内容摘要：绿盟科技的RSAS扫描器在国内金融行业装机量很大，但去年某城商行做等保测评时，这套设备漏报了两个Apache Log4j2的高危漏洞。后来查原因，是规则库更新滞后了整整一周。厂商的解释是"云端推送策略

绿盟科技的漏洞RSAS扫描器在国内金融行业装机量很大，但去年某城商行做等保测评时，扫描设备这套设备漏报了两个Apache Log4j2的漏洞高危漏洞。后来查原因，扫描设备是漏洞规则库更新滞后了整整一周。厂商的扫描设备解释是"云端推送策略调整"，可客户不买账——漏洞扫描这行，漏洞差一天都可能被勒索软件钻空子。扫描设备

国内做漏洞扫描设备的漏洞厂家，掰着手指头数得过来。扫描设备老牌的漏洞有绿盟、启明、扫描设备天融信，漏洞新兴的扫描设备像长亭、安恒，漏洞还有一堆贴牌厂商在中间搅浑水。我见过最离谱的案例：某政务云采购了一批"自研"扫描器，拆开一看，底层引擎是OpenVAS改的，界面套了个壳，报价却翻了四倍。采购方不懂技术，只看重"国产化率"和"资质证书"，这种生意就永远有人做。

绿盟的强项在规则库积累。他们2000年就开始做入侵检测，漏洞特征库有十几年的老底子。但设备笨重，一台RSAS要占2U机架，扫描大网段时并发上不去，经常被运维吐槽"扫一次全网要停半天业务"。启明的天镜扫描器轻一些，Web界面做得顺手，可自定义POC的语法太封闭，安全研究员想加个自己的检测逻辑，得走工单等厂商排期。

长亭的洞鉴走的是另一条路。他们把扫描器做成了容器，可以分布式部署，扫C段时开十个节点并行跑。这个设计对互联网公司很友好，但传统制造业的机房连Docker都没装，买回去只能当摆设。安恒的明鉴扫描器在政府行业卖得好，因为等保合规的检查项做得细，报告直接生成符合公安要求的模板。说白了，有些客户买设备不是为了真扫漏洞，是为了应付检查。

真正让我觉得有意思的是几家小厂的做法。北京有个团队做了个叫"VulHunter"的扫描器，不卖硬件，只卖软件授权，按IP数量收费。他们的规则库更新频率是每天两次，比绿盟快得多。代价是误报率高，扫出来的漏洞有三成是假阳性。运维得自己写脚本过滤，技术能力弱的团队反而用不了。

还有个现象：很多厂家把扫描器当"盒子"卖，硬件成本不到三千，加上软件授权卖八万。客户觉得买了设备就安全了，实际上规则库不更新，三个月后就是废铁。我见过某医院信息科把扫描器买回来插上网线就不管了，一年后厂商销售来续费，他们才发现设备连不上云平台——因为内网防火墙把更新端口封了。

选型这事，别光看厂商宣传的"漏洞数量"。问三个问题就够了：规则库多久更新一次？支不支持自定义POC？误报率有没有公开数据？答不上来的，基本是贴牌货。另外，扫描器不是买了就完事，得有人盯着告警、验证漏洞、推动修复。很多单位缺的不是设备，是那个愿意花时间看报告的人。

绿盟去年推了个订阅制服务，扫描器硬件免费送，按年收规则库更新费。这个模式对预算紧的客户有吸引力，但合同里藏着条款：停止订阅后设备自动锁死。说白了，厂商赌你不敢断供。漏洞扫描这行，技术门槛在下降，商业套路倒是越来越深了。