微软漏洞扫描工具
微软自己出的微软漏洞扫描工具，其实不少人压根没用过。漏洞不是扫描它藏得深，是工具微软从来没把它当明星产品推。你装完Windows Server，微软默认就能在服务器管理器里找到“安全合规性管理器”，漏洞但那玩意儿早就不更新了。扫描真正还在维护、工具能打的微软，是漏洞Microsoft Defender Vulnerability Management，简称MDVM。扫描它藏在Defender for Endpoint里，工具单独买也行，微软但大部分人买的漏洞是捆绑包，然后忘了自己还有这个功能。扫描
我去年帮一个客户做内网排查，他们用了某国产扫描器，报告出来三百多个漏洞，IT主管脸都绿了。我让他把MDVM打开跑一遍，结果只剩四十几个，而且每个都标了“可利用性”等级。差别在哪？国产那个把注册表里某个键值缺失也算漏洞，MDVM直接忽略——微软知道哪些配置改了会真出事，哪些只是合规检查项。这种判断力，第三方工具很难抄。
MDVM的核心逻辑不是扫端口、猜版本。它通过Defender agent收集系统状态，然后跟微软自己的漏洞库比对。这个库更新频率很高，通常补丁发布后几小时内就同步。我观察过，Log4j那会儿，MDVM比很多商业扫描器早两天给出检测规则。原因也简单：微软自己也在用Log4j，它的安全团队比谁都急。
但别指望它万能。MDVM对非微软生态的支持只能说凑合。你扫Apache、Nginx、Redis，它能识别版本，但误报率比扫IIS高出一截。我遇到过一台CentOS跑Tomcat，MDVM报了个CVE，结果那个CVE只影响Windows版。这种乌龙不常见，但发生了就挺烦。所以我的习惯是：微软资产用MDVM做主扫，第三方组件拿Nessus或OpenVAS交叉验证。
部署上有个坑得提。MDVM依赖Defender for Endpoint的onboarding包。你要是没正确推送那个包，控制台里看设备全是“未授权”，扫描按钮灰的。我见过一个管理员折腾一下午，最后发现是组策略里把Defender的实时保护关了，agent直接不干活。微软的文档写得很绕，它默认你懂Intune和SCCM，其实很多小团队根本没那套东西。
价格方面，MDVM单独买是每设备每年大概三四十美元，但微软经常把它塞进E5套餐里。如果你公司已经买了E5，不用额外掏钱，只是很多人不知道去安全中心里激活。我建议先查许可证，再决定要不要单独采购。别学我那个客户，差点又买一套重复的。
实际用起来，它的仪表盘做得比大多数竞品清爽。漏洞按“已修复”“待修复”“无补丁”分三栏，点进去能看到受影响设备列表、CVE详情、甚至给出缓解措施。有个细节挺贴心：如果某个漏洞微软自己也没补丁，它会建议你关掉哪个服务或加哪条防火墙规则。这种可操作的建议，比光报个CVE编号有用得多。
要说缺点，扫描频率是个问题。默认是每天一次，但你可以改成实时。实时模式下agent会频繁上报，对老旧设备有点吃CPU。我一般建议服务器改成每6小时，工作站保持每天一次。另外它的报表导出功能很弱，只能导CSV，想要漂亮点的PDF得自己拿Power BI接API。微软大概觉得安全团队都爱自己写脚本。
最后说个真实案例。有个客户中了勒索软件，事后用MDVM回溯，发现三周前就报过那个漏洞，但管理员把告警邮件设成了“低优先级”。工具没问题，流程没跟上。所以别光装工具，得有人看告警。MDVM再准，也救不了把安全中心当摆设的团队。