好用的漏洞扫描工具

我用过不少漏洞扫描器，好用从开源的漏洞扫OpenVAS到商业的Nessus，再到云原生的描工Trivy。说实话，好用工具这东西，漏洞扫真不是描工越贵越好，关键看你怎么用。好用今天说三个我实际工作中觉得真正好用的漏洞扫，以及它们各自的描工脾气。

第一个必须提Nessus。好用别嫌它老派，漏洞扫这玩意儿在深度扫描上依然是描工老大哥。去年我帮一个客户排查内网，好用他们自己用某国产工具扫了三轮，漏洞扫只报了几个中危。描工我拿Nessus默认策略跑了一晚上，直接翻出两个可直接利用的远程代码执行漏洞，一个是Weblogic的反序列化，一个是旧版Jenkins的未授权访问。客户当时脸都绿了。Nessus的插件库更新快得离谱，零日漏洞出来没几天它就有检测方案了。缺点也明显——贵，而且吃资源。你拿台破笔记本跑全端口扫描，能卡到你怀疑人生。

要是你预算有限，又不想用盗版，OpenVAS是条活路。它免费，开源，而且扫描能力并不差。但我要泼盆冷水——这玩意儿配置起来能劝退新手。你得调凭证、调网络、调扫描策略，稍不留神就给你扫出一堆误报。有一回我拿它扫自己搭的靶机，它把Apache的默认页面报成信息泄露，我点开一看，好家伙，就是那个“It works!”的测试页。不过话说回来，只要你能忍受它的糙，OpenVAS的社区报告写得挺细，每个漏洞都给你链接到CVE数据库，方便你写报告交差。

到了云原生时代，容器和K8s成了主流，传统扫描器就有点水土不服了。这时候Trivy是我的首选。它轻量，一个二进制文件扔服务器上就能跑，扫描镜像漏洞速度快得惊人。我这边刚把镜像push到私有仓库，那边CI流水线里Trivy已经扫完并拦下了带高危漏洞的镜像。它还能扫IaC文件，比如Terraform模板里如果开了SSH密码登录，它会直接给你标红。这功能救过我一次——有次同事写的ECS配置忘了关公网访问，Trivy在代码阶段就发现了，省了云账单上的一笔冤枉钱。

说句掏心窝子的话，工具选型这事，别迷信“全能”。Nessus适合传统数据中心深度巡检，OpenVAS适合预算紧张但想练手的团队，Trivy则是云原生开发的标配。我见过有人拿Nessus去扫容器镜像，慢得像蜗牛爬，也见过有人拿Trivy去扫整个内网段，结果一堆协议识别不出来。工具是死的，场景是活的。

最后提醒一句，再好的扫描器也只是辅助。你扫出漏洞不算本事，能推动业务方去修复才算。我每次出报告，都会把漏洞按可利用性和资产重要性重新排序，而不是直接甩一份几百页的原始报告。不然你猜开发同事会不会在心里骂你？