漏扫工具怎么选
漏洞扫描器分两类：主机与网络侧漏扫（OpenVAS/GVM、Nessus 及云厂商安全中心）关注系统与服务版本；Web 应用漏扫（AWVS、AppScan 一类）关注 SQL 注入、XSS 等应用层缺陷。选型的目标不是全都装上，而是先落地一套能形成闭环的流程，报告要能追到「哪台机器、哪条漏洞、谁负责修」。
基本信息
| 适用平台 | 企业级，Linux/Windows 服务器与办公终端 |
|---|---|
| 开源起步 | OpenVAS/GVM 或发行版提供的 gvm 包 |
| 部署要点 | 扫描器本身不应暴露在公网，仅允许管理网段访问 |
| 基线 | 有定期扫描与可闭环的报告 |
典型使用场景
- 上线前基线扫描：新系统交付前扫一遍，避免带着高危漏洞面客
- 季度例行扫描：与资产清单结合，确认新增资产也被覆盖
- 漏洞通告应急：针对特定 CVE 做定向扫描，快速定位受影响机器
- 合规举证：扫描报告是漏洞管理条款的常见证据材料
开源方案起步
开源方案起步
# 容器化方式快速验证（仅监听回环，避免暴露）
docker run -d -p 127.0.0.1:9392:9392 --name gvm securecompliance/gvm
# 或者使用发行版软件包
apt install gvm 2>/dev/null || true
# 版本与可用性确认
gvm-cli --version 2>/dev/null | head -2扫描能力对照
| 类型 | 覆盖对象 | 局限 |
|---|---|---|
| 主机与网络漏扫 | 操作系统与服务版本、开放端口 | 对新披露漏洞依赖插件更新速度 |
| Web 应用漏扫 | 注入、跨站、配置类缺陷 | 需要登录态配置，误报率较高 |
| 云安全中心 | 云上资产的配置与暴露面 | 不覆盖自建机房的传统资产 |
| 配置基线核查工具 | 配置项是否符合基线 | 不做漏洞可用性验证 |
未经授权扫描可能违法：扫描范围必须有书面授权，写明 IP 与域名清单、时间窗口，并避开对生产有冲击的高危验证插件。
无凭据扫描只能看到服务版本，误报与漏报都多：条件允许时应使用凭据扫描（SSH 或 SMB）获取包版本，结论会准确得多。