定期漏洞扫描或渗透测试

去年秋天，定期一个做电商的漏洞朋友半夜给我打电话，声音发紧。扫描试他们的或渗用户数据库被人拖了，五万多条订单信息挂在境外论坛上叫卖。透测我问他上次做安全测试是定期什么时候，他沉默了几秒，漏洞说“前年上线那会儿扫过一次”。扫描试这种事我见得太多，或渗几乎成了固定剧本——出事之前觉得扫描是透测浪费钱，出事之后恨不得把整个机房翻个底朝天。定期

漏洞扫描和渗透测试不是漏洞一回事，但很多人混着用。扫描试扫描更像拿个体温枪到处测，或渗看哪儿有已知的透测发烧点。它跑一遍，告诉你“这台服务器开着22端口”“这个WordPress版本有CVE编号”。快，便宜，能覆盖一大片资产。但体温枪测不出一个人是不是刚跑完马拉松，也看不出他心里藏着什么坏念头。渗透测试就野多了。测试的人会真去撬门、翻窗、伪装成送外卖的混进后台。他可能花三天时间只为了从一个被遗忘的测试账号摸进内网，然后横向跳到财务系统。扫描告诉你“这里有把锁”，渗透测试直接证明“我能打开它，而且你电脑里的东西我已经拷走了”。

我见过一家公司买了扫描器，每周自动跑，报告绿油油一片，结果渗透测试第一天就被拿下域控。原因很蠢——扫描器只扫了对外IP，内网那台存着所有密码的旧服务器压根没在资产列表里。资产清点是安全的地基，连自己有什么东西都不知道，扫个寂寞。

频率这事没有标准答案。我自己的习惯是：面向公网的业务，扫描至少每周一次，渗透测试每季度一次，遇到大版本上线或者架构调整，临时加测。内部系统可以松一点，但别松到一年一次。攻击者不会按你的排期来。有个客户做在线教育的，每年寒暑假前固定做渗透测试，因为那是流量高峰，也是黑产盯得最紧的时候。这个节奏就挺聪明。

选工具还是选人？工具要买，但别迷信。Nessus、AWVS、xray这些我都用过，各有各的脾气。xray被动扫描很舒服，挂代理就能跑；AWVS扫Web漏洞准，但误报也不少。关键是有人看得懂报告。我见过运维把扫描结果直接扔给开发，开发回一句“这是误报”就关掉了。后来那个“误报”被真实利用，成了入口。渗透测试更依赖人。一个靠谱的测试者，他的经验、直觉、甚至偷懒的方式，都比工具值钱。他会在你系统里留下一个webshell，然后告诉你“我三天前就进来了，你们没人发现”。这种冲击力，比一百页扫描报告都管用。

成本方面，扫描器一年几万到几十万都有，渗透测试按人天算，国内中等水平的团队一天三五千起步。听起来不便宜，但对比一下：一次数据泄露的平均成本，IBM那份报告说是四百多万美元。小公司可能觉得这数字离自己远，那就想想客户流失、平台罚款、以及你半夜被电话吵醒时那种胃往下沉的感觉。

别指望一次测试就万事大吉。修完这次发现的漏洞，下个月新代码上线又可能带出新的。安全是个持续动作，不是一张证书。我习惯在每次渗透测试结束后，让团队把修复过程也记录下来，下次测试时专门盯着这些点打。有时候修得不对，反而会引入新问题。比如有人为了防SQL注入，把所有输入都转义了，结果把正常的搜索功能搞崩，用户搜“O‘Brien”直接报错。

最后说个实在的。如果你预算有限，先做资产梳理，再买个靠谱的扫描器定期跑，然后每年至少做一次渗透测试。找人的时候别只看报价，问问他上次在真实环境里拿到域控是什么时候。如果对方支支吾吾，换一家。安全这事，糊弄自己最要命。