主机漏洞扫描软件，常用到底该选谁？主洞扫

我见过太多运维同事，电脑里装了三四个扫描器，机漏件真到用的描软时候却一个都拿不准。漏洞扫描这事儿，常用工具不在多，主洞扫在于你懂不懂它看世界的机漏件角度。

Nessus是描软绕不开的老大哥。它的常用插件库更新快到让人头皮发麻，昨天爆出的主洞扫漏洞，今天早上就能扫出来。机漏件我曾在一次应急响应里靠它抓到了内网里一台被植入后门的描软Windows服务器——那台机器其他扫描器都报“干净”，只有Nessus凭着一个异常注册表项的常用组合判断给出了警告。它的主洞扫报告详细得近乎啰嗦，但正是机漏件这种啰嗦，让新手也能看懂“这里为什么危险”。缺点也明显：贵，且对硬件要求不低。个人练手的话，免费版限制太多，扫个自家小网络都憋屈。

OpenVAS是Nessus当年开源的“叛逆之子”。界面丑得像2008年的网页，但胜在免费且能自己折腾。我有个朋友在军工单位，所有商业扫描器都不让用，就靠OpenVAS搭了个内部漏洞管理平台，配合CVE库做二次开发，反而比外面买的还顺手。它的问题在于配置复杂，默认策略扫出来的误报率偏高，你得花时间调校。如果你只想“扫一下看看”，它可能会用几百页报告淹没你，真正有价值的几条反而藏得深。

如果你管的是清一色的Windows环境，那MS16-032这类漏洞用微软自家的Microsoft Baseline Security Analyzer（MBSA）反而更直接。它不玩虚的，专扫补丁缺失和错误配置。我见过一个老网管，不装任何第三方工具，就靠MBSA每周末跑一遍，把公司两百多台PC管得服服帖帖。可惜微软早就停止更新了，对新系统的支持约等于零——这工具现在只能算个情怀。

还有一类轻量级选手，比如Nikto和Wapiti，专攻Web层面。Nikto扫目录和文件的速度快得惊人，但它只查“已知坏东西”，对逻辑漏洞毫无办法。有一次我拿它扫一个自研系统，报告显示全绿，结果用Burp Suite手动测了两分钟，就发现一个越权接口能直接拉取所有用户手机号。所以这类工具适合做前期踩点，千万别当唯一依据。

说句实在话，工具选型要看你的环境是“稳”还是“活”。银行、电力这些资产固定、变更缓慢的行业，Nessus或OpenVAS定期扫就够了。但互联网公司一天上线十几个版本，扫描器只能帮你抓漏网之鱼，真正的安全得靠代码审计和流量监测。

我自己的习惯是：Nessus做月度深度体检，OpenVAS跑每周快速巡检，遇到Web应用改动就手动用Nikto加Burp过一遍。三个工具互相打掩护，比迷信任何一个都靠谱。扫描软件不是保险箱，它只是手电筒——照到哪里，你才看得到哪里。