脆弱性扫描原则上应不少于多久一次？脆弱次我的答案是：核心业务系统，每周一次；外围系统，性扫每月一次；如果有重大变更或新漏洞爆发，描原立即加扫。则上这不是少于拍脑袋，是多久拿教训换的。

去年某银行客户，脆弱次季度扫描雷打不动，性扫中间三个月风平浪静。描原结果呢？则上一个Apache Log4j2的漏洞，从爆出到被利用不到72小时。少于他们的多久扫描周期是90天，等扫描器跑完，脆弱次攻击者早把数据拖走了。性扫后来排查发现，描原漏洞其实在爆出当天就存在，只是没人知道——因为没人扫。

你看，脆弱性扫描的本质不是“合规动作”，而是“暴露面管理”。攻击者不会等你的扫描周期，他们24小时在扫你。你的扫描频率如果低于攻击者的探测频率，就等于把门开着，只是自己假装看不见。

有人会问，每周扫一次，运维压力大不大？确实大。扫描器跑起来，带宽占用、误报处理、人工验证，都是成本。但换个角度想，一次严重漏洞被利用的平均损失，够你买十年扫描工具。更别说数据泄露后的监管罚单、声誉损失，那才是无底洞。

我自己管过一套上千台服务器的环境，最初按季度扫，后来改成每周。头两次扫出一堆“存量漏洞”，处理完就清爽了。之后每周扫，新漏洞基本在个位数，半天就能清完。反而是那种“攒三个月一起扫”的模式，每次都是几百个漏洞堆着，团队疲于奔命，还容易漏掉真正危险的。

这里有个细节你可能没意识到：脆弱性扫描的“周期”不应该是固定死的。比如你上了个新应用、改了防火墙策略、升级了核心组件，这时候哪怕昨天刚扫过，今天也得再扫。因为变更就是引入风险的最大入口。

还有一类特殊时间点——漏洞公开披露当天。Log4j、Struts2、WebLogic，哪个不是爆出来就被批量利用？别等厂商补丁，先扫描确认自己是否受影响，这是最低成本的止损动作。我见过不少团队，漏洞爆出后第一反应是“等官方公告”，结果错过了黄金48小时。

说句实在话，很多企业把扫描当“作业”交差，扫完导出报告就完事。这没用。扫描的价值在于“持续发现-验证-修复-复扫”的闭环。频率太低，闭环就断了。就像量血压，你一年量一次，能防住心梗吗？

所以我的原则很简单：核心资产每周扫，非核心每月扫，变更和应急事件随时扫。如果你连这个频率都做不到，那至少把核心业务系统单独拎出来，单独设短周期。

最后补一句，扫描工具再贵，也比不上一次事故的零头。频率不是成本，是保险。你买保险会嫌贵吗？