去年冬天，主机我帮一家做跨境电商的漏洞朋友处理过一次应急响应。攻击者从他们一台边缘节点的扫描Redis服务进来，利用未授权访问写入SSH公钥，工具然后横向移动到内网数据库。主机事后复盘，漏洞最让人难受的扫描不是漏洞本身有多复杂，而是工具这个Redis版本三年前就被扫描器标记过——他们没装。这件事让我重新审视主机漏洞扫描工具的主机价值：它不解决所有问题，但能拦住大量“本可以避免”的漏洞入侵。

主机漏洞扫描工具干的扫描事，说白了就三步：识别主机上装了什么、工具跟漏洞库比对、主机输出报告。漏洞听起来简单，扫描但实际落地时差异巨大。以Nessus为例，它的插件库超过20万条，覆盖CVE、配置合规、弱口令检测。OpenVAS（现在叫Greenbone）走的是开源路线，社区喂数据，更新频率不如商业产品稳定。国内像Xray、Goby这类工具，偏向Web层面，主机层的深度检测相对弱一些。选工具时别只看“支持多少漏洞”，得看它对目标系统的识别精度——比如能不能准确区分CentOS 7.6和7.9，因为同一个CVE在不同小版本上的利用条件可能完全不同。

扫描方式分两类：认证扫描和非认证扫描。非认证扫描就是从外部探测端口、服务 banner、响应特征，速度快但误报率高。认证扫描需要提供SSH或SMB凭据，登录到目标主机上直接读包版本、配置文件、注册表，准确得多。我见过不少团队只做非认证扫描，报告里一堆“疑似漏洞”，运维根本没法处理。认证扫描的代价是要管理凭据，安全团队得跟运维协调权限，但这一步省不得。

扫描频率是个容易被拍脑袋决定的参数。有人设每周一次，有人设每月一次。我的观察是：核心生产环境每周扫一次，但别在业务高峰期跑；开发测试环境可以每天扫，因为变更频繁。关键是扫描策略要分层——快速扫描只查高危端口和已知严重漏洞，全量扫描放在维护窗口做。Nessus的“Scan Policy”里可以调并发线程数和超时时间，设得太激进会把老旧设备扫挂。我亲身经历过一次：扫描器并发调到50，直接把一台老交换机的管理接口打死了，恢复花了半小时。

报告出来之后才是真正的工作。工具给的CVSS评分只能参考，得结合资产重要性做优先级。一台对外暴露的Nginx服务器上的中危漏洞，可能比内网测试机上的高危漏洞更紧急。我习惯让团队把漏洞分成四类：立即修（对外暴露+可远程利用）、本周修（内网核心资产+高危）、计划修（低危+非核心）、忽略（误报或已有补偿控制）。别指望工具自动帮你排好，它不知道你的网络拓扑和业务依赖。

最后说个容易被忽略的点：扫描器本身也是攻击面。Nessus、OpenVAS这些工具的管理接口如果暴露在公网，或者用了默认口令，就成了攻击者的跳板。我见过一台扫描器被入侵后，攻击者拿到所有被扫主机的凭据，直接团灭。所以扫描器的部署位置、访问控制、日志审计，跟它扫出来的漏洞一样重要。工具是死的，用工具的人得时刻清醒。

(责任编辑：百科)