关于漏洞扫描

什么是漏洞

从各种定义中可以得到漏洞的一系列共性描述： 系统的缺陷/弱点、可能被利用于违反安全策略、可能导致系统的安全性被破坏。 漏洞会涉及管理、物理、技术多种类型，我们说的漏洞一般默认是指技术型的漏洞。

互联网工程任务组RFC4949： 系统设计、部署、运营和管理中，可被利用于违反系统安全策略的缺陷或弱点。

中国国家标准 信息安全技术-网络安全漏洞标识与描述规范 GB/T 28458-2020： 网络安全漏洞是网络产品和服务在需求分析、设计、实现、配置、测试、运行、维护等过程中，无意或有意产生的、有可能被利用的缺陷或薄弱点。

中国国家标准 信息安全技术-术语 GB/T 25069-2010： 脆弱性(Vulnerability)是资产中能被威胁所利用的弱点。

美国国家标准与技术研究所NIST： 信息系统、系统安全规程、内部控制或实施中可能被威胁源利用或触发的弱点。

国际标准化组织-信息安全管理体系ISO27000： 资产或控制中可能被一个或多个威胁利用的弱点。

国际标准化组织-漏洞披露ISO29147： 违反默示或明示安全策略的产品或服务的功能性行为。

维基百科： 计算机安全中，漏洞是威胁可以利用的弱点，例如攻击者可利用漏洞在计算机系统内跨越权限边界。

百度百科： 漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，可以使攻击者能够在未授权的情况下访问或破坏系统。

针对已公开披露的漏洞

通常以CVE[①]编号进行描述。为了达成交流共识，更好的识别、定义和修复已知漏洞，由MITRE[②]公司发起的公共漏洞枚举CVE项目，可以为每个典型的软硬件产品/公共组件的已知漏洞分配一个唯一的CVE编号，这一做法得到全球主流IT厂商/组织的支持（截止目前全球范围内已有近200个CVE编号授权机构），CVE已成为产业界的国际事实标准。

此外中国国家信息安全漏洞库CNNVD[③]也兼容CVE，但它使用的是CNNVD编号，精确到年月。例如：CNNVD编号CNNVD-202110-1568映射到CVE编号CVE-2021-22965，它们描述的是同一个漏洞 。

已公开披露的漏洞只是冰山一角，其主要涉及面向个人或企业的公共的商用软硬件产品或开源软件/组件。由于软硬件的使用场景不同，有些已知漏洞只会受限披露甚至不会被披露。而由于软硬件系统的复杂性与多样性，未知的漏洞则会更多。业界安全研究人员、软件厂商的测试部门每天都在持续不断的发现着新漏洞，就像是体检中心每天都会发现新病人。

针对未公开披露的漏洞

MITRE公司的安全研究人员分析了大量已公开披露的CVE漏洞，抽象化并提取了公共缺陷枚举CWE[④]用来对此类型的漏洞进行描述。当前CWE项目中的缺陷已有超过900个小类，其中与软件开发相关的有400多个小类，40个大类。缺陷是漏洞的根因，因此每一个CVE编号都可以映射到一个或多个CWE编号。

什么是漏洞扫描

在中国国标GB/T 28449的附录E 等保测评方式及工作任务的“E.4 测试”部分中则明确指出：需要对服务器、数据库管理系统、网络设备、安全设备、应用系统等进行漏洞扫描。此外还需要对应用系统完整性、保密性进行协议分析；对系统进行内部和外部的渗透攻击等。

因此可以认为漏洞扫描指的就是通过工具去扫描远端或本地运行的系统的行为，以达到快速识别系统中已知或未知漏洞的目的。它的关键是对漏洞的识别进行工具化，降低识别漏洞的人工参与和技术门槛。漏洞扫描是漏洞评估的一种方法。漏洞扫描通常是渗透测试过程中的一个前置步骤。

为什么要做漏洞扫描

漏洞扫描能发现漏洞，扫描的结果能用来支撑漏洞评估、漏洞修补、风险评估相关工作，以降低系统安全性的风险。

常见网络安全设备：漏洞扫描设备

定义

指基于漏洞数据库，通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测，发现可利用的漏洞的一种安全检测（渗透攻击）行为。

主要功能

对网络主机、操作系统、网络设备、应用系统（、常用软件、网站开源架构、主流数据库，进行系统漏洞、应用漏洞、安全配置扫描和检测，及时发现网络中各类设备和系统的安全脆弱性，提出修复和整改建议，保障设备和系统自身安全性。可以对漏洞修复情况进行监督并自动定时对漏洞进行审计提高漏洞修复效率。

主要类型

1.针对网络的扫描器：基于网络的扫描器就是通过网络来扫描远程计算机中的漏洞。价格相对来说比较便宜；在操作过程中，在检测过程中不需要在目标系统上安装任何东西；维护简便。

2.针对主机的扫描器：基于主机的扫描器则是在目标系统上安装了一个代理或者是服务，以便能够访问所有的文件与进程，这也使得基于主机的扫描器能够扫描到更多的漏洞。

3.针对数据库的扫描器：数据库漏扫可以检测出数据库的DBMS漏洞、缺省配置、权限提升漏洞、缓冲区溢出、补丁未升级等自身漏洞。

部署方式

漏洞存在于网络系统的各个角落，交换机路由器、服务器、PC机、应用系统等都可能存在漏洞。 系统一般旁路部署在运维管理区， 与扫描对象保持IP可达，通过配置扫描任务定期地对网络中多个不同的网段的主机、数据库、WEB应用等进行全面、深入的检测，同时生成相应的漏洞解决方案，用户根据这些解决方案来对目标系统和应用做相应的加固和防护，及时将网络的安全风险降低。

单机部署： 适用于网络较为集中，独立使用，中小型规模的网络环境，与被检测环境通信可达即可，部署方便“无损”部署，不影响客户网络和业务。

分布式部署： 适用于层级网络结构，由总部集中进行管理、检查，网络规模较大的网络环境，统一下发、数据汇总、集中管理，统一评估，适应满足大型或超大型网络环境部署需求。