漏洞扫描设备

去年秋天，漏洞我帮一家做跨境电商的扫描设备朋友看他们服务器的安全状况。登录后台一看，漏洞日志里密密麻麻全是扫描设备来自全球各地的扫描记录——平均每天两千多次。朋友一脸茫然：“我这小破站也有人盯？漏洞”我说，你不是扫描设备被盯上了，你是漏洞被“路过”了。互联网上有一类设备，扫描设备干的漏洞就是挨家挨户敲门的事，它们叫漏洞扫描设备。扫描设备

这东西本质上就是漏洞一台装了专业软件的服务器或硬件盒子。它的扫描设备工作方式很朴素：拿着一个庞大的漏洞特征库，对着目标IP逐个端口发探测包，漏洞看对方怎么回应。扫描设备比如，漏洞它给80端口发一个构造过的HTTP请求，如果返回的banner里带着“Apache/2.4.49”，它就知道——这个版本有路径穿越漏洞，CVE-2021-41773，能直接读服务器上的任意文件。整个过程几秒钟，比人翻手册快得多。

但别把它想得太智能。扫描器不是黑客，它不会“思考”怎么攻破你。它更像一个拿着清单的质检员，逐项打勾：端口开没开、服务版本是多少、有没有匹配到已知漏洞的指纹。匹配上了就报警，匹配不上就跳过。所以经常出现误报——某个中间件版本号没更新，但厂商早就打了补丁，扫描器照样亮红灯。我见过运维半夜被叫起来处理“高危漏洞”，结果查了半天发现是扫描器把版本号读错了。

实际部署的时候，位置很关键。放在外网，扫的是暴露面，能看见哪些端口不该开却开着，哪些老版本服务还在跑。放在内网，扫的是横向移动的风险——比如某台测试机还留着弱口令，一旦被人摸进来，这就是跳板。有个做金融的客户，外网扫描干干净净，内网一跑，三十多台机器还在用已经停止维护的CentOS 6，OpenSSL版本老得能进博物馆。这种问题，不扫根本不知道。

扫描频率也是个学问。天天扫，运维烦，误报看多了就麻木了，真漏洞反而被忽略。一个月扫一次，又可能漏掉新爆出来的高危漏洞——比如Log4j那种，从披露到被大规模利用也就几天时间。我的习惯是：外网资产每周一次全量，内网每月一次，遇到重大漏洞爆发，临时加扫。扫描策略也得调，别一上来就开全端口扫描，那动静太大，防火墙和IDS会把你当攻击源给封了。

说到动静，就得提扫描器的“隐蔽模式”。有些设备支持慢速扫描，把发包间隔拉长，避免触发告警。但这招对运维来说是把双刃剑——你自己扫得慢，攻击者扫得可快。所以别指望靠隐蔽扫描来“悄悄发现问题”，该有的防护设备一样不能少。扫描器是体检仪，不是防弹衣。

最后说个真事。前阵子有个客户买了台扫描设备，装完就没管过。半年后我问他扫出什么了，他打开一看，报告积了几百份，最早的一份里标着三个高危漏洞，其中两个后来被实际利用了。设备没毛病，是人的问题。漏洞扫描器这东西，买回来只是开始，真正值钱的是有人盯着报告去修。不然它就只是个嗡嗡响的盒子，除了费电，什么也拦不住。

很赞哦!（64）