漏洞扫描怎么收费的漏洞

上周有个做电商的朋友找我，说第三方安全公司给他报了个价，扫描收费一年六万八，漏洞就做四次漏洞扫描加两次渗透测试。扫描收费他问我这价是漏洞不是被宰了。我看了下报价单，扫描收费扫描目标就一个官网加一个管理后台，漏洞IP总共不到十个。扫描收费说实话，漏洞这价格放在北上广深不算离谱，扫描收费但搁在二线城市，漏洞能砍到四万左右。扫描收费

漏洞扫描的漏洞收费逻辑，跟你想的扫描收费可能不太一样。它不是漏洞按“扫了多少漏洞”算钱的，而是按“扫描资产的数量和复杂度”来定价。行业里最常见的计费单位是“IP数”或者“域名数”，一个C段（256个IP）和十个独立IP，价格能差出三倍。你花五千块扫一个IP段，跟花五千块扫十个散落的IP，服务商付出的成本完全不同——前者配置一次规则就行，后者得调半天策略。

更细的收费档位，我见过三种。第一种是纯自动化扫描，就是拿商业工具（像 Nessus、Qualys）跑一遍，出份报告，这种最便宜，一个IP一年大概几百到一千出头。第二种是人工验证过的扫描，扫描器报出漏洞后，工程师会手工复现一遍，去掉误报，这种单价能到一千五到三千一个IP。第三种是带利用验证的，比如扫出个SQL注入，工程师会尝试实际注入拿数据，证明危害程度，这种一个IP能报到五千以上。

但光看IP数也容易踩坑。有个做SaaS的客户，域名就一个，但背后挂了三十多个子域名，每个子域名对应不同的业务模块。服务商按“一个主域名”报了低价，结果扫描时发现每个子域名都要单独配置登录态、单独处理WAF绕过，最后加了两万多的“复杂环境附加费”。所以签合同前一定问清楚：子域名算不算独立资产？API接口扫不扫？APP的流量能不能解包？

还有个隐藏成本叫“时间窗口”。你要求扫描必须在业务低峰期做，比如凌晨两点到六点，那服务商就得安排人熬夜盯着，这种非工作时间的扫描，通常加收20%到30%的夜间调度费。反过来，如果你允许在工作时间直接扫，有些服务商能给折扣——但风险自负，扫挂了线上业务，人家不赔。

真正拉开价格差距的，是报告和售后。便宜的扫描报告就是工具导出的PDF，几十页模板，漏洞描述全是英文技术术语，你看完还是不知道先修哪个。贵的服务会配一份“业务视角摘要”，告诉你“这个漏洞可能导致用户订单数据泄露，建议两周内修复，涉及三个模块，预估开发工作量两天”。这种报告需要安全工程师懂业务逻辑，价格自然高。我见过最夸张的案例，一家金融公司花十五万买扫描服务，其中十万是报告解读和整改跟踪——人家每周来现场开一次会，盯着开发团队修漏洞，修完再复测。

最后说个行业潜规则：很多报价单里的“漏洞扫描”其实不含“新漏洞情报更新”。你买的是当下这一刻的扫描，但病毒库和漏洞库是随时更新的。如果服务商不承诺“半年内免费复测新爆出的高危漏洞”，那等于你扫完第三天出现个新漏洞，还得再掏钱扫一遍。签合同时盯着这条，能省不少后续费用。

所以回到开头那个电商朋友，六万八贵不贵？如果他那个管理后台涉及支付接口，而且服务商承诺全年漏洞情报跟踪、每季度人工复核报告，那这钱花得不冤。要是只给四份工具报告，那确实贵了——自己买套Nessus专业版，一年授权费也就两万出头，自己人花半天学一下就能跑。