网络安全网站有哪些

工信部官网的网络网站“网络安全”栏目里，每周都会更新一批被通报的安全App名单。我上个月查一个天气软件，网络网站发现它因为违规收集设备信息被点名了。安全这种事搁五年前，网络网站普通人根本不知道去哪儿查。安全现在好歹有个地方能翻翻，网络网站虽然页面设计得跟二十年前的安全政府网站差不多。

说正题。网络网站国内能称得上“网络安全网站”的安全，大概分几类。网络网站第一类是安全官方监管机构。除了刚才说的网络网站工信部，还有国家互联网应急中心（CNCERT），安全网址是网络网站cert.org.cn。这个网站有意思的地方在于，它会发布每周网络安全态势报告，里面能看到僵尸网络、木马活动的具体数据。我去年写过一篇关于DDoS攻击的稿子，就是从这个网站的周报里挖到不少素材。另外，公安部网络安全保卫局的网站也值得关注，不过它的更新频率不高，更多是政策层面的东西。

第二类是漏洞信息平台。提到这个，绕不开国家信息安全漏洞共享平台（CNVD），网址是cnvd.org.cn。搞安全的人对这个网站又爱又恨——爱的是它汇总了国内外大量漏洞信息，恨的是有些漏洞披露得太快，厂商补丁还没出，攻击者已经拿着细节去扫资产了。我认识一个做渗透测试的朋友，他每天早上第一件事就是刷CNVD的更新列表，用他的话说，“比刷微博还勤快”。国外对应的有CVE和NVD，但CNVD对国内软件漏洞收录更全，尤其是那些只在中文环境下用的CMS系统。

第三类是民间安全社区。FreeBuf和安全客算是目前活跃度比较高的两个。FreeBuf偏资讯和工具分享，文章质量参差不齐，有些是厂商软文，有些是真实攻防案例复盘。安全客更偏向技术深度，但更新频率不如前者。这两个网站我都注册过账号，后来发现评论区比正文有意思——经常有人在里面争论某个漏洞的利用条件，吵着吵着就甩出POC代码。这种氛围在纯官方渠道里看不到。

第四类是厂商自己的安全响应中心。比如腾讯的TSRC、阿里的ASRC，这些网站主要是给白帽子提交漏洞用的。普通用户一般不会去，但如果你发现自己用的某款产品有安全问题，提交到对应SRC比在微博上@官方账号管用得多。我试过一次，提交后三天收到回复，虽然最后只给了个“感谢”和积分，但至少确认了问题被处理。

还有一类容易被忽略——各大高校的网络安全实验室网站。比如清华的NISL实验室、中科大的网络安全学院，它们会发布一些学术论文和开源工具。这类网站更新慢，但内容扎实。我下载过一个流量分析工具，代码写得比GitHub上很多热门项目都干净。缺点是没有客服，遇到问题只能自己啃文档。

最后提一个我经常用的：站长工具旗下的“安全检测”页面。它不算严格意义上的网络安全网站，但能快速检测网站是否被挂马、有没有异常跳转。对个人站长来说够用了。当然，别指望它能发现0day漏洞，那得靠专业扫描器。

这些网站各有各的用处。官方渠道权威但更新慢，民间社区活跃但信息真假混杂，厂商SRC响应快但覆盖面有限。我的习惯是：日常刷FreeBuf和CNVD，遇到具体问题查CNCERT周报，提交漏洞走SRC。至于那些付费的威胁情报平台，除非公司报销，否则个人没必要碰——免费渠道的信息已经够多了，关键看你会不会筛。