主机漏洞扫描软件

去年冬天，主机我帮一家做跨境电商的漏洞朋友处理了一次数据泄露。攻击者没用什么高深手段，扫描就是软件利用了他们一台对外测试服务器上没打补丁的Apache Struts2漏洞。那台机器本不该出现在公网，主机但运维临时开了端口忘了关。漏洞事后复盘，扫描朋友问我：“有没有工具能提前发现这种事？软件”我给他装了Nessus，扫了半小时，主机报告里红彤彤列出17个高危漏洞，漏洞其中就包括那个Struts2。扫描他盯着屏幕看了半天，软件说了一句：“原来我家里一直没锁门。主机”

主机漏洞扫描软件，漏洞本质上就是扫描一把自动化的锁匠工具。它不负责修锁，只负责告诉你哪扇门没关、哪扇窗的插销坏了。很多人把它和杀毒软件混为一谈，其实两码事。杀毒软件盯着正在运行的进程和文件，漏洞扫描器则翻你的系统补丁、服务配置、注册表项、Web应用版本号。一个抓现行，一个查隐患。

市面上的扫描器分两类。一类是像Nessus、Qualys、OpenVAS这样的通用型，插件库动辄几万条，覆盖Windows、Linux、网络设备、数据库。另一类是专精型，比如专门扫Web应用的Acunetix、AppScan，或者专扫容器镜像的Trivy、Clair。我自己的习惯是：内网资产普查用OpenVAS，性价比高；对外暴露的Web服务用Acunetix跑一遍，再拿Nessus补漏。别指望一个工具通吃，那跟拿螺丝刀拧螺母差不多。

扫描这件事，最怕两种极端。一种是扫完不看报告，文件往共享盘一扔，等出事再翻出来——那时候已经晚了。另一种是看见高危就慌，连夜打补丁，结果把业务打挂了。我见过一个运维，扫描器报了个OpenSSH版本过低，他直接升级，新版本默认禁用了旧算法，导致一批老客户端连不上。漏洞扫描报告不是圣旨，得结合业务场景判断。那个OpenSSH漏洞需要特定条件才能触发，而他的内网环境根本不满足。扫描器只告诉你“可能有问题”，不告诉你“一定被利用”。

配置扫描策略也有讲究。全端口全插件扫描，对一台老服务器来说，可能直接把它扫宕机。我通常先做一次轻量级的发现扫描，摸清开放端口和服务，再针对性地开插件。生产环境扫描避开业务高峰，这是常识，但总有人半夜三点跑全量扫描，把数据库连接池打满。扫描器本身也是流量发生器，别把它当空气。

说个具体细节。Nessus的插件输出里，每个漏洞都有个CVSS评分。很多人只看分数高低，不看向量。CVSS向量里藏着攻击路径——是本地利用还是远程利用，需不需要认证，影响范围是机密性还是可用性。一个CVSS 7.5的远程未授权漏洞，比一个CVSS 9.0的本地需认证漏洞危险得多。可惜大部分报告阅读者直接跳过向量字符串，那串字母数字看着像乱码，其实是关键线索。

最后说个我自己的观察。漏洞扫描软件用得好不好，跟工具本身关系不大，跟使用者的资产台账清不清楚关系极大。你连自己有多少台机器、跑了什么服务都不知道，扫描器扫出来的结果就是一堆IP和主机名，根本对不上业务。我见过最离谱的，扫描报告里出现一台IP为10.0.0.5的主机，运维查了半天不知道是谁的，最后发现是某台测试机，负责人半年前离职了。工具能发现漏洞，但发现不了管理漏洞。那台机器后来被搬走了，没人知道它还在不在机架上。