漏洞扫描多久做一次

上个月，漏洞某家电商平台因为一个老漏洞被拖了库，扫描几百万条用户数据在黑市上论斤卖。多久事后复盘，做次安全团队发现那个漏洞在系统里躺了整整十一个月——而他们原本的漏洞扫描计划是每季度一次。

漏洞扫描这事儿，扫描最要命的多久不是技术难度，而是做次频率错配。你问多久做一次？漏洞标准答案永远是"看情况"，但这个回答听起来像废话。扫描我直接给你几个真实场景，多久你自己掂量。做次

一家月流水过亿的漏洞互联网金融公司，核心交易系统每周日晚上两点自动扫描，扫描雷打不动。多久为什么？因为他们每周五发版，新代码上线后48小时内是漏洞爆发的高危窗口。扫描结果周一早上直接推送给开发负责人，带着修复建议和优先级排序。这种强度，普通企业学不来，也没必要学。

反过来看那些传统制造业的IT部门，内部OA系统一年才登几次，漏洞扫描半年一次都嫌多。你非逼他们每周扫，扫出来一堆中危漏洞没人修，反而让安全团队变成"狼来了"的代言人，最后连真正的高危告警都没人当回事。

但有个底线别碰——至少每月一次。这不是拍脑袋定的数。我见过太多案例，漏洞从出现到被利用的平均时间大约是30到45天。你一个月扫一次，等于在攻击者平均利用周期内至少能发现一次。再拉长，就纯粹赌运气了。

对了，还得提一嘴那种"扫描即合规"的心态。有些单位为了过等保，每年请外部机构扫一次，拿到报告就束之高阁。去年有个医院客户找我聊天，说他们按等保要求每年扫描，结果体检报告显示一个高危漏洞，修补方案要改核心业务流程，IT部门嫌麻烦拖着，结果半年后勒索病毒进来，全院系统瘫痪三天。你说这是扫描频率的问题吗？不，是扫描之后没人对结果负责的问题。

还有个容易忽略的变量——新资产上线。你公司上个月新部署了三个微服务，连到Kubernetes集群里，如果只在固定时间扫描，那这三个服务可能裸奔好几个星期。我自己的习惯是，任何新资产接入生产环境，24小时内必须完成首次扫描，然后纳入常规周期。

说到底，漏洞扫描频率不是一道算术题，而是一道风险管理题。核心交易系统、公网入口、数据存储层，这些地方每周扫都不嫌多；内部测试环境、文档服务器，季度扫也说得过去。关键是你要清楚每个系统在你业务里的权重，然后动态调整。

别迷信什么"最佳实践"，也别照抄同行的时间表。拿张纸，把你所有系统列出来，按暴露面大小和业务影响排个序，再结合你们团队的修复能力定周期。修复能力跟不上，扫描再频繁也是白搭——漏洞清单越积越长，最后连你自己都不想看了。

最后说句实在话：扫描工具再贵，也贵不过一次数据泄露的损失。频率这东西，宁快勿慢，但快的前提是有人真去处理结果。不然，你只是在制造一堆数字焦虑而已。