服务

漏洞扫描

漏洞扫描是对您的系统定期、系统性地检查已知弱点：未打补丁的软件、配置错误、暴露的服务、带有已知利用代码的过时组件。它不同于渗透测试，后者模拟真实攻击者为实现某个特定目标而发起的攻击；扫描则更广泛、更自动化，旨在按周期性计划呈现整个环境中可被利用问题的全貌，而不是深入测试某一条特定的攻击路径。

之所以需要定期进行而不是一次性项目，是因为您的环境在不断变化：新软件被部署，配置发生漂移，而您多年来一直运行、从未改动的软件中，也会不断有新的漏洞被披露。上个季度还很干净的系统，今天可能存在一个正被积极利用的严重漏洞，原因仅仅是研究人员在您一直安装着的软件中发现了它。

扫描体系的不足之处

我最常看到的两种失败模式：一是扫描在运行，但没有人真正阅读或根据结果采取行动，漏洞堆积在一份纯粹为合规而存在的报告里；二是扫描覆盖范围悄悄遗漏了环境中的一些部分，比如在常规流程之外创建的云资源，或在扫描范围上次复核之后新增的系统。

我会怎么做

我会按真正匹配您的风险和环境变化速度的频率来设置扫描，对有些组织是每周一次，对另一些组织则对关键系统每日覆盖更合适，并确保范围真正涵盖您运行的一切，而不只是最初配置扫描时已有的那些系统。结果需要附带真正的优先级排序，而不只是直接取自供应商数据库的严重度分数：在您的具体环境中什么真正可被利用，什么暴露在互联网上、什么深藏于内部，以及考虑到您的实际风险应当先修复什么。还需要有人对根据扫描发现采取行动负责，因为一份落入收件箱后便石沉大海的报告不是安全体系，而是对您知道却没有处理的风险的记录。

如果您想要持续、低调的漏洞扫描，真正推动修复而不只是产出报告，欢迎联系我。