去年帮一家中型制造企业做等保测评，国内他们信息中心主任指着机房角落一台老旧的漏洞物理设备跟我说：“这玩意儿买了五年，除了每年续费，扫描几乎没人碰过。产品”那是排名一台绿盟的漏扫硬件，型号已经停产。国内这事让我意识到，漏洞国内漏洞扫描产品的扫描真实使用状态，跟各类排名榜单上呈现的产品格局，中间隔着一道不小的排名鸿沟。
先说说市面上能见度最高的国内几家。绿盟科技在运营商和金融行业根基很深，漏洞尤其是扫描那套RSAS远程安全评估系统，几乎成了很多省级运营商的产品标配。但你要是排名去问一线运维，抱怨最多的就是扫描策略太“重”，一次全量扫描能把测试环境的交换机干趴下。绿盟这两年推的漏洞管理平台思路是对的，把扫描、资产、工单串起来，可惜老客户迁移成本高，新客户又嫌部署周期长。
启明星辰的天镜系列走的是另一条路。它在政府行业的占有率很夸张，某省政务云采购清单里，天镜几乎是默认选项。实际用下来，天镜的Web漏洞检测能力比绿盟稍强，但主机层漏洞的误报率也更高。有个做渗透测试的朋友开玩笑说，天镜报出来的高危漏洞，有三分之一得手动验证是不是误报。这话可能夸张了，但反映出产品在精准度上还有提升空间。
真正让我意外的是长亭科技。这家公司靠CTF比赛起家，雷池WAF口碑很好，漏扫产品“洞鉴”反而被低估了。洞鉴的扫描速度不算最快，但漏洞验证机制做得聪明——它会用无害化的PoC去实际确认漏洞存在，而不是单纯靠版本比对。去年某股份制银行内部做红蓝对抗，蓝队用洞鉴扫出来的漏洞数量比绿盟少了近四成，但修复后复测通过率几乎百分之百。这说明什么？少而准比多而杂有价值。
安恒信息的明鉴系列在中小企业和教育行业卖得不错。价格是一方面，更关键的是控制台做得足够简单。我见过一个职业院校的网络管理员，非安全科班出身，自己看文档就能把明鉴跑起来。但安恒的问题在于硬件型号太杂，同一代产品不同批次的管理界面都不一样，文档更新跟不上。
还有两家不得不提。知道创宇的ZoomEye系列，严格说更偏向网络空间测绘，但它的漏洞扫描能力被很多白帽当情报源用。360的漏扫产品线有点尴尬，企业级市场声量一直起不来，反倒是免费版的360漏洞扫描器在个人用户里传播广。这跟360的C端基因有关，B端产品的渠道和服务体系没跟上。
如果非要给个排名，按市场占有率排：绿盟、启明星辰、安恒、长亭、知道创宇。按技术实用性和漏洞检出质量排：长亭、绿盟、知道创宇、启明星辰、安恒。这两个排名不一样，恰恰说明国内漏扫市场没有绝对赢家。
选型的时候别只看排名。资产规模五千台以上的，优先考虑绿盟或启明星辰，它们跟SIEM、SOC的联动更成熟。资产少但Web应用多的，长亭洞鉴更合适。预算有限又要快速上手的，安恒明鉴可以试试。至于那些把漏扫当合规摆设的单位，买什么都一样——不修复的漏洞，扫出来也只是数据库里多几条记录。
最后说个观察。国内漏扫产品同质化越来越严重，CVE库大家都是同步更新，扫描引擎的差距在缩小。真正的分水岭在于漏洞验证的准确性和与修复流程的衔接。谁先把误报率降到个位数，谁就能在下一轮替换潮里占到便宜。绿盟和启明星辰有存量优势，但长亭这类新玩家在技术细节上更肯下功夫。这个市场，远没到格局已定的时候。