去年有个客户，漏洞服务器被挖矿木马占了整整三天，扫描运维团队愣是服务方案没发现。CPU跑满，漏洞他们以为是扫描业务高峰。直到云厂商打电话过来说流量异常，服务方案才慌了神。漏洞事后复盘，扫描问题出在一个两年前就该打补丁的服务方案Struts2漏洞上。这种事我见得太多了——不是漏洞缺安全设备，是扫描缺一双定期帮你看一眼的眼睛。

漏洞扫描服务干的服务方案就是这个活。它不神奇，漏洞也不玄乎，扫描本质就是服务方案一套自动化工具加上人的判断，定期对你的IP段、域名、Web应用做一遍体检。跟人每年做胃镜一个道理，你不查，不代表胃里没毛病。

扫什么，怎么扫

扫描对象通常分三层。网络层扫开放端口和弱口令——很多公司觉得内网安全，结果Redis直接暴露在公网、3306端口密码是123456，这种事一抓一大把。应用层扫Web漏洞，SQL注入、XSS、文件上传这些老面孔年年上榜，不是它们多高明，是开发赶进度时压根没管。主机层扫系统补丁和配置缺陷，比如没关的SMB、过期证书、权限过大的服务账户。

扫描方式分两种。认证扫描能登录进系统，看得深，能发现具体哪个包版本有问题；非认证扫描从外面看，模拟攻击者视角，看到的是真正暴露在外的攻击面。两种都得做，只做一种等于体检只量身高不验血。

频率上，我一般建议客户：互联网暴露面每月一次，内网核心资产每季度一次，重大漏洞爆发时（比如Log4j那种级别）48小时内加扫一轮。别指望扫一次管一年，漏洞这东西是动态的，今天没问题的组件明天可能就爆出新CVE。

扫完之后才是重点

很多团队把扫描报告当终点，导出PDF往群里一扔就完事。这份报告大概率没人看。真正有用的做法是：扫描结果必须过一遍人工验证，把误报筛掉，按资产重要性和漏洞可利用性排优先级。一个边缘测试机的低危漏洞和一个核心支付系统的中危漏洞，哪个先修？显然是后者。

我见过做得好的团队，扫描结果直接对接Jira工单，高危漏洞自动分配给对应开发，修复时限卡死。也见过做完扫描把报告锁进柜子里的，下次出事再拿出来看——已经晚了。

选服务时盯住三个点

一是扫描器够不够全。单一引擎漏报率很高，好的服务商会用多引擎交叉验证。二是报告能不能落地。别给我一堆CVSS评分就完事，告诉我这个漏洞在哪个IP的哪个端口、利用难度多大、修复命令是什么。三是会不会帮你复测。修完不验证，等于没修。有些服务商扫完就撤，复测另收费，这种合作起来很累。

价格方面，一个C段IP的月度扫描，市场上从几百到几千都有。差别在引擎质量、人工分析深度和响应速度。太便宜的，大概率是拿开源工具跑一遍自动出报告，误报率能到40%以上，反而浪费你排查时间。

说到底，漏洞扫描不是万能药。它发现不了逻辑漏洞，也防不住0day。但它能帮你把已知的、低成本的攻击路径堵死。攻击者也是挑软柿子捏，你比隔壁公司多修几个高危漏洞，他就去隔壁了。安全这事，不用做到完美，做到比大多数人强就行。