能的。它误报率高，有时候扫出一堆“疑似漏洞”，实际环境根本触发不了。但等保测评要的不是零误报，而是可验证的流程。你扫描了、分析了、修补了、复测了，这一套动作走完，测评师就认。怕的是你连扫都不扫，或者扫完报告往抽屉里一塞，等到测评前一天才想起来补。那种临时抱佛脚的扫描报告，时间戳和修补记录对不上，测评师一眼就能看穿。

老周后来还是做了漏洞扫描，扫出两个中危漏洞，一个弱口令，一个未授权访问。修补完之后他跟我说：“原来以为防火墙是铜墙铁壁，结果扫描器一照，全是针眼。”这话糙理不糙。等保测评里的漏洞扫描，干的就是拿放大镜找针眼的活。针眼不补，铜墙铁壁也是纸糊的。