4. 漏洞扫描与评估技术选型
漏洞管理的第一步不是“买工具”，而是把“要扫什么、能扫到什么、扫完怎么用”这三件事对齐。不同扫描技术看到的资产层面不同：主机扫描看操作系统与软件包，网络扫描看开放端口与服务指纹，Web 扫描看应用层请求与响应，容器扫描看镜像层与运行时组件，云原生扫描则看配置、权限与编排对象。选型错误最常见的后果不是漏报，而是把不同层面的结果混在一张表里，导致修复责任无法落地。
五类扫描对象的边界与典型输出
主机扫描以已认证方式登录目标（SSH、WinRM、SMB 等），读取已安装软件包、补丁级别、内核版本与本地配置。它的优势是准确率高、能定位到具体包版本，例如识别出 openssl 1.1.1k-7.el8 并映射到 CVE。局限是必须解决凭据分发与网络可达性，且对无代理设备覆盖不足。
网络扫描不登录目标，通过端口探测与服务指纹识别暴露面。它回答的是“哪些端口对外可达、运行什么服务、版本是否已知存在漏洞”。典型输出是 IP、端口、协议、服务、版本、置信度。它擅长发现影子资产和未登记服务，但版本识别可能因 banner 伪装或中间设备而失真。
Web 扫描面向 HTTP/HTTPS 应用，通过爬虫与请求变异检测注入、跨站脚本、文件包含、敏感信息泄露等。它依赖登录态、URL 种子和参数发现能力。输出通常是 URL、参数、请求方法、Payload、证据与复现步骤。Web 扫描的误报率相对较高，必须结合人工验证。
容器扫描针对镜像与运行时，解析镜像层中的 OS 包、语言依赖（如 package-lock.json、requirements.txt）以及基础镜像来源。它能在 CI 阶段拦截带高危漏洞的镜像，也能在运行时发现已运行容器中的组件版本。关键参数是镜像 digest、层哈希与扫描时间点。
云原生扫描覆盖 Kubernetes 配置、RBAC 权限、Secret 管理、网络策略、IaC 模板（Terraform、Helm）以及云账号配置基线。它关注的不是“某个包有 CVE”，而是“某个工作负载以 privileged 运行”“某个 ServiceAccount 拥有 cluster-admin”。输出通常是资源对象、命名空间、违规规则与风险等级。
主动与被动：不是二选一，而是互补
主动扫描的核心是“我主动去问目标”。它发送 SYN、HTTP 请求或登录读取，能拿到确定的版本与证据，适合定期全量、上线前检查和合规取证。代价是可能影响业务性能、触发 IDS/IPS 告警，且必须约定扫描窗口。被动扫描的核心是“我观察已经发生的事”：镜像流量、DNS 日志、Agent 上报、WAF 日志、Kubernetes 审计日志。它零打扰、能持续发现影子资产，但无法主动验证漏洞是否可利用，且依赖流量覆盖范围。
工程上常见的组合是：生产核心系统以被动为主，配合低频主动验证；测试与预发环境用主动全量；CI/CD 流水线中嵌入容器与 IaC 主动扫描；互联网暴露面用主动网络扫描加被动流量分析。这样既控制风险，又不留盲区。
工具对比与选型方法
工具对比不能只看“漏洞数量”。建议用同一组基准资产做横向验证，记录以下维度：
| 维度 | 说明 | 示例判断 |
|---|---|---|
| 覆盖对象 | 是否支持主机、网络、Web、容器、云原生 | 缺少容器镜像层解析则无法满足 CI 拦截 |
| 认证能力 | SSH/WinRM/API/镜像仓库凭据 | 无认证主机扫描准确率显著下降 |
| 误报与证据 | 是否给出请求/响应、包版本、复现步骤 | 只有结论无证据，修复成本高 |
| 集成接口 | API、Webhook、CI 插件、SIEM 对接 | 无法自动建单则依赖人工搬运 |
| 性能与窗口 | 并发、限速、对业务影响 | 生产扫描需支持限速与分片 |
| 结果归一 | CVE/CNVD 映射、资产去重、风险评分 | 多工具结果需统一资产 ID |
选型方法可以按四步走。第一步，明确资产清单与责任边界：哪些资产由主机团队负责，哪些由应用团队负责，哪些属于云平台。第二步，按资产类型匹配扫描技术，而不是按工具品牌匹配。第三步，用 20～50 个已知漏洞的基准环境做 PoC 验证，记录检出率、误报率、扫描时长与业务影响。第四步，评估运营成本：凭据轮换、扫描窗口协调、结果去重、工单闭环。工具再强，如果结果无法进入修复流程，就只是报告生成器。
一个可执行的选型评分示例
假设候选工具 A 与 B，按权重打分（示例参数，非实测）：覆盖对象权重 30%，认证能力 20%，证据质量 20%，集成能力 15%，性能影响 15%。A 在覆盖对象得 9 分、认证 8 分、证据 7 分、集成 6 分、性能 7 分；B 分别为 7、9、8、8、6。加权后 A 为 7.65，B 为 7.55。差距很小，此时应回到业务约束：若 CI 集成是硬需求，B 的集成优势更关键；若生产扫描窗口极窄，A 的性能表现更值得关注。评分只是辅助，最终决策要落到“谁能在现有流程中持续运行”。
最后，扫描技术选型不是一次性动作。随着容器化与云原生比例上升，扫描重心会从“IP+端口”转向“镜像+配置+权限”。建议每季度复核一次资产类型分布与扫描覆盖率，确保新增的 K8s 命名空间、新上线的镜像仓库、新暴露的 API 网关都进入扫描范围。只有扫描对象、采集方式与修复责任三者对齐，漏洞管理才真正开始运转。