什么是漏洞扫描？

为什么需要进行漏洞扫描？

漏洞是指计算机系统安全方面的缺陷，使得系统或其应用数据的保密性、完整性、可用性、访问控制等面临威胁。犯罪黑客可以利用已知漏洞（例如：SQL注入、缓存区溢出、跨站脚本等），轻易攻击您的网络，可能带来不可估量的损失。所以，使用漏洞扫描工具定期扫描、发现并评估漏洞，尽早补救，以提升系统安全性，减少被攻击的风险，避免数据泄露等严重网络安全事件。

如何进行漏洞扫描？

使用漏洞扫描工具对主机进行扫描时，通常会查找缺失的补丁程序、已知的恶意软件、开放的端口、弱密码和其他安全分析。扫描完成后，进一步分析扫描结果，评估风险并给出处理建议，生成全面详细的漏洞扫描报告。

漏洞扫描分为：

• 经过身份验证的扫描允许扫描工具使用远程管理协议直接访问网络资产，例如：主机操作系统的特定服务、已安装软件的详细信息等。在扫描过程中发现漏洞并尝试利用漏洞，以便漏洞扫描工具能够发现更全面的潜在漏洞信息、甚至不容易被发现的漏洞。
• 未经身份验证的扫描是在没有任何凭证的情况下进行的，只能发现有限的漏洞信息，也可能包含误报。

另外，新的漏洞不断出现，漏洞扫描工具需不断更新自己的漏洞特征库，尽可能识别系统中的所有漏洞、最大限度地减少误报，提升漏洞扫描准确率。

漏洞扫描和渗透测试的主要区别

漏洞扫描与渗透测试经常混淆，但两者有一些主要区别：

• 漏洞扫描是寻找潜在安全漏洞的高级自动化测试，仅识别漏洞。漏洞扫描通过漏洞扫描工具自动进行，在几分钟或数小时内完成。
• 渗透测试是一种详尽的检查。由测试人员利用系统的弱点模拟攻击，进行更深入的挖掘，发现漏洞并评估漏洞可能造成的后果，确定漏洞的根本原因。测试人员还会查找业务逻辑漏洞，根据实际环境评估漏洞。

华为漏洞扫描产品

华为VSCAN系统漏洞扫描器是一款主要用于发现和评估网络设备、Web应用、数据库等存在的安全漏洞并提供相应解决建议的产品。

采用深度主机服务探测、Web智能化爬虫、SQL注入状态检测、主机配置检查以及弱口令检查等方式相结合的技术，实现Web漏洞扫描、系统漏洞扫描、数据库漏洞扫描、基线安全检查与口令猜解五大扫描能力，让漏洞风险评估尽在掌握。适用于政府、电力、企业、教育、医疗等各行业客户。

更多产品介绍请参见：华为VSCAN产品文档。