去年冬天，漏洞我在一家中型电商公司做安全巡检。扫描运维同事指着屏幕上一排服务器说：“这几台刚上线，工具国内还没来得及扫。漏洞”我顺手打开Nessus，扫描不到二十分钟，工具国内扫出十四个高危漏洞，漏洞其中三个是扫描远程代码执行。他愣了半天，工具国内嘟囔了一句：“这要是漏洞被盯上，年都过不好。扫描”这事让我意识到，工具国内国内很多团队对漏洞扫描工具的漏洞认知，还停留在“有就行”的扫描阶段。

国内市场上，工具国内商用工具绕不开绿盟、深信服、天融信这几家。绿盟的RSAS我用得最多，策略库更新算勤快，对国产中间件、数据库的识别比国外工具细。比如东方通TongWeb、达梦数据库的漏洞，Nessus经常扫不出来，RSAS能报。但它的界面逻辑有点反人类，第一次用的人得摸索一阵。深信服的扫描器整合在自家态势感知平台里，适合已经用了他们整套方案的客户，单独买来扫，性价比一般。天融信的脆弱性扫描系统在政府、能源行业装机量不小，策略偏保守，误报少，漏报嘛，得靠其他工具补。

开源方案里，OpenVAS（现在叫Greenbone）是绕不过去的。免费，插件多，但部署麻烦，扫大网段时性能掉得厉害。我见过一个团队用OpenVAS扫C段，跑了六个小时还没完，最后换了Nessus。国内也有团队基于OpenVAS做二次开发，比如某些安全公司出的“国产化扫描器”，底层还是那套东西，套个中文界面，加几个国产漏洞POC，价格翻好几倍。值不值，看预算和合规要求。

云原生场景下，传统扫描器有点吃力。容器镜像、K8s配置、API接口，这些不是RSAS或Nessus的主场。Trivy、Clair这类工具更对口，国内像青藤云、默安科技也有对应产品。我试过用Trivy扫一个Java镜像，基础镜像里的openssl版本漏洞直接标红，比等主机扫描快得多。但这类工具对业务逻辑漏洞基本无能为力，得靠DAST或人工渗透补位。

选型时别只看漏洞库数量。有个客户买了某国产扫描器，号称二十万条规则，结果扫内网时把正常业务端口全标成“高危开放服务”，运维差点把交换机 ACL 全改了。规则多不等于准，误报高的工具最后没人用。我习惯先拿几台测试机跑一遍，看误报率、扫描速度、报告可读性。报告这块，绿盟和Nessus都算清晰，OpenVAS的默认报告得自己调模板，不然没法直接给领导看。

合规驱动是国内采购的主因。等保2.0要求定期做漏洞扫描，金融行业还有银保监会的硬性规定。很多单位买扫描器就是为了出报告应付检查，扫完往档案盒一塞，漏洞修不修另说。这种心态下，工具再强也白搭。我见过一个银行客户，RSAS扫出漏洞后，修复流程走了三个月，最后漏洞还在，报告倒是攒了一摞。

价格方面，国产商用扫描器一套下来通常五到十五万，按IP数或模块收费。OpenVAS免费但人力成本高，适合有安全团队的公司。云扫描服务按次或包年，适合临时需求。别迷信“国产化”标签，有些产品内核还是国外开源，换个壳就涨价。真要支持国产，看它有没有自己的漏洞研究团队，POC更新是不是及时。绿盟、深信服在这块投入算大的，其他小厂就难说了。

最后说个细节。扫描工具再强，也替代不了人。有次我用Nessus扫出一堆中危，按报告修完，结果渗透测试同事两小时就绕过去了。工具告诉你“这里可能有洞”，但洞能不能利用、业务影响多大，得靠人判断。国内很多团队缺的不是扫描器，是能看懂报告、会验证漏洞的人。